Préambule

L’autoentreprise « Drôle de bois » attache une importance fondamentale à la protection de vos données personnelles et au respect de votre vie privée. La présente Politique de Confidentialité a pour objet de vous informer, de manière claire et transparente, sur la façon dont nous collectons, utilisons, conservons et protégeons vos données à caractère personnel dans le cadre de l’utilisation de notre site internet https://drolesdebois.fr, incluant notre boutique en ligne et notre service de newsletter.

Cette politique est rédigée conformément au Règlement Général sur la Protection des Données (RGPD) – Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 –, à la Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (dite « Loi Informatique et Libertés »), telle que modifiée, ainsi qu’aux recommandations de la Commission Nationale de l’Informatique et des Libertés (CNIL).

1. Identité du responsable du traitement

Le responsable du traitement de vos données personnelles est :

Dénomination sociale	Drôles de bois
Forme juridique	EI
Adresse du siège	12 avenue du Point du Jour. 69005Lyon
SIRET	98518259100018
Téléphone	06 41 81 39 37
Adresse e-mail	contact@drolesdebois.fr
Site internet	https://drolesdebois.fr
Représentant légal	Nathalie Tavernier, autoentrepeneur

Délégué à la Protection des Données (DPO) L’entreprise « Drôles de bois » n’est pas soumise à l’obligation de nommer un délégué à la Protection des Données.

2. Données à caractère personnel collectées

Dans le cadre de l’exploitation de notre site, nous sommes susceptibles de collecter les catégories de données suivantes :

2.1 – Données collectées lors de la création d’un compte client

• Civilité, nom et prénom
• Adresse de facturation et adresse de livraison
• Adresse e-mail
• Mot de passe (stocké sous forme hachée et salée)
• Numéro de téléphone (facultatif)
• Date de naissance (si applicable)

2.2 – Données collectées lors d’une commande (boutique en ligne)

• Données d’identification : nom, prénom, adresse e-mail
• Adresse de facturation et adresse de livraison
• Données relatives à la commande : articles commandés, montants, historique
• Données de paiement : numéro de carte bancaire (traité exclusivement par notre prestataire de paiement sécurisé certifié PCI-DSS – nous ne stockons jamais les données complètes de carte)
• Numéro de suivi de livraison

2.3 – Données collectées lors de l’inscription à la newsletter

• Adresse e-mail
• Civilité et prénom
• Date et heure d’inscription
• Adresse IP au moment de l’inscription (preuve de consentement)
• Préférences de communication (si renseignées)

2.4 – Données collectées automatiquement

• Données de navigation : adresse IP, type et version du navigateur, système d’exploitation
• Pages visitées, durée des visites, chemins de navigation
• Identifiants de cookies et traceurs (voir notre Politique de Cookies)
• Logs de connexion et d’accès au serveur

2.5 – Données collectées via le formulaire de contact

• Nom, prénom, adresse e-mail
• Objet et contenu du message
• Toute information que vous choisissez de communiquer

⚠ Données sensibles Nous ne collectons intentionnellement aucune donnée dite « sensible » au sens de l’article 9 du RGPD (données révélant l’origine raciale, les opinions politiques, les convictions religieuses, les données de santé, etc.). Nous vous demandons de ne pas communiquer de telles données via nos formulaires.

3. Finalité des traitements et des bases légales

Conformément à l’article 13 du RGPD, chaque traitement repose sur une base juridique licite :

