Déclaration relative au RGPD et à la protection des données

1. Objet et portée

La présente déclaration décrit les conditions dans lesquelles drasmiko collecte, utilise, transmet, conserve et protège les données personnelles des utilisateurs du site.

Elle complète la Politique de confidentialité, les Conditions générales de vente et les autres documents relatifs aux traitements de données publiés sur le site.

Le Règlement général sur la protection des données s’applique aux traitements liés à l’offre de biens ou de services aux personnes situées dans l’Union européenne, y compris lorsque le responsable est établi en dehors de l’Union, conformément au champ territorial du RGPD présenté par la CNIL.

2. Responsable du traitement

Le responsable des traitements directement réalisés dans le cadre du site est :

Nom commercial : drasmiko
Adresse postale : 2343 Hubbard Ct, Troy, MO 63379, États-Unis
Téléphone : (636) 081-3476
Courriel consacré aux demandes : assistance@drasmiko.com

Les demandes relatives à la vie privée, à l’utilisation des données ou à l’exercice des droits doivent être envoyées à cette adresse électronique.

Le service est ouvert du lundi au vendredi, selon l’heure de Paris :

• de 09 h 00 à 12 h 00 ;

• de 14 h 30 à 17 h 30.

Le service est fermé le samedi et le dimanche.

3. Principes appliqués aux traitements

Les opérations portant sur des données personnelles respectent les principes suivants :

1. licéité, loyauté et transparence ;

2. collecte pour des finalités déterminées et explicites ;

3. limitation aux informations nécessaires ;

4. exactitude et rectification des données inexactes ;

5. conservation pendant une durée définie ;

6. confidentialité et intégrité ;

7. protection des données dès la conception et par défaut ;

8. traçabilité des mesures de conformité ;

9. limitation des accès aux seules personnes habilitées.

Une information collectée pour une finalité déterminée n’est pas réutilisée d’une manière incompatible avec cette finalité.

4. Catégories de personnes concernées

Les traitements concernent :

1. les visiteurs du site ;

2. les titulaires d’un compte ;

3. les clients et destinataires des commandes ;

4. les personnes contactant le service client ;

5. les personnes exerçant un droit relatif à leurs données ;

6. les utilisateurs des fonctions de suivi, de retour ou de remboursement.

Les commandes portent sur les collections de tentures murales, suspensions murales tissées, suspensions murales en macramé, guirlandes à pampilles, décorations murales en bois et attrape-rêves.

5. Données collectées

Selon le service utilisé, les catégories suivantes sont traitées :

1. nom et prénom ;

2. adresse électronique ;

3. numéro de téléphone ;

4. adresse de facturation ;

5. adresse de livraison ;

6. identifiants et informations relatives au compte ;

7. contenu, montant et historique des commandes ;

8. références des articles achetés ;

9. informations de livraison et de suivi ;

10. demandes de retour, d’échange ou de remboursement ;

11. échanges avec l’assistance ;

12. date, montant, statut et référence partielle d’une transaction ;

13. adresse IP, journaux de connexion, type d’appareil et données techniques ;

14. préférences relatives aux cookies ;

15. éléments transmis pour établir une anomalie, un défaut ou une fraude.

Aucune catégorie particulière de données au sens de l’article 9 du RGPD n’est demandée pour passer une commande. Les informations sensibles envoyées spontanément et sans nécessité doivent être retirées des messages adressés au service client.

6. Origine des données

Les informations proviennent :

1. directement de l’utilisateur lors d’une commande, d’une inscription ou d’une demande ;

2. automatiquement du navigateur ou de l’appareil lors de l’utilisation du site ;

3. d’Authorize.net pour le statut d’une transaction ;

4. des transporteurs pour le suivi et la preuve de livraison ;

5. des prestataires techniques pour la sécurité et le diagnostic d’un incident.

Les données reçues d’un prestataire restent limitées à celles nécessaires au service concerné.

7. Finalités et fondements juridiques

Les traitements reposent sur les fondements suivants :

L’intérêt légitime fait l’objet d’une mise en balance avec les droits et libertés des personnes concernées. Il ne fonde aucune prospection électronique nécessitant un consentement.

8. Caractère obligatoire des informations

Les données signalées comme obligatoires sont nécessaires à la commande, au paiement, à la livraison ou au traitement de la demande.

L’absence d’une adresse de livraison complète empêche l’acheminement. L’absence des informations bancaires requises empêche l’autorisation du paiement. L’absence d’un élément indispensable à l’identification d’une commande suspend le traitement jusqu’à sa réception.

