Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur ce site, au sens de l'article 4-7 du Règlement Général sur la Protection des Données (RGPD), est Laura Pouyadou EI (Entreprise Individuelle, micro-entrepreneur, SIRET 931 874 952 00019), exploitant le site geteverwear.com. Son adresse figure sur la page mentions légales. Pour toute question relative à la protection de vos données, contactez-nous à contact@geteverwear.com.

2. Données collectées

Nous collectons les données suivantes :

• Données d'identification : nom, prénom, adresse email, adresse postale, numéro de téléphone (lors d'une commande ou création de compte).
• Données de transaction : historique de commande, montants, mode de paiement (les coordonnées bancaires ne transitent pas par nos serveurs, elles sont gérées par notre prestataire Stripe).
• Données de navigation : pages consultées avec leur horodatage, durée de lecture et part de page parcourue, site d'où vous arrivez, marqueurs de campagne présents dans l'adresse (voir la section 9 ter), ville approximative, type d'appareil, ainsi que le navigateur et les langues que votre navigateur annonce spontanément à chaque page. Cette mesure ne dépose aucun cookie, ne lit rien dans votre appareil et ne conserve pas votre adresse IP : celle-ci sert uniquement, le temps de la requête, à calculer une signature technique non réversible, puis disparaît.
• Données lues dans votre appareil (résolution et densité d'écran, fuseau horaire, langues installées) et adresse IP complète : uniquement si vous y consentez, et dans les deux seuls cas décrits aux sections 9 bis (flyers papier) et 9 ter (mesure d'audience). Un refus ne change rien à votre navigation.

3. Finalités du traitement

Vos données sont utilisées pour :

• Traiter et expédier vos commandes
• Gérer votre compte client
• Vous adresser nos newsletters (si vous y avez consenti)
• Améliorer notre site et nos services
• Respecter nos obligations légales (facturation, comptabilité)
• Mesurer l'efficacité de nos campagnes de flyers papier (voir la section 9 bis)

4. Base légale

Chaque traitement décrit sur cette page repose sur l'une de ces quatre bases :

• L'exécution du contrat (RGPD art. 6-1-b) : vos commandes, leur expédition, leur suivi, les retours et le service client qui s'y rapporte.
• Une obligation légale (art. 6-1-c) : la conservation des factures pendant dix ans, et la conservation de la preuve de votre choix sur les traceurs, que l'article 7-1 du RGPD nous impose de pouvoir démontrer.
• Votre consentement (art. 6-1-a, et art. 82 de la loi Informatique et Libertés lorsqu'il s'agit de lire quelque chose dans votre appareil) : la newsletter, les cookies non essentiels, les mesures d'audience tierces, la position et l'empreinte lors du scan d'un flyer (section 9 bis), ainsi que la couche élargie de la mesure d'audience décrite en section 9 ter.
• Notre intérêt légitime (art. 6-1-f) : la sécurité du site et la prévention de la fraude, ainsi que la mesure de la fréquentation de notre propre boutique — savoir quelles pages sont lues, si une personne revient, et par quel lien elle est arrivée (section 9 ter). Cet intérêt a fait l'objet d'une mise en balance écrite avec vos droits, que nous tenons à disposition de la CNIL et que nous vous communiquons sur simple demande à contact@geteverwear.com. Vous pouvez vous y opposer à tout moment, à la même adresse.

5. Durée de conservation

6. Destinataires et sous-traitants

Nous ne vendons, ne louons ni ne communiquons vos données à qui que ce soit à des fins commerciales. C'est exclu, sans exception et sans contrepartie possible. Nous les utilisons exclusivement pour nos propres analyses : comprendre comment notre site est parcouru, améliorer son référencement, ses fiches produits, son fonctionnement et nos ventes. Les seuls tiers qui reçoivent quoi que ce soit sont les prestataires techniques listés ci-dessous, chacun pour une tâche précise que nous ne pourrions pas accomplir seuls (héberger le site, encaisser un paiement, expédier un colis).

Vos données sont strictement réservées à GetEverwear et à ses sous-traitants techniques listés ci-dessous. Nous ne vendons ni ne louons vos données à des tiers.

7. Transferts hors Union européenne

Nos prestataires sont basés dans l'Union européenne. En cas de transfert hors UE (par exemple pour certains outils analytiques), nous veillons à ce qu'il soit encadré par les clauses contractuelles types validées par la Commission européenne.

