Politique de confidentialité

Le responsable du traitement est HeheCorner, numéro d'identification fiscale available on request from support@hehecorner.com, dont l'adresse est Spain — full postal address on request from support@hehecorner.com. C'est cette société qui décide pourquoi et comment vos données sont traitées.

Pour toute question sur vos données, écrivez à support@hehecorner.com. C'est l'une des deux personnes de l'atelier qui vous répondra, en général sous 24 heures du lundi au vendredi.

Notre activité ne nous impose pas de désigner un délégué à la protection des données. Vos demandes passent donc directement par cette adresse e-mail.

Le texte applicable est le RGPD, le Règlement général sur la protection des données, complété par la loi espagnole et, vous concernant, par la loi française Informatique et Libertés.

Nous collectons ce qu'il faut pour fabriquer votre topper, vous l'expédier, encaisser le paiement et vous répondre.

Nous ne vendons ni ne louons vos données à qui que ce soit.

Les balises de mesure d'audience et de publicité ne sont pas chargées du tout tant que vous ne les avez pas acceptées : avant votre consentement, Google, TikTok et Pinterest ne reçoivent rien de votre visite.

Notre serveur et notre base de données sont en Europe.

Vous pouvez à tout moment demander une copie de vos données, leur correction ou leur suppression.

Pour chaque catégorie, voici la finalité et la base légale au sens de l'article 6 du RGPD :

• Données de commande : nom, prénom, e-mail, adresse de livraison, adresse de facturation, téléphone si vous le fournissez pour le transporteur, contenu et montant de la commande. Finalité : fabriquer, expédier et suivre votre commande, vous en tenir informé. Base légale : exécution du contrat.
• Texte de personnalisation : le prénom, l'âge, la date ou la phrase que vous tapez pour être imprimés. Finalité : fabriquer l'objet. Base légale : exécution du contrat. Voir la section 4.
• Données de paiement : statut du paiement, moyen utilisé, marque et quatre derniers chiffres de la carte, identifiant de transaction. Nous ne recevons jamais votre numéro de carte complet. Finalité : encaisser et rapprocher les paiements, gérer les remboursements. Base légale : exécution du contrat.
• Facturation et comptabilité : facture, montants, TVA, pays de livraison. Finalité : respecter nos obligations comptables et fiscales. Base légale : obligation légale.
• E-mails de service : confirmation de commande, avis d'expédition, lien de suivi, e-mails de remboursement. Base légale : exécution du contrat.
• Assistance client : le contenu de vos e-mails et notre réponse. Finalité : vous aider et garder une trace en cas de réclamation. Base légale : exécution du contrat, et intérêt légitime à pouvoir défendre nos droits.
• Compte client, si vous en créez un : identifiants, historique de commandes, adresses enregistrées. Base légale : exécution du contrat. Le compte est facultatif, on peut commander en tant qu'invité.
• Sécurité et prévention de la fraude : adresse IP, journaux techniques du serveur, signaux antifraude fournis par notre prestataire de paiement. Base légale : intérêt légitime à protéger la boutique et nos clients.
• Newsletter : votre e-mail et la date de votre inscription. Base légale : consentement, retirable à tout moment via le lien de désinscription. Nous n'utilisons pas de procédure de double confirmation et nous n'enregistrons pas l'adresse IP d'inscription. La newsletter annonce nos nouveaux modèles et des idées de saison ; elle ne contient pas de code de réduction.
• Mesure d'audience et publicité : voir les sections 5 et 6 et notre politique de cookies. Base légale : consentement.

Il n'y a pas de module d'avis clients sur hehecorner.com : nous ne collectons donc aucune note ni aucun commentaire, et cette liste est exhaustive.

Nous ne vous demandons jamais de données sensibles (santé, opinions, origine, religion). Merci de ne pas en faire figurer dans un champ de personnalisation ou dans un e-mail.

Le prénom, l'âge, la date ou la phrase que vous saisissez est traité comme un détail de commande, exactement comme la couleur ou la taille. Il est nécessaire pour fabriquer l'objet, et sans lui la commande ne peut pas être exécutée.

Concrètement, il apparaît dans notre back-office de commande, sur la fiche de production que nous avons sous les yeux pendant l'impression, et sur le bon de préparation glissé dans le colis.

Il peut contenir le prénom d'un tiers, par exemple celui de la personne dont c'est l'anniversaire. Nous ne l'utilisons que pour fabriquer votre commande, jamais pour du marketing, et nous ne le recoupons avec aucune autre source.

