Politique de confidentialité

1. Responsable du traitement et périmètre

Avenor EU B.V., KVK 42161421, Keizersgracht 127, 1015 CJ Amsterdam, Pays-Bas, est responsable des traitements liés au site Patalou. Pour exercer vos droits : hello@patalou.com, objet « Données personnelles », ou par courrier au siège en précisant « Patalou — données personnelles ». Aucun compte n’est nécessaire pour nous contacter.

Cette version concerne le site public de présentation et le panier de préparation. Elle n’annonce pas une ouverture des commandes ou des paiements.

2. Données, finalités et bases légales

Consultation et sécurité : l’adresse IP, les informations de navigateur, les pages demandées, l’heure des requêtes et les journaux techniques peuvent être traités pour fournir le site, diagnostiquer les erreurs et prévenir les abus. Ces traitements reposent sur notre intérêt légitime à exploiter un service fiable et sécurisé.

Panier de préparation : les références et quantités choisies, ainsi que la date de leur mise à jour et une version technique du format, sont mémorisées localement pour vous permettre de retrouver votre sélection. Cette fonction répond à votre demande de préparer un achat ; elle ne crée pas de compte ni de commande. La version publique ne demande pas d’adresse de livraison ou de numéro de carte.

Commande et livraison : nous traitons vos nom, prénom, adresse de livraison et de facturation, adresse électronique, numéro de téléphone, le contenu et le montant de votre commande, son statut de paiement et de livraison, ainsi que vos échanges avec le service client. Ces données servent à conclure et exécuter la commande, à la livrer, à gérer les retours, la rétractation et les garanties. Base légale : l’exécution du contrat. La facturation et la comptabilité reposent sur nos obligations légales. Les champs signalés comme obligatoires sont nécessaires à la conclusion du contrat ; sans eux, la commande ne peut pas être passée.

Paiement : les données de votre carte sont collectées et traitées par Stripe, pas par Patalou. Nous recevons de Stripe uniquement le statut du paiement, le type de carte, ses quatre derniers chiffres, sa date d’expiration et les identifiants techniques attribués par Stripe à votre profil de paiement, à la carte enregistrée et au paiement, pour suivre votre commande, effectuer le débit prévu et traiter un éventuel remboursement (base légale : l’exécution du contrat). Stripe peut également traiter des données pour prévenir la fraude et respecter ses propres obligations légales ; pour ces traitements, Stripe agit en tant que responsable de traitement distinct, selon sa propre politique de confidentialité (stripe.com/fr/privacy).

Prévention de la fraude : des informations liées à la commande et au paiement (adresse IP, pays de la carte, cohérence des adresses) peuvent être analysées pour détecter une utilisation frauduleuse d’un moyen de paiement. Base légale : notre intérêt légitime à prévenir la fraude. Un paiement peut être refusé automatiquement par Stripe ou par votre banque lorsqu’un risque de fraude est détecté. Vous pouvez alors nous contacter à hello@patalou.com pour obtenir l’intervention d’une personne, présenter votre point de vue et contester ce refus.

Contact par courriel : nous recevons votre adresse de messagerie et les informations que vous choisissez d’envoyer. Elles servent à traiter votre demande, sur la base des mesures précontractuelles demandées si elle concerne un achat, ou de notre intérêt légitime à répondre aux autres questions. Une réclamation ou une demande d’exercice de droits peut également être conservée pour respecter une obligation légale ou établir la preuve de son traitement.

Les informations nécessaires pour répondre dépendent de votre demande ; nous vous les précisons si un complément est requis. Sans moyen de vous recontacter, nous ne pouvons pas vous adresser de réponse. Évitez d’envoyer des pièces d’identité, des données bancaires ou des informations médicales personnelles qui ne sont pas nécessaires.

3. Cookies, stockage local et mesure d’audience

Le panier utilise la clé de stockage local « patalou.prepared-cart.v1 ». Elle contient les références, quantités, une date de mise à jour et une version technique. La sélection n’est plus restaurée au-delà de trente jours après sa dernière mise à jour. Les données enregistrées peuvent toutefois rester dans le navigateur jusqu’à leur remplacement ou à l’effacement des données du site ; la fin de validité ne les supprime pas automatiquement. Vous pouvez retirer les articles depuis le panier ou effacer le stockage dans votre navigateur.

Mesure d’audience et publicité : ces traceurs ne sont utilisés qu’avec votre accord, recueilli par le bandeau « Vos choix de cookies ». Les deux finalités sont proposées séparément et refusées par défaut ; aucun consentement n’est déduit de votre navigation, et aucune balise de Google ou de Meta n’est chargée avant votre accord. La mesure d’audience (Google Analytics, chargé par Google Tag Manager, services de Google Ireland Limited) compte les pages vues et la provenance de la visite (site d’origine, paramètres de campagne enregistrés), sans nom, adresse ni coordonnées. La publicité (Google Ads ; Meta Platforms Ireland Limited pour Facebook et Instagram) servira à mesurer l’efficacité de nos annonces et à les personnaliser : aucune balise publicitaire n’est active à ce jour, votre choix est seulement enregistré, et cette politique sera mise à jour avant leur activation. Base légale : votre consentement.

