Politique de confidentialité

1. Qui est responsable

1.1 Le responsable du traitement décrit dans la présente politique est James Vautier, entrepreneur indépendant (entreprise individuelle), exerçant sous le nom commercial « Agence Vautier », Avenue Cardinal Mermillod 36, 1227 Carouge, Suisse (« Vautier », « nous »).

1.2 Pour toute question relative à la protection des données ou pour exercer vos droits : contact@agencevautier.ch, +41 22 300 08 29.

1.3 Vautier n’a pas désigné de conseiller à la protection des données ; cette désignation est facultative en droit suisse.

2. Champ d’application

2.1 La présente politique s’applique au site vautier.store, aux comptes des marchands et des membres de leur équipe, à l’utilisation du tableau de bord Vautier Store et aux demandes qui nous sont adressées.

2.2 Lorsqu’une personne achète dans une boutique hébergée sur Vautier Store, c’est le marchand exploitant la boutique qui décide quelles données sont collectées et à quelles fins : le marchand est le responsable du traitement et doit informer ses clients (chaque boutique dispose de pages prévues pour sa propre politique de confidentialité, dont le marchand rédige le contenu). Vautier traite ces données en qualité de sous-traitant, pour le compte et selon les instructions du marchand (chiffre 9).

2.3 Vautier traite en outre pour son propre compte les données nécessaires à la sécurité de la plateforme et au respect de ses obligations légales.

3. Quelles données nous traitons

• Données de compte : adresse e-mail ; nom (s’il est indiqué ou transmis par Google) ; rôle dans l’équipe (Propriétaire, Administrateur, Collaborateur) ; date de création et de vérification du compte ; langue.
• Données de connexion : codes de connexion à usage unique, conservés uniquement sous une forme non réversible ; mots de passe des membres de l’équipe qui en utilisent, conservés uniquement sous forme hachée ; cookies de session ; pour la connexion avec Google : identifiant du compte Google et adresse e-mail.
• Données de la boutique et de l’entreprise : nom de la boutique et de l’entreprise, adresse, coordonnées, identifiants d’entreprise saisis, contenus publiés, paramètres.
• Données d’invitation : adresse e-mail des personnes invitées, rôle et statut de l’invitation.
• Données d’abonnement, dès l’ouverture de la souscription en ligne : plan, période de facturation, statut, références des enregistrements client et abonnement chez Stripe, factures. Les données de carte sont saisies chez Stripe et ne sont pas enregistrées par Vautier.
• Messages : contenu du formulaire de contact (nom, e-mail, entreprise, sujet, message) ou de vos e-mails.
• Acceptation des documents : version des conditions générales acceptée et date de l’acceptation ; version de la présente politique présentée lors de l’inscription.
• Données techniques et de sécurité : adresse IP, type de navigateur, pages et fonctions demandées, date et heure (journaux d’accès du serveur) ; compteurs de tentatives de connexion par adresse IP et par adresse e-mail ; journal des actions administratives, avec l’adresse IP de son auteur ; journaux d’erreurs.

4. Pourquoi nous traitons ces données

• Fournir le service : créer et gérer votre compte et votre boutique, gérer votre équipe, fournir les fonctions de votre plan (exécution du contrat ; art. 6, par. 1, let. b RGPD lorsque le RGPD s’applique).
• Vous identifier de manière sûre : vérifier votre adresse e-mail, envoyer les codes de connexion, relier un compte Google après confirmation par code (contrat ; intérêt légitime à la sécurité, art. 6, par. 1, let. f RGPD).
• Facturer, dès l’ouverture de la souscription en ligne : gérer abonnements, paiements et factures et tenir la comptabilité (contrat ; obligation légale, art. 6, par. 1, let. c RGPD).
• Communiquer avec vous : répondre à vos messages et vous informer des modifications du service, des conditions ou de la présente politique (intérêt légitime ; contrat).
• Sécurité et prévention des abus : limiter les tentatives de connexion, détecter et traiter les incidents, journaliser les actions administratives (intérêt légitime ; obligation légale).
• Preuve et obligations légales : enregistrer l’acceptation des conditions, conserver les pièces comptables, répondre aux autorités (obligation légale ; intérêt légitime).

En droit suisse, un traitement conforme aux principes de la loi fédérale sur la protection des données (LPD) ne requiert pas de motif justificatif ; lorsqu’il en faut un, l’exécution du contrat ou un intérêt prépondérant le fournit. L’acceptation des conditions générales ne vaut pas consentement à chaque traitement décrit ici ; nous ne demandons un consentement que lorsque la loi l’exige. Nous n’envoyons pas de communications publicitaires.

5. Connexion par code e-mail

5.1 Lors de la connexion ou de l’inscription, nous envoyons un code à 6 chiffres à votre adresse e-mail. Le code est valable 5 minutes, ne peut être utilisé qu’une fois et ne fonctionne que dans le navigateur qui l’a demandé ; après 5 essais erronés, il est invalidé. Nous ne conservons qu’une forme non réversible du code ; elle est supprimée un jour après l’expiration.

