Politique de confidentialité
Règlement (UE) 2016/679 (RGPD) et LO 3/2018 (LOPDGDD)
Responsable du traitement
- Titulaire : Chantell Adelina Gebauer Larrosa
- NIF : 60183993P
- Domicile : C/ Alcalde Antonio Pariente Cuesta, 11B, 3G, 28342, Valdemoro, Madrid, España.
- Contact en matière de protection des données : contacto@universopumpkin.es
- Délégué à la protection des données : non applicable. Cette activité ne relève d'aucun des cas qui obligent à en désigner un.
Quelles données sont collectées
Celles nécessaires à chacune des finalités expliquées dans la section suivante, et aucune autre.
| Quand | Quelles données |
|---|---|
| Lors de l'achat | Nom et prénoms, adresse électronique, adresse de livraison et, si une facture d'entreprise est demandée, le NIF et le domicile fiscal. Un numéro de téléphone de contact, afin que le transporteur puisse vous avertir de la livraison. Si vous choisissez la livraison dans un point de retrait, lequel |
| Lors de la création d'un compte | Adresse électronique et mot de passe (chiffré, jamais visible), ainsi que les adresses que vous enregistrez |
| Si vous marquez des pièces comme favorites (avec un compte) | Les pièces que vous avez marquées d’un cœur, et quand. Les autres voient seulement combien de personnes ont chaque pièce en favori, jamais qui |
| Lors de la connexion avec Apple ou avec Google | Ce qu'Apple ou Google nous fournissent avec votre autorisation : votre adresse électronique et, si vous le donnez, votre nom. Avec Apple, vous pouvez masquer votre adresse électronique réelle ; dans ce cas, nous recevons une adresse de réacheminement d'Apple. Si vous vous connectez avec Apple, nous conservons sous forme chiffrée l'autorisation qu'Apple nous accorde, uniquement afin de pouvoir la retirer lorsque vous supprimez le compte |
| Lors du paiement | Aucun numéro de carte. Les données de la carte sont saisies directement par vous dans la passerelle de paiement de la banque ou dans PayPal ; ici, on enregistre seulement si l'encaissement a réussi, le montant et un code de référence |
| Si vous cochez « Retenir cette carte pour la prochaine fois » | La marque de la carte (Visa, Mastercard…), ses 4 derniers chiffres, la date d'expiration et une référence que la banque nous fournit et qui ne sert qu'à encaisser dans cette boutique. Jamais le numéro complet ni le code de sécurité (CVV) : ceux-ci ne sont détenus que par la banque |
| Si vous utilisez nos applications et autorisez les notifications | Un identifiant du téléphone pour lui envoyer des notifications, la langue de l'application et si vous acceptez les notifications de nouveautés |
| Lors de l'ouverture d'un retour | Le motif que vous rédigez, les photos que vous ajoutez pour montrer le problème et les conversations associées |
| Lorsque vous nous écrivez depuis le formulaire de contact | Votre nom, votre adresse électronique, le motif, le numéro de commande si vous l'indiquez et le message |
| Lors de la navigation | La langue choisie et le contenu du panier, dans des cookies techniques de votre navigateur. En outre, le serveur consigne dans ses journaux techniques l'adresse IP, la page demandée, le navigateur et l'heure de chaque visite |
| Lors de l'acceptation des conditions, de l'inscription aux nouveautés ou de la désinscription | Ce que vous avez accepté ou retiré, quand, depuis où (le site web, l'application, le paiement…), la version du texte qui vous a été présentée et l'adresse IP depuis laquelle cela a été fait |
À quelles fins et sur quelle base légale
Les communications commerciales — nouveautés et offres, par courrier électronique et dans les notifications de nos applications — ne sont envoyées qu'à ceux qui cochent cette case, qui est distincte des conditions et n'est jamais cochée par défaut. Ne pas la cocher n'empêche pas d'acheter ni d'avoir un compte.