Finalité	Base légale (art. 6 RGPD)	Durée de conservation
Gestion des commandes et exécution du contrat de vente	Exécution d’un contrat (art. 6.1.b)	5 ans à compter de la dernière commande (prescription civile)
Envoi de la newsletter (informations et promotions)	Consentement (art. 6.1.a) – librement donné, spécifique et révocable	Jusqu’au retrait du consentement ou 3 ans après le dernier engagement actif
Gestion du compte client	Exécution d’un contrat (art. 6.1.b)	Durée de vie du compte + 3 ans après fermeture
Traitement des paiements et lutte contre la fraude	Obligation légale (art. 6.1.c) + Intérêt légitime (art. 6.1.f)	13 mois (données de carte) / 5 ans (données de transaction)
Obligations comptables et fiscales	Obligation légale (art. 6.1.c) – Code de commerce art. L. 123-22	10 ans à compter de la clôture de l’exercice comptable
Réponse aux demandes de contact / SAV	Intérêt légitime (art. 6.1.f) / Exécution d’un contrat (art. 6.1.b)	1 an après résolution de la demande
Amélioration du site – statistiques d’audience anonymisées	Consentement (art. 6.1.a) ou Intérêt légitime (art. 6.1.f) selon outil utilisé	25 mois (durée maximale recommandée par la CNIL)

4. Destinataire des données

Vos données à caractère personnel sont destinées, dans les limites strictement nécessaires à l’accomplissement de leurs missions, aux catégories de destinataires suivantes :

4.1 – Sous-traitants (prestataires de services)

Nous faisons appel à des prestataires tiers qui traitent des données en notre nom, en qualité de sous-traitants au sens de l’article 28 du RGPD. Ces prestataires sont liés par des clauses contractuelles garantissant un niveau de protection équivalent au nôtre :

Catégorie	Prestataire	Données transmises
Hébergeur web	OVH– France	Toutes données stockées sur les serveurs
Prestataire de paiement	WooCommerce (Stripe) / La banque postale – certifié PCI-DSS	Données de paiement, montant, identité
Solution d’emailing / newsletter	MAILPOET	E-mail, prénom, préférences
Transporteur / logistique	LA POSTE / COLISSIMO	Nom, adresse de livraison, téléphone
Outil d’analyse / statistiques	MATOMO / JETPACK	Données de navigation anonymisées ou pseudonymisées

4.2 – Autorités compétentes

Nous pouvons être amenés à communiquer vos données aux autorités judiciaires, administratives ou gouvernementales compétentes, lorsque la loi nous y oblige ou en cas de réquisition judiciaire.

Nous ne vendons, ne louons et ne cédons jamais vos données personnelles à des tiers à des fins commerciales.

5. Transferts de données hors de l’union européenne

Certains de nos prestataires peuvent être établis en dehors de l’Union européenne ou de l’Espace Économique Européen (EEE), notamment aux États-Unis. Dans ce cas, nous nous assurons que les transferts de données sont encadrés par des garanties appropriées conformément aux articles 44 à 49 du RGPD :

• Décision d’adéquation de la Commission européenne (ex. : États-Unis dans le cadre du Data Privacy Framework reconnu par la décision du 10 juillet 2023)
• Clauses contractuelles types (CCT) approuvées par la Commission européenne
• Règles d’entreprise contraignantes (Binding Corporate Rules) pour les groupes multinationaux
• Codes de conduite ou mécanismes de certification approuvés

Vous pouvez obtenir une copie des garanties mises en place pour les transferts en adressant une demande à : contact@drolesdebois.fr.

6. Vos droits en matière de protection des données

Conformément au RGPD (articles 15 à 22) et à la Loi Informatique et Libertés, vous disposez des droits suivants concernant vos données personnelles :

6.1 – Droit d’accès (art. 15 RGPD)

Vous avez le droit d’obtenir la confirmation que des données vous concernant sont ou non traitées et, si elles le sont, d’en obtenir une copie ainsi que des informations sur leur traitement.

6.2 – Droit de rectification (art. 16 RGPD)

Vous pouvez demander la correction de vos données inexactes ou incomplètes.

6.3 – Droit à l’effacement / « droit à l’oubli » (art. 17 RGPD)

Vous pouvez demander la suppression de vos données dans les cas prévus par la loi (données non nécessaires, retrait du consentement, opposition fondée, traitement illicite), sauf si leur conservation est requise par une obligation légale.

6.4 – Droit à la limitation du traitement (art. 18 RGPD)

Dans certaines circonstances, vous pouvez demander que le traitement de vos données soit temporairement suspendu.

