Politique de confidentialité

L'essentiel en cinq lignes

Qui est responsable

Le responsable du traitement est [[À COMPLÉTER : dénomination sociale de l'éditeur]], dont les coordonnées figurent dans les mentions légales.

Délégué à la protection des données : [[À COMPLÉTER : nom et contact du DPO s'il en existe un ; sinon, indiquer la personne qui traite les demandes]].

Pour toute question ou demande relative à vos données : [[À COMPLÉTER : adresse e-mail dédiée aux demandes RGPD]].

Quand un atelier reçoit votre adresse pour vous expédier une commande, il devient à son tour responsable des données qu'il utilise pour cette expédition et pour sa comptabilité.

Ce que nous collectons

Cette liste est celle des données réellement enregistrées par le site aujourd'hui. Elle sera mise à jour si le site en collecte d'autres.

Votre compte

• votre adresse e-mail ;
• votre mot de passe, uniquement sous forme chiffrée et irréversible — souqna ne le connaît pas (un compte ouvert par lien de connexion n'en a d'ailleurs aucun) ;
• la dernière adresse de livraison utilisée, mémorisée pour ne pas la ressaisir à chaque commande.

Le prénom issu de cette adresse sert de nom d'affichage lorsque vous publiez un avis ou écrivez à un atelier. À défaut, vous apparaissez sous la mention « Un acheteur ».

Vos achats

• le contenu de votre panier, y compris les textes que vous saisissez pour une personnalisation (une gravure, un prénom) ;
• l'adresse de livraison : nom, prénom, rue, complément, code postal, ville, téléphone (le transporteur s'en sert pour prévenir de la livraison) ;
• le point relais choisi, quand l'atelier en propose ;
• le détail de la commande : pièces, prix, frais, total, message laissé à l'atelier, dates de paiement, d'expédition et de livraison, transporteur et numéro de suivi ;
• pour le paiement : le prestataire utilisé, le montant, l'état et l'identifiant de la transaction chez ce prestataire. Aucune donnée de carte bancaire n'est enregistrée par souqna : elle est saisie chez le prestataire, sur ses pages.

Ce que vous écrivez

• vos messages avec les ateliers, leurs dates et leur statut de lecture ;
• vos avis : notes, commentaire, et la réponse éventuelle de l'atelier ;
• vos signalements : le motif, votre message, et l'adresse e-mail que vous laissez pour être recontacté (facultative).

Si vous ouvrez une boutique

• le nom de votre atelier, votre métier, votre ville, votre histoire, votre photo et votre bannière, votre e-mail de contact, votre politique de retour ;
• les identifiants de vos contrats transporteur, chiffrés en base et jamais réaffichés ;
• à l'ouverture des versements, les informations d'identité et le compte bancaire exigés par la réglementation : ils seront collectés et conservés par le prestataire de paiement, pas par souqna.

Données techniques

• votre adresse IP est utilisée pour limiter le nombre de demandes de lien de connexion (3 par adresse e-mail et 10 par adresse IP toutes les 15 minutes). Elle sert de clé de comptage temporaire et n'est pas enregistrée en base de données ;
• les journaux techniques du serveur, qui enregistrent les erreurs pour permettre de les corriger ;
• ce que le site dépose dans votre navigateur est décrit sur la page Cookies.

Pourquoi, et à quel titre

Chaque traitement doit reposer sur une base légale. Voici les nôtres.

souqna n'envoie aucune lettre d'information commerciale aujourd'hui. Le jour où elle en enverrait, ce serait sur consentement, avec un lien de désinscription dans chaque message.

Combien de temps

Après ces durées, les données sont supprimées ou anonymisées. Une commande n'est jamais effacée tant que la loi comptable impose de la conserver : elle est alors détachée de votre compte et conservée à part.

Qui y a accès

Au sein de souqna, l'équipe qui administre la place de marché — support, modération, comptabilité — a accès aux données du site, y compris aux messages échangés entre acheteurs et ateliers. Cet accès existe parce que ces échanges portent sur des ventes que souqna héberge et dont elle répond : c'est ce qui lui permet d'arbitrer un litige, de vérifier ce qui a été promis, et de traiter un signalement. Chaque consultation d'un échange est enregistrée — qui a regardé, quoi, et quand.

Si vous préférez qu'une information reste hors de portée de souqna, ne l'écrivez pas dans la messagerie du site.

En dehors de souqna, la liste est courte et fermée :

Cette liste est exhaustive. Aucune donnée n'est vendue, louée ou transmise à un annonceur.

Hors de l'Union européenne

Le site et sa base de données sont hébergés dans l'Union européenne. Les prestataires de paiement contractent avec leurs entités européennes, mais appartiennent à des groupes américains : certains traitements techniques peuvent impliquer un transfert vers les États-Unis.

Ces transferts sont encadrés par les mécanismes prévus par le RGPD (décision d'adéquation ou clauses contractuelles types). [[À COMPLÉTER : vérifier au contrat le mécanisme retenu par Stripe et par PayPal, et le nommer ici]]

Comment c'est protégé

• le site est servi en HTTPS ;
• les mots de passe sont hachés, jamais stockés en clair ;
• les identifiants transporteur des ateliers sont chiffrés en base et ne sont jamais réaffichés ;
• les liens de connexion expirent en 30 minutes et ne servent qu'une fois ;
• entre utilisateurs, une commande ou une conversation qui ne vous appartient pas est inaccessible, y compris en devinant son adresse (l'équipe de souqna, elle, y a accès : voir Qui y a accès) ;
• les journaux d'erreur ne contiennent pas de mot de passe ni de donnée de paiement.

En cas de violation de données susceptible de vous exposer à un risque, souqna avertit la CNIL dans les 72 heures et vous informe directement.

Vos droits

Sur vos données, vous pouvez demander :

• l'accès : en obtenir une copie ;
• la rectification : corriger ce qui est faux ou incomplet ;
• l'effacement : les faire supprimer, dans la limite de ce que la loi nous impose de garder (les commandes, notamment) ;
• la limitation : en geler l'usage le temps d'une contestation ;
• la portabilité : recevoir dans un format lisible par une machine les données que vous nous avez fournies ;
• l'opposition : vous opposer à un traitement fondé sur notre intérêt légitime ;
• de définir des directives sur le sort de vos données après votre décès.

Une demande s'envoie à [[À COMPLÉTER : adresse e-mail dédiée aux demandes RGPD]]. Nous répondons dans un délai d'un mois. Si votre demande est complexe, ce délai peut être porté à trois mois : nous vous prévenons alors, avec le motif. Nous pouvons demander une preuve d'identité si un doute sérieux existe.

Saisir la CNIL

Si notre réponse ne vous satisfait pas, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr.

Cette démarche est gratuite et ne vous prive d'aucun autre recours.