Chacun de ces courriels comporte un lien permettant de se désabonner en un clic, sans mot de passe et sans nous écrire. Il est également possible de le modifier depuis « Mon compte » ou en le demandant par courriel. La désinscription est immédiate, vaut pour le courriel comme pour les notifications sur le mobile, et elle est conservée, précisément afin de ne plus vous écrire.
Les notifications sur le mobile, en outre, n'apparaissent que si votre téléphone vous a demandé l'autorisation et que vous l'avez donnée. Vous pouvez les retirer à tout moment depuis les réglages du téléphone, sans vous désabonner du courriel.
Les courriels et notifications relatifs à la commande — la confirmation, l'expédition, la facture ou un retour — ne sont pas commerciaux : ils font partie de l'achat et sont envoyés même si vous ne souhaitez pas les autres.
Aucune décision automatisée n'est prise et aucun profilage n'est réalisé.
| Finalité | Base légale | Conservation |
|---|---|---|
| Traiter la commande, l'encaisser et l'expédier | Exécution du contrat (art. 6.1.b RGPD (GDPR)) | Pendant toute la durée de la relation |
| Émettre et conserver les factures | Obligation légale (art. 6.1.c) | 4 ans au titre de la prescription fiscale ; 6 ans au titre du Code de commerce (Código de Comercio) |
| Traiter les retours et les garanties | Exécution du contrat et obligation légale | Jusqu'à la prescription des actions |
| Gérer votre compte si vous le créez | Exécution du contrat | Jusqu'à ce que vous le supprimiez |
| Enregistrer vos favoris et indiquer, sans dire qui, combien de personnes ont chaque pièce | Exécution du contrat : c’est une fonction de votre compte que vous utilisez si vous le souhaitez (art. 6.1.b RGPD (GDPR)) | Jusqu’à ce que vous retiriez la pièce de vos favoris ou supprimiez votre compte |
| Retenir votre carte pour payer plus rapidement, si vous le demandez | Votre consentement, en cochant « Retenir cette carte pour la prochaine fois » lors du paiement (art. 6.1.a RGPD (GDPR)) | Jusqu'à ce que vous la retiriez depuis « Moyens de paiement », dans votre compte, ou que vous supprimiez le compte |
| Vous informer sur le mobile de l'état de votre commande (payée, expédiée, livrée) | Exécution du contrat (art. 6.1.b). Par ailleurs, le téléphone demande sa propre autorisation pour afficher les notifications : il s'agit d'un réglage technique du système, et non de la base légale du traitement | Jusqu'à ce que vous retiriez l'autorisation sur le téléphone, fermiez la session ou supprimiez le compte |
| Savoir comment le site est utilisé — quelles pages sont visitées, ce sur quoi on clique, à quelle étape de l'achat on abandonne — afin de l'améliorer | Votre consentement, en cliquant sur « Accepter » dans le bandeau de statistiques (art. 6.1.a RGPD (GDPR) et art. 22.2 LSSI). Si vous n'acceptez pas, rien n'est mesuré. Vous pouvez le retirer à tout moment depuis « Préférences de statistiques », au pied de chaque page, et ce retrait n'affecte pas ce qui a été mesuré auparavant. Les données sont pseudonymisées : elles ne sont associées ni à votre nom, ni à votre courriel, ni à votre compte | Un an à compter de chaque visite : c'est la durée de conservation de PostHog dans le forfait que nous utilisons (le gratuit), au terme de laquelle il les supprime |
| Répondre à ce que vous nous demandez via le formulaire de contact ou par courriel | S'il s'agit d'une commande ou d'un achat que vous souhaitez effectuer, exécution du contrat ou mesures précontractuelles (art. 6.1.b) ; pour le reste, intérêt légitime à répondre à la personne qui nous écrit (art. 6.1.f) | Un an à compter de la résolution de la demande ; une durée plus longue uniquement en cas de réclamation ouverte, jusqu'à sa clôture |
| Prévenir la fraude lors des encaissements | Intérêt légitime (art. 6.1.f) | Le strict nécessaire pour la détecter |
