Politique de confidentialité

Qui est responsable de vos données

10ML, qui exploite 10ml.com, est le responsable du traitement de vos données personnelles. Pour toute question sur cette politique, ou pour exercer l’un de vos droits, écrivez à contact@10ml.com. Votre e-mail parvient directement aux personnes qui traitent les données des clients.

Ce que nous collectons et pourquoi

Lorsque vous passez commande : vos nom, adresse e-mail, adresse de livraison et numéro de téléphone (transmis au transporteur uniquement pour la livraison), les articles achetés et le montant payé. Nous les utilisons pour encaisser le paiement, préparer et livrer votre commande, vous envoyer les e-mails liés à votre commande, gérer les retours et tenir la comptabilité exigée par la loi. Les bases légales sont l’exécution de notre contrat avec vous (art. 6(1)(b) du RGPD) et nos obligations légales en matière fiscale et comptable (art. 6(1)(c)). Nous ne pouvons pas livrer une commande sans ces informations.
Lorsque vous payez : Stripe traite le paiement. Nous recevons le résultat et des données de carte limitées, comme le réseau de la carte et ses quatre derniers chiffres, jamais le numéro complet. Stripe analyse aussi chaque paiement pour détecter la fraude, à l’aide d’informations comme votre adresse IP et votre appareil. Bases légales : notre contrat avec vous, et l’intérêt légitime que nous partageons avec Stripe à prévenir la fraude (art. 6(1)(f)).
Lorsque vous créez un compte : vos nom et adresse e-mail, un mot de passe (conservé uniquement sous forme brouillée, dite hachée), vos adresses enregistrées et l’historique de vos commandes. Si vous vous connectez avec Google ou Facebook, nous recevons de leur part votre nom, votre adresse e-mail et votre identifiant de compte. Nous ne voyons jamais votre mot de passe pour ces services et nous ne publions jamais rien en votre nom. Base légale : notre contrat avec vous.
Lorsque vous nous écrivez : votre adresse e-mail et le contenu de votre message, afin de pouvoir vous répondre. Base légale : notre intérêt légitime à vous répondre, ou notre contrat lorsque votre message concerne une commande.
Lorsque vous vous inscrivez à notre newsletter : votre adresse e-mail, utilisée pour vous envoyer les nouveautés et les actualités de 10ML. Base légale : votre consentement (art. 6(1)(a)). Chaque newsletter contient un lien de désinscription, et vous pouvez retirer votre consentement à tout moment.
Lorsque vous naviguez : nos serveurs traitent votre adresse IP, le type de votre navigateur et les pages que vous demandez, ce qui est indispensable pour afficher un site web et en assurer la sécurité. Nous utilisons aussi votre adresse IP pour déterminer votre pays, afin que la fiche produit affiche les informations de livraison correspondantes. Votre navigateur mémorise ce code pays pendant 24 heures ; nous ne conservons pas l’adresse IP à cette fin. Base légale : notre intérêt légitime à exploiter une boutique sûre et fonctionnelle (art. 6(1)(f)).
D’où vient votre visite : lors de votre première visite, nous enregistrons la page d’arrivée, le site web qui vous a dirigé vers nous, les éventuels paramètres de campagne présents dans le lien (comme utm_source) et, si vous venez d’un assistant d’IA comme ChatGPT, Perplexity, Gemini, Copilot ou Claude, lequel. Si vous arrivez depuis une publicité Google, Meta ou TikTok, nous conservons également l’identifiant de clic publicitaire figurant dans le lien. Votre navigateur conserve ces informations dans nos propres cookies, et elles sont associées à votre commande lorsque vous achetez, afin que nous puissions savoir quels canaux nous amènent des clients. Base légale : notre intérêt légitime à savoir quelles actions marketing fonctionnent (art. 6(1)(f)).
Mesure d’audience avec PostHog : PostHog enregistre les pages que vous consultez et les principales étapes de votre achat : consultation d’un produit, ajout au panier, ouverture du panier, début du paiement et passation de la commande (avec son montant et les tailles, jamais vos nom, adresse e-mail ou adresse postale). Il relève aussi les endroits où les visiteurs cliquent sur une page et jusqu’où ils la font défiler, ce que nous consultons sous forme de cartes de chaleur. Il ne dépose aucun cookie. Pour distinguer les visites d’une même journée, PostHog calcule un code à sens unique à partir de votre adresse IP, des informations de votre navigateur et de notre adresse web, avec une clé qui change chaque jour, puis supprime l’adresse IP et les informations du navigateur. Lorsque vous passez commande, notre serveur transmet la commande à PostHog avec l’adresse IP et les informations de navigateur issues de votre paiement, afin qu’elle soit rattachée au même code. PostHog n’enregistre ni votre écran ni vos sessions.
Mesure d’audience avec Google Analytics : Google Analytics 4 mesure les visites, leur provenance, les produits consultés et ajoutés au panier, ainsi que les achats. Il utilise les cookies répertoriés dans notre politique relative aux cookies. Lorsque vous passez commande, notre serveur déclare également l’achat à Google Analytics (via son Measurement Protocol) avec le numéro de commande, le montant, les produits et les identifiants de visiteur et de visite issus de ces cookies, afin que l’achat soit comptabilisé même si votre navigateur a bloqué la balise. Aucun nom, aucune adresse e-mail ni aucune adresse postale n’est transmis à Google Analytics.
Publicité avec Google Ads : la balise Google Ads enregistre les visites, les articles ajoutés au panier, les paiements commencés et les achats, afin que nous puissions voir quelles publicités mènent à des ventes et montrer nos publicités aux personnes qui ont visité la boutique. Sur la page de confirmation de commande, elle reçoit aussi votre adresse e-mail, votre numéro de téléphone et votre nom sous forme hachée à sens unique (conversions améliorées), ce qui permet à Google de rattacher l’achat à un clic publicitaire sans recevoir ces données sous une forme lisible.
Publicité avec Meta (Facebook et Instagram) : le pixel Meta enregistre les pages vues, les produits consultés, les articles ajoutés au panier, les paiements commencés et les achats. Notre serveur transmet les mêmes événements à Meta via son API Conversions, avec votre adresse IP, les informations de votre navigateur et les identifiants des cookies Meta présents dans votre navigateur, afin qu’un événement soit tout de même comptabilisé lorsque le pixel est bloqué. Pour les achats, le pixel et le serveur transmettent aussi votre adresse e-mail, votre numéro de téléphone, votre nom, votre ville, votre code postal, votre pays et votre numéro de client sous forme hachée à sens unique, ainsi que le montant de la commande et les produits. Meta s’en sert pour mesurer nos publicités et les montrer aux personnes susceptibles d’être intéressées.
Base légale de la mesure d’audience et de la publicité : notre intérêt légitime à comprendre comment la boutique est utilisée, à l’améliorer, ainsi qu’à mesurer et à gérer nos publicités (art. 6(1)(f)). Vous pouvez vous y opposer à tout moment, et désactiver vous-même la plupart de ces outils (voir « Comment désactiver le suivi » ci-dessous).
Suivi des erreurs : lorsqu’un élément du site ne fonctionne plus, Sentry reçoit un rapport technique : l’erreur, l’adresse de la page, ainsi que le type de votre navigateur et de votre appareil. Il est configuré pour ne pas collecter votre nom ni votre adresse e-mail, et l’enregistrement des sessions est désactivé. Base légale : notre intérêt légitime à disposer d’une boutique qui fonctionne (art. 6(1)(f)).

