Ce qui est collecté, pourquoi, pour combien de temps, et par qui c'est lu. Écrit pour être compris, pas pour être long.
Le responsable du traitement est Camille FLEURY EI (nom commercial DOJI), 33 rue Maréchal Leclerc, 71200 Le Creusot, dont l'identité complète figure dans les mentions légales.
Contact pour toute question relative aux données personnelles : contact@dojibrand.com.
Compte tenu de la nature et du volume des traitements, la désignation d'un délégué à la protection des données n'est pas obligatoire (article 37 du RGPD). Les demandes sont traitées directement à l'adresse ci-dessus.
Chaque donnée est collectée pour une raison précise, avec une base légale précise, et n'est pas conservée au-delà.
| Traitement | Données | Base légale | Conservation |
|---|---|---|---|
| Traiter et livrer une commande | Adresse électronique, nom, adresse postale, téléphone, contenu de la commande | Exécution du contrat (art. 6.1.b du RGPD) | Durée de la relation, puis archivage lié aux obligations comptables |
| Établir et conserver les factures | Identité, adresse, détail et montant de la commande | Obligation légale (art. 6.1.c ; art. L. 123-22 du code de commerce) | 10 ans à compter de la clôture de l'exercice |
| Encaisser le paiement et lutter contre la fraude | Identifiants de transaction (aucune donnée de carte côté DOJI) | Exécution du contrat et obligation légale | Selon les règles de Stripe, responsable de ce traitement pour sa part |
| Envoyer les emails de commande et d'expédition | Adresse électronique, numéro de commande, numéro de suivi | Exécution du contrat | Le temps de l'acheminement, puis journaux techniques du prestataire |
| Gérer un compte client (facultatif) | Adresse électronique, mot de passe chiffré, historique de commandes | Exécution du contrat / consentement | Jusqu'à la suppression du compte, ou 3 ans sans connexion |
| Liste d'attente du lancement | Adresse électronique, date d'inscription | Consentement (art. 6.1.a) | Jusqu'au retrait du consentement, et au plus tard 3 ans après l'inscription |
| Répondre à une réclamation, gérer un litige | Échanges et pièces transmises | Intérêt légitime (art. 6.1.f) : pouvoir défendre ses droits | Durée de la prescription applicable |
Les données marquées comme obligatoires sont nécessaires : sans elles, la commande ne peut pas être traitée ni livrée. Les autres sont facultatives.
Aucune décision automatisée produisant des effets juridiques, et aucun profilage, n'est mis en œuvre.
Le retrait du consentement, lorsqu'il fonde le traitement, est possible à tout moment et sans justification. Il ne remet pas en cause la licéité des traitements déjà effectués.
Le back-office affiche le nombre de personnes présentes sur le site à l'instant. Ce point mérite d'être expliqué plutôt que passé sous silence.
Ce n'est donc pas un traceur et cela ne le deviendra pas : le jour où une mesure d'audience serait mise en place, elle serait annoncée et soumise à consentement.
Les données ne sont ni vendues, ni louées, ni cédées à des fins commerciales. Elles sont accessibles au responsable du traitement et à un nombre restreint de prestataires, chacun lié par un contrat de sous-traitance conforme à l'article 28 du RGPD et n'agissant que sur instruction :
| Prestataire | Rôle | Données concernées |
|---|---|---|
| Supabase | Base de données, comptes, fonctions serveur | Commandes, comptes, liste d'attente |
| Netlify, Inc. | Hébergement des pages | Journaux techniques de connexion |
| Stripe Payments Europe, Ltd. | Paiement (responsable de traitement pour sa part) | Identité, adresse, coordonnées de paiement |
| Resend | Envoi des emails de commande | Adresse électronique, contenu du message |
| Mondial Relay | Livraison en point relais | Nom, adresse, téléphone, adresse électronique |
| Colissimo (La Poste) | Livraison à domicile | Nom, adresse, téléphone |
Les données peuvent en outre être communiquées aux autorités administratives ou judiciaires lorsque la loi l'impose.
Les commandes, les comptes et le catalogue sont hébergés par Supabase sur une infrastructure située à Paris (région eu-west-3). Au repos, ces données ne quittent pas la France.
Certains prestataires sont établis aux États-Unis ou peuvent y accéder depuis leurs équipes de support (Netlify, Resend, ainsi que la maison mère de Supabase et celle de Stripe). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, complétées le cas échéant par l'adhésion du prestataire au Data Privacy Framework UE–États-Unis.
Une copie des garanties applicables peut être demandée à contact@dojibrand.com.
Conformément au règlement (UE) 2016/679 et à la loi n° 78-17 du 6 janvier 1978 modifiée, toute personne dispose des droits suivants sur ses données :
Ces droits s'exercent à contact@dojibrand.com. Une réponse est apportée dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe, auquel cas la personne en est informée. Un justificatif d'identité peut être demandé en cas de doute raisonnable, et uniquement dans ce cas.
En cas de réponse insatisfaisante, une réclamation peut être adressée à la Commission nationale de l'informatique et des libertés :
| CNIL | 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 |
| En ligne | cnil.fr/fr/plaintes |
Les mesures suivantes sont en place :
En cas de violation de données susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, celles-ci sont informées dans les meilleurs délais, et la CNIL est notifiée dans les 72 heures (articles 33 et 34 du RGPD).
Le site ne s'adresse pas aux mineurs de moins de quinze ans et aucune donnée n'est collectée sciemment à leur sujet. Un représentant légal constatant qu'un tel mineur a transmis des données peut en demander la suppression à contact@dojibrand.com : elle est effectuée sans délai.
Cette politique peut évoluer, notamment en cas de changement de prestataire ou de nouveau traitement. La date de la version en vigueur figure en tête de page. Toute modification substantielle est portée à la connaissance des personnes concernées par les moyens appropriés.