| Pouvoir prouver ce que vous avez accepté et à quel moment | Obligation légale de pouvoir prouver le consentement (art. 7.1 RGPD) et intérêt légitime à nous défendre contre une réclamation (art. 6.1.f) | Tant qu'il est en vigueur et, ensuite, 3 ans, qui est le délai de prescription des infractions les plus graves (art. 72.2 LOPDGDD et art. 45 LSSI). Passé ce délai, elles sont supprimées ; d'une désinscription, seul votre courriel est conservé, sans l'adresse IP, afin de ne plus vous écrire |
| Maintenir le site sécurisé et détecter les défaillances ou les abus, à l'aide des journaux techniques du serveur | Intérêt légitime à la sécurité du service (art. 6.1.f) | 30 jours ; ensuite, ils sont supprimés automatiquement |
| Vous envoyer les nouveautés et les offres de la boutique, par courriel et dans les notifications du mobile, si vous le demandez | Votre consentement (art. 6.1.a RGPD et art. 21 LSSI), dans une case distincte que vous pouvez laisser décochée | Jusqu'à votre désinscription ; la désinscription est conservée afin de ne plus vous écrire |
Qui d'autre voit vos données
Uniquement les prestataires dont nous avons besoin pour fournir le service. Chacun traite les données dans le seul but de fournir le sien :
- Supabase — base de données et système de comptes. Les données sont hébergées dans l'Union européenne.
- Redsys — passerelle de paiement par carte, Bizum et Apple/Google Pay. Entreprise espagnole.
- PayPal (Europe) S.à r.l. et Cie, S.C.A. — paiement par PayPal, si vous le choisissez. Agit en tant que responsable indépendant des données de paiement que vous lui fournissez directement.
- Sendcloud (Sendcloud B.V., Pays-Bas) — plateforme avec laquelle les expéditions sont gérées, en tant que sous-traitant (encargado del tratamiento) ; elle conserve les données dans l'Union européenne. Par son intermédiaire, le transporteur que vous choisissez lors de l'achat reçoit ce qui est nécessaire pour vous livrer la commande : nom, adresse ou point de retrait, courriel et téléphone. Correos et Correos Express les traitent pour notre compte et uniquement pour la livraison ; InPost (InPost Spain, S.L.U.) les traite en tant que responsable de son propre service de livraison en Point Pack et Locker, conformément à sa politique de confidentialité.
- PostHog Inc. — statistiques d'utilisation du site, sur son cloud européen (Francfort, Allemagne), uniquement si vous les acceptez. Reçoit quelles pages sont consultées et ce sur quoi on clique, l'adresse IP, le navigateur, le système d'exploitation, la langue et la taille de l'écran, avec lesquels il calcule sur ses serveurs un identifiant pseudonyme qui change chaque jour. Ne reçoit ni votre nom, ni votre courriel, ni ce que vous saisissez dans les formulaires, et dans le compte, le paiement et les commandes, il n'enregistre pas les clics.
- Amazon Web Services EMEA SARL — hébergement du site web, sauvegardes et envoi des courriels de commande, de retour et, si vous les demandez, de nouveautés (Amazon SES). Les serveurs, les sauvegardes et l'envoi des courriels se trouvent à Paris (France, Union européenne). Les courriels ne contiennent rien qui signale si vous les ouvrez, ni de liens qui enregistrent si vous cliquez dessus.
- Apple (Apple Distribution International Ltd., Irlande) et Google (Google Ireland Ltd.) — distribuent nos applications dans leurs boutiques, délivrent les notifications au téléphone (nous leur envoyons l'identifiant du téléphone et le texte de chaque notification, rien de plus) et, si vous choisissez de vous connecter avec eux, confirment votre identité. Pour ce que vous faites dans leurs boutiques et dans votre compte Apple ou Google, ils sont régis par leurs propres politiques de confidentialité.
Transferts hors de l'Union européenne
Si vous choisissez de payer avec PayPal. PayPal (Europe) S.à r.l. et Cie, S.C.A. traite ces données en tant que responsable indépendant, conformément à sa propre politique de confidentialité, et le groupe PayPal transfère des données hors de l'Espace économique européen en s'appuyant sur les clauses contractuelles types approuvées par la Commission européenne. Ce transfert a lieu dès le moment où vous choisissez ce moyen de paiement ; si vous préférez l'éviter, tout autre moyen de paiement reste au sein de l'Union européenne.
