Politique de confidentialité

Responsable du traitement

Boll&Boll Produkte GbR, Wormser Str. 173, 55130 Mainz, Germany. E-mail : natalie@matinataskincare.com. Téléphone : +49 171 270 6558. Représenté par Natalie Boll.

Nous ne sommes pas légalement tenus de désigner un délégué à la protection des données. Veuillez adresser toute question relative à la confidentialité à l’adresse indiquée ci-dessus.

Bases légales sur lesquelles nous nous appuyons

• Art. 6(1)(a) GDPR — votre consentement (cookies, newsletter, mesure des performances marketing).
• Art. 6(1)(b) GDPR — exécution du contrat de vente (commandes, livraison, compte client, assistance).
• Art. 6(1)(c) GDPR — obligations légales (conservation des documents fiscaux et commerciaux, § 147 AO, § 257 HGB).
• Art. 6(1)(f) GDPR — nos intérêts légitimes (fonctionnement sécurisé du site, prévention de la fraude, protection contre les attaques et les abus). Nous les mettons en balance avec vos intérêts dans chaque cas.

Consultation du site : journaux du serveur et sécurité

• Données : adresse IP, date et heure de la requête, URL demandée, référent, navigateur et système d’exploitation, ainsi que statut et volume des données transférées.
• Finalités : mise à disposition du site, maintien de sa stabilité et de sa sécurité, détection des attaques et protection contre celles-ci, filtrage des robots et prévention des abus.
• Base légale : Art. 6(1)(f) GDPR. Intérêt légitime : exploiter une boutique en ligne sécurisée et disponible, et la protéger contre les attaques, l’extraction automatisée de données et le trafic frauduleux.
• Destinataires : Lovable Cloud (hébergement/infrastructure) et Cloudflare, Inc. (CDN et sécurité), agissant en qualité de sous-traitants.
• Durée de conservation : les données des journaux et de sécurité sont supprimées ou anonymisées au plus tard dans un délai de 30 jours, sauf si un incident de sécurité particulier nécessite une conservation plus longue à titre de preuve.

Panier et paramètres de langue

• Données : les produits de votre panier, leurs quantités et votre choix de langue, enregistrés localement dans votre navigateur (localStorage).
• Finalité : conserver votre panier et votre choix de langue pendant votre navigation et jusqu’à la finalisation de votre commande.
• Base légale : Art. 6(1)(b) GDPR ; le stockage lui-même est strictement nécessaire au sens du § 25(2) no. 2 TDDDG et ne requiert donc aucun consentement.
• Durée de conservation : jusqu’à ce que vous vidiez votre panier, finalisiez votre commande ou effaciez les données stockées dans votre navigateur.

Commandes, finalisation de commande et paiement

• Données : prénom et nom, adresses de facturation et de livraison, adresse e-mail, numéro de téléphone (s’il est fourni), contenu et montant de la commande, numéro de commande, adresse IP au moment de la commande et métadonnées de paiement (moyen de paiement, statut d’autorisation). Nous n’avons jamais accès aux données complètes de votre carte et ne les conservons jamais.
• Finalités : conclusion et exécution du contrat de vente, facturation, traitement des paiements, gestion des rétrofacturations et tenue de la comptabilité conformément aux obligations légales.
• Base juridique : art. 6(1)(b) du RGPD pour le contrat ; art. 6(1)(c) du RGPD, en lien avec le § 147 AO et le § 257 HGB, pour les factures et les pièces comptables ; art. 6(1)(f) du RGPD pour la prévention de la fraude et des rétrofacturations.
• Destinataires : Shopify International Ltd. (Irlande) et Shopify Inc. (Canada), en qualité de sous-traitants pour le commerce en ligne ; le prestataire de paiement que vous choisissez (Shopify Payments/Stripe, PayPal, Klarna lorsque cette option est proposée), en qualité de responsable de traitement indépendant pour le paiement lui-même ; notre conseiller fiscal et, lorsque cela est requis, les autorités fiscales.
• Conservation : les factures et les données de commande pertinentes à des fins comptables sont conservées pendant 10 ans à compter de la fin de l’année civile au cours de laquelle la commande a été passée (§ 147 AO). Les données non soumises à des obligations de conservation sont supprimées à l’expiration des délais de garantie et de retour.

Prévention de la fraude et contrôles des risques lors du paiement

• Données : adresse IP, caractéristiques de l’appareil et du navigateur, différences entre les adresses de facturation et de livraison, fréquence et montant des commandes, résultats des autorisations de paiement.
• Finalité : détecter les commandes frauduleuses, les tentatives de test de cartes bancaires et les abus de rétrofacturation avant l’expédition.
• Base juridique : art. 6(1)(f) du RGPD. Intérêt légitime : prévenir les pertes financières liées aux commandes frauduleuses. Aucune commande n’est refusée sur le seul fondement d’un traitement automatisé produisant des effets juridiques ; la décision est toujours prise par une personne (voir « Prise de décision automatisée »).
• Destinataires : Shopify (Fraud Analysis), le prestataire de paiement choisi, Cloudflare (détection des robots et des abus).
• Conservation : avec les données de commande et, dans tous les cas, sans dépasser la durée légale de conservation applicable à la commande.

