Politique de confidentialité

Maison Haute Joie GmbH – Mise à jour le 1er octobre 2026

Le responsable du traitement est Maison Haute Joie GmbH, Wickenburggasse 13/5, 1080 Vienne, Autriche. Vous pouvez nous joindre par téléphone au +43 660 5539660. Pour toute question relative à la protection des données et pour exercer vos droits, veuillez contacter privacy@maisonhautejoie.com.

1 Collecte des données lors de la visite de notre site

Lorsque vous consultez notre site, des données techniques nécessaires à la transmission et à l’affichage des contenus ainsi qu’au fonctionnement sécurisé sont traitées. Il s’agit notamment de la page ou ressource consultée, de la date et de l’heure, du volume de données transférées, de la page visitée précédemment si votre navigateur la transmet, du type et de la version du navigateur, du système d’exploitation et de l’adresse IP.

Nous avons besoin de ces données pour assurer un site fonctionnel, stable et sécurisé, analyser les erreurs et prévenir les attaques. Il s’agit de nos intérêts légitimes (article 6, paragraphe 1, point f du RGPD).

L’adresse IP complète est nécessaire à la connexion technique. Sa troncature ultérieure dans les journaux ne rend pas la connexion anonyme. Les prestataires concernés et les règles de conservation sont présentés au chapitre 2.

Les cookies ainsi que les services d’analyse et de marketing peuvent également traiter des données sans inscription. Les conditions spécifiques des chapitres 3 et 7 s’appliquent à ces traitements.

2 Hébergement et services techniques

2.1 Systèmes cloud pour la boutique et les processus commerciaux

Pour la boutique, la gestion des clients, des commandes et des factures, la communication et les analyses, nous utilisons les systèmes cloud d’un fournisseur de logiciels de gestion d’entreprise établi en Belgique. Il traite les données pour notre compte sur la base d’un accord de sous-traitance (article 28 du RGPD) et fait appel à des prestataires pour l’hébergement, les sauvegardes et l’assistance.

Selon la fonction utilisée, cela comprend notamment des données techniques de fonctionnement, des données clients et de commande, des dossiers d’assistance et des données de newsletter. Les bases juridiques et les règles de conservation dépendent de la finalité concernée dans cette politique. Le chapitre 1 s’applique à la mise à disposition technique et à la sécurité.

La base de données est exploitée dans la région d’hébergement européenne. Un lieu de stockage européen n’exclut pas les accès depuis d’autres pays, notamment pour l’assistance. Les garanties contractuelles de protection des données, en particulier les clauses contractuelles types de l’UE, s’appliquent à ces transferts. Le chapitre 9 s’applique également.

Les journaux techniques sont conservés dans la mesure nécessaire au fonctionnement, à la résolution des erreurs, à la sécurité et aux justificatifs légaux. Pour la catégorie « Browser Data » décrite dans ses informations de confidentialité, le fournisseur indique une durée maximale de douze mois ; des exceptions sont possibles en cas de problèmes spécifiques de sécurité ou de performance et d’exigences légales. Cette durée ne s’applique pas globalement aux données de la boutique et aux sauvegardes.

Vous pouvez obtenir des informations complémentaires sur les destinataires concernés et les garanties applicables à des transferts précis auprès de privacy@maisonhautejoie.com.

2.2 Bunny.net pour la diffusion des contenus

Pour diffuser des médias et d’autres contenus statiques, nous utilisons le réseau de diffusion de contenus Bunny.net de BunnyWay d.o.o., Dunajska cesta 165, 1000 Ljubljana, Slovénie. Sont notamment traités l’adresse IP, la ressource demandée, l’heure de consultation et les informations techniques de connexion. Bunny.net agit à cet égard en tant que sous-traitant. La base juridique est l’article 6, paragraphe 1, point f du RGPD ; notre intérêt est de fournir les contenus rapidement et de manière fiable.

Le filtre de routage UE est activé pour la diffusion des médias. D’autres opérations de traitement, notamment le DNS ou l’assistance, peuvent aussi avoir lieu en dehors de l’UE.

Les journaux d’accès au CDN sont conservés dans l’UE pendant trois jours avec une adresse IP tronquée. Le stockage permanent et la transmission supplémentaire sont désactivés. L’adresse IP complète reste traitée pour la connexion technique.

Les images des e-mails peuvent également être chargées via le CDN. Cela génère des données techniques de connexion, éventuellement issues du proxy d’images de votre fournisseur de messagerie. La mesure personnalisée des performances de la newsletter est décrite au chapitre 7.

Informations complémentaires : politique de confidentialité de Bunny.net.

2.3 Cloudflare Turnstile

Pour protéger les formulaires sécurisés par ce service contre les saisies automatisées et abusives, nous utilisons Turnstile de Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, États-Unis. Des signaux techniques tels que l’adresse IP, les caractéristiques de la connexion TLS, l’identifiant du navigateur et le rattachement au site appelant sont analysés. Le résultat du contrôle est également validé entre notre serveur et Cloudflare.

Pour protéger notre site, Cloudflare traite les données pour notre compte. Notre base juridique est l’article 6, paragraphe 1, point f du RGPD ; notre intérêt légitime est de prévenir les robots et les abus. Selon ses indications, Cloudflare traite également les signaux en qualité de responsable indépendant, sur la base de ses propres intérêts légitimes, pour améliorer la détection des robots.

Pour les données traitées pour notre compte, la conservation prend fin avec la finalité ou le contrat, sous réserve d’exceptions légales. Pour ses propres finalités, Cloudflare fixe la durée selon la finalité de sécurité, le type de données, le risque d’abus et les exigences légales. La courte validité du jeton de contrôle ne constitue pas un délai général de suppression.

