Politique de confidentialité

Notre engagement

E-SPHERE applique les principes du Règlement (UE) 2016/679 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »). Trois engagements concrets guident toutes nos décisions :

• Minimisation — nous ne collectons que les données strictement nécessaires à la finalité poursuivie (article 5-1-c RGPD) ;
• Sécurité dès la conception — chiffrement systématique, hashage des mots de passe (Argon2id), audit régulier, suivi des accès sensibles (article 25 RGPD) ;
• Souveraineté UE — hébergement et traitement réalisés au sein de l'Union européenne, transferts internationaux limités au strict nécessaire et encadrés.

Responsable du traitement

Identité

E-SPHERE, dont les coordonnées complètes figurent dans les mentions légales

Délégué (DPO)

Formulaire de contact (sujet « Mes données personnelles »)

Adresse postale

Cf. siège social — courrier à l'attention du « Délégué à la protection des données »

Données & finalités

Compte utilisateur

Données : adresse e-mail (et, le temps de la confirmer, la nouvelle adresse demandée — une heure au plus), mot de passe hashé (Argon2id, coût 13), nom d'affichage facultatif, date de création, date de vérification de l'adresse, date du dernier accès, version et date d'acceptation des conditions d'utilisation.

Pour passer commande : prénom, nom et téléphone (facturation, livraison, contact du transporteur), et carnet d'adresses.

Facultatif : la civilité, qui sert uniquement à la formule d'appel de nos e-mails (« Bonjour Madame Dupont ») ; vous pouvez la retirer à tout moment depuis votre profil.

Préférences : catégories de notifications affichées dans l'application. Aucune communication commerciale n'est envoyée par e-mail ; si nous en proposons un jour, ce sera uniquement avec votre accord préalable, jamais coché d'avance.

Ce que nous ne demandons pas : ni date de naissance, ni genre. Aucun service d'E-SPHERE n'en a besoin, et une donnée inutile est une donnée qui peut fuir (principe de minimisation, article 5-1-c du RGPD).

Commandes & paiements

Données : référence de commande, articles commandés, montant, adresse de livraison et de facturation, statut de paiement, identifiant Stripe (jeton non sensible).

Aucune donnée bancaire (numéro PAN, CVV, date d'expiration) n'est stockée par E-SPHERE : ces données sont traitées intégralement par Stripe en environnement certifié PCI DSS de niveau 1.

Double authentification (2FA)

Données : secret TOTP chiffré au repos (AES-256), codes de secours hashés (Argon2id), liste des appareils de confiance (cookie chiffré côté serveur).

Journalisation de sécurité

Données : identifiant technique d'événement (ULID), type d'événement (connexion réussie, échec d'authentification, activation 2FA, demande d'export), horodatage. Aucune donnée brute (e-mail, mot de passe, données de paiement, données de santé) n'est journalisée.

Données de vendeur (KYC)

Données : raison sociale, forme juridique, SIRET, n° de TVA, adresse du siège, identité du dirigeant, pièces justificatives (Kbis, RIB, pièce d'identité du représentant légal).

Communications & support

Données : messages reçus via le formulaire de contact, e-mails échangés avec le support, métadonnées (date, statut de traitement).

Mesure d'audience

Données : identifiant de session aléatoire et anonyme (cookie first-party esphere_session, sans donnée personnelle ni recoupement avec votre compte), type de page consultée, source de trafic (référent, utm_source). Statistiques de fréquentation agrégées et anonymes destinées aux commerçants ; aucun suivi inter-sites, aucun tiers, aucune publicité.

Vous pouvez vous opposer à tout moment à cette mesure d'audience depuis la page de gestion des cookies.

Sources des données

Conformément aux articles 13 et 14 du RGPD, nous distinguons les données collectées directement auprès de vous (création de compte, formulaires, navigation identifiée sur la Plateforme) des données reçues de tiers dans le strict nécessaire à l'exécution du service :

• Stripe — statut KYC, résultats de vérification d'identité, événements bancaires sur les comptes Connect des vendeurs ;
• Annuaires publics (INSEE, registre du commerce) — vérification de la cohérence des informations légales des vendeurs ;
• Services anti-fraude — scores de risque transactionnel et signaux d'usage frauduleux.

Destinataires & sous-traitants

Vos données sont transmises aux destinataires suivants, dans la limite stricte des finalités décrites :

• Stripe Payments Europe, Ltd. — traitement des paiements et conformité KYC/LCB-FT. Politique Stripe.
• Hébergeur cloud UE — infrastructure d'hébergement, stockage des bases de données, sauvegardes chiffrées. Données localisées dans l'Union européenne.
• Prestataire d'e-mailing transactionnel — envoi des e-mails fonctionnels (confirmation de commande, réinitialisation de mot de passe, alertes de sécurité).
• Vendeurs référencés — coordonnées de livraison et contenu de la commande, strictement pour l'exécuter (cf. CGV vendeur).
• Autorités administratives ou judiciaires — sur réquisition légalement formée uniquement.

Une ressource est en outre chargée directement par votre navigateur, ce qui transmet votre adresse IP et les caractéristiques techniques de votre appareil au fournisseur concerné, sans que ces données transitent par nos serveurs :

• CARTO — fonds de carte des pages de localisation des boutiques. Chargé uniquement sur les pages affichant une carte.

