Politique de protection des données personnelles

1. Objet et cadre réglementaire

La présente politique a pour objet de présenter les principes et les obligations applicables à la protection des données personnelles dans le cadre des activités du site https://lavyvpuvor.com.

Elle complète les informations pratiques relatives à la collecte et à l'utilisation des données figurant dans la politique de confidentialité. Elle porte plus particulièrement sur le cadre juridique applicable, les responsabilités des acteurs intervenant dans les traitements, les garanties relatives aux données personnelles et les droits reconnus aux personnes concernées.

La protection des données personnelles est notamment encadrée par :

• Le Règlement (UE) 2016/679 du 27 avril 2016, dit Règlement général sur la protection des données (RGPD) ;

• La loi française n° 78-17 du 6 janvier 1978 modifiée, relative à l'informatique, aux fichiers et aux libertés ;

• Les dispositions réglementaires et recommandations applicables en matière de protection des données personnelles.

Nous veillons à ce que les traitements relevant de ce cadre juridique soient réalisés dans le respect des droits et libertés fondamentaux des personnes concernées.

2. Champ d'application territorial et matériel

La présente politique concerne les traitements de données personnelles susceptibles d'être réalisés dans le cadre de l'accès au site, de la consultation de ses contenus, des échanges avec le service client et, le cas échéant, de l'utilisation des services de vente en ligne.

Conformément à l'article 3 du RGPD, ce règlement peut notamment s'appliquer aux traitements effectués dans le cadre des activités d'un établissement situé dans l'Union européenne, ainsi qu'aux traitements réalisés par un responsable du traitement ou un sous-traitant non établi dans l'Union européenne lorsque ces traitements sont liés à l'offre de biens ou de services à des personnes qui se trouvent dans l'Union européenne.

Le fait de proposer des produits ou des services aux consommateurs situés en France ou dans d'autres États membres de l'Union européenne peut donc entraîner l'application du RGPD, même lorsque l'activité est exercée depuis un pays tiers.

La présente politique s'applique aux données personnelles des personnes physiques concernées par ces traitements, qu'elles soient clientes, visiteurs du site ou personnes prenant contact avec le service client.

3. Principes fondamentaux de la protection des données

Tout traitement de données personnelles doit respecter les principes énoncés à l'article 5 du RGPD.

3.1. Licéité, loyauté et transparence

Les données personnelles doivent être traitées sur une base juridique valable, de manière loyale et dans des conditions compréhensibles pour les personnes concernées.

Les informations relatives aux traitements doivent être accessibles, claires et suffisamment précises pour permettre à chacun de comprendre l'utilisation de ses données.

3.2. Limitation des finalités

Les données personnelles sont collectées pour des finalités déterminées, explicites et légitimes.

Elles ne peuvent pas être réutilisées ultérieurement d'une manière incompatible avec les finalités initialement définies, sauf dans les conditions autorisées par la réglementation.

3.3. Minimisation des données

Seules les données adéquates, pertinentes et nécessaires aux finalités poursuivies doivent être collectées et traitées.

La collecte d'informations excessives ou sans rapport avec le service demandé doit être évitée.

3.4. Exactitude des données

Les données personnelles doivent être exactes et, si nécessaire, mises à jour.

Lorsque des informations sont inexactes ou incomplètes, les mesures appropriées doivent être prises afin de les rectifier ou de les compléter.

3.5. Limitation de la conservation

Les données personnelles ne doivent pas être conservées sous une forme permettant l'identification des personnes au-delà de la durée nécessaire aux finalités du traitement, sous réserve des obligations légales de conservation et des exceptions prévues par la réglementation.

3.6. Intégrité et confidentialité

Les données personnelles doivent être protégées contre les accès non autorisés, la perte, la destruction, la divulgation ou l'altération accidentelle ou illicite.

Les mesures de protection doivent être adaptées à la nature des données, aux modalités du traitement et aux risques identifiés.

3.7. Responsabilité et démonstration de conformité

Conformément au principe de responsabilité prévu à l'article 5, paragraphe 2, du RGPD, le responsable du traitement doit être en mesure de démontrer le respect des principes applicables.

Cette obligation implique notamment une documentation appropriée des traitements et une réévaluation des mesures de conformité lorsque les circonstances l'exigent.

