1. Qui est responsable
La société indiquée dans les informations sur le prestataire de cette page est responsable du traitement des données personnelles décrites dans cette politique. Seule exception : les données des clients de nos marchands, que nous traitons pour le compte du marchand (section 4).
Vous pouvez nous écrire au sujet de vos données à l’adresse e-mail indiquée dans les informations sur le prestataire.
2. Visiteurs de ce site
Cookies et mesure publicitaire uniquement avec votre accord. Les polices et les images sont servies depuis nos propres serveurs, et le site ne contient aucun contenu intégré de réseaux sociaux. Les outils de statistiques et de publicité (Google Analytics, Google Ads, Meta Pixel) ne se chargent que si vous les acceptez dans notre bandeau cookies. Ils collectent alors des données sur votre visite, comme les pages consultées, votre appareil et votre navigateur, votre adresse IP et un identifiant conservé dans un cookie, pour mesurer l’utilisation du site et l’efficacité de nos publicités. Notre base légale est votre consentement (article 6, paragraphe 1, point a) du RGPD), que vous pouvez retirer à tout moment via « Paramètres des cookies », en bas de chaque page. Google et Meta peuvent aussi utiliser ces données à leurs propres fins, selon leurs politiques de confidentialité. Notre politique relative aux cookies liste les cookies et ce que le site enregistre dans votre navigateur.
Journaux du serveur. Notre hébergeur enregistre des données techniques, comme votre adresse IP, votre navigateur et les pages demandées, pour afficher le site et le sécuriser. La base légale est notre intérêt légitime à exploiter un site sécurisé (article 6, paragraphe 1, point f) du RGPD). Les journaux sont conservés pendant une durée limitée, puis supprimés.
Statistiques. Si nous ajoutons des statistiques de fréquentation, elles fonctionneront sans cookies et de façon anonyme, et nous nommerons l’outil dans cette politique.
Messages. Lorsque vous nous écrivez par e-mail ou via le formulaire de contact, nous utilisons votre nom, votre adresse e-mail, votre société et votre message pour vous répondre. La base légale est l’exécution de mesures précontractuelles prises à votre demande (article 6, paragraphe 1, point b) du RGPD) ou notre intérêt légitime à vous répondre (point f). Nous conservons la correspondance aussi longtemps que nécessaire pour traiter votre demande et ses suites éventuelles.
Accès anticipé. Lorsque vous vous inscrivez à l’accès anticipé, nous conservons votre nom, votre adresse e-mail, votre société, le site de votre boutique et la façon dont vous souhaitez vendre, avec l’accord donné et sa date, et nous vous envoyons par e-mail un lien pour confirmer votre adresse. La base légale est votre consentement (article 6, paragraphe 1, point a) du RGPD). Nous utilisons ces données uniquement pour vous informer de l’accès anticipé et du lancement ; vous pouvez retirer votre accord à tout moment en nous écrivant, et nous supprimons alors vos données.
3. Les marchands et leurs équipes
Lorsque votre entreprise utilise Gravilo, nous traitons :
- les données du compte : nom, adresse e-mail, mot de passe (conservé uniquement sous forme de hachage) et rôle ;
- les données de la société : raison sociale, adresse, numéros d’immatriculation et de TVA ;
- les données de facturation : recharges, commandes, factures et historique du solde. Les paiements par carte sont traités par Stripe ; nous ne voyons jamais le numéro de carte complet ;
- les données d’utilisation : actions dans votre compte, requêtes API et journal des modifications, pour exploiter et sécuriser le service ;
- les messages que vous nous envoyez.
Nous utilisons ces données pour vous fournir le service dans le cadre de notre contrat (article 6, paragraphe 1, point b) du RGPD), pour remplir nos obligations comptables et fiscales (point c), et pour sécuriser le service et prévenir la fraude (point f). Nous vous envoyons des e-mails concernant votre compte et vos commandes. Nous ne vous envoyons pas de prospection commerciale sans votre consentement.
Nous conservons ces données tant que votre compte est ouvert. Après sa fermeture, nous les supprimons, à l’exception de ce que la législation comptable et fiscale nous oblige à conserver, pendant la durée qu’elle fixe.
4. Les données de vos clients
Lorsqu’un client commande un produit Gravilo dans votre boutique, nous recevons son nom, son adresse de livraison, son numéro de téléphone et son e-mail, ainsi que les photos et textes de sa personnalisation.
Nous traitons ces données pour votre compte, uniquement pour fabriquer, expédier et assurer le suivi de la commande. Vous êtes le responsable du traitement et nous sommes le sous-traitant, selon les clauses relatives au traitement des données de nos conditions générales. Nous n’utilisons jamais ces données pour contacter vos clients ni à des fins de prospection. Quatre-vingt-dix jours après la livraison, ou après l’annulation pour une commande annulée, nous retirons de la commande leurs données personnelles ainsi que les photos et textes de leur personnalisation. Cette période couvre les réclamations et les retours.
Vos clients doivent s’adresser à votre boutique pour exercer leurs droits, et nous vous aidons à leur répondre.
5. Avec qui nous partageons les données
Nous partageons des données personnelles uniquement avec les prestataires qui nous aident à exploiter le service, dans le cadre de contrats qui les protègent :
- hébergement et stockage : DigitalOcean, dans son centre de données de Francfort ;
- paiements : Stripe ;
- facturation : SmartBill ;
- envoi des e-mails : Brevo (Sendinblue SAS, France), qui stocke les données dans l’UE ;
- livraison : Packeta (PACKETA ROMANIA S.R.L., Roumanie), qui livre chaque colis elle-même ou par un transporteur partenaire, et, pour certains colis, la plateforme de messagerie Woot (Roumanie) avec ses transporteurs ; ils reçoivent les données de livraison du colis ;
- statistiques et publicité, uniquement avec votre accord : Google (Google Ireland Limited) et Meta (Meta Platforms Ireland Limited) ;
- Shopify, lorsque vous utilisez l’application Gravilo pour Shopify.
Nous communiquons aussi des données aux autorités lorsque la loi l’exige.
6. Transferts hors de l’UE
Nous stockons les données dans l’Union européenne. Certains de nos prestataires appartiennent à des groupes établis hors de l’Espace économique européen. Lorsque des données peuvent être consultées depuis l’extérieur de l’EEE, le transfert est encadré par le cadre de protection des données UE–États-Unis ou par les clauses contractuelles types de la Commission européenne.
7. Sécurité
Les données sont chiffrées en transit. L’accès est limité aux personnes qui en ont besoin, et les comptes du personnel exigent une authentification à deux facteurs. Les secrets, comme les jetons d’accès, sont chiffrés au repos, et les clés API sont conservées uniquement sous forme de hachage.
8. Vos droits
Vous avez le droit d’accéder à vos données personnelles, de les faire rectifier ou effacer, d’en limiter le traitement ou de vous y opposer, et de les recevoir dans un format portable. Lorsque nous nous fondons sur votre consentement, vous pouvez le retirer à tout moment.
Pour exercer vos droits, écrivez-nous à l’adresse e-mail indiquée dans les informations sur le prestataire. Vous pouvez aussi introduire une réclamation auprès de l’autorité roumaine de protection des données (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, www.dataprotection.ro) ou de l’autorité de votre pays.
9. Modifications
Nous mettons à jour cette politique lorsque nos pratiques changent et indiquons en haut de page la date de la dernière modification. Nous informons les marchands des modifications importantes avant leur entrée en vigueur.