8. Vos droits (RGPD)

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données
• Droit de rectification
• Droit à l'effacement (« droit à l'oubli »)
• Droit à la limitation du traitement
• Droit à la portabilité de vos données
• Droit d'opposition
• Droit de retirer votre consentement à tout moment

Pour exercer ces droits, écrivez-nous à contact@geteverwear.com avec une copie d'une pièce d'identité. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

9. Cookies et traceurs tiers

Outre nos propres cookies de session, nous chargeons des scripts tiers qui peuvent déposer leurs propres cookies :

• Stripe, pour la sécurisation des paiements et la détection de fraude (cookies __stripe_mid, __stripe_sid). Indispensables au checkout.
• Cloudflare Turnstile, anti-bot sur les formulaires d'inscription et connexion (token de validation temporaire, aucun cookie persistant). Indispensable à la sécurité du site.
• Chat service client GetEverwear : cookie chat_session_id (HMAC signé, 30 jours, Strict). Sert uniquement à retrouver votre conversation entre deux visites si vous n'êtes pas connecté. Aucun partage avec un tiers - la messagerie est hébergée sur nos propres serveurs (Netcup, Allemagne). Conservation des messages 90 jours puis purge automatique. Indispensable au fonctionnement du chat (donc déposé sans consentement spécifique, art. 82 loi Informatique & Libertés — finalité strictement nécessaire au service demandé par l'utilisateur).

Après votre consentement explicite, nous chargeons Google Analytics 4 (cookies _ga, _ga_*) pour croiser les données de navigation avec Google Search Console et optimiser le référencement naturel. Configuration : anonymisation IP, pas de signaux publicitaires (allow_google_signals: false), pas de personnalisation Ads (allow_ad_personalization_signals: false). Les catégories sont indépendantes : vous pouvez accepter la mesure d'audience anonyme et refuser GA4, ou inversement.

Au moment de choisir un point relais, la carte affichée charge son fond de plan depuis les serveurs de la Fondation OpenStreetMap. Cette requête transmet votre adresse IP, sans cookie ni identifiant, et n'a lieu que si vous ouvrez cette étape de la commande.

Après votre consentement explicite uniquement, nous chargeons la balise Google Ads, qui dépose les cookies de conversion et de remarketing Google (_gcl_au, _gcl_aw, _gcl_dc, NID) afin de mesurer les ventes issues de nos annonces Google. Lors d'un achat, elle transmet le montant, la devise, le numéro de commande et votre adresse e-mail hachée (SHA-256, jamais en clair). Le Consent Mode v2 est activé : tant que vous n'avez pas consenti à la catégorie « Publicité », aucun de ces cookies n'est déposé et aucune donnée publicitaire n'est envoyée à Google.

Le détail complet est disponible sur la page Gestion des cookies.

9 bis. Campagnes de flyers papier

Nous distribuons des flyers imprimés qui portent une adresse courte du type geteverwear.com/fr/f1, parfois sous forme de QR code. Cette adresse nous permet de savoir si un flyer a servi à quelque chose. Voici exactement ce qui se passe quand vous l'ouvrez.

Ce que nous enregistrons dans tous les cas

Au chargement de la page, et sans vous demander votre accord, nous enregistrons : le code du flyer, la date et l'heure, votre adresse IP tronquée (le dernier bloc est remplacé par zéro, elle ne permet plus de vous identifier), le pays, le type d'appareil, le navigateur, le système d'exploitation et la langue annoncée par votre navigateur. Nous déposons également un identifiant aléatoire dans un cookie nommé _ge_flyer, conservé 13 mois, qui sert uniquement à compter combien de fois un même appareil a scanné nos flyers.

Cette collecte relève de la mesure d'audience et est exemptée de consentement (recommandation de la CNIL du 17 septembre 2020, prise en application de l'article 82 de la loi Informatique et Libertés) : elle sert exclusivement à mesurer nos campagnes, ne fait l'objet d'aucun recoupement avec d'autres traitements, et n'est transmise à personne.

Ce que nous n'enregistrons qu'avec votre accord

La page vous propose un choix explicite. Si — et seulement si — vous cliquez sur « J'accepte », nous enregistrons en plus :

• votre position géographique, telle que votre navigateur nous la communique après vous avoir demandé une seconde autorisation (vous pouvez encore refuser à ce stade) ;
• une empreinte technique de votre appareil : taille et définition d'écran, langues installées, fuseau horaire, nombre de cœurs du processeur, mémoire, polices détectées, carte graphique, rendu graphique et audio. Assemblés, ces éléments constituent une signature qui permet de reconnaître votre appareil même sans cookie ;
• votre adresse IP complète.

Base légale : votre consentement (RGPD art. 6-1-a et art. 82 de la loi Informatique et Libertés). Finalité : savoir dans quels lieux et à quels moments nos flyers sont scannés, afin de décider où en distribuer ensuite. Destinataires : personne. Ces données restent sur nos serveurs (Netcup, Allemagne), ne sont ni vendues, ni louées, ni transmises à un réseau publicitaire. Nos outils de mesure tiers (Google Analytics 4) reçoivent uniquement le code du flyer et le rang du scan : ni votre position, ni votre empreinte, ni votre adresse IP complète ne leur sont transmises.