Durées et retrait : votre choix est conservé six mois (cookies « cookie-consent » et « cookie-consent-v2 » et stockage local du navigateur), puis vous est redemandé. Les cookies de mesure et de publicité sont conservés 13 mois au maximum ; les données de Google Analytics sont conservées 14 mois au plus. Refuser est aussi simple qu’accepter et n’a aucune conséquence sur votre navigation ou vos achats. Vous pouvez modifier ou retirer votre choix à tout moment via « Gérer les cookies » en bas de page ; les cookies des finalités retirées sont alors supprimés.

Les cookies ou mécanismes techniques strictement nécessaires à la sécurité et à l’affichage ne sont pas utilisés pour une prospection publicitaire. Les préférences et cookies éventuellement conservés à la suite d’une ancienne visite peuvent être supprimés depuis les réglages du navigateur.

4. Destinataires et services utilisés

Seules les personnes habilitées à exploiter le site, traiter les commandes et répondre aux demandes ont accès aux données nécessaires. Nos prestataires agissent sur nos instructions, à l’exception des traitements que Stripe réalise pour son propre compte (voir ci-dessus) : l’hébergement du site (Vercel Inc.) ; la gestion des commandes et du catalogue (notre plateforme de commerce, hébergée par Render et Supabase dans l’Union européenne, à Francfort) ; le paiement (Stripe Payments Europe Limited, Dublin, Irlande, dans les conditions décrites ci-dessus) ; les courriels de commande (Resend) ; la préparation et l’expédition (notre entrepôt logistique en France et le transporteur chargé de la livraison, qui reçoivent les nom, adresse et téléphone nécessaires à la livraison) ; avec votre accord seulement, Google, pour la mesure d’audience décrite ci-dessus. Google Ads et Meta ne reçoivent aucune donnée tant qu’aucune balise publicitaire n’est active. La messagerie utilisée pour répondre à vos courriels traite également les messages reçus.

Avenor EU B.V. exploite plusieurs marques. Si vous achetez auprès de plusieurs d’entre elles, votre fiche client (identité, coordonnées, historique de commandes) peut être commune à ces marques et utilisée uniquement pour gérer vos commandes, la relation client et nos obligations comptables, Avenor EU B.V. restant le seul responsable de traitement. Votre consentement à recevoir des communications commerciales est recueilli marque par marque : accepter les messages de Patalou ne vous inscrit pas à ceux d’une autre marque.

Les autorités ou conseils habilités peuvent recevoir les informations nécessaires lorsqu’une obligation légale ou la défense de droits le justifie. Cette version n’utilise pas vos coordonnées pour vous inscrire automatiquement à des communications commerciales.

5. Conservation et transferts

Les données de commande sont conservées pendant la relation commerciale puis pendant la durée de prescription des actions liées au contrat. Les factures et pièces comptables sont conservées sept ans (obligation néerlandaise de conservation) et les données des ventes déclarées au guichet unique de TVA (OSS) dix ans. Pour une commande d’au moins 120 euros, l’écrit constatant le contrat est conservé dix ans et vous est accessible sur demande. Les données techniques sont conservées selon les besoins de fonctionnement, de diagnostic et de sécurité. Les échanges sont conservés le temps de traiter la demande et ses suites, et au-delà seulement lorsqu’une obligation légale ou un litige le justifie. Un moyen de paiement enregistré pour un débit ultérieur n’est utilisé que pour ce débit ; il est supprimé une fois ce débit effectué, à l’annulation de la commande ou sur simple demande à hello@patalou.com. Le panier suit la durée de stockage local décrite ci-dessus.

Certains prestataires, notamment l’hébergeur du site, Stripe, le service de courriels de commande et, avec votre accord, Google, peuvent traiter des données hors de l’Espace économique européen, en particulier aux États-Unis. Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le prestataire y est certifié, ou à défaut par des clauses contractuelles types de la Commission européenne, accompagnées si nécessaire de mesures complémentaires. Vous pouvez demander à hello@patalou.com des informations sur les destinataires et les garanties applicables à vos données, et obtenir une copie de ces garanties.

6. Vos droits et réclamations

Selon les conditions prévues par le RGPD, vous disposez des droits d’accès, de rectification, d’effacement, de limitation et d’opposition. La portabilité s’applique aux données fournies et traitées automatiquement sur la base du contrat ou de votre consentement. Vous pouvez vous opposer à un traitement fondé sur l’intérêt légitime pour des raisons tenant à votre situation, et à tout moment à la prospection directe. Un consentement peut être retiré sans affecter la licéité du traitement antérieur.

Nous répondons en principe dans un délai d’un mois après réception de votre demande. Une prolongation de deux mois peut être nécessaire selon sa complexité ou le nombre de demandes ; vous en êtes alors informé dans le premier mois avec les motifs. Si un doute raisonnable existe sur votre identité, seules les informations proportionnées nécessaires à sa vérification sont demandées.

Vous pouvez déposer une réclamation auprès de l’autorité de contrôle de votre résidence, de votre lieu de travail ou du lieu de la violation alléguée : notamment la CNIL en France (cnil.fr) ou l’Autoriteit Persoonsgegevens aux Pays-Bas (autoriteitpersoonsgegevens.nl). Vous n’avez pas à attendre notre réponse pour saisir une autorité.

En dehors du contrôle antifraude des paiements décrit ci-dessus, pour lequel vous pouvez obtenir l’intervention d’une personne, aucune décision produisant des effets juridiques ou similaires significatifs n’est prise automatiquement sur vous. Toute évolution substantielle de ces traitements fera l’objet d’une information actualisée.