Politique de confidentialité

La présente politique décrit la manière dont EARL LA CATALANE, qui exploite la boutique Ferme des Plantes d'Oc(ci-après « le Responsable de traitement »), collecte, utilise et protège les données à caractère personnel des utilisateurs du site fermedesplantesdoc.fr, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et à la loi Informatique et Libertés modifiée.

1. Responsable de traitement

Raison sociale

EARL LA CATALANE (EARL), RCS Castres 901 019 786

Adresse

1236 route de la Calmilhe, 81200 Mazamet

Contact

contact@fermedesplantesdoc.fr

Aucun délégué à la protection des données (DPO) n'a été désigné, la désignation n'étant pas obligatoire au regard de l'activité et de la taille du Responsable de traitement (article 37 RGPD).

2. Données collectées

Création de compte & profil

• Adresse email (identifiant de connexion)
• Mot de passe (haché, jamais stocké en clair, géré par Supabase Auth)
• Prénom, nom, téléphone (optionnels, renseignés par l'utilisateur)
• Préférence de réception des communications commerciales

Adresses de livraison & facturation

• Nom, prénom du destinataire
• Adresse postale (rue, ville, code postal, pays)

Commandes

• Détail des produits commandés, quantités, prix, factures
• Adresses de livraison et de facturation au moment de la commande
• Email de contact (commande sans compte)
• Note éventuellement laissée à la commande
• Pour une commande récurrente : un identifiant client Stripe et la référence du moyen de paiement enregistré chez Stripe (les données de carte elles-mêmes restent chez Stripe)
• Aucune donnée de carte bancaire n'est collectée ni stockée par le Responsable de traitement : le paiement est traité directement par Stripe.

Cartes cadeaux

• Email de l'acheteur, code, montant, solde et utilisations de la carte

Rétractations

• Pour une rétractation faite en ligne : nom et prénom, adresse email de l'accusé de réception, articles concernés, motif si vous en indiquez un (facultatif), date et heure de la déclaration

Newsletter

• Adresse email seule, dissociée du compte client.

Échanges par email

• Le site ne comporte pas de formulaire de contact : les messages que vous nous adressez par email contiennent les données que vous choisissez d'y mettre.

Données techniques

• Cookies et stockage local strictement nécessaires (panier, session de connexion, sécurité du paiement) : voir la politique cookies.
• Mesure d'audience sans cookie (Vercel Web Analytics) : page consultée, site de provenance, pays, région et ville déduits de la connexion, système, navigateur et type d'appareil. Les visites sont comptées au moyen d'une empreinte calculée à partir de la requête et renouvelée chaque jour ; aucune donnée n'est enregistrée sur votre terminal.
• Adresse IP : utilisée en mémoire, sans être enregistrée par nous, pour limiter les tentatives abusives (codes promo, cartes cadeaux, commandes, rétractations). Nos hébergeurs peuvent la consigner dans leurs journaux techniques.

3. Finalités & bases légales

• Gestion du compte client : exécution du contrat (art. 6.1.b RGPD).
• Traitement des commandes, livraison, commandes récurrentes, cartes cadeaux : exécution du contrat (art. 6.1.b).
• Facturation & comptabilité, rétractations, garanties légales : obligation légale (art. 6.1.c).
• Service client : exécution du contrat / intérêt légitime (art. 6.1.f).
• Relance d'un panier abandonné (clients connectés, deux emails au plus) : intérêt légitime (art. 6.1.f), avec possibilité de s'y opposer depuis le profil du compte.
• Newsletter : consentement préalable (art. 6.1.a), révocable à tout moment.
• Mesure d'audience anonyme et sécurité du site (limitation des abus) : intérêt légitime (art. 6.1.f).
• Lutte contre la fraude au paiement : intérêt légitime (art. 6.1.f), par Stripe.