Si vous refusez, vous accédez à la boutique exactement de la même manière. Nous conservons alors uniquement le comptage décrit au paragraphe précédent, ainsi que la trace de votre refus — c'est ce qui nous permet de ne pas vous redemander et de prouver que nous l'avons respecté.

Durée : 13 mois. Passé ce délai, un traitement automatique efface chaque nuit la position, l'empreinte, l'adresse IP et l'identifiant de mesure. Il ne subsiste qu'une ligne de comptage anonyme, elle-même supprimée à 25 mois.

Comment revenir sur votre choix : supprimez le cookie _ge_flyer depuis les paramètres de votre navigateur, et retirez l'autorisation de géolocalisation accordée à notre site (paramètres du site, rubrique « Position »). Pour demander la suppression des scans déjà enregistrés, écrivez-nous à l'adresse indiquée à la section 13 en nous communiquant la valeur de ce cookie : c'est le seul élément qui nous permette de retrouver vos enregistrements, car nous ne disposons ni de votre nom ni de votre adresse e-mail dans ce traitement.

9 ter. Reconnaissance des visites

Pour savoir si une personne revient sur le site et par quelles pages elle passe, nous calculons une empreinte technique à partir de trois éléments : votre adresse IP réduite à son réseau (les derniers chiffres sont retirés), la famille de votre navigateur et de votre système — sans leur version —, et votre langue. Ces éléments sont mélangés à une clé secrète connue de nous seuls, puis transformés en une signature impossible à remonter vers l'adresse d'origine.

Cette signature reçoit un surnom tiré au sort de façon reproductible — « Only Turquoise Flyingfish » — qui nous sert à parler d'une visite sans jamais manipuler d'identifiant. Nous conservons le nombre de passages, la date du dernier, les pages consultées avec leur horodatage, le temps passé sur chacune et la part de page parcourue, la ville, le type d'appareil, ainsi que le navigateur et les langues que votre navigateur annonce spontanément à chaque requête — nous les gardons tels quels, sans les tronquer.

Ce que l'adresse d'arrivée nous apprend en plus. Quand vous arrivez par un lien publicitaire ou une campagne, cette adresse contient des marqueurs que nous conservons : les paramètres utm_source, utm_medium, utm_campaign, utm_content, utm_term, ref et les identifiants de clic fbclid (Meta), gclid (Google Ads), ttclid (TikTok) et msclkid (Microsoft Ads). Ils nous disent quelle publication ou quelle publicité vous a amené(e), ce que le seul nom du site d'origine ne dit jamais. La liste ci-dessus est fermée : tout autre paramètre présent dans l'adresse est jeté sans être lu. Ces marqueurs suivent la durée du parcours, c'est-à-dire 5 ans.

Ce que ce n'est pas : un fichier de clients. Le registre des visites ne contient aucun nom, aucune adresse e-mail, aucun numéro de commande, et nous ne nous en servons jamais pour reconnaître un client. Une réserve, parce qu'elle est vérifiable : lorsque vous répondez au bandeau de consentement en étant connecté, la preuve de ce choix enregistre côté à côté votre signature technique et votre adresse e-mail (voir la section 5). Un rapprochement y est donc techniquement possible. Il ne sert qu'à prouver votre choix, jamais à analyser votre navigation. Base légale : notre intérêt légitime à mesurer la fréquentation de notre propre boutique (RGPD art. 6-1-f), pour la couche décrite jusqu'ici. Destinataires : personne. Ces données restent sur nos serveurs et ne sont ni vendues, ni transmises à un réseau publicitaire.

Ville et pays sont déduits de votre adresse IP à l'aide d'une base de données installée sur notre propre serveur, DB-IP Lite (licence CC BY 4.0). Aucune requête n'est envoyée à personne : votre adresse ne quitte pas nos serveurs. Il n'existe plus aucun recours à un service extérieur de géolocalisation. Tant que cette base n'est pas installée sur un serveur donné, nous ne déterminons simplement pas votre ville ; seul le pays reste connu, tel que notre fournisseur de sécurité le transmet avec la requête.

Une couche en plus, seulement si vous l'acceptez

Tout ce qui précède se passe sans rien demander à votre appareil. Si vous acceptez la case « mesure d'audience » de notre bandeau, nous enregistrons en plus, à chaque page :

• votre adresse IP complète, telle quelle — alors que sans votre accord, seule une signature non réversible en est tirée ;
• des caractéristiques lues dans votre appareil : la résolution de votre écran, la densité de pixels, la taille de la fenêtre, le fuseau horaire, les langues installées, le nombre de cœurs du processeur et la mémoire disponible ;
• une empreinte d'appareil calculée à partir de ces éléments, qui permet de reconnaître votre appareil même si vous changez de réseau.

