Politique de confidentialité

1. Responsable de traitement

Le responsable du traitement des données personnelles est Le 19e Trou, micro-entreprise dont les coordonnées figurent dans les mentions légales. Contact pour toute question relative à la protection des données : contact@le19emetrou.fr.

2. Données collectées

Le 19e Trou collecte les catégories de données suivantes, dans le cadre de finalités strictement déterminées :

• Données d'identification : nom, prénom — fournies lors de la commande.
• Coordonnées : adresse email, adresse postale de livraison, numéro de téléphone (facultatif).
• Données de commande : produit, quantité, montant, date, numéro de commande.
• Données de paiement : traitées exclusivement par notre prestataire Stripe ; aucune donnée bancaire (numéro de carte, cryptogramme) n'est conservée par Le 19e Trou.
• Données de navigation : pour les visiteurs ayant accepté les cookies analytics, des données d'audience agrégées (pages vues, durée, source de trafic) sont collectées via Google Analytics. Pour les visiteurs qui refusent, une mesure d'audience anonymisée (IP hachée, sans cookie) est conservée 13 mois conformément à la délibération CNIL n° 2020-091.
• Données de mesure publicitaire : si vous arrivez sur le site depuis une publicité Meta, des événements de mesure sont transmis à Meta afin d'évaluer l'efficacité de nos campagnes. Sont concernés l'affichage d'une page, la consultation d'un produit, l'ajout au panier, la mise en paiement et, le cas échéant, la finalisation de la commande. Ces envois comprennent l'identifiant de clic publicitaire présent dans l'adresse par laquelle vous êtes arrivé, votre adresse IP et votre navigateur. L'événement de commande y ajoute le montant, la devise et les produits achetés, ainsi que des identifiants de correspondance dérivés de votre email, de votre téléphone, de votre nom et de votre adresse de livraison. Ces identifiants sont hachés (SHA-256) avant transmission : Meta ne reçoit jamais ces informations en clair. Cet envoi a lieu indépendamment de votre choix concernant les cookies — voir les sections 3 et 6, ainsi que votre droit d'opposition en section 7.

3. Finalités et bases légales

• Exécution du contrat (article 6.1.b RGPD) : traitement de la commande, livraison, service après-vente, gestion des retours, suivi de la relation client.
• Obligation légale (article 6.1.c RGPD) : conservation des données comptables et fiscales (factures) pour 10 ans, conformément au Code de commerce.
• Intérêt légitime (article 6.1.f RGPD) : mesure d'audience anonymisée pour comprendre l'usage du site, prévention de la fraude, sécurisation des accès administrateur, et mesure de l'efficacité de nos campagnes publicitaires (transmission des événements de mesure à Meta décrite en section 2). Notre intérêt à mesurer la rentabilité de nos dépenses publicitaires est mis en balance avec vos droits : les identifiants transmis sont hachés, ne servent pas à vous profiler individuellement sur notre site, et vous pouvez vous y opposer à tout moment (section 7).
• Consentement (article 6.1.a RGPD) : dépôt de cookies Google Analytics et de cookies publicitaires Meta. Le consentement est recueilli via la bannière de cookies et peut être retiré à tout moment. Le refus empêche le dépôt de ces cookies et le chargement des scripts correspondants ; il n'empêche pas, en revanche, l'envoi serveur des événements de mesure décrits ci-dessus, qui repose sur l'intérêt légitime.

4. Durée de conservation

• Données client (identification, livraison) : 3 ans à compter du dernier contact pour les besoins de la relation commerciale.
• Données de commande et facturation : 10 ans (obligation comptable et fiscale, article L.123-22 du Code de commerce).
• Données de navigation analytics : 13 mois maximum.
• Données de connexion administrateur : 1 an (article L.34-1 du CPCE).