Les champs facultatifs restent sans incidence sur l’accès au catalogue et sur les services qui n’en dépendent pas.

9. Données de paiement

Les paiements par Visa, Mastercard et American Express sont traités par Authorize.net.

drasmiko ne conserve ni le numéro complet de la carte ni son cryptogramme après la transaction. Seuls le statut du paiement, son montant, sa date, sa référence et les informations partielles nécessaires au rapprochement comptable restent accessibles.

Les données de preuve relatives à une contestation de paiement sont archivées pendant 13 mois après le débit, ou 15 mois pour une carte à débit différé, conformément aux durées rappelées par la CNIL.

Aucune information bancaire complète ne doit être transmise au service client par courrier électronique ou téléphone.

10. Destinataires et sous-traitants

L’accès aux données est limité :

1. aux membres habilités du service drasmiko ;

2. à Authorize.net et aux intervenants bancaires ;

3. aux prestataires d’hébergement et de maintenance ;

4. aux prestataires de cybersécurité et de prévention de la fraude ;

5. aux partenaires chargés de la préparation logistique ;

6. aux transporteurs chargés de la livraison et du suivi ;

7. aux prestataires d’assistance ;

8. aux conseils intervenant dans la défense d’un droit ;

9. aux autorités légalement habilitées.

Chaque sous-traitant reçoit uniquement les données correspondant à sa mission. Ses opérations sont encadrées par des instructions documentées, des obligations de confidentialité et des mesures de sécurité adaptées.

Les données personnelles ne sont ni vendues ni louées. Elles ne sont pas communiquées à des tiers pour leur prospection indépendante sans consentement valable.

11. Transferts hors de l’Espace économique européen

L’exploitation depuis les États-Unis et l’intervention de prestataires internationaux entraînent des transferts de données en dehors de l’Espace économique européen.

Chaque transfert repose sur l’un des mécanismes reconnus par le chapitre V du RGPD :

1. décision d’adéquation de la Commission européenne ;

2. clauses contractuelles types ;

3. règles d’organisation contraignantes ;

4. dérogation légalement applicable à une situation déterminée.

Des mesures complémentaires techniques, contractuelles et organisationnelles encadrent le transfert lorsque le niveau de protection du pays destinataire l’exige.

Une copie des garanties applicables, expurgée des informations confidentielles, est demandée à assistance@drasmiko.com. Les règles officielles relatives aux transferts internationaux sont présentées par la CNIL.

Lorsque l’article 27 du RGPD impose la désignation d’un représentant dans l’Union européenne, ce représentant sert également de point de contact pour les personnes concernées et les autorités de contrôle. Cette obligation et ses exceptions figurent dans le chapitre IV du RGPD.

12. Durées de conservation

Les durées suivantes sont appliquées :

À l’issue de la durée applicable, les données sont supprimées, anonymisées ou placées dans une archive intermédiaire à accès restreint lorsqu’une obligation légale ou un contentieux l’exige.

13. Mesures de sécurité

Les mesures de protection comprennent :

1. chiffrement SSL/TLS des communications concernées ;

2. contrôle des habilitations ;

3. authentification des accès administratifs ;

4. limitation des privilèges ;

5. journalisation des opérations de sécurité ;

6. sauvegarde des informations nécessaires ;

7. mise à jour des systèmes ;

8. surveillance des accès anormaux ;

9. encadrement contractuel des prestataires ;

10. procédures de gestion des incidents.

L’accès aux données repose sur la nécessité professionnelle. Les habilitations sont retirées lorsqu’elles ne correspondent plus aux fonctions exercées.

Aucun dispositif de sécurité ne justifie la collecte d’informations étrangères aux finalités annoncées.

14. Violations de données

Tout incident affectant la confidentialité, l’intégrité ou la disponibilité des données fait l’objet d’une analyse documentée.

Lorsqu’une violation engendre un risque pour les droits et libertés des personnes, sa notification à la CNIL intervient dans les 72 heures suivant sa constatation. Un risque élevé entraîne également une information directe des personnes concernées, sauf exception prévue par le RGPD, conformément aux règles publiées par la CNIL.

L’information adressée aux personnes concernées indique la nature de l’incident, ses conséquences, les mesures prises et les actions recommandées pour limiter les effets.

