Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est l’entreprise Global Services (marque commerciale MACALYA), SIRET 793 242 363 00026, dont le siège est situé 1 rue Mignot, 24000 Périgueux, France.

Pour toute question relative à vos données personnelles, écrivez-nous à pagnierjulien24750@gmail.com ou par courrier à l’adresse ci-dessus.

2. Les données que nous traitons

Nous ne collectons que les données nécessaires, directement auprès de vous :

Données bancaires. Le paiement s’effectue sur la page sécurisée de Stripe. Vos données de carte sont saisies et traitées uniquement par Stripe, prestataire certifié PCI-DSS : MACALYA n’y a jamais accès et ne les conserve pas.

Panier et préférences. Le contenu de votre panier et vos choix en matière de cookies sont enregistrés uniquement dans le stockage local de votre navigateur (localStorage). Ils ne nous sont pas transmis, à l’exception du contenu du panier au moment où vous passez commande : notre serveur recalcule alors les prix, enregistre la commande et crée votre page de paiement chez Stripe.

Compte client facultatif. Vous pouvez commander sans créer de compte. Si vous en créez un (sans mot de passe : vous vous connectez grâce à un lien ou à un code à 6 chiffres envoyé par e-mail), vous pouvez à tout moment, depuis l’espace Mon compte, suivre vos commandes, télécharger une copie de vos données (fichier au format JSON) et supprimer vous-même votre compte. Lorsque vous êtes connecté, un jeton de session est enregistré dans le stockage local de votre navigateur : il sert uniquement à vous maintenir connecté et n’est utilisé à aucune fin de suivi.

E-mails de suivi de commande. La confirmation de commande et les e-mails qui vous informent de son avancement (préparation, expédition avec numéro de suivi, retrait, livraison, annulation ou remboursement), ainsi que les e-mails liés à votre compte, sont nécessaires à l’exécution du contrat : ce ne sont pas des messages commerciaux, et il n’est pas possible de s’en désabonner tant qu’une commande est en cours. La newsletter est un service distinct, soumis à votre consentement.

Les informations obligatoires des formulaires sont signalées : sans elles, nous ne pourrions pas traiter votre demande ou votre commande.

3. Destinataires de vos données

Vos données sont destinées à Global Services (MACALYA) : au sein de l’entreprise, seul le gérant, administrateur de la boutique, a accès aux commandes. Elles ne sont jamais vendues ni louées. Dans la stricte limite de ce qui est nécessaire, elles peuvent être transmises aux prestataires suivants :

• Netlify, Inc. (États-Unis) : hébergement des pages du site et réception des formulaires de contact et d’inscription à la newsletter (Netlify Forms, y compris le filtrage anti-spam) ;
• Supabase Inc. (États-Unis ; base de données hébergée dans l’Union européenne, en Irlande, sur l’infrastructure AWS eu-west-1) : base de données de la boutique (commandes et comptes clients), authentification et fonctions serveur ;
• Stripe (Stripe Payments Europe Ltd., établie en Irlande, et sa maison mère Stripe, Inc., aux États-Unis) : paiement en ligne (Stripe Checkout), confirmation de paiement par e-mail et prévention de la fraude ;
• Brevo (Sendinblue SAS, France) : envoi des e-mails transactionnels (confirmation et suivi de commande, codes de connexion au compte client) ;
• le transporteur chargé de votre colis (actuellement La Poste – Colissimo suivi) : nom, adresse, téléphone et e-mail, pour la livraison et le suivi ;
• Google (messagerie Gmail) : réception et traitement des e-mails et des notifications de formulaires que nous recevons ;
• WhatsApp Ireland Limited (groupe Meta), uniquement si vous choisissez de nous écrire via WhatsApp ;
• le cas échéant, l’outil d’e-mailing utilisé pour l’envoi de la newsletter, en qualité de sous-traitant ;
• Quicklify.net, prestataire chargé de la conception et de la maintenance technique du site, uniquement lorsque c’est nécessaire à ses interventions ;
• les autorités administratives ou judiciaires, lorsque la loi l’exige.

Stripe (pour ses propres obligations de prévention de la fraude et de conformité) et Meta (pour le service WhatsApp) agissent également en tant que responsables de leurs propres traitements, conformément à leurs politiques de confidentialité.

4. Transferts hors de l’Union européenne

La base de données de la boutique (commandes et comptes clients) est hébergée dans l’Union européenne, sur des serveurs situés en Irlande. Certains de nos prestataires (notamment Netlify, Supabase, Stripe, Google et Meta) sont toutefois des sociétés américaines ou appartiennent à des groupes américains : vos données peuvent donc être transférées vers les États-Unis ou y être consultées. Les e-mails transactionnels sont, eux, envoyés par Brevo, prestataire établi en France. Ces transferts sont encadrés par les garanties prévues par le RGPD : adhésion de ces sociétés au cadre de protection des données UE–États-Unis (Data Privacy Framework), reconnu adéquat par la Commission européenne le 10 juillet 2023, et/ou clauses contractuelles types adoptées par la Commission européenne. Vous pouvez obtenir des informations sur ces garanties en nous écrivant.

5. Durées de conservation

À l’issue de ces durées, les données sont supprimées ou anonymisées.