Il est conservé avec le reste de la commande, pendant la même durée (voir section 8). Si vous souhaitez qu'il soit effacé plus tôt et que nos obligations comptables le permettent, écrivez-nous.

Notre site dépose des cookies strictement nécessaires au panier, au paiement et à la sécurité. Ceux-là ne peuvent pas être désactivés, sinon la boutique ne fonctionne plus.

Les cookies de mesure d'audience et de publicité ne sont déposés qu'après votre consentement, donné via le bandeau qui s'affiche à votre première visite.

Plus précisément : tant que vous n'avez pas accepté la catégorie correspondante, les scripts de Google Analytics, de TikTok et de Pinterest ne sont pas chargés du tout. Il n'y a ni cookie, ni événement, ni appel réseau vers ces sociétés — pas même un signal anonyme sans cookie. Votre adresse IP ne leur parvient donc pas.

Vous pouvez changer d'avis à tout moment via le lien « Gérer les cookies » en bas de chaque page.

La liste détaillée des cookies, avec leur nom, leur rôle et leur durée, figure sur notre politique de cookies.

Nous travaillons avec un petit nombre de prestataires, chacun lié par un contrat de sous-traitance conforme à l'article 28 du RGPD. Voici la liste complète :

• Hébergement de la boutique : notre boutique tourne sur Medusa, que nous hébergeons nous-mêmes sur un serveur situé en Europe.
• Base de données : une base PostgreSQL infogérée, également hébergée en Europe, où sont stockées les commandes et les comptes clients.
• E-mails transactionnels : Mailgun, dans sa région européenne (EU), pour les confirmations de commande, avis d'expédition et réponses automatiques.
• Paiement : SumUp, prestataire de paiement agréé, qui traite les données de carte, Apple Pay et Google Pay. Ce traitement relève également de leur propre politique de confidentialité.
• Mesure d'audience : Google Analytics 4, chargé uniquement après votre consentement, avec anonymisation de l'adresse IP.
• Publicité : les pixels TikTok et Pinterest, chargés uniquement après votre consentement aux cookies marketing.
• Transporteurs : le transporteur choisi pour votre colis reçoit votre nom, votre adresse et, le cas échéant, votre e-mail ou téléphone pour la livraison.

Nous pouvons aussi transmettre des données à notre comptable, à un conseil juridique ou à une autorité si la loi nous l'impose. Rien d'autre. Nous ne vendons aucune donnée et nous n'en échangeons avec personne à des fins commerciales.

Notre serveur, notre base de données infogérée et notre service d'e-mails transactionnels sont situés en Europe. Les données de votre commande y restent. Nous écrivons « en Europe » et non « dans l'Union européenne » parce que c'est la formulation exacte de ce que nous pouvons garantir sur l'emplacement de nos machines.

Certains prestataires de mesure d'audience et de publicité appartiennent à des groupes établis aux États-Unis : Google, TikTok et Pinterest. Leurs balises ne sont pas chargées tant que vous ne les avez pas acceptées. Si vous les acceptez, des données peuvent alors être transférées hors de l'Union européenne.

Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y est certifié, par le cadre de protection des données UE–États-Unis. Nous y ajoutons des mesures techniques, comme l'anonymisation de l'adresse IP dans Google Analytics.

Certains sous-traitants de nos prestataires de messagerie ou de paiement peuvent appartenir à des groupes dont la société mère est hors UE. Les mêmes garanties contractuelles s'appliquent.

Si vous ne souhaitez aucun transfert de ce type, refusez simplement les cookies de mesure d'audience et de marketing — ou ne faites rien du tout : sans action de votre part, ces balises ne sont pas chargées. Votre commande fonctionnera exactement pareil.

Nous ne gardons rien « au cas où ». Voici nos durées :

• Commandes, factures et pièces comptables : 6 ans à compter de la commande, durée imposée par nos obligations comptables et fiscales.
• Texte de personnalisation : conservé avec la commande, donc 6 ans, sauf effacement anticipé à votre demande lorsque c'est possible.
• Compte client : jusqu'à ce que vous le fermiez. S'il reste inactif 3 ans, nous vous prévenons par e-mail puis nous le supprimons.
• E-mails d'assistance : 24 mois à compter du dernier échange.
• Paniers non finalisés : 90 jours, puis suppression.
• Journaux techniques du serveur : 30 jours.
• Inscription à la newsletter : jusqu'à votre désinscription, et au plus tard 3 ans après votre dernière interaction.
• Données Google Analytics : 14 mois maximum.
• Enregistrement de votre choix de cookies : 180 jours, dans le cookie hc_consent.
• Sauvegardes chiffrées : 30 jours maximum, puis écrasement.