15. Droits des personnes

Dans les conditions prévues par le RGPD, chaque personne concernée dispose des droits suivants :

1. obtenir la confirmation qu’un traitement existe ;

2. accéder aux données et en recevoir une copie ;

3. corriger les informations inexactes ;

4. compléter les données incomplètes ;

5. demander l’effacement ;

6. obtenir la limitation d’un traitement ;

7. s’opposer à un traitement fondé sur l’intérêt légitime ;

8. s’opposer sans justification à la prospection directe ;

9. recevoir les données dans un format structuré et lisible par machine ;

10. transmettre les données à un autre responsable lorsque la portabilité s’applique ;

11. retirer un consentement sans effet rétroactif ;

12. obtenir des informations sur les transferts internationaux ;

13. contester une décision exclusivement automatisée produisant un effet juridique ;

14. définir des directives relatives au sort des données après le décès ;

15. déposer une réclamation auprès d’une autorité de contrôle.

Le retrait du consentement n’affecte pas la licéité des opérations réalisées avant ce retrait.

16. Procédure d’exercice des droits

La demande est envoyée à assistance@drasmiko.com et comporte :

1. le droit exercé ;

2. les informations nécessaires à l’identification du demandeur ;

3. l’adresse à laquelle la réponse doit être transmise ;

4. les précisions utiles concernant les données recherchées.

Une pièce d’identité est sollicitée uniquement en présence d’un doute raisonnable sur l’identité. Elle n’est pas conservée au-delà de la vérification, sauf obligation légale.

La réponse intervient au plus tard dans le mois suivant la réception. Pour une demande complexe ou un nombre élevé de demandes, le délai est prolongé de deux mois ; l’information relative à cette prolongation et à son motif est transmise pendant le premier mois, conformément aux indications de la CNIL.

L’exercice des droits est gratuit. Des frais raisonnables ou un refus motivé concernent uniquement les demandes manifestement infondées, excessives ou répétitives dans les conditions prévues par le RGPD.

Une absence de réponse ou une réponse insatisfaisante ouvre le droit d’adresser une réclamation à la CNIL.

17. Cookies et technologies similaires

Les traceurs strictement nécessaires assurent :

1. la conservation du panier ;

2. la connexion au compte ;

3. la sécurisation du paiement ;

4. la répartition technique du trafic ;

5. la mémorisation des choix indispensables ;

6. la prévention des accès frauduleux.

Ces traceurs reposent sur la fourniture du service demandé et ne nécessitent pas de consentement préalable.

Les traceurs destinés à la mesure d’audience non exemptée, à la personnalisation ou à la publicité restent désactivés avant le consentement.

L’interface de gestion offre les choix suivants avec un niveau de simplicité équivalent :

1. tout accepter ;

2. tout refuser ;

3. sélectionner les finalités ;

4. retirer ultérieurement le consentement.

Le refus d’un traceur non indispensable n’empêche ni la consultation des articles ni la passation d’une commande.

18. Communications et prospection

Les messages relatifs à une commande, un paiement, une livraison, un retour, un remboursement, une modification contractuelle ou un incident de sécurité sont des communications nécessaires au service.

La prospection électronique distincte de la relation contractuelle repose sur un consentement lorsqu’il est légalement requis.

Chaque message promotionnel contient un moyen de désinscription directement accessible. L’opposition à la prospection est enregistrée sans qu’aucun motif soit demandé.

Les coordonnées ne sont pas transmises à un tiers pour sa propre prospection sans consentement valable.

19. Protection des mineurs

Le site et ses services de vente s’adressent aux personnes disposant de la capacité juridique nécessaire pour conclure un contrat.

Aucune collecte volontaire de données concernant un mineur n’est organisée sans fondement valable et sans intervention du titulaire de l’autorité parentale lorsque celle-ci est légalement requise.

Le signalement de données concernant un mineur entraîne leur examen, leur limitation immédiate pendant la vérification et leur suppression en l’absence de fondement juridique.

20. Actualisation de la déclaration

Toute nouvelle version indique sa date d’entrée en vigueur.

Une modification réglementaire, technique ou opérationnelle entraîne l’actualisation des sections concernées. Une évolution substantielle des finalités, des destinataires ou des droits fait l’objet d’une information visible avant l’entrée en vigueur du traitement correspondant.

Aucune modification ultérieure ne rend licite rétroactivement un traitement dépourvu de fondement au moment de sa réalisation.

21. Contact relatif aux données personnelles

Responsable du traitement : drasmiko
Adresse : 2343 Hubbard Ct, Troy, MO 63379, États-Unis
Téléphone : (636) 081-3476
Courriel : assistance@drasmiko.com

Le service chargé des demandes relatives aux données est ouvert du lundi au vendredi, selon l’heure de Paris :

• de 09 h 00 à 12 h 00 ;

• de 14 h 30 à 17 h 30.

Le service est fermé le samedi et le dimanche.