4. Licéité des traitements et bases juridiques

Conformément à l'article 6 du RGPD, un traitement de données personnelles n'est licite que s'il repose sur au moins une base juridique prévue par ce règlement.

La base juridique doit être déterminée en fonction de la finalité réelle de chaque traitement. Elle ne peut pas être choisie de manière générale ou indifférenciée pour l'ensemble des activités.

4.1. Consentement de la personne concernée

Le consentement peut constituer la base juridique d'un traitement lorsque la personne concernée accepte librement, spécifiquement, de manière éclairée et univoque l'utilisation de ses données pour une ou plusieurs finalités déterminées.

Lorsqu'il est requis, le consentement doit pouvoir être retiré aussi facilement qu'il a été donné.

Son retrait ne remet pas en cause la licéité des traitements effectués avant ce retrait.

4.2. Exécution d'un contrat

Le traitement peut être nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à sa demande.

Cette base juridique peut notamment concerner les opérations indispensables à la gestion d'une commande, au traitement d'un paiement, à l'organisation d'une livraison ou au traitement d'une demande relative à un achat.

4.3. Respect d'une obligation légale

Certaines opérations de traitement peuvent être nécessaires au respect d'une obligation légale à laquelle le responsable du traitement est soumis.

Cela peut notamment concerner les obligations applicables en matière de comptabilité, de fiscalité, de conservation de documents ou de réponse aux demandes des autorités compétentes.

4.4. Intérêts légitimes

Le traitement peut être fondé sur les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à condition que ces intérêts ne prévalent pas sur les droits et libertés fondamentaux de la personne concernée.

Cette base juridique peut notamment être envisagée pour la sécurité du site, la prévention des utilisations frauduleuses, la défense de droits en justice ou certaines opérations nécessaires à la gestion de l'activité.

Lorsque cette base est utilisée, les intérêts poursuivis et les conséquences du traitement doivent être appréciés au regard des droits des personnes concernées.

4.5. Transparence sur la base juridique

La base juridique applicable doit être communiquée aux personnes concernées au moment où les informations relatives au traitement leur sont fournies.

Lorsqu'une donnée est nécessaire à l'exécution d'un contrat ou au respect d'une obligation légale, son absence de communication peut empêcher la fourniture du service ou le respect de l'obligation concernée.

Lorsqu'un traitement repose sur le consentement, la personne doit pouvoir refuser ou retirer celui-ci sans subir de conséquence disproportionnée.

5. Rôles et responsabilités dans le traitement des données

La conformité au RGPD repose sur une répartition claire des responsabilités entre les différents acteurs qui interviennent dans le traitement des données personnelles.

5.1. Responsable du traitement

Le responsable du traitement est la personne physique ou morale qui détermine les finalités et les moyens du traitement, conformément à l'article 4, paragraphe 7, du RGPD.

Il lui appartient notamment de :

• Déterminer les finalités et les bases juridiques des traitements ;

• Veiller au respect des principes de protection des données ;

• Fournir aux personnes concernées les informations exigées par le RGPD ;

• Garantir l'exercice effectif de leurs droits ;

• Mettre en place des mesures de sécurité adaptées ;

• Tenir, lorsque cela est requis, la documentation relative aux traitements ;

• Encadrer les relations avec les sous-traitants.

Les coordonnées de contact du site sont indiquées à la section 11. Elles ne remplacent pas l'identification juridique du responsable du traitement, qui doit être précisée dans les informations légales applicables.

5.2. Sous-traitants

Un sous-traitant est une personne physique ou morale qui traite des données personnelles pour le compte du responsable du traitement et sur ses instructions.

Il peut notamment intervenir dans les domaines de l'hébergement, de la maintenance technique, du paiement, de la livraison ou de la gestion des communications.

Conformément à l'article 28 du RGPD, le recours à un sous-traitant doit être encadré par un contrat ou un autre acte juridique définissant notamment l'objet et la durée du traitement, sa nature, ses finalités, les catégories de données concernées ainsi que les obligations et les droits du responsable du traitement.

Le sous-traitant doit présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.