Passé ces durées, les données sont supprimées ou anonymisées de façon irréversible.

Le RGPD vous donne les droits suivants, et leur exercice est gratuit :

• Droit d'accès : obtenir une copie des données que nous détenons sur vous.
• Droit de rectification : faire corriger une donnée fausse ou incomplète.
• Droit à l'effacement : demander la suppression de vos données, dans la limite de ce que nos obligations comptables nous imposent de conserver.
• Droit à la limitation : demander le gel d'un traitement le temps qu'un désaccord soit tranché.
• Droit à la portabilité : recevoir les données que vous nous avez fournies dans un format lisible par machine, ou nous demander de les transmettre à un autre prestataire.
• Droit d'opposition : vous opposer à un traitement fondé sur notre intérêt légitime, et sans condition à toute prospection commerciale.
• Droit de retirer votre consentement : à tout moment, pour la newsletter comme pour les cookies, sans que cela remette en cause la licéité de ce qui a été fait auparavant.
• Droit de définir des directives sur le sort de vos données après votre décès, prévu par la loi française Informatique et Libertés.

Nous ne prenons aucune décision entièrement automatisée produisant des effets juridiques à votre égard, et nous ne faisons pas de profilage pour accepter ou refuser une commande. Les contrôles antifraude de notre prestataire de paiement peuvent signaler une transaction, mais la décision finale est toujours humaine.

Écrivez à support@hehecorner.com, de préférence depuis l'adresse e-mail utilisée pour votre commande, en indiquant clairement ce que vous demandez.

Nous répondons dans un délai d'un mois. Si votre demande est complexe, nous pouvons prolonger de deux mois et nous vous prévenons dans le premier mois en expliquant pourquoi.

Si nous avons un doute raisonnable sur votre identité, nous pouvons vous demander un élément de vérification, par exemple un numéro de commande. Nous ne réclamons jamais de pièce d'identité par défaut.

Ces démarches sont gratuites. Nous ne facturons rien, sauf demande manifestement infondée ou répétitive.

Si notre réponse ne vous satisfait pas, vous pouvez saisir une autorité de protection des données.

En France, c'est la CNIL, Commission nationale de l'informatique et des libertés, que vous pouvez saisir en ligne depuis son site.

En Espagne, où nous sommes établis, c'est l'AEPD, Agencia Española de Protección de Datos.

Vous pouvez saisir l'autorité de votre pays de résidence, celle de votre lieu de travail, ou celle du lieu de la violation alléguée. Nous vous serions reconnaissants de nous écrire d'abord : c'est souvent plus rapide, mais ce n'est en aucun cas une obligation.

Le site est servi en HTTPS : les échanges entre votre navigateur et notre boutique sont chiffrés.

L'accès au back-office est limité aux deux personnes de l'atelier et protégé par des identifiants forts et uniques, propres à chacune.

Notre base de données et nos sauvegardes sont chiffrées et hébergées en Europe.

Aucune donnée de carte bancaire ne transite par nos serveurs : la saisie a lieu chez SumUp.

Si une violation de données présentait un risque élevé pour vos droits, nous vous préviendrions par e-mail et nous notifierions l'autorité de contrôle compétente dans les délais prévus par le RGPD.

Notre boutique s'adresse aux adultes. Il faut avoir 18 ans, ou l'accord d'un adulte, pour passer commande.

Nous ne collectons pas sciemment de données concernant des mineurs de moins de 15 ans, âge du consentement numérique en France.

Un prénom et un âge d'enfant figurent souvent dans le champ de personnalisation, puisque c'est tout l'objet d'un topper d'anniversaire. Ces informations sont saisies par l'adulte qui commande, servent uniquement à fabriquer l'objet, ne sont jamais utilisées à des fins publicitaires et ne quittent pas notre chaîne de production.

Si vous pensez qu'un enfant nous a transmis des données sans l'accord d'un parent, écrivez-nous : nous les supprimons.

Nous mettons cette page à jour lorsque nos outils, nos prestataires ou la réglementation changent.

La date de dernière mise à jour est indiquée sur cette page. Nous vous invitons à la relire de temps en temps.

En cas de changement important, par exemple l'ajout d'un nouveau prestataire recevant vos données, nous le signalons sur le site. Si le changement repose sur votre consentement, nous vous le redemandons.