Comptes clients

• Données : adresse e-mail, nom, adresses de livraison, historique des commandes et métadonnées de connexion (dernière connexion, codes de connexion). Les comptes clients Shopify utilisent des codes de connexion envoyés par e-mail plutôt que des mots de passe.
• Finalité : vous donner accès à vos commandes et à vos adresses, et faciliter vos prochains achats.
• Base juridique : art. 6(1)(b) du RGPD.
• Destinataires : Shopify, en qualité de sous-traitant.
• Conservation : jusqu’à ce que vous supprimiez votre compte ou nous demandiez de le supprimer ; les documents de commande soumis à une obligation légale de conservation restent conservés pendant la durée indiquée ci-dessus.

Nous contacter

• Données : votre nom, votre adresse e-mail, le contenu de votre message et les éventuelles pièces jointes.
• Finalité : répondre à votre demande et en conserver une trace lorsqu’elle concerne une commande.
• Base juridique : art. 6(1)(b) du RGPD lorsque la demande se rapporte à un contrat ; dans les autres cas, art. 6(1)(f) du RGPD (intérêt légitime à répondre aux demandes concernant nos produits).
• Conservation : les demandes sont supprimées six mois après la clôture du dossier, sauf si des obligations de conservation commerciales ou fiscales s’appliquent.

Avis sur les produits (Klaviyo)

• Données : adresse e-mail, prénom ou initiales, numéro de commande, note, texte de l’avis et éventuelles photographies que vous téléversez.
• Finalité : vous envoyer une invitation à laisser un avis après votre achat et publier les avis sur les pages produits.
• Base juridique : art. 6(1)(a) du RGPD pour l’e-mail d’invitation à laisser un avis et pour la publication de votre avis ; seul le nom ou les initiales que vous fournissez apparaissent lors de la publication.
• Destinataires : Klaviyo, Inc. (États-Unis), en qualité de sous-traitant.
• Conservation : les avis publiés restent en ligne jusqu’à ce que vous nous demandiez de les supprimer ; les invitations à laisser un avis et les données des avis non envoyés sont supprimées après 12 mois.

Newsletter et marketing par e-mail (Klaviyo)

• Données : adresse e-mail, prénom (facultatif), date et heure de l’inscription, date de confirmation et adresse IP utilisée pour le double opt-in, ainsi que les données d’engagement (ouvertures, clics, liens suivis).
• Finalité : vous envoyer notre newsletter pour vous informer des nouveautés concernant nos formules, nos rituels et nos offres, et mesurer sa lecture.
• Base légale : Art. 6(1)(a) GDPR. Nous utilisons le double opt-in : votre inscription n’est active qu’une fois que vous avez cliqué sur le lien de confirmation contenu dans l’e-mail de confirmation. Nous conservons les enregistrements de l’inscription et de la confirmation comme preuve de votre consentement.
• Profilage : avec votre consentement, Klaviyo enregistre également les produits que vous consultez, les articles que vous ajoutez au panier et les achats que vous effectuez, et utilise ces informations pour personnaliser le contenu et le moment d’envoi de nos e-mails. Cela ne produit aucun effet juridique à votre égard et vous pouvez vous y opposer ou retirer votre consentement à tout moment.
• Destinataires : Klaviyo, Inc. (États-Unis), en qualité de sous-traitant.
• Retrait du consentement : chaque e-mail contient un lien de désinscription en un clic ; vous pouvez également nous écrire. Le retrait du consentement n’a aucun effet sur les traitements déjà effectués.
• Conservation : les données d’inscription sont supprimées immédiatement après votre désinscription, à l’exception des enregistrements du consentement (inscription et confirmation), que nous conservons jusqu’à trois ans après celle-ci comme preuve d’un consentement valide.

Suivi sur le site avec Klaviyo

• Données : identifiant de profil pseudonyme (__kla_id), pages et produits consultés, événements liés au panier et — si vous avez souscrit à notre newsletter — association avec votre profil e-mail.
• Finalité : vous proposer des contenus pertinents par e-mail, tels que des rappels concernant les produits que vous avez consultés.
• Base légale : Art. 6(1)(a) GDPR / § 25(1) TDDDG. Le script n’est chargé qu’après votre acceptation des cookies.
• Conservation : jusqu’à 2 ans, ou jusqu’à ce que vous retiriez votre consentement ou demandiez la suppression de votre profil.