6.5 – Droit à la portabilité (art. 20 RGPD)

Pour les traitements fondés sur le consentement ou l’exécution d’un contrat et effectués par voie automatisée, vous pouvez recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement.

6.6 – Droit d’opposition (art. 21 RGPD)

Vous pouvez vous opposer à tout moment au traitement de vos données à des fins de prospection commerciale (y compris le profilage). Pour les traitements fondés sur l’intérêt légitime, vous pouvez vous y opposer pour des raisons tenant à votre situation particulière.

6.7 – Droit de retrait du consentement

Lorsque le traitement est fondé sur votre consentement, vous pouvez le retirer à tout moment, sans que cela porte atteinte à la licéité du traitement fondé sur ce consentement avant son retrait. Pour la newsletter, un lien de désabonnement est présent dans chaque e-mail.

6.8 – Droit de définir des directives post-mortem (art. 85 Loi Informatique et Libertés)

Vous pouvez définir des directives relatives à la conservation, à l’effacement et à la communication de vos données après votre décès.

Comment exercer vos droits ? Pour exercer l’un de ces droits, adressez votre demande : • Par e-mail à : contact@drolesdebois.fr • Par courrier postal à : Drôles de bois – à l’attention de Nathalie Tavernier – 12, avenue du Point du Jour 69005 Lyon. Nous vous répondrons dans un délai d’un (1) mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois supplémentaires en cas de demandes complexes ou nombreuses. Une pièce d’identité pourra vous être demandée pour vérifier votre identité.

Si vous estimez que le traitement de vos données personnelles porte atteinte à vos droits, vous pouvez introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) :

• Site internet : www.cnil.fr
• Adresse postale : CNIL – 3 Place de Fontenoy – TSA 80715 – 75334 PARIS CEDEX 07
• Téléphone : 01 53 73 22 22

7. Cookies et traceurs

Notre site utilise des cookies et autres traceurs conformément à la réglementation applicable (Directive ePrivacy 2002/58/CE, RGPD et délibération CNIL n° 2020-091 du 17 septembre 2020).

7.1 – Définition

Un cookie est un petit fichier texte déposé sur votre terminal (ordinateur, smartphone, tablette) lors de la visite de notre site. Il permet de reconnaître votre navigateur et de mémoriser certaines informations.

7.2 – Catégories de cookies utilisés

Type de cookie	Finalité	Consentement requis
Cookies strictement nécessaires	Fonctionnement du site, panier, session, sécurité	Non – exemptés
Cookies analytiques / statistiques	Mesure d’audience, comportement de navigation	Oui (sauf anonymisation totale)
Cookies de personnalisation	Mémorisation de préférences, langue, devise	Oui
Cookies de marketing / publicité	Ciblage publicitaire, retargeting, réseaux sociaux	Oui

7.3 – Gestion de vos préférences

Lors de votre première visite, un bandeau vous informe de la présence de cookies et vous permet d’accepter ou de refuser les cookies non nécessaires. Vous pouvez modifier vos préférences à tout moment via le lien « Gestion des cookies » accessible en pied de page de notre site. Vous pouvez également paramétrer votre navigateur pour bloquer les cookies (voir l’aide de votre navigateur).

8. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques, conformément à l’article 32 du RGPD. Ces mesures comprennent notamment :

• Chiffrement des communications par protocole TLS/HTTPS
• Hachage et salage des mots de passe (algorithme bcrypt ou équivalent)
• Contrôle d’accès strict aux données (principe du moindre privilège)
• Procédures de sauvegarde régulières et chiffrées
• Surveillance et journalisation des accès aux systèmes
• Formation et sensibilisation du personnel aux bonnes pratiques
• Politique de gestion des incidents et de notification des violations de données

En cas de violation de données à caractère personnel susceptible d’engendrer un risque élevé pour vos droits et libertés, nous nous engageons à vous en informer dans les meilleurs délais, conformément à l’article 34 du RGPD.

9. Protection des mineurs

Notre site est destiné à un public adulte. Nous ne collectons pas sciemment de données personnelles concernant des enfants de moins de 15 ans sans le consentement préalable de leurs parents ou tuteurs légaux, conformément à l’article 8 du RGPD et à l’article 7-1 de la Loi Informatique et Libertés.