Pourquoi. Ces éléments répondent à des questions que la couche par défaut laisse ouvertes : est-ce la même personne qui revient depuis son téléphone puis depuis son ordinateur, nos fiches produit s'affichent-elles correctement sur les écrans réellement utilisés, à quelle heure locale nos visiteurs consultent-ils le site. Nous n'en tirons aucune décision vous concernant : ni prix différent, ni contenu personnalisé, ni relance.

Pourquoi cinq ans, et pourquoi votre adresse. Nous sommes une petite boutique de seconde main, et notre activité suit les saisons. Comparer un mois d'août à celui de l'année précédente ne suffit pas : une seule comparaison ne dit pas si nous progressons ou si nous avons eu de la chance. Cinq ans donnent quatre hivers et quatre étés à comparer — c'est la première échelle à laquelle on peut affirmer que le site s'améliore, ou qu'une décision a été mauvaise. Quant à votre adresse, elle nous donne votre ville approximative : elle nous montre quelles régions s'intéressent à nos pièces, donc ce que nous avons intérêt à chiner pour elles. C'est ce qui nous aide à faire vivre la boutique — et nous préférons vous le dire plutôt que de le taire.

Base légale : votre consentement (RGPD art. 6-1-a et art. 82 de la loi Informatique et Libertés — lire quelque chose dans votre appareil exige un accord, sans exception possible, même pour de la mesure d'audience). Durée : 5 ans, la même que le reste du parcours, puis effacement automatique. Destinataires : personne. Rien de tout cela ne sort de nos serveurs, n'est vendu, ni transmis à un réseau publicitaire.

Si vous refusez, ou si vous ne répondez pas au bandeau, rien de cette liste n'est lu ni conservé — nous ne nous contentons pas de ne pas l'enregistrer, nous ne l'interrogeons pas. Le site fonctionne exactement de la même façon : aucune page, aucun article, aucune fonction n'est réservée à ceux qui acceptent, et nous ne vous reposerons pas la question à chaque visite. Vous pouvez revenir sur votre choix à tout moment depuis le lien « Gestion des cookies » en pied de page ; à partir de ce moment, plus rien n'est lu.

Pour vous opposer à l'ensemble de la section 9 ter, couche par défaut comprise, écrivez à contact@geteverwear.com : nous supprimons la signature correspondante et le parcours associé. Vous pouvez aussi naviguer en fenêtre privée ou changer de réseau, ce qui produit une signature différente.

10. Mesures de sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement TLS 1.3 sur l'intégralité du site (certificats Let's Encrypt renouvelés automatiquement)
• Stockage des mots de passe haché (bcrypt / argon2), jamais en clair
• Aucune donnée bancaire ne transite par nos serveurs (tokenisation Stripe)
• Sauvegardes chiffrées quotidiennes en Europe avec rotation 30 jours
• Accès à l'administration restreint, journalisé et protégé par MFA
• Mises à jour de sécurité appliquées sous 7 jours pour les vulnérabilités critiques

11. Notification de violation de données

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, GetEverwear notifiera la CNIL sous 72 heures conformément à l'article 33 du RGPD, et vous en informera dans les meilleurs délais si la violation est susceptible d'engendrer un risque élevé pour vos droits.

12. Données concernant les mineurs

Notre site n'est pas destiné aux personnes de moins de 16 ans. Si vous avez moins de 16 ans, demandez à un parent ou tuteur de passer commande pour vous. Si nous avions connaissance de la collecte de données concernant un mineur de moins de 16 ans sans consentement parental, nous procéderions à leur suppression sans délai.

13. Contact / Délégué à la protection des données (DPO)

Aucun délégué à la protection des données n'est désigné, et ce n'est pas un oubli. Cette désignation n'est obligatoire (article 37 du RGPD) que pour les organismes publics, ceux dont l'activité principale consiste à suivre des personnes à grande échelle, et ceux qui traitent des données sensibles. GetEverwear n'entre dans aucun de ces cas. Vos demandes sont donc traitées directement par la responsable de traitement :

• Email général : contact@geteverwear.com
• Courrier : à l'attention du DPO, à l'adresse figurant sur nos mentions légales

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL : www.cnil.fr.

14. Modification de la politique

Cette politique peut être mise à jour pour refléter les évolutions réglementaires ou techniques. La date de dernière mise à jour figure en haut de page. Pour les modifications substantielles, nous vous en informerons par email si vous êtes inscrit(e) à notre newsletter.

Cette politique est fournie à titre indicatif. Faites-la valider par un DPO ou un professionnel du droit pour une conformité complète.