Un traitement aux États-Unis est possible. La décision d’adéquation correspondante s’applique aux transferts vers Cloudflare couverts par le cadre de protection des données UE–États-Unis ; les autres transferts relèvent des garanties contractuelles prévues.

Informations complémentaires : informations de confidentialité de Turnstile, politique générale de confidentialité de Cloudflare.

3 Cookies et technologies similaires

3.1 Stockage technique et consentement

Notre site utilise des cookies et des technologies de stockage similaires comme Local Storage et IndexedDB. Selon la fonction, ils conservent des données de session, des préférences, des informations de sécurité, de traduction et de version ou des informations marketing soumises au consentement.

Sans votre consentement, nous ne pouvons stocker ou lire des informations sur votre appareil que si cela est strictement nécessaire à la transmission d’une communication ou à un service que vous avez expressément demandé (§ 165, paragraphe 3 TKG 2021). Cela concerne notamment le panier, la session et les fonctions de sécurité nécessaires. Le caractère nécessaire des préférences linguistiques et de pays dépend de leur fonction et de leur durée de conservation.

Le traitement ultérieur de données personnelles nécessite en plus une base juridique : l’exécution du contrat pour les fonctions contractuelles, les obligations légales pour les justificatifs nécessaires du consentement et les intérêts légitimes pour les fonctions nécessaires de sécurité et de fonctionnement (article 6, paragraphe 1, points b, c ou f du RGPD respectivement). Les intérêts légitimes ne remplacent pas un consentement requis pour le stockage sur votre appareil.

Les traitements d’analyse et de marketing non nécessaires reposent sur votre consentement au titre de l’article 6, paragraphe 1, point a du RGPD et, le cas échéant, du § 165, paragraphe 3 TKG 2021. Vous pouvez les refuser et sélectionner les catégories séparément. La gestion du consentement couvre les fonctions du navigateur et les traitements côté serveur décrits au chapitre 7. L’analyse des visiteurs dans nos systèmes cloud relève du choix statistiques ; Meta Pixel et Conversions API relèvent du choix marketing.

3.2 Cookiebot et justificatifs du consentement

Nous utilisons Cookiebot de Usercentrics A/S, Havnegade 39, 1058 Copenhague, Danemark, pour gérer et documenter vos choix. Un accord de sous-traitance encadre le traitement pour notre compte. Pour afficher la bannière, des données techniques comme l’URL du site, la langue et l’identifiant du navigateur et l’adresse IP sont traitées. Votre choix est documenté avec un identifiant de consentement et des informations sur la date à laquelle il a été donné.

Le cookie « CookieConsent » conserve normalement votre choix pendant douze mois à compter de votre sélection ou de son nouvel enregistrement. Vous ou votre navigateur pouvez le supprimer auparavant. Le justificatif de consentement côté serveur est distinct : selon les informations de Cookiebot, les données des utilisateurs finaux sont supprimées de manière continue douze mois après leur enregistrement et à la fin de notre contrat Cookiebot. Cela ne concerne pas automatiquement les justificatifs conservés séparément par nous, auxquels s’applique le chapitre 9.

Nous documentons votre consentement pour pouvoir démontrer que vous avez accepté le traitement concerné. Nous remplissons ainsi une obligation légale de preuve (article 6, paragraphe 1, point c, en lien avec l’article 7, paragraphe 1 du RGPD). Le fonctionnement technique de la gestion du consentement sert notre intérêt légitime à appliquer vos choix de manière fiable (article 6, paragraphe 1, point f du RGPD). Les données de connexion et les justificatifs de consentement sont considérés séparément.

Informations complémentaires : politique de confidentialité de Cookiebot.

3.3 Politique relative aux cookies et modification de vos choix

Les détails sur les technologies, les fournisseurs, les finalités et les durées figurent dans notre Politique relative aux cookies. Les Paramètres des cookies vous permettent de modifier vos choix ou de retirer vos consentements. Les chapitres concernés de cette politique contiennent des informations complémentaires, notamment sur les transferts côté serveur.

Le retrait ne remet pas en cause la licéité du traitement jusqu’à sa prise d’effet. Il n’entraîne pas non plus automatiquement la suppression immédiate de tous les justificatifs nécessaires. Pour les newsletters et les notifications de produits, les possibilités de retrait spécifiques du chapitre 7 s’appliquent.

4 Contact assistance clientèle et aide par l’IA

4.1 Traitement de votre demande

Lorsque vous nous contactez, par exemple via un formulaire de contact, bonjour@maisonhautejoie.com ou service@maisonhautejoie.com, nous traitons les informations que vous transmettez. Elles peuvent inclure votre nom, votre adresse e-mail, le contenu du message, les pièces jointes et, pour les questions concernant une commande ou une réclamation, notamment le numéro de commande, les informations sur le produit, la livraison et le paiement ainsi que les échanges antérieurs.

Nous traitons les demandes dans nos systèmes cloud et via notre infrastructure de messagerie. Les messages peuvent être conservés dans la boîte aux lettres et le dossier d’assistance. Nous traitons les demandes contractuelles pour exécuter ou préparer un contrat (article 6, paragraphe 1, point b du RGPD) ; les autres demandes reposent sur notre intérêt légitime à fournir une communication et une assistance appropriées (article 6, paragraphe 1, point f du RGPD).

Les demandes sont conservées aussi longtemps que leur résolution, d’éventuelles questions complémentaires, des obligations légales ou des preuves nécessaires pour des réclamations l’exigent. Un dossier d’assistance clôturé n’est pas automatiquement supprimé ; les détails figurent au chapitre 9.