5.3. Destinataires et responsables de traitement distincts

Certains prestataires ou partenaires peuvent intervenir en qualité de responsables de traitement distincts lorsqu'ils déterminent eux-mêmes les finalités et les moyens de leurs propres traitements.

Leur rôle doit être apprécié au regard des opérations effectivement réalisées et non uniquement de leur dénomination contractuelle.

Les données personnelles ne doivent être communiquées qu'aux destinataires habilités et dans la mesure nécessaire à leurs missions ou à la finalité légitime de la communication.

5.4. Délégué à la protection des données

La désignation d'un délégué à la protection des données (DPO) est obligatoire uniquement dans les situations prévues à l'article 37 du RGPD.

Lorsqu'un DPO est désigné, ses coordonnées doivent être communiquées aux personnes concernées et à l'autorité de contrôle compétente.

Aucune fonction de DPO ne doit être attribuée à une personne sans désignation effective.

6. Encadrement de la conservation et de la sécurité des données

6.1. Durée de conservation

La conservation des données personnelles doit respecter le principe de limitation prévu à l'article 5, paragraphe 1, point e), du RGPD.

La durée applicable doit être déterminée en fonction de la finalité du traitement, de la nature des données, des obligations légales et des éventuelles nécessités de conservation à des fins probatoires.

À l'issue de la période nécessaire au traitement courant, les données peuvent, lorsque cela est justifié, faire l'objet d'un archivage intermédiaire avec des accès restreints, notamment pour répondre à une obligation légale ou assurer la défense de droits en justice.

Les données qui ne sont plus nécessaires doivent être supprimées ou anonymisées selon des modalités adaptées.

6.2. Mesures de sécurité

Conformément à l'article 32 du RGPD, le responsable du traitement et les sous-traitants concernés doivent mettre en œuvre des mesures techniques et organisationnelles appropriées au niveau de risque.

Ces mesures doivent notamment tenir compte :

• De la nature et de la sensibilité des données traitées ;

• Des finalités et des circonstances du traitement ;

• Des risques d'accès non autorisé, de perte ou de divulgation ;

• Des conséquences potentielles pour les droits et libertés des personnes concernées.

Selon les besoins et les risques, les mesures peuvent notamment porter sur la gestion des habilitations, la confidentialité des accès, la protection des systèmes, la sauvegarde des informations et la gestion des incidents.

Aucune mesure ne peut garantir une sécurité absolue. Les dispositifs de protection doivent être adaptés et réexaminés lorsque cela est nécessaire.

6.3. Documentation de la conformité

Le responsable du traitement doit conserver les éléments permettant de démontrer le respect de ses obligations, conformément au principe de responsabilité.

Selon la nature et l'ampleur des traitements, cette documentation peut notamment comprendre :

• Le registre des activités de traitement prévu à l'article 30 du RGPD, lorsqu'il est obligatoire ;

• Les contrats conclus avec les sous-traitants ;

• Les informations communiquées aux personnes concernées ;

• Les éléments permettant de démontrer le recueil du consentement, lorsqu'il constitue la base juridique ;

• Les procédures de traitement des demandes d'exercice des droits ;

• Les procédures de gestion des violations de données ;

• Les analyses d'impact relatives à la protection des données, lorsqu'elles sont requises par l'article 35 du RGPD.

7. Communication des données et transferts internationaux

7.1. Communication des données

La communication de données personnelles à un tiers doit reposer sur une finalité déterminée et une base juridique valable.

Elle doit être limitée aux informations nécessaires à l'opération concernée.

Les catégories de destinataires susceptibles d'intervenir dans le cadre des services du site peuvent notamment comprendre les prestataires techniques, les prestataires de paiement, les services de livraison et les prestataires chargés de certaines fonctions administratives ou de communication.

La nature exacte des destinataires dépend des services effectivement utilisés. Leur intervention ne doit pas être présumée en l'absence de relation contractuelle ou opérationnelle réelle.

7.2. Principe applicable aux transferts hors de l'Espace économique européen

Le transfert de données personnelles vers un pays situé en dehors de l'Espace économique européen est soumis aux exigences du chapitre V du RGPD, notamment aux articles 44 à 49.

Un transfert ne peut être réalisé que si les conditions prévues par ces dispositions sont remplies.