Avec qui nous les partageons

Nous ne vendons ni ne louons de données personnelles. Les prestataires suivants traitent des données pour notre compte, dans le cadre d’accords de traitement des données et uniquement sur nos instructions :

Vercel héberge le site web.
Render héberge le système qui gère nos commandes et nos comptes clients, sur des serveurs situés dans l’UE.
Supabase exploite notre base de données, sur des serveurs situés dans l’UE.
Stripe traite les paiements. Pour la prévention de la fraude et ses obligations au titre de la réglementation financière, Stripe agit en tant que responsable du traitement distinct, selon sa propre politique de confidentialité.
Resend envoie nos e-mails liés aux commandes et aux comptes.
Google Workspace héberge notre messagerie, où arrivent les e-mails que vous nous envoyez.
PostHog fournit la mesure d’audience sans cookies décrite ci-dessus, depuis des serveurs situés dans l’UE.
Google fournit Google Analytics et Google Ads, comme décrit ci-dessus.
Meta fournit le pixel Meta et l’API Conversions, comme décrit ci-dessus.
Sentry assure le suivi des erreurs, depuis des serveurs situés dans l’UE.
Cloudflare stocke et diffuse les images de notre site.

Nous partageons aussi des données avec :

Google et Meta, qui utilisent également les données de mesure qu’ils reçoivent à leurs propres fins, par exemple pour faire fonctionner et améliorer leurs systèmes publicitaires. Pour ces finalités, ils agissent en tant que responsables du traitement distincts, selon leurs propres politiques de confidentialité ;
nos partenaires d’entreposage et de livraison, qui reçoivent vos nom, adresse de livraison, numéro de téléphone et le contenu de votre commande afin de la préparer et de la livrer ;
Google ou Facebook, uniquement si vous choisissez de vous connecter avec eux ; ils agissent en tant que responsables du traitement distincts, selon leurs propres politiques de confidentialité ;
les autorités, les tribunaux et nos conseils professionnels, lorsque la loi l’exige ou lorsque cela est nécessaire pour constater, exercer ou défendre des droits en justice.

Transferts hors de l’UE

Notre base de données, notre système de commandes, la mesure d’audience PostHog et notre suivi des erreurs sont hébergés dans l’UE. Certains des prestataires ci-dessus, dont Vercel, Stripe, Resend, Google, Meta et Cloudflare, sont établis aux États-Unis ou peuvent y traiter des données. Ces transferts reposent sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) pour les prestataires certifiés, ou sur les clauses contractuelles types de la Commission européenne.