4.2 Infrastructure de messagerie

Pour la communication professionnelle par e-mail, nous utilisons Microsoft 365, notamment Exchange Online, de Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irlande. Microsoft traite pour nous notamment les informations sur les expéditeurs et destinataires, l’objet, les messages, les pièces jointes et les informations techniques de distribution. La sous-traitance est régie par l’accord de protection des données de Microsoft. Pour certaines de ses propres finalités opérationnelles et commerciales, Microsoft peut agir comme responsable du traitement selon ses conditions contractuelles.

Les confirmations de commande et les factures sont également envoyées via cette infrastructure. La base juridique dépend de la finalité du message. Les messages contractuels ne constituent pas un consentement à la mesure des performances publicitaires ; le chapitre 7.1 s’applique aux newsletters.

Un lieu de stockage européen ne signifie pas un traitement exclusivement européen. Les éventuels transferts vers des pays tiers sont régis par les décisions d’adéquation et les garanties contractuelles applicables, notamment les clauses contractuelles types. Informations complémentaires : déclaration de confidentialité de Microsoft, accord de protection des données de Microsoft.

4.3 Traitement assisté par l’IA dans les systèmes cloud

Nous utilisons des fonctions d’IA dans nos systèmes cloud pour aider nos collaborateurs et nos processus commerciaux.

Finalités. L’IA aide à rechercher, résumer et traduire des informations, à affecter et prioriser les demandes et à préparer les réponses. Elle accompagne aussi les devis, les commandes, les expéditions, les retours et les réclamations, la préparation de documents et la création de textes pour le site, les produits et la communication. Les fonctions configurées peuvent compléter des champs et exécuter des étapes, par exemple affecter des demandes ou créer des tâches internes.

Données. Selon la tâche, les saisies, instructions, historiques de conversation pertinents, documents et données commerciales sont traités. Ils peuvent comprendre des noms, coordonnées, numéros de client et de commande ainsi que des informations contractuelles, de livraison, de facturation et de réclamation. Des informations issues des fonctions de recherche configurées peuvent également être intégrées. La finalité et les droits d’accès limitent l’étendue ; l’ensemble de la base clients n’est pas automatiquement transmis.

Fournisseurs. Les systèmes du chapitre 2.1 intègrent des services d’OpenAI et de Google Gemini selon la fonction et la configuration. Les contenus pertinents sont transmis au service d’IA concerné. Selon le fournisseur du logiciel, ses agents d’IA utilisent des services professionnels ou API ; les informations transmises à cette fin ne servent pas à entraîner les modèles. Cela ne s’applique pas globalement à la numérisation de documents et aux autres services supplémentaires.

Informations complémentaires : conditions de sous-traitance d’OpenAI, conditions de l’API Gemini et conditions de sous-traitance de Google. Des informations sur l’intégration des services d’IA et les destinataires concernés sont disponibles auprès de notre contact pour la protection des données.

Traitement international. Les services d’IA peuvent traiter des données en dehors de l’Espace économique européen (EEE), notamment aux États-Unis. Les conditions contractuelles professionnelles d’OpenAI et de Google prévoient à cet effet des clauses contractuelles types ou les décisions d’adéquation applicables. Le chapitre 9 fournit des précisions et les modalités d’accès aux garanties.

Bases juridiques. Le traitement par l’IA nécessaire à votre demande ou à un contrat intervient pour préparer ou exécuter un contrat (article 6, paragraphe 1, point b du RGPD). La recherche et la structuration de soutien servent notre intérêt légitime à un traitement rapide et cohérent et à la réduction des erreurs, dans la mesure où vos intérêts et droits fondamentaux ne prévalent pas (article 6, paragraphe 1, point f du RGPD). Tout traitement supplémentaire par l’IA doit être justifié séparément.

Votre consentement reste nécessaire pour les analyses et la publicité qui l’exigent. L’IA n’étend ni sa portée ni les finalités autorisées ; le chapitre 7 s’applique.

Conservation. Les données sources, historiques de conversation et résultats d’IA intégrés à nos systèmes relèvent des règles de conservation de l’opération concernée (chapitre 9).

Auprès du service d’IA, la conservation dépend du traitement de la demande, des caches techniques et des contrôles de sécurité et d’abus. Des incidents de sécurité ou des obligations légales peuvent nécessiter une conservation plus longue. Il n’existe pas de durée unique pour toutes les données d’IA. Les détails figurent dans les conditions de service concernées, les règles de conservation d’OpenAI et les informations sur la surveillance des abus de l’API Gemini.

Les droits du chapitre 8 s’appliquent aussi au traitement par l’IA, notamment le droit d’opposition en cas d’intérêts légitimes. Aucune décision exclusivement automatisée produisant des effets juridiques ou des effets significatifs similaires n’est prévue.

5 Compte client connexion Google et suggestions d’adresses

5.1 Compte client

Un compte client facilite les commandes et permet de gérer vos données et de consulter les informations et documents associés à vos commandes. Pour fournir le compte demandé, nous traitons votre nom, votre adresse e-mail, vos données de connexion, vos adresses et les informations de commande (article 6, paragraphe 1, point b du RGPD).

Vous pouvez également commander en tant qu’invité sans compte client. Les coordonnées et données de commande nécessaires restent néanmoins conservées. Les informations obligatoires sont signalées dans les formulaires ; sans elles, la fonction concernée n’est pas disponible.