L'adresse de contact située aux États-Unis ne permet pas, à elle seule, de déterminer le lieu d'hébergement des données, la localisation des systèmes utilisés ou l'existence d'un transfert international. Ces éléments doivent être appréciés au regard de l'organisation effective des traitements et des prestataires concernés.

7.3. Mécanismes juridiques de transfert

Selon la destination des données et les circonstances du transfert, les mécanismes prévus par le RGPD peuvent notamment comprendre :

• Décision d'adéquation – article 45 : transfert vers un pays ou un organisme pour lequel la Commission européenne a reconnu un niveau de protection adéquat, dans les limites de la décision applicable ;

• Garanties appropriées – article 46 : transfert encadré par des garanties reconnues par le RGPD, notamment des clauses contractuelles types adoptées par la Commission européenne, lorsque les conditions de leur utilisation sont réunies ;

• Dérogations particulières – article 49 : transfert fondé sur l'une des dérogations prévues par cet article, dans les limites strictes de son champ d'application.

Lorsque les circonstances l'exigent, une évaluation du niveau de protection dans le pays de destination et des mesures supplémentaires peuvent être nécessaires.

La simple présence d'un prestataire dans un pays tiers ne suffit donc pas à établir la conformité d'un transfert. Le mécanisme applicable doit être vérifié pour chaque situation concernée.

8. Droits des personnes concernées

Les articles 12 à 22 du RGPD reconnaissent aux personnes concernées plusieurs droits leur permettant de contrôler l'utilisation de leurs données personnelles.

Ces droits s'exercent dans les conditions et sous les réserves prévues par la réglementation.

8.1. Droit à l'information

Vous avez le droit de recevoir des informations claires et accessibles sur les traitements de vos données personnelles, conformément aux articles 12 à 14 du RGPD.

Ces informations portent notamment sur les finalités, les bases juridiques, les destinataires, les durées de conservation et les modalités d'exercice de vos droits.

8.2. Droit d'accès

Conformément à l'article 15 du RGPD, vous pouvez obtenir la confirmation que des données personnelles vous concernant sont traitées et, le cas échéant, accéder à ces données ainsi qu'aux informations relatives à leur traitement.

Vous pouvez également demander une copie des données traitées dans les conditions prévues par cet article.

8.3. Droit de rectification

En application de l'article 16 du RGPD, vous pouvez demander la correction de données personnelles inexactes ou la complétion de données incomplètes.

8.4. Droit à l'effacement

L'article 17 du RGPD vous permet de demander l'effacement de vos données dans les situations prévues par la réglementation, notamment lorsque les données ne sont plus nécessaires aux finalités pour lesquelles elles ont été collectées.

Ce droit peut être limité lorsqu'une conservation demeure nécessaire au respect d'une obligation légale ou à l'exercice ou à la défense de droits en justice.

8.5. Droit à la limitation du traitement

Conformément à l'article 18 du RGPD, vous pouvez demander la limitation du traitement dans certaines situations, notamment lorsque vous contestez l'exactitude des données, lorsque le traitement est illicite ou lorsque les données sont nécessaires à la constatation, à l'exercice ou à la défense de droits en justice.

8.6. Droit à la portabilité

Dans les conditions prévues par l'article 20 du RGPD, vous pouvez recevoir les données personnelles que vous avez fournies dans un format structuré, couramment utilisé et lisible par machine lorsque le traitement repose sur votre consentement ou sur un contrat et qu'il est effectué à l'aide de procédés automatisés.

Vous pouvez également demander la transmission directe de ces données à un autre responsable du traitement lorsque cela est techniquement possible.

8.7. Droit d'opposition

Conformément à l'article 21 du RGPD, vous pouvez vous opposer à un traitement fondé sur l'intérêt légitime pour des raisons tenant à votre situation particulière, sous réserve des conditions prévues par cet article.

Lorsque vos données sont traitées à des fins de prospection directe, vous pouvez vous opposer à tout moment à ce traitement, y compris au profilage lié à cette prospection.

8.8. Droit de retirer votre consentement

Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment.

Ce retrait n'affecte pas la licéité du traitement effectué avant son intervention.

8.9. Droits relatifs aux décisions individuelles automatisées

Conformément à l'article 22 du RGPD, vous disposez, dans les conditions prévues par cet article, du droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire.