Meta Pixel (publicité Facebook / Instagram)

• Données : identifiant de cookie (_fbp), adresse IP, données du navigateur et de l’appareil, pages consultées, consultations de produits, événements d’ajout au panier et de début du processus de commande.
• Finalité : mesurer les performances de nos publicités, créer des audiences personnalisées et similaires, et vous présenter nos publicités sur les plateformes Meta (analyse comportementale à des fins publicitaires).
• Base légale : Art. 6(1)(a) GDPR / § 25(1) TDDDG. Le script du pixel n’est aucunement chargé tant que vous n’avez pas accepté les cookies.
• Destinataires : Meta Platforms Ireland Ltd. et Meta Platforms, Inc. (États-Unis). Pour la collecte et la transmission de ces données, nous agissons avec Meta en tant que responsables conjoints du traitement au sens de l’Art. 26 GDPR ; le traitement ultérieur effectué par Meta pour ses propres finalités relève de sa seule responsabilité.
• Conservation : jusqu’à 2 ans chez Meta, sauf suppression anticipée ; vous pouvez retirer votre consentement à tout moment via « Paramètres des cookies » dans le pied de page de notre site.

Google Ads et mesure des conversions

• Données : identifiants de cookies (_gcl_au, _gac_*, IDE), identifiant de clic provenant d’une publicité, adresse IP, données du navigateur, pages consultées et événements de conversion (consultation d’un produit, ajout au panier, début du processus de commande, achat).
• Finalité : mesurer quelles publicités génèrent des commandes et vous présenter à nouveau nos publicités (remarketing).
• Base légale : Art. 6(1)(a) GDPR / § 25(1) TDDDG. Nous utilisons Google Consent Mode v2 avec tous les paramètres de stockage définis sur 'denied' par défaut, et le script de la balise Google (googletagmanager.com) n’est demandé qu’après votre acceptation des cookies — avant cela, aucune connexion à Google n’est établie depuis ce site.
• Destinataires : Google Ireland Ltd. et Google LLC (États-Unis).
• Durée de conservation : les cookies publicitaires expirent après une durée comprise entre 15 minutes et 13 mois ; les données de conversion chez Google sont conservées pendant les durées définies dans les propres politiques de Google.

Mesure publicitaire OpenAI

• Données : une référence opaque de clic publicitaire (oppref) provenant d’un lien publicitaire OpenAI, conservée uniquement pendant votre session de navigation et transmise à notre interface de paiement Shopify sous la forme d’un attribut du panier et dans le lien de paiement ; en cas d’achat consécutif, le passage en caisse ainsi que le montant et la devise de l’achat ; et les informations de connexion du navigateur (telles que l’adresse IP et l’agent utilisateur) qu’OpenAI reçoit lors de l’envoi de l’événement. Nous ne transmettons ni votre nom ni votre adresse e-mail à OpenAI.
• Finalité : mesurer si nos publicités payantes sur OpenAI aboutissent à des achats.
• Base légale : votre consentement (Art. 6(1)(a) GDPR / § 25(1) TDDDG). Aucune donnée n’est stockée ni transmise avant que vous n’acceptiez les cookies dans le cadre de cette version de la notice ; une acceptation antérieure ne couvre pas OpenAI.
• Destinataire : OpenAI. Vous pouvez retirer votre consentement à tout moment via « Paramètres des cookies » dans notre pied de page ; la référence de session et les champs du panier qui lui sont associés sont alors supprimés.

Analyse de la boutique et suivi du passage en caisse Shopify

• Données : identifiants pseudonymes des visiteurs (_shopify_y, _shopify_s), page d’arrivée et référent, pages et produits consultés sur la boutique et le domaine de paiement, événements liés aux commandes.
• Finalité : comprendre l’utilisation de la boutique et du parcours de paiement, et mesurer les commandes finalisées.
• Base légale : Art. 6(1)(a) GDPR / § 25(1) TDDDG pour les cookies d’analyse ; les cookies strictement nécessaires au paiement et à la prévention de la fraude sont déposés sur le fondement de Art. 6(1)(b) GDPR et § 25(2) TDDDG.
• Destinataires : Shopify International Ltd. (Irlande), Shopify Inc. (Canada, couvert par une décision d’adéquation de l’UE).
• Durée de conservation : entre 30 minutes et 2 ans selon le cookie ; consultez notre Politique relative aux cookies pour accéder au tableau complet.

Expédition

• Données : nom, adresse de livraison et — pour les notifications de livraison — adresse e-mail et/ou numéro de téléphone.
• Finalité : livrer votre commande et vous fournir les informations de suivi.
• Base juridique : art. 6(1)(b) du RGPD.
• Destinataires : DHL Paket GmbH et, le cas échéant, d’autres transporteurs, agissant en qualité de responsables de traitement indépendants pour la livraison.
• Durée de conservation : avec les données de commande ; les documents d’expédition sont supprimés à l’expiration des délais légaux de conservation.