5. Destinataires et sous-traitants

Les données sont accessibles uniquement aux personnes habilitées de Le 19e Trou et à ses sous-traitants strictement dans la limite de leur mission :

• Stripe Payments Europe Ltd (Irlande) — traitement des paiements ; certifié PCI-DSS niveau 1.
• Railway Corp. (États-Unis) — hébergement du site et de la base de données ; garanties via clauses contractuelles types de la Commission européenne.
• Brevo (France) — envoi des emails transactionnels (confirmation, expédition).
• OVH (France) — gestion du nom de domaine et de la messagerie professionnelle.
• Transporteurs (La Poste, Mondial Relay ou équivalent) — livraison physique du produit.
• Google Ireland Ltd — uniquement si vous avez accepté les cookies analytics.
• Meta Platforms Ireland Ltd (Irlande) — mesure de l'efficacité de nos campagnes publicitaires. Reçoit les événements de conversion décrits en section 2, avec des identifiants hachés. Meta agit ici en tant que responsable de traitement conjoint pour cette mesure.

Aucun transfert de données hors Union européenne n'a lieu sans encadrement juridique approprié (décision d'adéquation ou clauses contractuelles types).

6. Cookies

Les cookies strictement nécessaires au fonctionnement du site (session, panier, mémorisation de votre choix de consentement) sont déposés sans consentement préalable, comme le permet la réglementation.

Les cookies de mesure d'audience (Google Analytics) et le pixel publicitaire Meta (cookie _fbp) ne sont déposés qu'après votre acceptation via la bannière. Si vous refusez, ces scripts ne sont pas chargés et ces cookies ne sont pas déposés.

Une exception : le cookie _fbc.Si vous arrivez depuis une publicité Meta, l'adresse contient un identifiant de clic. Notre serveur l'enregistre dans ce cookie dès votre arrivée, sans attendre votre réponse à la bannière, afin de rattacher votre visite à la publicité correspondante. Ce cookie ne contient que cet identifiant de clic, il est conservé 90 jours et ne permet pas de vous identifier nominativement. Il relève de la mesure publicitaire fondée sur l'intérêt légitime, à laquelle vous pouvez vous opposer (section 7).

Ce que le refus ne couvre pas. Le refus porte sur les cookies et les scripts déposés dans votre navigateur. Il ne fait pas obstacle à l'envoi, depuis nos serveurs, des événements de mesure décrits en section 2 lorsque vous arrivez depuis une publicité — cet envoi repose sur l'intérêt légitime et non sur votre consentement. Vous disposez d'un droit d'opposition spécifique décrit en section 7.

Vous pouvez modifier votre choix à tout moment en effaçant l'entréeecf_cookie_consent_v1 de votre stockage local, ce qui réaffichera la bannière.

7. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :

• Droit d'accès : obtenir une copie des données vous concernant.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli ») : sauf si la conservation est imposée par la loi.
• Droit à la limitation du traitement.
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition : notamment au profilage ou à la prospection commerciale.
• Droit de retirer votre consentement à tout moment, sans que cela n'affecte la licéité du traitement antérieur.

Opposition à la mesure publicitaire.La transmission des événements de mesure à Meta (section 2) repose sur l'intérêt légitime. Vous pouvez vous y opposer à tout moment, sans avoir à justifier votre demande, en écrivant à l'adresse ci-dessous avec la mention « opposition mesure publicitaire ». Nous cesserons alors toute transmission vous concernant. Cette opposition n'a aucun effet sur le traitement de vos commandes.

Pour exercer ces droits, écrivez à contact@le19emetrou.fren précisant l'objet de votre demande. Une réponse vous sera adressée dans un délai maximum de 30 jours.

8. Sécurité

Le 19e Trou met en œuvre des mesures techniques et organisationnelles raisonnables pour protéger les données : chiffrement TLS de bout en bout (HTTPS), stockage chiffré au repos, accès administrateur protégé par mot de passe et limitation des tentatives, journalisation des accès sensibles. En cas de violation de données susceptible d'engendrer un risque pour vos droits, vous serez informé dans les meilleurs délais conformément à l'article 34 RGPD.

9. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr/fr/plaintes.

10. Évolution de la politique

La présente politique peut être amenée à évoluer pour refléter les évolutions légales ou opérationnelles. Toute modification substantielle sera signalée par un encart visible sur le site et la date de mise à jour figurant en haut de cette page sera actualisée.