Vous pouvez supprimer vous-même votre compte client en ligne sous « Mon compte → Connexion et sécurité → Supprimer le compte ». Il n’est pas nécessaire d’écrire à notre contact pour la protection des données. Les documents dont nous avons encore besoin pour exécuter les contrats, respecter les obligations légales ou fournir les preuves nécessaires pour des réclamations restent conservés selon les chapitres 6 et 9. Vous pouvez continuer à nous contacter pour exercer vos autres droits.

5.2 Connexion avec Google

Vous pouvez aussi vous connecter avec votre compte Google. Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande, est responsable indépendant de la gestion des comptes Google et de l’authentification dans l’Espace économique européen. Nous sommes responsables de l’intégration des données de connexion dans notre compte client. Nous ne recevons pas votre mot de passe Google.

Lors de la connexion Google, nous recevons votre nom, votre adresse e-mail et votre identifiant unique de compte Google et conservons le fournisseur de connexion et le jeton d’accès technique. Google peut aussi transmettre les prénoms et noms, le statut de vérification de l’e-mail, la langue et un lien vers une photo de profil ; ces informations supplémentaires ne sont pas intégrées dans des champs distincts du compte et la photo n’est pas importée. Google est informé de votre connexion à notre boutique.

Nous traitons les données de connexion nécessaires pour fournir le mode de connexion et le compte que vous avez choisis (article 6, paragraphe 1, point b du RGPD). Google utilise ses propres bases juridiques. La connexion habituelle reste possible. La suppression de la liaison Google ne supprime ni votre compte client chez nous ni les données de commande conservées.

5.3 Suggestions d’adresses avec Google Places

Google Places, composant de Google Maps Platform, facilite la saisie d’adresses par des suggestions. Pendant la saisie, des fragments d’adresse sont transmis à Google côté serveur ; selon la requête s’y ajoutent la langue, une restriction de pays et un identifiant technique regroupant les demandes liées. Les suggestions ne constituent pas une vérification contraignante de la possibilité de livraison ou de votre domicile.

Les suggestions facilitent la saisie et évitent les erreurs de livraison. Il s’agit de notre intérêt légitime (article 6, paragraphe 1, point f du RGPD). Des données peuvent être transmises dès la saisie, même sans sélection d’une suggestion. La saisie manuelle reste possible. Cette fonction côté serveur n’est pas contrôlée par le choix statistiques ou marketing.

Pour les données des utilisateurs européens, Google Ireland Limited agit comme responsable indépendant selon les Google Controller-Controller Data Protection Terms. Nous et Google sommes chacun responsables de nos propres traitements. Il convient de distinguer le cocontractant commercial Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irlande.

Pour la connexion Google et Google Places, un traitement hors EEE est possible, notamment par Google LLC aux États-Unis. La décision d’adéquation correspondante s’applique aux transferts couverts par le cadre de protection des données UE–États-Unis ; les autres garanties décrites par Google, notamment les clauses contractuelles types, s’appliquent aux autres transferts. La conservation par Google dépend de la finalité concernée et de ses informations de confidentialité ; les données intégrées au compte client relèvent de nos règles de conservation.

Informations complémentaires : politique de confidentialité de Google, Google Controller-Controller Data Protection Terms, cadres de transfert des données de Google.

6 Exécution des contrats expédition et paiement

6.1 Commandes et cartes cadeaux

Pour traiter une commande, nous traitons notamment le nom, les coordonnées, les adresses de facturation et de livraison, les produits, quantités, prix, statuts de paiement et de livraison ainsi que les références de commande et de transaction. Cela sert à exécuter le contrat, y compris la facturation, l’affectation des paiements, la livraison, les remboursements et les réclamations. La base juridique est l’article 6, paragraphe 1, point b du RGPD ; l’article 6, paragraphe 1, point c s’applique aux obligations légales de documentation et de conservation. Nous utilisons des systèmes cloud pour la gestion centrale ; le chapitre 2.1 s’applique.

Pour les cartes cadeaux personnalisées, le nom et l’adresse e-mail du bénéficiaire, le nom de la personne qui offre, le message personnel et la langue choisie sont également traités s’ils sont renseignés pour la carte. Ces informations servent à créer et à envoyer la carte. Les données du bénéficiaire peuvent provenir de la personne qui offre. Leur traitement pour réaliser le cadeau demandé repose sur l’article 6, paragraphe 1, point f du RGPD ; notre intérêt légitime et celui de la personne qui offre consistent à transmettre la carte souhaitée et à permettre son utilisation. Ces informations ne sont pas utilisées pour adresser de la publicité au bénéficiaire du seul fait de ce cadeau.

Nous conservons la validité, le solde et les utilisations aussi longtemps que la carte, la comptabilité ou des réclamations précises l’exigent. Pour les adresses des bénéficiaires et les messages, les critères pertinents sont plutôt la remise, les questions et les preuves spécifiques. Les justificatifs d’achat relèvent des délais légaux du chapitre 9.

6.2 Expédition et Sendcloud

Pour gérer les expéditions, nous transmettons les données de commande et d’expédition nécessaires depuis nos systèmes cloud à Sendcloud B.V., Stadhuisplein 10, 5611 EM Eindhoven, Pays-Bas. Sendcloud fournit la plateforme d’expédition et traite ces données pour notre compte sur la base d’un accord de sous-traitance. Les données nécessaires sont transmises au transporteur mandaté, notamment Österreichische Post AG, Rochusplatz 1, 1030 Vienne, Autriche, ou DPD Direct Parcel Distribution Austria GmbH, Arbeitergasse 46, 2333 Leopoldsdorf, Autriche. Le service utilisé pour votre envoi est indiqué au cours de la commande ou de l’expédition. Les transporteurs traitent généralement les données en qualité de responsables indépendants pour leurs propres missions de transport.

