Politique de confidentialité

Politique de confidentialité.

Politique de confidentialité Sudovea : données collectées, finalités, durées de conservation, sous-traitants, sécurité et droits des personnes.

Version complète préparée le 24 juillet 2026 pour relecture humaine obligatoire avant ouverture commerciale. Elle reflète les traitements réellement implémentés dans la boutique (compte client, commande, paiement Stripe) et la décision D-A de conservation comptable. Alignée sur les traitements réels.

01Responsable du traitement

Responsable : Matthias Hermanny, entrepreneur individuel, Sudovea
Adresse : 7B rue de la Travette, 30320 Marguerittes, France
Email contact : contact@sudovea.fr

02Données collectées

Compte client (facultatif) : adresse e-mail, prénom, nom, mot de passe (conservé uniquement sous forme d'empreinte dérivée par scrypt, jamais en clair), adresses de livraison enregistrées, favoris.
Commande : prénom, nom, adresse e-mail, téléphone (facultatif), adresse de livraison, contenu de la commande (produits, quantités, prix au moment de l'achat), montants et devise, consentements (CGV, confidentialité) avec horodatage.
Paiement : identifiants techniques Stripe de la transaction (session, paiement, remboursement). Les données bancaires complètes sont traitées exclusivement par Stripe et ne transitent jamais par nos serveurs.
Données techniques de sécurité : sessions (identifiants de session, dates d'expiration), empreintes HMAC des identifiants de connexion et adresses IP utilisées pour la limitation de débit anti-abus, journaux techniques sans contenu personnel superflu.

03Finalités et bases légales

Exécution du contrat (article 6.1.b du RGPD) : gestion et suivi de la commande, paiement, livraison, service après-vente, remboursements.
Compte client (article 6.1.b) : authentification, historique et suivi des commandes, adresses et favoris enregistrés.
Obligations légales (article 6.1.c) : conservation des pièces comptables et justificatifs de vente.
Intérêt légitime (article 6.1.f) : sécurité de la boutique, prévention de la fraude et des abus (limitation de débit, détection d'anomalies de paiement), statistiques de fréquentation techniques.
Consentement (article 6.1.a) : acceptation des CGV et de la présente politique lors de la commande, horodatée.

04Destinataires et sous-traitants

Stripe, Inc. : traitement des paiements (prestataire de paiement certifié PCI-DSS).
OVH SAS : hébergement du site et des bases de données (Union européenne).
Transporteur(s) chargé(s) de la livraison : uniquement les informations nécessaires à la livraison (nom, adresse, téléphone le cas échéant).
Aucune donnée n'est vendue ni partagée à des fins commerciales ou publicitaires.

05Durées de conservation

Compte client : jusqu'à sa suppression par le Client ou par un administrateur à sa demande.
Commandes et justificatifs de vente : 10 ans à compter de la clôture de l'exercice, conformément aux obligations comptables (article L. 123-22 du Code de commerce). À la suppression d'un compte, les commandes sont dissociées du compte mais leurs instantanés (nom, e-mail, téléphone, adresse de livraison, contenu et montant) sont conservés en clair pendant cette durée : il s'agit d'un choix explicite de conservation comptable, qui limite la portée du droit à l'effacement sur ces seules pièces.
Marqueurs techniques de rattachement des commandes au compte supprimé : conservés de façon immuable (identifiant technique, sans donnée personnelle directement lisible) à des fins d'audit et de prévention de la fraude.
Sessions : suppression à l'expiration (7 jours maximum pour une session client, 12 heures maximum pour une session administrateur) ; purge régulière des sessions expirées.
Jetons de connexion (liens magiques, réinitialisation) : durée de vie courte puis purge.
Empreintes de limitation de débit (anti-abus) : fenêtres de 15 minutes, purgées après expiration.
Journaux d'administration : anonymisés (identifiant technique et volumes, sans donnée personnelle) et conservés à des fins de preuve.

06Sécurité

Les mots de passe sont dérivés par scrypt avec sel unique ; les jetons de session sont signés et révocables ; les accès d'administration sont limités en débit et journalisés de façon anonymisée ; les échanges sont chiffrés (HTTPS) ; la confirmation d'un paiement repose exclusivement sur la notification signée de Stripe.

07Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Le droit à l'effacement s'exerce intégralement sur le compte (identifiants, profil, adresses, favoris, sessions). Il ne peut pas porter sur les pièces comptables conservées par obligation légale (voir section 5) ni sur les marqueurs techniques immuables associés, tant que dure l'obligation de conservation.

La suppression du compte laisse une preuve d'exécution anonymisée (date, opérateur, identifiant technique) qui ne contient aucune donnée personnelle.

08Exercice des droits

Adressez votre demande à contact@sudovea.fr en précisant l'adresse e-mail du compte concerné ; une preuve d'identité pourra être demandée en cas de doute raisonnable. La suppression peut aussi être demandée depuis votre espace client lorsque la fonctionnalité est disponible.

En cas de difficulté, vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr, 3 place de Fontenoy, 75007 Paris).

09Cookies et stockage local

Le site utilise uniquement des cookies strictement nécessaires (session client et administrateur, en cookie httpOnly) et le stockage local du navigateur pour le panier, qui n'est pas transmis au serveur tant qu'aucune commande n'est créée.

Aucun cookie publicitaire ni outil de mesure d'audience tiers n'est déposé. Toute évolution sera documentée ici avant activation.

10Transferts hors Union européenne

Stripe peut traiter certaines données aux États-Unis dans le cadre de la fourniture du service de paiement ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et les mécanismes reconnus par le RGPD.

L'hébergement des données de la boutique est réalisé dans l'Union européenne (OVH).