Les polices de caractères, y compris celles du formulaire de paiement, sont servies depuis nos propres serveurs : leur affichage n'adresse aucune requête à un tiers.

Chaque sous-traitant est lié à E-SPHERE par un contrat de sous-traitance conforme à l'article 28 du RGPD, encadrant les conditions de traitement, la sécurité, la durée et les modalités de restitution ou de suppression à l'issue de la prestation.

Transferts hors Union européenne

La quasi-totalité des traitements s'opère au sein de l'Union européenne. Les transferts vers un pays tiers sont encadrés par les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914), assorties — lorsque cela est nécessaire — de mesures supplémentaires (chiffrement, pseudonymisation, limitation d'accès).

Les transferts en cours sont les suivants :

• Stripe — traitement des paiements. Le responsable contractuel est l'entité irlandaise Stripe Payments Europe, Ltd. ; les transferts internes au groupe vers les États-Unis reposent sur les clauses contractuelles types.
• CARTO — fonds de carte chargés par votre navigateur sur les pages affichant une carte. Données transmises : adresse IP, en-têtes techniques de la requête, tuiles consultées.

La liste à jour, avec le fondement juridique retenu pour chacun, est disponible sur demande auprès du DPO.

Durées de conservation

Les durées sont définies par finalité, conformément au principe de limitation de la conservation (article 5-1-e RGPD). À l'expiration de la durée, les données sont soit supprimées, soit anonymisées de manière irréversible pour permettre la production de statistiques agrégées sans risque de ré-identification.

Mesures de sécurité

E-SPHERE met en œuvre des mesures techniques et organisationnelles adaptées au risque (article 32 RGPD) :

• Chiffrement en transit — TLS 1.3, HSTS, certificats à rotation automatique ;
• Hashage des mots de passe — Argon2id avec un coût mémoire élevé ;
• Chiffrement au repos — secrets sensibles (TOTP, sauvegardes) chiffrés ;
• Cloisonnement — accès aux données strictement limité aux personnes habilitées (principe du moindre privilège), revue trimestrielle ;
• Sessions Redis avec TTL court, rotation des jetons après élévation de privilèges ;
• Audit complet des accès et opérations sensibles (journal anonymisé) ;
• Sauvegardes chiffrées avec stratégie 3-2-1, tests de restauration ;
• Procédure de notification des violations de données conforme aux articles 33 et 34 du RGPD (notification CNIL sous 72 h, information des personnes concernées sans délai si risque élevé).

Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez à tout moment des droits suivants :

Accès (art. 15)

Obtenir la confirmation qu'un traitement est mis en œuvre, et en recevoir une copie.

Rectification (art. 16)

Faire corriger une donnée inexacte ou compléter une donnée incomplète — identité, adresse e-mail et mot de passe se modifient depuis Mon compte → Profil et sécurité.

Effacement (art. 17)

Demander la suppression de vos données — sous réserve des obligations légales de conservation. En ligne : Mon compte → Données et confidentialité → Supprimer mon compte.

Limitation (art. 18)

Geler temporairement le traitement, par exemple le temps d'une contestation.

Portabilité (art. 20)

Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine — accessible via Mon compte → Données et confidentialité → Télécharger mes données.

Opposition (art. 21)

Vous opposer à un traitement fondé sur l'intérêt légitime.

Directives post mortem

Définir des directives sur le sort de vos données après votre décès (art. 85 loi 78-17).

Comment exercer vos droits ? Via votre back-office (Mon compte) ou par le formulaire de contact (sujet « Mes données personnelles »). Délai de réponse : 1 mois à compter de la réception, extensible à 3 mois pour les demandes complexes (avec notification motivée).

Réclamation : vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (« CNIL »), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr/fr/plaintes.

Décisions automatisées & profilage

E-SPHERE n'opère aucune décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé au sens de l'article 22 du RGPD.

Les algorithmes utilisés pour le classement des produits, la recommandation de boutiques ou la détection d'usages frauduleux sont supervisés par un opérateur humain dans les décisions ayant un impact significatif (suspension de compte, refus de paiement). Vous pouvez à tout moment demander à exercer le droit d'obtenir une intervention humaine, d'exprimer votre point de vue et de contester la décision.

Mineurs

En application de l'article 7-1 de la loi Informatique et Libertés et de l'article 8 du RGPD, l'inscription d'un mineur de moins de 15 ans nécessite le consentement conjoint du mineur et du titulaire de l'autorité parentale. Les conditions d'utilisation réservent l'inscription aux personnes majeures et capables, ou aux mineurs autorisés dans ces conditions : c'est une condition que vous déclarez remplir en les acceptant. E-SPHERE ne demande pas votre date de naissance et ne vérifie pas votre âge par ce moyen ni par un document d'identité. Si vous apprenez qu'un mineur de moins de 15 ans a ouvert un compte sans cette autorisation, écrivez-nous : le compte sera supprimé.

DPO & autorité de contrôle

Délégué à la protection des données

Formulaire de contact · sujet « Mes données personnelles »

Adresse postale

E-SPHERE, à l'attention du « Délégué à la protection des données » (siège social, cf. mentions légales)

Autorité de contrôle

CNIL — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 · cnil.fr