Sont notamment transmis le nom du destinataire, l’adresse de livraison et les références d’expédition ainsi que, selon la fonction de livraison et de notification, l’adresse e-mail ou le numéro de téléphone. Les numéros de suivi et les statuts d’expédition et de livraison sont retournés pour gérer la livraison et les demandes associées. Les messages relatifs à l’expédition servent à effectuer la livraison et non à de la publicité supplémentaire.

Nous traitons les données d’expédition pour exécuter votre commande (article 6, paragraphe 1, point b du RGPD). Le chapitre 9 s’applique à notre conservation ; les transporteurs conservent les données selon leurs missions et obligations légales. Informations complémentaires : informations de confidentialité de la plateforme Sendcloud, d’Österreichische Post et de DPD Autriche.

6.3 Paiements via Stripe

Pour les moyens de paiement électroniques proposés au paiement, nous utilisons Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlande. Les informations traitées dépendent du moyen choisi. Pour les paiements par carte, il s’agit notamment des données de carte et d’authentification ; pour EPS, des informations bancaires de paiement. Lorsqu’un paiement par portefeuille Apple Pay ou Google Pay est proposé, le service concerné intervient aussi et des jetons de paiement ou de carte sont notamment utilisés pour réaliser le paiement.

Les informations de paiement confidentielles sont traitées directement par les services de paiement. Notre gestion des commandes reçoit notamment le montant, la devise, le statut du paiement, les références de transaction et, le cas échéant, des informations tronquées permettant d’identifier le moyen de paiement. Les cryptogrammes complets des cartes ne sont pas conservés dans notre gestion des commandes.

Le traitement sert au paiement, au rapprochement, aux remboursements et aux litiges de paiement sur la base de l’article 6, paragraphe 1, point b du RGPD. Si nous traitons des données pour prévenir et élucider des fraudes ou nous défendre contre des réclamations, cela repose sur l’article 6, paragraphe 1, point f ; notre intérêt est de nous protéger contre les paiements abusifs et les pertes économiques. Les obligations légales de preuve reposent sur l’article 6, paragraphe 1, point c.

Selon le traitement, Stripe agit comme sous-traitant ou responsable indépendant, notamment pour ses propres obligations légales et certaines mesures de prévention de la fraude. Stripe détermine les bases juridiques et la conservation pour ses propres finalités. Un traitement hors EEE est possible ; les garanties de transfert décrites par Stripe s’appliquent, notamment les décisions d’adéquation pertinentes ou les clauses contractuelles types.

Informations complémentaires : politique de confidentialité de Stripe, Apple Pay et confidentialité, informations de confidentialité de Google Payments.

6.4 Fonction de rétractation en ligne

Lorsque vous utilisez notre fonction de rétractation en ligne, nous traitons les coordonnées et informations de commande saisies, le contenu et l’étendue de la déclaration, les biens concernés, la date de réception, le rattachement à la commande et les informations de confirmation et de traitement. Les champs obligatoires sont indiqués comme tels dans le formulaire.

Les données sont traitées pour dénouer votre contrat et respecter les obligations légales de confirmation et de documentation (article 6, paragraphe 1, points b et c du RGPD, en lien avec les dispositions applicables de la loi autrichienne sur les contrats à distance et hors établissement, FAGG). Aucun consentement n’est requis. Les confirmations sont envoyées via l’infrastructure de messagerie du chapitre 4. La conservation dépend de l’achèvement, des preuves nécessaires, des réclamations en cours et des obligations légales (chapitre 9).

7 Marketing newsletters et analyse du site

7.1 Newsletter

Inscription et personnalisation. Nous envoyons des newsletters après votre consentement au titre de l’article 6, paragraphe 1, point a du RGPD et du § 174, paragraphe 3 TKG 2021. L’inscription est sécurisée par un e-mail de confirmation : l’abonnement n’est activé qu’après confirmation par double opt-in.

L’inscription comprend l’adresse e-mail, la civilité ou « non précisé », le prénom, le nom, le pays, la langue et le type de client. Les informations requises dans le formulaire sont signalées. Les informations facultatives, notamment l’anniversaire, le code postal et les centres d’intérêt, servent à adapter la communication et les contenus. Les informations d’inscription, de confirmation, le texte de consentement et sa version ainsi que les données techniques de preuve sont conservés à des fins de documentation. La sélection de contenus selon vos intérêts, sur la base de vos informations et, le cas échéant, de données d’interaction autorisées séparément, peut constituer un profilage à des fins publicitaires.

Nos systèmes cloud gèrent les contacts de newsletter, les profils, les listes et les justificatifs de consentement et créent les messages (chapitre 2.1). L’envoi est assuré par Mailjet SAS, 43, rue de Dunkerque, 75010 Paris, France, au sein du groupe Sinch. L’accord de protection des données de Sinch régit la sous-traitance. Pour la communication par e-mail et les fonctions associées de fonctionnement, de sécurité, de lutte contre le spam et la fraude et de conformité, Sinch traite aussi les données comme responsable indépendant selon ses conditions contractuelles.

Mailjet reçoit par une connexion chiffrée les informations sur les destinataires et expéditeurs, l’objet, le contenu, les liens individuels, les pièces jointes éventuelles et les identifiants techniques des messages. Les autres données personnelles ne sont reçues que si elles figurent dans le message. Les profils et journaux de consentement ne sont pas entièrement synchronisés. L’envoi génère des informations de distribution et d’erreur.

Mailjet indique Francfort-sur-le-Main et Saint-Ghislain en Belgique comme lieux de stockage ; Sinch mentionne Google Cloud France SARL comme sous-traitant ultérieur à cet effet. L’assistance et les services du groupe peuvent néanmoins intervenir hors EEE. Les conditions contractuelles prévoient des clauses contractuelles types et, le cas échéant, le cadre de protection des données UE–États-Unis.