Si nous apprenons qu’un mineur de moins de 15 ans nous a communiqué des données sans autorisation parentale, nous procéderons à leur suppression dans les meilleurs délais.

10. Dispositions spécifiques à la newsletter

L’abonnement à notre newsletter est soumis à votre consentement libre, spécifique, éclairé et non équivoque, recueilli via un formulaire dédié. Ce consentement est documenté et archivé conformément aux exigences du RGPD.

10.1 – Double opt-in

Afin de garantir l’authenticité de votre consentement, nous utilisons un mécanisme de double confirmation (double opt-in) : après avoir saisi votre adresse e-mail, vous recevrez un e-mail de confirmation auquel vous devrez répondre pour valider votre inscription.

10.2 – Désabonnement

Vous pouvez vous désabonner à tout moment et sans frais en cliquant sur le lien de désabonnement présent dans chaque newsletter, ou en nous contactant à contact@drolesdebois.fr La prise en compte de votre demande interviendra dans un délai maximum de 72 heures.

10.3 – Profilage et segmentation

Nous pouvons utiliser des données comportementales (taux d’ouverture, clics) pour personnaliser nos communications. Si vous souhaitez vous y opposer, contactez-nous à contact@drolesdebois.fr.

11. Dispositions spécifiques à la boutique en ligne

11.1 – Données de paiement

Vos données de paiement sont traitées de manière sécurisée par nos prestataires de paiement WooCommerce (Stripe) et la Banque postale , certifiés PCI-DSS niveau 1. Nous ne stockons jamais vos données de carte bancaire complètes sur nos serveurs.

11.2 – Conservation des données de commandes

Les données relatives à vos commandes sont conservées pendant 5 ans à compter de la date de la dernière commande, conformément à la prescription quinquennale de droit commun (article 2224 du Code civil). Les données à des fins comptables sont conservées 10 ans (article L.123-22 du Code de commerce).

11.3 – Droit de rétractation et SAV

Les données nécessaires à l’exercice de votre droit de rétractation (14 jours conformément à l’article L221-18 du Code de la consommation) et au traitement des réclamations SAV sont conservées pendant la durée légale applicable.

11.4 – Avis clients

Si vous déposez un avis sur un produit, votre pseudonyme et la date de l’avis seront affichés publiquement. Nous ne publions pas votre adresse e-mail. Vous pouvez demander la suppression de votre avis en nous contactant.

12. Modifications de la politique de confidentialité

Nous nous réservons le droit de modifier la présente Politique de Confidentialité à tout moment, notamment pour nous conformer à toute évolution légale, réglementaire, jurisprudentielle ou technique. En cas de modification substantielle, nous vous en informerons par e-mail (si vous êtes inscrit à notre newsletter ou titulaire d’un compte) ou par l’affichage d’un bandeau d’information sur notre site.

La date de dernière mise à jour figurant en tête de ce document fait foi. Nous vous encourageons à consulter régulièrement cette page.

13. Contact et réclamations

Pour toute question relative à cette Politique de Confidentialité ou à l’exercice de vos droits : E-mail : contact@drolesdebois.fr Courrier : Drôles de bois – à l’attention de Nathalie Tavernier – 12 avenue du Point du Jour 69005Lyon Formulaire en ligne : Formulaire de contact Nous nous engageons à traiter votre demande dans un délai d’un (1) mois à compter de sa réception.

Si vous n’êtes pas satisfait de notre réponse ou si vous estimez que le traitement de vos données n’est pas conforme à la réglementation, vous disposez du droit d’introduire une réclamation auprès de la CNIL (www.cnil.fr).

14. Lois applicables et juridiction compétente

La présente Politique de Confidentialité est soumise au droit français et au Règlement (UE) 2016/679 (RGPD). Tout litige relatif à son interprétation ou à son exécution sera soumis aux tribunaux compétents du ressort de la ville de Lyon, sauf disposition légale impérative contraire.