6. Sécurité

Nous faisons appel à des prestataires reconnus et mettons en œuvre des mesures techniques et organisationnelles adaptées pour protéger vos données :

• chiffrement des échanges : le site et la boutique sont intégralement servis en HTTPS (connexion chiffrée TLS) ;
• cloisonnement des données : un contrôle d’accès appliqué ligne par ligne dans la base de données garantit que chaque client ne peut consulter que ses propres commandes ;
• accès à l’administration : seul le gérant de la boutique peut accéder aux commandes, avec une connexion par code envoyé par e-mail et une double authentification obligatoire (code temporaire généré par une application dédiée) ; les accès sont journalisés chez le prestataire ;
• clés secrètes protégées : les clés d’accès aux services (API) sont conservées uniquement côté serveur et ne sont jamais exposées dans votre navigateur ;
• intégrité des commandes : les prix sont recalculés par notre serveur à partir du catalogue, et les notifications de paiement envoyées par Stripe sont authentifiées par la vérification de leur signature ;
• connexion sans mot de passe : l’accès au compte client se fait par un lien ou un code à 6 chiffres envoyé par e-mail, valable 1 heure et à usage unique ; aucun mot de passe n’est stocké.

7. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Droit d’accès : savoir si nous détenons des données vous concernant et en obtenir une copie ;
• Droit de rectification : faire corriger des données inexactes ou incomplètes ;
• Droit à l’effacement : demander la suppression de vos données, sauf lorsque nous devons les conserver pour respecter une obligation légale (factures, par exemple) ;
• Droit à la limitation : demander le gel temporaire de l’utilisation de vos données ;
• Droit d’opposition : vous opposer à un traitement fondé sur notre intérêt légitime et, à tout moment, à la prospection commerciale ;
• Droit à la portabilité : recevoir les données que vous nous avez fournies dans un format structuré et couramment utilisé, ou les faire transmettre à un autre organisme ;
• Retrait du consentement à tout moment (newsletter, cookies), sans remettre en cause les traitements déjà effectués ;
• Directives post-mortem : définir le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Comment exercer vos droits ?

Écrivez-nous à pagnierjulien24750@gmail.com ou par courrier à Global Services – MACALYA, 1 rue Mignot, 24000 Périgueux, France. Nous vous répondrons dans un délai d’un mois, qui peut être prolongé de deux mois si la demande est complexe ; nous vous en informerons alors. En cas de doute raisonnable sur votre identité, nous pourrons vous demander un justificatif.

Si vous avez un compte client, vous pouvez aussi, directement depuis l’espace Mon compte, télécharger une copie de vos données (fichier au format JSON) et supprimer votre compte. Les commandes et factures que nous devons conserver au titre de nos obligations légales sont alors détachées de votre compte.

Pour vous désinscrire de la newsletter, il vous suffit de cliquer sur le lien de désinscription présent dans chaque envoi, ou de nous écrire. Les e-mails liés à vos commandes et à votre compte, nécessaires au service, ne sont pas concernés.

Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr.

Démarchage téléphonique

MACALYA n’utilise votre numéro de téléphone que pour le suivi de vos demandes et de vos commandes. Vous pouvez par ailleurs vous inscrire gratuitement sur la liste d’opposition au démarchage téléphonique Bloctel : www.bloctel.gouv.fr.

8. Cookies et autres traceurs

Un traceur est un cookie ou toute autre technique (comme le stockage local du navigateur) permettant d’enregistrer ou de lire des informations sur votre appareil. MACALYA n’utilise aucun cookie publicitaire ni aucun traceur de profilage.

Les traceurs utilisés sur le site

Mesure d’audience

À la date de mise à jour de cette politique, aucun outil de mesure d’audience n’est installé sur le site. La catégorie « Mesure d’audience » du bandeau est désactivée par défaut : si un tel outil devait être mis en place, il ne serait activé qu’avec votre accord, et cette politique serait mise à jour pour en préciser le nom, les finalités et la durée de conservation.

Contenus tiers

Sur la page Contact, le plan d’accès est fourni par OpenStreetMap. Il ne s’affiche qu’après votre accord pour la catégorie « Contenus tiers » ; à défaut, aucune connexion n’est établie avec ce service. Une fois la carte affichée, la Fondation OpenStreetMap (Royaume-Uni) reçoit votre adresse IP, conformément à sa propre politique de confidentialité.

Les photographies d’ambiance sont chargées depuis le serveur d’images d’Unsplash : comme pour tout contenu chargé depuis un autre site, votre adresse IP lui est techniquement transmise à cette occasion.

Liens vers des services externes

Le bouton WhatsApp et les liens vers Google Maps et les avis Google sont de simples liens : aucun contenu de ces services n’est chargé et aucun traceur n’est déposé tant que vous ne cliquez pas. En cliquant, vous quittez le site MACALYA et êtes soumis aux conditions et à la politique de confidentialité de Meta (WhatsApp) ou de Google. La page de paiement hébergée par Stripe utilise, elle aussi, ses propres cookies, nécessaires à la sécurité du paiement et à la prévention de la fraude.

Gérer vos choix

Lors de votre première visite, un bandeau vous permet d’accepter ou de refuser les traceurs soumis à consentement, ou de choisir catégorie par catégorie. Votre choix est conservé 6 mois, puis vous est à nouveau demandé. Vous pouvez le modifier à tout moment grâce au lien « Gérer les cookies » situé en bas de chaque page.

Vous pouvez aussi effacer les données enregistrées par le site depuis les réglages de votre navigateur (rubrique « Cookies et données de sites ») ; votre panier sera alors vidé et vous serez déconnecté de votre compte.

9. Mineurs

Le site s’adresse aux adultes. Une personne de moins de 15 ans ne peut s’inscrire à la newsletter qu’avec l’accord de l’un de ses parents ; la création d’un compte client et les commandes sont réservées aux personnes majeures ou aux mineurs autorisés par leur représentant légal.

10. Évolution de cette politique

Nous pouvons faire évoluer cette politique, notamment en cas de nouveau service ou d’évolution de la réglementation. La date de dernière mise à jour est indiquée sur cette page. Les ventes sont par ailleurs régies par nos conditions générales de vente.