Politique de confidentialité

Voici comment Nyx & Bone gère vos données : ce qu'on collecte, à quoi ça sert, qui y accède, et comment vous gardez la main dessus.

Responsable du traitement

Le responsable du traitement des données est :

Merlin Lehning, entreprise individuelle (nom commercial Nyx & Bone)
SIRET : 989 503 693 00016
Adresse : 16 bis Traverse des Quatre Chemins de Montolivet, Villa Toscana bât. 3, 13012 Marseille, France
Email : [email protected]

Quelles données on collecte, et pour quoi faire

Lors d'une commande

• Identité : nom, prénom (pour livraison et facturation)
• Coordonnées : email, téléphone, adresse postale (livraison et suivi)
• Commande : produits achetés, montant, mode de paiement (sans les coordonnées bancaires)

Base légale : exécution du contrat de vente. Durée de conservation : 10 ans pour les obligations comptables, puis suppression.

Lors de la navigation

• Cookie de session panier : identifiant aléatoire (UUID) pour mémoriser votre panier en cours, 30 jours.
• Cookies de mesure d'audience anonyme : agrégats de pages vues sans suivi croisé entre sites, sans empreinte navigateur, sans publicité.
• Aucune trace de navigation n'est revendue à des tiers.

Base légale : intérêt légitime pour la mesure d'audience anonyme, consentement pour les cookies non essentiels.

Lors d'une inscription newsletter

• Email : pour vous envoyer Le Codex et les nouveautés brand.

Base légale : consentement, retiré en un clic via le lien de désinscription présent dans chaque envoi. Durée : jusqu'à désinscription, puis 1 an pour preuve de consentement, puis suppression.

Qui a accès à vos données

Vos données sont accessibles aux personnes et prestataires strictement nécessaires à leur traitement :

• Nous : pour gérer commandes, réclamations, livraisons
• Hetzner Online GmbH (Allemagne) : hébergement du site, datacenter Nuremberg
• Neon (Union européenne) : base de données des commandes et clients
• Stripe (Irlande / USA) : traitement des paiements, certifié PCI-DSS
• CJ Dropshipping (Chine), notre partenaire de fabrication et d'expédition : nom, adresse et téléphone uniquement, pour préparation et envoi de votre commande
• Resend (USA) : envoi des emails transactionnels (confirmation, expédition)
• Brevo (France) : envoi de la newsletter si vous êtes inscrite

Transferts hors Union européenne

Stripe et Resend sont basés aux États-Unis et certifiés EU-US Data Privacy Framework. Nos transferts s'appuient sur des clauses contractuelles types validées par la Commission européenne.

CJ Dropshipping est basé en Chine. Le transfert se limite aux informations strictement nécessaires à l'expédition (nom, adresse, téléphone, produits commandés) et repose également sur des clauses contractuelles types.

Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :

• Accès : obtenir une copie des données qu'on détient sur vous
• Rectification : corriger une information inexacte
• Effacement : demander la suppression (sauf obligations légales de conservation)
• Limitation : geler le traitement pendant un litige
• Portabilité : récupérer vos données dans un format lisible
• Opposition : refuser un traitement reposant sur l'intérêt légitime
• Retrait du consentement : à tout moment, pour les traitements basés sur consentement
• Directives post-mortem : organiser le sort de vos données après votre décès

Comment exercer ces droits

Écrivez à [email protected] avec le sujet « RGPD » et précisez le droit que vous souhaitez exercer. Nous répondons dans un délai d'un mois maximum (prolongeable à trois mois pour demandes complexes, avec accusé de réception). Une pièce d'identité peut être demandée pour vérifier qu'on s'adresse à la bonne personne.

Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL à tout moment : www.cnil.fr/fr/plaintes.

Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données : chiffrement TLS de toutes les communications, accès restreint aux bases via mots de passe forts et authentification à deux facteurs, hébergement chez des prestataires certifiés ISO 27001, suppression automatique des sessions inactives.

Mise à jour de cette politique

Nous pouvons faire évoluer cette politique pour refléter des changements de service, de législation ou de prestataires. La date de dernière mise à jour est indiquée en haut de cette page. En cas de changement substantiel, vous serez prévenue par email si vous êtes inscrite à la newsletter.