Informations complémentaires : politique de confidentialité de Mailjet, conditions d’utilisation de Mailjet, accord de protection des données de Sinch, sous-traitants ultérieurs de Sinch.

Vous pouvez consentir séparément à l’analyse personnalisée des ouvertures et des clics. Ce choix est facultatif, non présélectionné et n’est activé qu’après confirmation de votre inscription. La newsletter reste disponible sans mesure des performances.

Avec ce consentement, nos systèmes cloud enregistrent les ouvertures et clics au moyen de pixels de suivi et de liens individuels et les rattachent à votre contact de newsletter. Cela nous aide à améliorer les newsletters et à choisir les contenus adaptés. La base est votre consentement (article 6, paragraphe 1, point a du RGPD et, pour l’accès à l’appareil, § 165, paragraphe 3 TKG 2021). Sans accord, aucune mesure personnalisée n’a lieu. Le suivi supplémentaire des ouvertures et clics par Mailjet est désactivé pour ces messages ; les informations techniques de distribution sont conservées.

Dans vos Paramètres de newsletter, vous pouvez retirer le consentement à la mesure des performances indépendamment de l’abonnement. Le lien de désinscription met fin à la newsletter et au consentement au suivi. Vous pouvez aussi écrire à privacy@maisonhautejoie.com. Nous documentons les consentements et les retraits. Le choix des cookies ne remplace pas ces décisions.

Le profil de newsletter est utilisé uniquement pour les finalités nécessaires pendant l’abonnement. Les inscriptions non confirmées sont limitées à 60 jours. Après désinscription, les justificatifs nécessaires et les informations de blocage restent conservés séparément de la publicité (chapitre 9). Après le retrait, les données d’analyse ne peuvent servir à de nouvelles analyses personnalisées sur la seule base du consentement antérieur.

7.2 Notifications ponctuelles de produits

Pour les produits épuisés ou annoncés, vous pouvez demander un e-mail unique dès que le produit précis choisi est disponible. En saisissant votre adresse e-mail et en utilisant le bouton correspondant, vous demandez cette notification. Vous recevez ensuite un e-mail de confirmation ; la demande n’est activée qu’après utilisation du bouton de confirmation sur la page liée. La base juridique est votre consentement au titre de l’article 6, paragraphe 1, point a du RGPD et, le cas échéant, du § 174, paragraphe 3 TKG 2021. Cela ne crée ni abonnement à la newsletter ni profil publicitaire général.

Nous conservons l’adresse e-mail, la variante du produit, la langue, les dates de demande et de confirmation, le statut, la validité et la version du texte de consentement. La disponibilité est vérifiée chaque heure. Seules les demandes confirmées, valides et non retirées sont notifiées ; les produits annoncés doivent aussi être autorisés à la vente et commandables.

Vous pouvez retirer la demande pour l’avenir via le lien de retrait dans l’e-mail de confirmation ou via privacy@maisonhautejoie.com. La demande active et les messages associés encore en attente sont alors supprimés.

Les demandes non confirmées expirent après sept jours. Les demandes confirmées prennent fin après l’envoi réussi, le retrait ou au plus tard 365 jours après confirmation. La demande active et les messages en attente sont ensuite supprimés ; les enregistrements expirés sont effacés lors du nettoyage horaire.

Pour prouver la demande, la confirmation et la fin, nous conservons séparément une valeur pseudonymisée de rattachement à l’e-mail, la référence du produit, la date de l’événement et la version du texte de consentement pendant 1 095 jours à compter de l’événement. Cela sert à l’obligation légale de preuve du consentement et à la défense juridique nécessaire (article 6, paragraphe 1, point c, en lien avec l’article 7, paragraphe 1, ainsi que l’article 6, paragraphe 1, point f du RGPD). Les données ne sont pas anonymes et ne servent pas à la publicité.

Les confirmations et notifications de produits ne contiennent ni pixels d’ouverture ni redirections de suivi des clics. Les informations techniques d’envoi et d’erreur sont distinctes.

7.3 Google Analytics 4

Avec votre consentement statistiques, nous utilisons Google Analytics 4 de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande, pour analyser l’utilisation de notre boutique et améliorer notre offre. Sont notamment traités les événements de pages et d’utilisation, les informations techniques sur l’appareil et le navigateur, les données géographiques approximatives et les identifiants pseudonymes. Le traitement, y compris les cookies utilisés, repose sur l’article 6, paragraphe 1, point a du RGPD et le § 165, paragraphe 3 TKG 2021. Les conditions contractuelles de protection des données correspondantes avec Google encadrent le traitement pour notre compte.

Google indique que GA4 n’enregistre ni ne conserve les adresses IP. Elles peuvent cependant être traitées auparavant pour déduire des informations géographiques. Les autres données Analytics ne sont donc pas automatiquement anonymes.

Dans notre propriété Analytics, la conservation est réglée à deux mois pour les données d’événements et à 14 mois pour les données utilisateurs. La réinitialisation de la durée liée à l’utilisateur lors d’une nouvelle activité est activée. Une nouvelle activité peut donc prolonger la durée. Ces réglages ne s’appliquent pas de la même manière aux rapports standards agrégés ; les durées des cookies sont également distinctes.

Un transfert à Google LLC aux États-Unis est possible. Les garanties Google du chapitre 5 s’appliquent. Vous pouvez retirer votre consentement via les Paramètres des cookies. Informations complémentaires : politique de confidentialité de Google, conservation des données Google Analytics.

