1. Responsable du traitement

2. Données collectées

Selon votre utilisation du site, nous pouvons collecter les catégories suivantes :

2.1 Données de commande en ligne

• Données d'identité : prénom, nom de l'acheteur et, le cas échéant, du destinataire.
• Données de contact : adresse email, numéro de téléphone, adresse postale de livraison.
• Données de commande : contenu du panier, taille et options choisies, créneau de livraison ou de retrait, message personnalisé joint au bouquet.
• Données de compte : identifiants techniques liés à l'authentification (gérés via Supabase Auth).
• Données de paiement : le traitement est intégralement délégué à Stripe ; nous ne stockons aucun numéro de carte bancaire.

2.2 Données de demande de devis

• Données d'identité et de contact : prénom, nom, email, téléphone, adresse, ville, code postal.
• Données de projet : type de client (particulier, enseigne, mariage…), type d'événement, date de l'événement, nombre de personnes, budget estimé, mode de livraison souhaité.
• Données descriptives : description libre du projet, besoins spécifiques.
• Fichiers joints : images d'inspiration téléversées par l'utilisateur (stockées sur Supabase Storage).

2.3 Données techniques

• Journaux de sécurité, cookies de fonctionnement, données de session, informations de navigation collectées via Google Analytics 4 (voir section 8).

3. Finalités, bases légales et méthodes de communication

3.1 Exécution du contrat

• Traitement et suivi des commandes, organisation des livraisons et retraits, émission des factures.
• Réponse aux demandes de devis et élaboration de propositions commerciales personnalisées.
• Communication avec le client par email transactionnel (confirmations, suivi de commande, devis, relances de paiement) et, si le client l'a choisi, par messagerie WhatsApp.

3.2 Obligations légales

• Conservation des documents comptables et pièces justificatives de facturation (10 ans).
• Réponse aux réquisitions d'autorités compétentes.

3.3 Intérêt légitime

• Prévention des fraudes et des soumissions abusives de formulaires.
• Sécurité et amélioration du site, mesure d'audience anonymisée.
• Service client et gestion des réclamations.

3.4 Consentement

• Envoi de communications commerciales ou promotionnelles (newsletters) lorsque votre consentement est recueilli au préalable.
• Dépôt de cookies de mesure d'audience non strictement nécessaires.

4. Destinataires des données

Vos données sont accessibles uniquement aux personnes habilitées de La fille du fleuriste et aux prestataires strictement nécessaires à l'exécution du service :

• Supabase Inc. (États-Unis) — hébergement de la base de données, authentification et stockage des fichiers.
• Stripe Inc. (États-Unis) — traitement sécurisé des paiements par carte bancaire ; Stripe est certifié PCI DSS niveau 1.
• IONOS SE (Allemagne) — hébergement du site web.
• Google LLC (États-Unis) — mesure d'audience via Google Analytics 4 et gestion des balises via Google Tag Manager.
• Prestataires d'email transactionnel utilisés pour l'envoi des confirmations et notifications de commande.

Aucune donnée personnelle n'est vendue à des tiers.

5. Durées de conservation

• Données clients et prospects : 3 ans à compter du dernier contact actif.
• Données de commandes et factures : 10 ans (obligation comptable légale).
• Données de devis : 3 ans à compter de la date de la demande.
• Images de projet téléversées : supprimées sur demande ou au plus tard 3 ans après la clôture du dossier.
• Données de navigation (Google Analytics) : 14 mois (paramétrage par défaut de GA4).
• Journaux de sécurité : durée adaptée aux impératifs de sécurité, 12 mois maximum.

6. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement des communications : l'ensemble du site est servi en HTTPS (TLS 1.2 minimum).
• Chiffrement des données au repos : les données stockées dans Supabase sont chiffrées au repos (AES-256).
• Contrôle des accès : l'interface d'administration est protégée par authentification à deux facteurs ; les accès sont limités aux seules personnes habilitées.
• Isolation des données : les politiques de sécurité au niveau des lignes (Row Level Security) de Supabase garantissent que chaque utilisateur n'accède qu'à ses propres données.
• Paiements sécurisés : aucune donnée bancaire ne transite par nos serveurs ; le traitement est intégralement délégué à Stripe (certifié PCI DSS niveau 1).
• Sauvegardes : des sauvegardes automatiques de la base de données sont réalisées quotidiennement.

7. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir une copie des données vous concernant.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de vos données, sous réserve des obligations légales de conservation.
• Droit d'opposition : vous opposer à un traitement fondé sur l'intérêt légitime ou à des fins de prospection.
• Droit à la limitation : restreindre temporairement un traitement contesté.
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.

Pour exercer vos droits, contactez-nous à : contact@la-fille-du-fleuriste.fr
Nous répondons dans un délai maximum d'un mois à compter de la réception de votre demande.

En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr

8. Cookies

8.1 Cookies strictement nécessaires

Ces cookies sont indispensables au fonctionnement du site (authentification, panier, sécurité de session). Ils ne peuvent pas être désactivés sans affecter votre expérience.

8.2 Cookies de mesure d'audience

Nous utilisons Google Analytics 4 (via Google Tag Manager) pour mesurer l'audience et améliorer le site. Ces cookies collectent des informations de navigation de manière anonymisée (pages visitées, durée, provenance). Google peut traiter ces données en dehors de l'Union européenne (voir section 9).

Identifiants de suivi utilisés : GTM-K7QW2LT3 (Tag Manager) et G-NT4GDY2S3C (Analytics 4).

Vous pouvez refuser ces cookies via les paramètres de votre navigateur ou en installant l'extension officielle de désinscription Google Analytics : tools.google.com/dlpage/gaoptout.

9. Transferts hors Union européenne

Certains de nos prestataires sont établis en dehors de l'Union européenne, notamment aux États-Unis. Les transferts de données vers ces prestataires sont encadrés par des garanties appropriées conformes au RGPD :

• Supabase Inc. — transfert encadré par les Clauses Contractuelles Types (CCT) de la Commission européenne.
• Stripe Inc. — transfert encadré par les CCT ; Stripe est également certifié dans le cadre du Data Privacy Framework (DPF) UE-États-Unis.
• Google LLC — transfert encadré par les CCT et participation au DPF UE-États-Unis.

Vous pouvez consulter les politiques de confidentialité de ces prestataires et les garanties mises en place directement sur leurs sites respectifs.

10. Mise à jour de la politique

Cette politique peut évoluer en fonction des changements légaux, techniques ou opérationnels. La date de mise à jour affichée en haut de page fait foi. En cas de modification substantielle, nous vous en informerons par email si vous êtes client.