5.2 Un compte marchand n’est créé qu’après confirmation de l’adresse par le code. Les inscriptions commencées avec un ancien lien de vérification et jamais confirmées sont supprimées après 7 jours.

5.3 Si une adresse ne correspond à aucun compte, nous envoyons un e-mail indiquant qu’aucun compte n’existe, afin de ne pas révéler à des tiers quelles adresses sont inscrites.

6. Connexion avec Google

6.1 Si vous choisissez « Continuer avec Google », Google nous confirme votre identité. Nous ne demandons que votre profil de base : identifiant du compte Google, adresse e-mail (et confirmation de sa vérification par Google) et nom. Nous ne recevons pas votre mot de passe Google et ne demandons aucun accès à vos e-mails, fichiers ou contacts.

6.2 Nous conservons l’identifiant du compte Google et l’adresse e-mail avec votre compte afin de vous reconnaître lors des connexions suivantes ; votre nom est repris dans votre profil. Si l’adresse e-mail appartient déjà à un compte Vautier Store, nous vous demandons de confirmer au moyen d’un code envoyé à cette adresse avant de relier les deux.

6.3 Google traite les données selon sa propre politique de confidentialité (policies.google.com/privacy).

7. Cookies et stockage dans le navigateur

7.1 Nous n’utilisons que des cookies et des stockages nécessaires au fonctionnement du site et du tableau de bord. Nous n’utilisons aucun cookie d’analyse, de publicité ou de suivi, ni aucun outil de suivi de tiers ; les polices sont servies depuis nos propres serveurs.

7.2 Cookies et stockages utilisés :

• sid et cookies de session associés (tableau de bord) : vous garder connecté ; expirent au plus tard 170 heures après la dernière utilisation ou à la déconnexion.
• __Host-vx_auth (tableau de bord) : relier un code de connexion au navigateur qui l’a demandé ; 30 minutes.
• __Host-vx_gstate (tableau de bord) : protéger l’aller-retour vers Google ; 10 minutes.
• vautier_locale (site vautier.store) : mémoriser la langue choisie ; 1 an.
• vautier.lang (stockage local, écrans de connexion et d’inscription) : mémoriser la langue ; jusqu’à suppression dans le navigateur.
• vautier.sidebar (stockage local, tableau de bord) : mémoriser l’état du menu latéral ; jusqu’à suppression dans le navigateur.

7.3 Vous pouvez supprimer ou bloquer ces éléments dans votre navigateur ; la connexion au tableau de bord ne fonctionne alors plus. Les cookies utilisés dans les boutiques des marchands doivent être décrits par chaque marchand dans sa propre politique.

8. Destinataires et prestataires

8.1 Nous faisons appel aux prestataires suivants, qui traitent des données pour notre compte ou, pour leurs propres services, en tant que responsables indépendants :

• Amazon Web Services (AWS) : hébergement de la plateforme, de sa base de données et de ses fichiers, sur des serveurs situés à Francfort (Allemagne).
• Hostinger : service de messagerie (envoi des e-mails de la plateforme, boîtes @vautier.store) et service DNS.
• Google : connexion avec Google, si vous la choisissez ; résolution DNS publique pour la vérification des domaines propres (noms de domaine uniquement).
• Cloudflare : résolution DNS publique pour la vérification des domaines propres (noms de domaine uniquement, aucune donnée personnelle).
• Let’s Encrypt (Internet Security Research Group) : certificats de sécurité pour les adresses de la plateforme et les domaines propres (noms de domaine uniquement).
• Le prestataire de la boîte de réception de l’adresse de contact indiquée au chiffre 1.2 : réception des messages du formulaire de contact et des e-mails qui nous sont adressés.
• Stripe, uniquement dès l’ouverture de la souscription en ligne ou du paiement en ligne des boutiques : paiement des abonnements et paiements en ligne vers le compte Stripe propre du marchand.

8.2 Nous ne vendons pas de données personnelles. Nous ne communiquons des données à des autorités que lorsque la loi nous y oblige.

9. Données des clients des boutiques

9.1 Pour les boutiques des marchands, Vautier traite notamment, pour le compte du marchand : le nom, l’adresse e-mail et le numéro de téléphone des clients ; leurs adresses de livraison ; leurs commandes et paniers ; les codes de connexion des clients, sous forme non réversible ; les cookies de session des boutiques. Ces données sont séparées de celles de toutes les autres boutiques.

9.2 Les clients d’une boutique doivent adresser leurs demandes concernant leurs données au marchand. Si une demande nous parvient directement, nous la transmettons au marchand.

10. Lieu de stockage et communication à l’étranger

10.1 La base de données et les fichiers de la plateforme sont stockés sur des serveurs situés à Francfort (Allemagne). L’Allemagne figure parmi les États dont la législation assure un niveau de protection adéquat selon le Conseil fédéral.