7.4 Meta Pixel et Conversions API

Avec votre consentement marketing, nous utilisons Meta Pixel et Meta Conversions API de Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irlande. Le pixel transmet des données depuis votre navigateur ; notre serveur transmet des événements à Meta via Conversions API. Le choix marketing Cookiebot est vérifié avant la transmission côté serveur. Sans consentement correspondant, aucune transmission n’a lieu par cette interface.

Sont notamment traités les événements de visite et d’achat, les contenus ou produits concernés, les valeurs de commande, les dates, les identifiants techniques comme « fbp » et « fbc », l’adresse IP et l’identifiant du navigateur ainsi que, si disponibles, l’adresse e-mail, le numéro de téléphone ou un identifiant de contact transformés en valeurs de hachage. Le hachage n’est pas une anonymisation ; il peut permettre à Meta d’associer les données aux utilisateurs.

Le traitement sert à mesurer l’efficacité de notre publicité, à attribuer les achats aux actions publicitaires et à diffuser ou optimiser des publicités selon les intérêts. Meta peut relier les données à ses propres données utilisateurs et les traiter pour les finalités publicitaires décrites. Notre traitement repose sur l’article 6, paragraphe 1, point a du RGPD et, pour les accès concernés aux appareils, sur le § 165, paragraphe 3 TKG 2021. Une commande ne constitue pas un consentement marketing.

Selon l’avenant Meta relatif aux responsables du traitement, une responsabilité conjointe existe pour la collecte et la transmission des données d’événements dans la mesure qui y est définie. Le traitement ultérieur par Meta relève généralement de sa propre responsabilité. L’avenant répartit notamment les responsabilités d’information, de sécurité et de droits des personnes ; vous pouvez aussi exercer vos droits auprès de nous.

Un traitement par Meta Platforms, Inc. aux États-Unis est possible. Dans la mesure où il est couvert par le cadre de protection des données UE–États-Unis, le transfert repose sur la décision d’adéquation ; sinon, les garanties contractuelles applicables s’appliquent. La durée de conservation indépendante par Meta dépend notamment du type et de la finalité du traitement, de l’utilisation des services Meta et des exigences légales. Vous pouvez retirer votre consentement à nos transmissions via les Paramètres des cookies.

Informations complémentaires : politique de confidentialité de Meta, avenant Meta relatif aux responsables du traitement, conditions des outils professionnels de Meta.

7.5 Analyse des visiteurs dans les systèmes cloud

Après votre consentement statistiques explicite, une fonction distincte de nos systèmes cloud enregistre les visites de certaines pages publiques. L’autorisation est également vérifiée côté serveur. Un identifiant de session aléatoire permet le rattachement pseudonyme des visites enregistrées. Ces enregistrements ne sont pas liés aux contacts, comptes clients ou profils marketing personnels. Les pages détaillées des produits, les espaces de compte client et de paiement sont exclus de cette fonction.

Nous analysons ces données pour améliorer notre site public. La base est votre consentement (article 6, paragraphe 1, point a du RGPD et, pour l’accès à l’appareil, § 165, paragraphe 3 TKG 2021). Le traitement intervient dans les systèmes cloud du chapitre 2.1.

Les enregistrements des visiteurs sont supprimés 60 jours après leur création lors du nettoyage quotidien. Un retrait dans les Paramètres des cookies supprime la session actuelle et ses pages consultées. Les autres ensembles de données, notamment les journaux de fonctionnement nécessaires, ne sont pas concernés.

8 Vos droits

Vous pouvez exercer vos droits via privacy@maisonhautejoie.com ou notre adresse postale. Vous pouvez aussi supprimer vous-même votre compte client en ligne (chapitre 5.1). Sous les conditions légales, vous disposez des droits suivants :

• Accès et copie au titre de l’article 15 du RGPD concernant vos données personnelles et les informations de traitement associées.

• Rectification des données inexactes et complément des données incomplètes au titre de l’article 16 du RGPD.

• Effacement au titre de l’article 17 du RGPD, sauf exceptions légales, notamment conservation légale nécessaire ou constatation, exercice ou défense de droits en justice.

• Limitation du traitement au titre de l’article 18 du RGPD selon les conditions qui y sont prévues.

• Information sur les destinataires au titre de l’article 19 du RGPD : nous communiquons aux destinataires une rectification, un effacement ou une limitation, sauf impossibilité ou disproportion. Sur demande, nous vous informons de ces destinataires.

• Portabilité au titre de l’article 20 du RGPD pour les données que vous avez fournies, si le traitement repose sur le consentement ou un contrat et est automatisé. Si cela est techniquement possible, vous pouvez demander la transmission directe à un autre responsable.

• Retrait du consentement au titre de l’article 7, paragraphe 3 du RGPD à tout moment pour l’avenir. La licéité du traitement antérieur reste inchangée. Les modalités de retrait figurent aux chapitres 3 et 7 ; vous pouvez également écrire à notre contact pour la protection des données.

Opposition aux traitements

Si nous traitons vos données sur la base de l’article 6, paragraphe 1, point f du RGPD, vous pouvez vous opposer au titre de l’article 21, paragraphe 1 pour des raisons tenant à votre situation particulière. Cela s’applique aussi au profilage fondé sur cette disposition. Nous cessons alors le traitement concerné, sauf si nous démontrons des motifs légitimes impérieux prévalant sur vos intérêts, droits et libertés ou si les données sont nécessaires à des droits en justice.

Lorsque vos données sont traitées à des fins de prospection directe, vous pouvez vous y opposer à tout moment sans donner de motif. Cela vaut aussi pour le profilage lié à cette prospection. Après votre opposition, les données ne sont plus traitées à ces fins.