Des exceptions sont prévues par le RGPD. Lorsqu'elles s'appliquent, des garanties appropriées doivent être mises en place afin de protéger les droits et libertés de la personne concernée.

8.10. Modalités d'exercice des droits

Pour exercer vos droits, vous pouvez adresser une demande à l'adresse suivante :

copybook@lavyvpuvor.com

Votre demande doit permettre d'identifier le droit que vous souhaitez exercer et, dans la mesure nécessaire, les données ou le traitement concernés.

Des informations complémentaires peuvent être demandées uniquement lorsqu'elles sont raisonnablement nécessaires pour vérifier votre identité. Cette vérification doit rester proportionnée et ne pas conduire à la collecte injustifiée de nouvelles données.

Conformément à l'article 12 du RGPD, une réponse doit en principe être apportée dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires lorsque la complexité ou le nombre des demandes le justifie. Vous êtes alors informé de cette prolongation et de ses motifs dans le délai initial d'un mois.

L'exercice des droits est en principe gratuit. Les exceptions prévues par l'article 12, paragraphe 5, du RGPD demeurent applicables.

9. Gestion des violations de données personnelles

Une violation de données personnelles désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données personnelles ou l'accès non autorisé à de telles données.

Conformément aux articles 32 à 34 du RGPD, les mesures nécessaires doivent être prises pour gérer les incidents de sécurité susceptibles d'affecter les données personnelles.

En cas de violation, les démarches applicables peuvent notamment comprendre :

• L'identification et la documentation de l'incident ;

• L'évaluation de sa nature, de son étendue et de ses conséquences potentielles ;

• La mise en œuvre de mesures destinées à limiter ses effets ;

• L'analyse des risques pour les droits et libertés des personnes concernées ;

• La notification à l'autorité de contrôle compétente lorsque les conditions légales sont réunies ;

• L'information des personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, sous réserve des exceptions prévues par le RGPD.

Lorsque la notification à l'autorité de contrôle est requise, elle doit être effectuée dans les meilleurs délais et, si possible, dans les 72 heures après que le responsable du traitement a pris connaissance de la violation.

Lorsque toutes les informations ne sont pas disponibles immédiatement, elles peuvent être communiquées progressivement, dans les conditions prévues par l'article 33 du RGPD.

Les violations et les mesures prises doivent être documentées conformément aux exigences réglementaires applicables.

10. Autorité de contrôle et voies de recours

Si vous estimez que vos données personnelles ne sont pas traitées conformément à la réglementation applicable, vous pouvez exercer vos droits auprès du responsable du traitement et lui adresser toute demande ou réclamation relative à l'utilisation de vos données.

Vous conservez toutefois le droit de saisir directement l'autorité de contrôle compétente, conformément à l'article 77 du RGPD.

Pour les personnes résidant en France, l'autorité de contrôle est la Commission nationale de l'informatique et des libertés (CNIL).

Commission nationale de l'informatique et des libertés (CNIL)

Conformément aux articles 78 et 79 du RGPD, vous pouvez également disposer d'un recours juridictionnel effectif contre une décision juridiquement contraignante d'une autorité de contrôle ou lorsque vous estimez que vos droits ont été méconnus à la suite d'un traitement non conforme au RGPD.

Ces recours s'exercent dans les conditions prévues par les textes applicables.

11. Contact relatif à la protection des données

Pour toute question concernant la présente politique, l'application des règles de protection des données personnelles ou l'exercice de vos droits, vous pouvez nous contacter aux coordonnées suivantes :

Lavyvpuvor

• Site internet : https://lavyvpuvor.com

• Adresse e-mail : copybook@lavyvpuvor.com

• Téléphone : +1 (701) 648-9051

• Adresse de contact : 109 3rd Ave E, West Fargo, ND 58078, United States

• Zone de livraison : France entière

• Horaires du service client : du lundi au vendredi, de 09 h 00 à 18 h 00.

Les demandes relatives à la protection des données personnelles et à l'exercice des droits prévus par le RGPD peuvent être adressées par e-mail à copybook@lavyvpuvor.com.

Les demandes sont examinées dans les conditions et délais prévus par la réglementation applicable.