Combien de temps nous les conservons

Commandes et factures : aussi longtemps que l’exige le droit fiscal et comptable, ce qui peut aller jusqu’à dix ans.
Votre compte : jusqu’à sa fermeture. Nous supprimons alors les données de votre compte, à l’exception des données de commande que nous sommes tenus de conserver.
Nos échanges par e-mail : le temps nécessaire au traitement de votre demande, et au plus trois ans après sa résolution.
Newsletter : jusqu’à votre désinscription.
Votre panier : votre navigateur y reste associé pendant 30 jours après votre dernière modification.
Provenance de votre visite : l’enregistrement de votre première visite est conservé jusqu’à 365 jours, les codes de clic publicitaire 90 jours, et une visite provenant d’un assistant d’IA reste prise en compte pendant 30 jours. Lorsque vous passez commande, la commande en garde une copie aussi longtemps que les données de commande sont conservées.
Mesure d’audience : Google Analytics conserve les données de visite et d’événement pendant 14 mois au maximum. PostHog conserve les événements de mesure d’audience entre un et sept ans, selon notre formule PostHog, et jamais avec votre adresse IP. Les cookies associés ont les durées indiquées dans notre politique relative aux cookies.
Publicité : les données que reçoivent Google Ads et Meta sont conservées selon leurs propres règles de conservation ; nous n’en détenons aucune copie distincte en dehors des données de commande.
Journaux serveur et rapports d’erreur : une courte durée, après laquelle ils sont supprimés automatiquement ; les rapports d’erreur sont conservés 90 jours au maximum.

Vos droits

En vertu du RGPD, vous avez le droit :

d’obtenir une copie des données personnelles que nous détenons sur vous (droit d’accès) ;
de faire rectifier des données inexactes ;
de faire effacer vos données, lorsque nous n’avons aucune raison légale de les conserver ;
de limiter l’utilisation que nous faisons de vos données le temps qu’une question à leur sujet soit réglée ;
de recevoir les données que vous nous avez fournies dans un format portable et lisible par machine ;
de vous opposer à toute utilisation de vos données fondée sur nos intérêts légitimes, y compris la mesure d’audience et la mesure publicitaire ;
de retirer votre consentement à tout moment, lorsque nous nous fondons sur celui-ci, sans que cela remette en cause les traitements effectués auparavant.

Écrivez à contact@10ml.com et nous vous répondrons dans un délai d’un mois. Nous pouvons d’abord vous demander de confirmer votre identité. Vous avez également le droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données, notamment dans le pays de l’UE où vous vivez ou travaillez.

Comment désactiver le suivi

Dans votre navigateur : bloquez ou supprimez les cookies dans les paramètres de votre navigateur, ou utilisez une fenêtre de navigation privée : les cookies de Google et de Meta disparaissent avec eux. Un bloqueur de contenu empêche totalement le chargement des balises Google Analytics, Google Ads et Meta. Bloquer les cookies n’empêche pas la boutique de fonctionner, mais votre panier ne sera pas mémorisé d’une visite à l’autre.
Google Analytics : le module complémentaire de navigateur pour la désactivation proposé par Google le bloque sur tous les sites.
Annonces Google : désactivez les annonces personnalisées dans Mon Centre publicitaire.
Annonces Meta : dans les paramètres de Facebook ou d’Instagram, sous Espace Comptes, ouvrez « Votre activité en dehors des technologies Meta » pour dissocier ou effacer ce que les boutiques envoient à Meta.
Pour tout le reste : écrivez à contact@10ml.com pour vous opposer à la mesure d’audience ou à la mesure publicitaire, ou pour nous demander de supprimer les données de mesure d’audience liées à vos commandes. Nous vous répondons dans un délai d’un mois.

Décisions automatisées

Nous ne prenons à votre sujet aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets similaires significatifs. Le contrôle antifraude de Stripe peut refuser automatiquement un paiement qu’il juge à haut risque. Si cela vous arrive, écrivez-nous et une personne examinera votre cas.

Cookies

Nous utilisons des cookies et le stockage du navigateur à trois fins : faire fonctionner la boutique (votre panier, la connexion, le paiement), mémoriser la provenance de votre visite et utiliser les balises Google Analytics, Google Ads et Meta décrites ci-dessus. PostHog n’en dépose aucun. Chacun d’eux figure, avec sa durée de conservation, dans notre politique relative aux cookies.

Enfants

Notre boutique ne s’adresse pas aux enfants de moins de 16 ans, et nous ne collectons pas sciemment leurs données personnelles.

Sécurité

Toutes les connexions à notre site sont chiffrées. Les données de paiement restent chez Stripe, et l’accès aux données des clients est réservé aux personnes qui en ont besoin pour leur travail.

Modifications de cette politique

Lorsque notre utilisation des données personnelles change, nous mettons à jour cette politique ainsi que la date indiquée en haut de celle-ci. En cas de changement important, nous en informerons également les clients par e-mail.