Transferts vers des pays tiers et modalités d’obtention des garanties

Certains de nos sous-traitants sont établis aux États-Unis ou y traitent des données (Klaviyo, Inc., Meta Platforms, Inc., Google LLC, Cloudflare, Inc. et l’infrastructure américaine de Lovable). Lorsqu’un prestataire est certifié au titre du cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework), les transferts reposent sur la décision d’adéquation de la Commission européenne (art. 45 du RGPD). Dans les autres cas, les transferts reposent sur les clauses contractuelles types de la Commission européenne (art. 46(2)(c) du RGPD), assorties de mesures techniques et organisationnelles supplémentaires, telles que le chiffrement des données en transit et au repos, la minimisation des données et une analyse d’impact du transfert. Shopify Inc. est établie au Canada, qui bénéficie d’une décision d’adéquation pour les organisations commerciales.

Vous pouvez obtenir gratuitement une copie des clauses contractuelles types ou une description des garanties en place pour tout prestataire spécifique en écrivant à natalie@matinataskincare.com avec pour objet « Garanties Art. 46 RGPD ». Nous vous répondrons dans un délai d'un mois.

Malgré ces garanties, il subsiste un risque résiduel que les autorités d’un pays tiers demandent l’accès aux données. Vous pouvez retirer à tout moment votre consentement pour l’ensemble des services américains non essentiels via « Paramètres des cookies » dans le pied de page.

Accords de traitement des données

Nous avons conclu des accords de traitement des données conformément à l’art. 28 du RGPD avec tous les sous-traitants mentionnés dans la présente politique, notamment Shopify, Klaviyo, Cloudflare et notre hébergeur. Nous tenons également un registre des activités de traitement conformément à l’art. 30 du RGPD, ainsi que des règles documentées de suppression et de conservation.

Les durées de conservation en bref

• Factures et données comptables : 10 ans (§ 147 AO, § 257 HGB).
• Données de commande et de livraison non soumises à une obligation de conservation : supprimées à l’expiration des délais de garantie et de retour.
• Journaux serveur et de sécurité : 30 jours maximum.
• Demandes : 6 mois après la clôture du dossier.
• Données de la newsletter : supprimées lors de la désinscription ; preuve du consentement conservée jusqu’à 3 ans après celle-ci.
• Cookies et technologies similaires : selon les indications du tableau de la Politique relative aux cookies (de la durée d’une session à 2 ans).

Prise de décision automatisée et profilage

Nous ne recourons pas à une prise de décision automatisée produisant des effets juridiques vous concernant au sens de l’art. 22 du RGPD. Les scores de risque de fraude sont uniquement indicatifs et font toujours l’objet d’un examen humain avant l’annulation d’une commande. Le profilage est effectué exclusivement à des fins marketing via Klaviyo, Meta et Google, comme décrit ci-dessus, et uniquement avec votre consentement.

La fourniture de données est-elle obligatoire ?

Vous n’êtes pas dans l’obligation de fournir des données à caractère personnel. Toutefois, nous ne pouvons pas traiter une commande sans les données nécessaires au contrat, à la livraison et à la facturation, ni vous envoyer la newsletter sans votre adresse e-mail et votre consentement.

Vos droits

Vous disposez d'un droit d'accès (Art. 15), de rectification (Art. 16), d'effacement (Art. 17), de limitation du traitement (Art. 18), de portabilité des données (Art. 20) et du droit de vous opposer au traitement fondé sur des intérêts légitimes (Art. 21). Lorsque le traitement est fondé sur le consentement, vous pouvez le retirer à tout moment avec effet pour l'avenir. Écrivez à natalie@matinataskincare.com — nous répondons aux demandes dans un délai d'un mois et ne facturons jamais de frais.

Vous avez également le droit d’introduire une réclamation auprès d’une autorité de contrôle. L’autorité dont nous relevons est : Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz, Allemagne.

Cookies

Les cookies et technologies comparables strictement nécessaires au fonctionnement de la boutique, du panier et du paiement sont utilisés sans consentement conformément au § 25(2) TDDDG. Tous les autres cookies et scripts — Meta, Google, Klaviyo et les outils d’analyse Shopify — ne sont chargés qu’après votre acceptation. Vous pouvez modifier ou retirer votre choix à tout moment via « Paramètres des cookies » en pied de page. Notre Politique relative aux cookies contient un tableau complet précisant, pour chaque cookie, son fournisseur, sa finalité, sa durée, son statut de cookie propriétaire ou tiers et sa base légale.