Traitement de vos demandes et décisions automatisées

Nous répondons en principe gratuitement à vos demandes au plus tard un mois après réception. En cas de prolongation légalement autorisée d’au plus deux mois supplémentaires, nous vous informons dans le premier mois de la prolongation et de ses motifs. En cas de doute raisonnable sur votre identité, nous pouvons demander les informations supplémentaires nécessaires pour la confirmer. Les exceptions légales, notamment pour les demandes manifestement infondées ou excessives, restent applicables.

Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques à votre égard ou vous affectant de manière significative similaire au sens de l’article 22 du RGPD. Les procédures publicitaires et d’analyse décrites, soumises au consentement, sont distinctes.

Droit de réclamation

Si vous estimez que le traitement de vos données personnelles enfreint le RGPD, l’article 77 vous donne le droit de déposer une réclamation auprès d’une autorité de contrôle. Vous pouvez notamment vous adresser à une autorité de l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu de la violation présumée.

Pour notre siège en Autriche, l’Autorité autrichienne de protection des données, Barichgasse 40–42, 1030 Vienne, est joignable à dsb@dsb.gv.at ; des informations figurent sur dsb.gv.at. Vous n’êtes pas tenu de déposer votre réclamation en Autriche. Une liste comprenant aussi l’Allemagne et la France est disponible auprès du Comité européen de la protection des données.

9 Conservation destinataires et transferts de données

9.1 Conservation selon la finalité

La durée de conservation dépend de la finalité précise du traitement. Les délais et critères spécifiques aux services techniques, à Cookiebot, aux newsletters, aux notifications de produits et aux analyses figurent dans les chapitres concernés. Fermer un compte, se désinscrire ou archiver ne signifie pas supprimer toutes les données conservées sur une personne.

Pour les données contractuelles et d’assistance, les critères pertinents sont notamment l’achèvement de la prestation et de la facturation, le traitement des rétractations ou réclamations, les questions ouvertes et la nécessité de preuves pour des demandes concrètement envisageables. Les données reposant uniquement sur un consentement retiré ne peuvent plus être traitées à cette fin. Si une autre base juridique impose une conservation limitée supplémentaire, celle-ci se limite aux informations et finalités nécessaires.

9.2 Conservation légale et justificatifs

Nous conservons en principe les documents commerciaux, livres et pièces justificatives pendant sept ans pour respecter les obligations légales (§ 132 BAO, § 212 UGB ; article 6, paragraphe 1, point c du RGPD). Le délai commence généralement à la fin de l’année civile concernée. Les règles spécifiques aux exercices décalés et les prolongations nécessaires, notamment en cas de procédures en cours, restent applicables.

Lorsque des ventes sont déclarées via le guichet unique de l’UE, les registres nécessaires doivent être conservés dix ans à compter de la fin de l’année des ventes concernées. Ce délai spécifique s’applique aux registres OSS concernés et non à l’ensemble des données clients ou de profil.

Nous conservons les justificatifs de consentement et de retrait dans la mesure nécessaire à l’obligation légale de preuve (article 6, paragraphe 1, point c, en lien avec l’article 7, paragraphe 1 du RGPD). Les autres preuves nécessaires servent notre intérêt légitime à la défense juridique (article 6, paragraphe 1, point f du RGPD). La durée dépend de l’opération, de la période de traitement, des délais de prescription et des procédures en cours. Les informations de blocage empêchent de nouvelles publicités tant que l’adresse figure encore dans les fichiers d’envoi pertinents. Les délais particuliers figurent au chapitre 7.

9.3 Suppression et sauvegardes

Lorsque la finalité et les motifs de conservation disparaissent, nous supprimons ou anonymisons les données personnelles au moyen de fonctions de nettoyage configurées ou d’un examen des données. Toutes les données ne sont pas supprimées automatiquement.

Les sauvegardes permettent la restauration en cas de perte de données. Leur conservation dépend du cycle de sauvegarde et de la nécessité. Une suppression dans le système courant ne retire pas simultanément les données de toutes les sauvegardes. Celles-ci ne peuvent servir à de nouvelles publicités ou à d’autres finalités incompatibles.

9.4 Destinataires et garanties de transfert

Outre les destinataires cités par service, les données nécessaires peuvent être transmises aux entreprises de paiement et de transport ainsi que, si nécessaire pour leur mission, aux conseillers fiscaux et juridiques et aux autorités en vertu d’obligations légales. La base juridique dépend de l’exécution du contrat, de l’obligation légale ou de notre intérêt légitime à un conseil approprié et à la défense juridique. Les sous-traitants agissent selon les instructions convenues ; les responsables indépendants définissent leurs propres finalités et obligations de conservation pour leurs missions.

Pour un transfert de données personnelles de l’EEE vers un pays tiers, les exigences des articles 44 et suivants du RGPD s’appliquent également. Lorsqu’une décision d’adéquation au titre de l’article 45 couvre le destinataire et le traitement concerné, le transfert repose sur celle-ci. Pour les destinataires américains, cela ne vaut que dans le périmètre d’une participation pertinente au cadre de protection des données UE–États-Unis. Les autres transferts reposent notamment sur les clauses contractuelles types de l’UE convenues au titre de l’article 46 et les mesures complémentaires nécessaires. Un siège ou un centre de données dans l’UE n’exclut pas les accès depuis des pays tiers.

Vous pouvez demander à notre contact pour la protection des données des informations sur les garanties utilisées pour un transfert précis et une copie des garanties applicables. Des informations complémentaires figurent également dans les notices directement liées des fournisseurs concernés.