10.2 Des copies de sauvegarde chiffrées sont en outre conservées hors de ce serveur par l’exploitant.

10.3 Certains prestataires, notamment Google et Cloudflare et, dès son activation, Stripe, peuvent traiter des données aux États-Unis ou dans d’autres pays. Selon le droit suisse, les États-Unis n’assurent un niveau de protection adéquat que pour les entreprises certifiées selon le Swiss-US Data Privacy Framework. Vous pouvez obtenir des informations sur le pays de traitement et sur les garanties applicables à chaque prestataire à l’adresse indiquée au chiffre 1.2.

11. Durée de conservation

• Données de compte et de boutique : pendant la durée du compte. À la fermeture du compte, la suppression est effectuée manuellement par Vautier dans un délai raisonnable, sous réserve des obligations légales de conservation.
• Codes de connexion (marchands et clients des boutiques) : supprimés un jour après leur expiration.
• Allers-retours de connexion Google : 10 minutes.
• Inscriptions non confirmées issues d’anciens liens : 7 jours.
• Fichiers d’exportation de données : 72 heures.
• E-mails envoyés par la plateforme (file d’envoi, y compris les messages du formulaire de contact) : 30 jours.
• Journaux d’erreurs : 14 jours.
• Journal d’activité (connexions) : 90 jours.
• Journal des actions administratives : sans limite de durée ; il contient des identifiants techniques et l’adresse IP de l’auteur de l’action, pas de données des clients des boutiques.
• Journaux d’accès du serveur : renouvelés automatiquement selon leur taille.
• Factures et pièces comptables : pendant la durée prévue par la loi.
• Acceptation des conditions : pendant la durée du compte et, au-delà, aussi longtemps qu’elle est nécessaire à titre de preuve.
• Sauvegardes : les sauvegardes courantes sur le serveur sont remplacées après 14 jours ; les copies effectuées avant des travaux de maintenance et les copies chiffrées hors serveur sont conservées tant qu’elles sont nécessaires à une restauration, puis supprimées.

Les données supprimées peuvent subsister dans les sauvegardes jusqu’à la suppression de celles-ci.

12. Sécurité

Nous protégeons les données par des mesures techniques et organisationnelles adaptées au risque, notamment : connexions chiffrées (HTTPS) ; codes de connexion et mots de passe conservés uniquement sous forme protégée ; secrets enregistrés chiffrés ; séparation stricte des données de chaque boutique ; accès d’administration limité au personnel autorisé, sur une adresse dédiée, avec journalisation des actions de modification ; limitation des tentatives de connexion ; copies de sauvegarde hors serveur chiffrées. Aucun système n’est totalement sûr. En cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé, nous informons le Préposé fédéral à la protection des données et à la transparence (PFPDT) et, lorsque c’est nécessaire, les personnes concernées, conformément à la loi.

13. Application du RGPD

Vautier est établi en Suisse. Le règlement général sur la protection des données de l’Union européenne (RGPD) peut s’appliquer à certains traitements lorsque nous proposons nos services à des personnes se trouvant dans l’Union européenne ; dans cette mesure, les droits prévus par le RGPD vous sont également garantis. La Commission européenne reconnaît que la Suisse assure un niveau de protection adéquat.

14. Vos droits

14.1 Selon la LPD, vous pouvez notamment demander l’accès à vos données personnelles (gratuitement, réponse en principe dans les 30 jours), leur rectification, leur suppression ou vous opposer à un traitement, sous réserve des obligations légales de conservation ; recevoir les données que vous nous avez fournies dans un format électronique courant ; et demander qu’une donnée contestée soit signalée comme telle.

14.2 Lorsque le RGPD s’applique, vous disposez en outre du droit à la limitation du traitement et du droit de retirer à tout moment un consentement donné, sans que cela n’affecte la licéité du traitement antérieur.

14.3 Pour exercer vos droits, écrivez-nous à l’adresse indiquée au chiffre 1.2. Nous pouvons vous demander de prouver votre identité. Le titulaire du rôle Propriétaire peut aussi exporter lui-même les données de la boutique depuis le tableau de bord.

14.4 Vous pouvez déposer une plainte auprès d’une autorité de surveillance : en Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT, www.edoeb.admin.ch) ; dans l’Union européenne, l’autorité de votre lieu de résidence ou de travail.

15. Décisions automatisées

Nous ne prenons pas de décisions fondées exclusivement sur un traitement automatisé qui produiraient des effets juridiques à votre égard ou vous affecteraient de manière significative. Les limitations automatiques des tentatives de connexion sont temporaires et servent uniquement à la sécurité.

16. Modification de la présente politique

Vautier Store est une plateforme en évolution constante. La présente politique peut être mise à jour pour refléter l’évolution de nos services, de nos traitements ou des exigences légales ; elle décrit toujours nos traitements actuels. Chaque version est datée ; la version présentée lors de votre inscription est enregistrée avec votre compte. Nous vous informons des modifications importantes par e-mail avant leur entrée en vigueur et demandons votre consentement lorsque la loi l’exige.