Politique de confidentialité

1. Responsable du traitement

Conformément au règlement (UE) 2016/679, règlement général sur la protection des données (RGPD), et à la loi organique espagnole 3/2018, du 5 décembre, sur la protection des données à caractère personnel et la garantie des droits numériques (LOPDGDD), le responsable du traitement des données personnelles collectées via ce Site est :

• Identité : Tever Díaz García, personne physique.
• NIF : 71661831H.
• Adresse : C/ Xeneral Elorza 72, 1D, 33001 Uviéu, Asturies, Espagne.
• Contact : [email protected].
• Délégué à la protection des données (DPO) : la désignation d'un DPO n'est pas requise. La loi ne l'impose qu'à partir d'un certain volume ou type de traitement (art. 37.1 RGPD) — par exemple, un traitement à grande échelle de données sensibles ou une surveillance systématique des personnes. Cette boutique ne fait ni l'un ni l'autre : elle traite uniquement les données nécessaires pour expédier et facturer les commandes.

2. Données personnelles traitées

Les données suivantes sont recueillies lors du processus d'achat :

• Nom et prénom (obligatoire) — identification de l'acheteur, livraison, facturation.
• Adresse électronique (obligatoire) — confirmation de commande, communications relatives à la commande, consultation de commande sans compte.
• Téléphone (obligatoire) — exclusivement pour les incidents de livraison (contact du transporteur/prestataire de fabrication en cas de problème de livraison).
• Adresse de livraison (obligatoire) — livraison physique du produit.
• Adresse de facturation (facultative, par défaut celle de livraison) — uniquement si le client en indique une différente.
• Numéro fiscal (NIF/NIE/CIF) (obligatoire) — obligation fiscale d'émission de facture.
• Historique de commande (généré, non saisi par l'utilisateur) — gestion de la commande, service après-vente, consultation par courriel + code d'accès.

Aucune donnée de catégorie particulière n'est demandée (art. 9 RGPD : santé, idéologie, orientation sexuelle, etc.). Il n'y a pas de création de comptes utilisateurs ni de profils : le Site ne stocke pas de mots de passe ni d'historique de navigation associé à une identité persistante au-delà de la commande elle-même.

Le numéro fiscal n'est jamais transmis au prestataire de fabrication (Printful) : il est réservé exclusivement à la facturation, en tant que mesure de minimisation des données par conception (art. 25 RGPD). Il est en revanche transmis, avec le reste des données de facturation, au système qui émet la facture — voir point 4.

Données de paiement : le Site ne recueille ni ne stocke de données de carte bancaire. Le paiement est traité intégralement par Stripe (API Payment Intents) ; le serveur de La Vieya Asturies ne reçoit ni ne voit jamais le numéro de carte, le CVC ou la date d'expiration — ces données transitent directement du navigateur du client vers Stripe.

3. Base juridique du traitement

Conformément à l'art. 6.1 RGPD :

• Exécution d'un contrat (art. 6.1.b) : traitement du nom, de l'e-mail, du téléphone, de l'adresse de livraison/facturation — nécessaires à la gestion de l'achat, à la fabrication et à la livraison du produit.
• Respect d'une obligation légale (art. 6.1.c) : traitement du numéro fiscal, nécessaire à l'émission de la facture conformément à la réglementation fiscale (règlement de facturation, RD 1619/2012, et réglementation Veri*Factu).
• Aucune donnée n'est traitée sur la base du consentement dans le cadre du processus d'achat lui-même. Le Site n'envoie actuellement aucune communication commerciale ni e-mail marketing.