4. Destinataires et sous-traitants

Les données sont destinées au Responsable de traitement et, dans la stricte mesure nécessaire, aux prestataires suivants :

• Supabase Pte. Ltd. (65 Chulia Street #38-02/03, OCBC Centre, Singapour 049513) : base de données, authentification et stockage des fichiers. Les données du site sont hébergées dans la région AWS de Paris (eu-west-3).
• Vercel Inc. (440 N Barranca Avenue #4133, Covina, CA 91723, États-Unis) : hébergement de l'application web, fonctions exécutées à Paris ; réseau de diffusion mondial ; mesure d'audience sans cookie (Vercel Web Analytics).
• Stripe Payments Europe, Limited (One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlande) : traitement des paiements et enregistrement du moyen de paiement des commandes récurrentes. Pour la lutte contre la fraude et ses obligations réglementaires, Stripe agit aussi pour son propre compte : voir sa politique de confidentialité.
• Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, États-Unis) : envoi des emails transactionnels (confirmations de commande, suivi, rétractation, relances).
• La Poste / Colissimo et Mondial Relay : nom et adresse de livraison, pour l'acheminement du colis.

5. Transferts hors Union européenne

Certains prestataires sont établis ou traitent des données hors de l'Union européenne. Ces transferts sont encadrés comme suit :

• Supabase (Singapour ; support et sous-traitants aux États-Unis) : Clauses Contractuelles Types de la Commission européenne (décision 2021/914), incluses dans son accord de traitement des données. Les données du site restent hébergées à Paris.
• Vercel (États-Unis) : certification au Data Privacy Framework UE-États-Unis (décision d'adéquation du 10 juillet 2023) et Clauses Contractuelles Types.
• Stripe : la société du groupe établie aux États-Unis (Stripe, LLC) est certifiée au Data Privacy Framework ; Clauses Contractuelles Types dans l'accord de traitement.
• Resend (États-Unis) : certification au Data Privacy Framework et Clauses Contractuelles Types. Les emails partent d'Irlande, mais les journaux et métadonnées d'envoi sont conservés aux États-Unis.

6. Durées de conservation

• Compte client : jusqu'à sa suppression, que vous pouvez demander ou effectuer à tout moment depuis votre espace client (rubrique « Sécurité & données »). Les commandes passées restent conservées pour la durée légale ci-dessous.
• Commandes, factures, avoirs, rétractations : 10 ans à compter de la clôture de l'exercice comptable (article L.123-22 du Code de commerce).
• Commandes non payées : supprimées 30 jours après leur création.
• Panier d'un visiteur non connecté : supprimé 30 jours après sa dernière modification. Le panier d'un client connecté est conservé tant que le compte existe.
• Relances de panier abandonné : deux emails au plus, le lendemain puis trois jours après la dernière modification du panier ; le lien de reprise expire au bout de 7 jours.
• Cartes cadeaux : validité de 2 ans ; les opérations sont conservées avec les pièces comptables (10 ans).
• Moyen de paiement d'une commande récurrente : conservé par Stripe tant que la commande récurrente existe.
• Newsletter : jusqu'à désinscription ou suppression du compte.
• Échanges par email : le temps de traiter la demande, puis 3 ans au plus après le dernier échange.
• Mesure d'audience : empreinte de visite renouvelée chaque jour ; statistiques agrégées conservées selon les durées de Vercel.
• Cookies : voir la politique cookies.

7. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir copie des données vous concernant (un export est aussi disponible depuis votre espace client).
• Droit de rectification : modifier les données inexactes (directement depuis votre compte ou par demande écrite).
• Droit à l'effacement : demander la suppression de votre compte, sous réserve des obligations légales de conservation (factures notamment).
• Droit à la limitation du traitement.
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition : notamment au traitement à des fins de prospection.
• Droit de retirer votre consentement à tout moment (newsletter).
• Directives post mortem : définir le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Pour exercer ces droits, écrivez à contact@fermedesplantesdoc.fr ou à EARL LA CATALANE, 1236 route de la Calmilhe, 81200 Mazamet. Une réponse vous sera adressée dans un délai d'un mois. Un justificatif d'identité ne vous sera demandé qu'en cas de doute raisonnable sur votre identité.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, 75007 Paris, www.cnil.fr.

8. Sécurité

Le Responsable de traitement met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données : chiffrement TLS pour toutes les communications, mots de passe hachés (Supabase Auth), contrôles d'accès stricts au niveau de la base de données (Row-Level Security), sauvegardes régulières de la base.

9. Cookies

L'usage des cookies fait l'objet d'une politique dédiée : consulter la politique cookies.

10. Modifications

La présente politique peut être mise à jour à tout moment. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle, les utilisateurs concernés en seront informés par email.