Si vous utilisez nos applications et autorisez les notifications. Elles sont délivrées par Apple (sur l'iPhone) et Google (sur Android), qui reçoivent l'identifiant du téléphone et le texte de chaque notification. Leurs services de notification peuvent traiter ces données aux États-Unis. Apple couvre ces transferts par les clauses contractuelles types de la Commission européenne, et Google par le Cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework), auquel Google LLC a adhéré, ainsi que par ces mêmes clauses. Si vous ne voulez pas de ce transfert, il suffit de ne pas autoriser les notifications sur le téléphone : l'application fonctionne de la même manière.
Avec les statistiques (PostHog), si vous les acceptez. Il conserve les données dans l'Union européenne, mais certains de ses prestataires ou équipes d'assistance se trouvent aux États-Unis et peuvent y accéder. Ces accès sont couverts par le Cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework), dont PostHog fait partie, et par les clauses contractuelles types.
Les autres prestataires — l'hébergement et le courriel, la base de données, la passerelle de Redsys, Sendcloud et les transporteurs — traitent les données dans l'Union européenne, et comme nous n'expédions que vers des pays de l'Union, les données de votre envoi n'en sortent pas non plus. Amazon Web Services appartient à un groupe américain : les données restent dans l'UE, et tout accès depuis les États-Unis est couvert par le Cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework) et par les clauses contractuelles types de son contrat de sous-traitance.
Âge minimum
À partir de 14 ans, vous pouvez consentir vous-même au traitement de vos données. En dessous de cet âge, l'autorisation de la personne exerçant l'autorité parentale ou la tutelle est nécessaire.
Nous ne vérifions l'âge de personne : en créant un compte ou en passant une commande, vous déclarez remplir cette condition. Si nous détectons les données d'un mineur de moins de 14 ans sans cette autorisation, nous les supprimons.
Vos droits
Vous pouvez à tout moment demander à accéder à vos données, à les rectifier, à les supprimer, à vous opposer au traitement, à le limiter ou à les recevoir dans un format portable. Il suffit d'écrire à contacto@universopumpkin.es en indiquant ce que vous souhaitez ; un document attestant de votre identité peut vous être demandé.
Si vous estimez que vos données n'ont pas été traitées correctement, vous pouvez porter réclamation auprès de l'Agence espagnole de protection des données (Agencia Española de Protección de Datos, www.aepd.es).
Il existe une exception qu'il convient de connaître : les données d'une facture déjà émise ne peuvent pas être supprimées sur demande, car il existe une obligation légale de la conserver pendant les délais indiqués ci-dessus.
Si vous avez un compte, vous pouvez aussi le supprimer vous-même depuis « Informations personnelles », dans votre compte : nous vous envoyons un courriel pour le confirmer et, une fois confirmé, le compte, vos données personnelles, les adresses enregistrées et vos favoris sont supprimés. Les commandes et les factures sont conservées, sans être liées à aucun compte, aussi longtemps que la loi l'exige.
Ce qui est supprimé disparaît aussi des sauvegardes lorsqu'elles expirent. Une sauvegarde est effectuée chaque nuit, chiffrée, qui sert uniquement à rétablir la boutique en cas de défaillance, et chaque sauvegarde est supprimée automatiquement au bout de 400 jours.
Sécurité
Le site fonctionne entièrement sur une connexion chiffrée. Les mots de passe sont conservés chiffrés et ne sont lisibles même pas depuis l'administration. Le numéro de la carte et son code de sécurité ne transitent à aucun moment par ce site : ils sont saisis dans l'environnement de la banque ou de PayPal. Si vous demandez à retenir une carte, nous ne conservons que la référence que nous fournit la banque, la marque, les 4 derniers chiffres et la date d'expiration, de sorte que personne ne pourrait l'utiliser en dehors de cette boutique.