4. Destinataires des données (transferts et sous-traitants)

Les données sont communiquées aux tiers suivants, uniquement dans la mesure nécessaire à la fourniture du service contracté :

• Printful (fabrication à la demande) : reçoit le nom, l'adresse de livraison complète et le téléphone s'il a été fourni — jamais l'e-mail, jamais le numéro fiscal. Utilisé pour fabriquer et expédier le produit. Agit en tant que sous-traitant (art. 28 RGPD).
• Stripe (passerelle de paiement) : gère intégralement les données de paiement, qui ne transitent jamais par le serveur de La Vieya Asturies ; peut également recevoir le nom/e-mail pour traiter le paiement et prévenir la fraude. Agit en tant que sous-traitant (art. 28 RGPD) et, pour sa propre fonction de prévention de la fraude, en tant que responsable indépendant selon sa propre politique de confidentialité.
• Dolibarr / Xiringase (système de facturation) : reçoit le nom, l'e-mail, le numéro fiscal, l'adresse de facturation et le montant de la commande, uniquement pour émettre la facture. Agit en tant que sous-traitant (art. 28 RGPD).

Les données ne sont pas cédées à des tiers à des fins de marketing. Il n'y a pas de vente de données à des tiers.

5. Transferts internationaux

Stripe et Printful peuvent traiter des données en dehors de l'Espace économique européen (tous deux ont leur siège aux États-Unis). Chacun s'appuie sur une garantie différente :

• Stripe : certifié dans le cadre d'adéquation UE-États-Unis (Data Privacy Framework, décision d'exécution (UE) 2023/1795 de la Commission), renforcé par des clauses contractuelles types (art. 46 RGPD) à titre de garantie supplémentaire.
• Printful : via des clauses contractuelles types (art. 46 RGPD), conformément à la décision d'exécution (UE) 2021/914 de la Commission.

Dolibarr/Xiringase traite les données en Espagne, sans transfert international.

6. Durée de conservation

Les données de commande (identification, adresse, facture) sont conservées aussi longtemps que la loi l'exige : 4 ans à des fins fiscales (art. 66 et suivants de la loi générale des impôts 58/2003) et 6 ans à des fins commerciales (art. 30 du Code de commerce). Passé ce délai, elles sont supprimées ou anonymisées, sauf obligation légale de les conserver sous forme bloquée.

7. Communications commerciales / marketing

Cette boutique n'envoie ni publicité ni newsletter par e-mail. Si cela change à l'avenir, cette page sera mise à jour pour expliquer la base juridique (votre consentement, art. 6.1.a RGPD) et comment vous désinscrire, conformément également à l'art. 21 de la loi 34/2002 (LSSI-CE).

8. Facturation et Veri*Factu

Le numéro fiscal que vous fournissez lors du paiement sert à émettre votre facture, via Dolibarr/Xiringase (voir point 4). La réglementation anti-fraude en matière de facturation (RD 1007/2023, dite Veri*Factu) exige que le logiciel de facturation utilisé garantisse que les enregistrements de facturation ne peuvent être ni modifiés ni supprimés une fois émis.

9. Vos droits sur vos données

Vous avez le droit de :

• Accéder à vos données personnelles (art. 15 RGPD).
• Rectifier des données inexactes (art. 16 RGPD).
• Demander l'effacement de vos données (art. 17 RGPD), le cas échéant.
• Demander la limitation de leur traitement (art. 18 RGPD).
• Vous opposer au traitement (art. 21 RGPD).
• Demander la portabilité de vos données (art. 20 RGPD).
• Retirer votre consentement à tout moment, lorsque le traitement est fondé sur celui-ci, sans affecter ce qui a déjà été traité (art. 7.3 RGPD).

Pour exercer l'un de ces droits, écrivez à [email protected] avec pour objet « Exercice des droits RGPD » et joignez une copie d'un document justifiant de votre identité. Si vous estimez que vos données n'ont pas été traitées correctement, vous pouvez aussi déposer une réclamation auprès de l'Agence espagnole de protection des données (AEPD, www.aepd.es).

10. Sous-traitants et garanties

Printful, Stripe et Dolibarr/Xiringase agissent en tant que sous-traitants (art. 28 RGPD) pour les finalités décrites au point 4, selon leurs accords de sous-traitance (DPA) respectifs.

11. Sécurité

Nous appliquons des mesures techniques et organisationnelles pour protéger vos données contre tout accès non autorisé, perte ou altération (art. 32 RGPD), y compris le chiffrement en transit (HTTPS) sur l'ensemble du Site.

12. Cookies

Voir la Politique de Cookies pour le détail de l'utilisation des cookies et du stockage local sur le Site.