Politique de Confidentialité

Conforme au Règlement Général sur la Protection des Données (RGPD — UE 2016/679) — Version du 1er janvier 2025

1. Responsable du traitement

Alexandre Dupont, entrepreneur individuel opérant sous l'enseigne Tobimasu, est le responsable du traitement de vos données personnelles.
Contact DPO : privacy@tobimasu.com

2. Données collectées

2.1 Données collectées directement

• Données d'identification : prénom, nom, adresse email, mot de passe hashé
• Données de livraison : adresse postale, ville, code postal, pays
• Données de commande : historique des achats, contenu des boxes, abonnements
• Données de préférences : gammes favorites, restrictions alimentaires (si renseignées volontairement)
• Données de paiement : aucune donnée bancaire n'est stockée par Tobimasu — les paiements sont traités exclusivement par Stripe (certifié PCI-DSS niveau 1)

2.2 Données collectées automatiquement

• Adresse IP (anonymisée dans les 24h)
• Type de navigateur et système d'exploitation
• Pages visitées et durée de session (analytics anonymisés via Vercel Analytics)
• Cookies de session (strictement nécessaires au fonctionnement)

3. Finalités et bases légales du traitement

3.1 Exécution du contrat

Traitement de vos commandes, gestion des livraisons, suivi des abonnements, communication relative à vos commandes (confirmation, expédition, retours).

3.2 Intérêt légitime

Prévention de la fraude, sécurité du site, amélioration de nos services sur la base d'analyses agrégées et anonymisées.

3.3 Consentement

Envoi de la newsletter et d'offres promotionnelles (uniquement si vous avez expressément coché la case correspondante). Vous pouvez vous désabonner à tout moment via le lien présent dans chaque email ou depuis votre espace client.

3.4 Obligation légale

Conservation des données de facturation pendant 10 ans conformément au Code de commerce français.

4. Durées de conservation

• Données de compte : durée de l'abonnement/compte + 3 ans après la dernière connexion
• Données de commande : 10 ans (obligation légale comptable)
• Données marketing : 3 ans après le dernier contact actif
• Logs de connexion : 12 mois
• Cookies analytiques : 13 mois maximum

5. Destinataires des données

Vos données personnelles ne sont jamais vendues ni cédées à des tiers. Elles peuvent être transmises aux sous-traitants suivants, dans la limite stricte de leurs missions :

• Stripe Inc. — traitement des paiements (USA, certifié Privacy Shield)
• Supabase Inc. — hébergement de la base de données (EU — Frankfurt)
• Vercel Inc. — hébergement du site (USA, certifié DPF)
• La Poste / Colissimo — livraison (France)
• Resend Inc. — envoi d'emails transactionnels

Ces sous-traitants ont signé des accords de traitement des données (DPA) conformes au RGPD. Des clauses contractuelles types (CCT) encadrent les transferts hors UE.

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles
• Droit de rectification : corriger des données inexactes
• Droit à l'effacement : demander la suppression de vos données (sous réserve des obligations légales de conservation)
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine
• Droit d'opposition : vous opposer au traitement à des fins de marketing direct
• Droit à la limitation : demander la suspension temporaire d'un traitement
• Droit de retirer votre consentement à tout moment, sans préjudice de la licéité du traitement effectué avant le retrait

Pour exercer ces droits, contactez-nous à privacy@tobimasu.com en joignant une copie de votre pièce d'identité. Nous répondons dans un délai de 30 jours maximum.

En cas de réponse insatisfaisante, vous avez le droit d'introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

7. Sécurité

Tobimasu met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données :

• Chiffrement des données en transit (TLS 1.3) et au repos (AES-256)
• Authentification à deux facteurs disponible pour les comptes clients
• Mots de passe hashés via bcrypt (jamais stockés en clair)
• Accès aux données restreint au strict nécessaire (principe du moindre privilège)
• Sauvegardes quotidiennes chiffrées

8. Cookies

8.1 Cookies strictement nécessaires

Ces cookies sont indispensables au fonctionnement du site (session d'authentification, panier, préférences de langue). Ils ne requièrent pas votre consentement.

8.2 Cookies analytiques

Vercel Analytics collecte des données de navigation entièrement anonymisées (sans identifiant individuel, sans IP). Ces cookies sont soumis à votre consentement.

8.3 Gestion des cookies

Vous pouvez modifier vos préférences à tout moment via le bandeau de gestion des cookies en bas du site, ou en configurant votre navigateur pour refuser les cookies (notez que cela peut altérer certaines fonctionnalités).

9. Mineurs

Le site tobimasu.com est destiné aux personnes majeures (18 ans et plus). Tobimasu ne collecte pas sciemment de données personnelles relatives à des mineurs. Si vous êtes parent ou tuteur et pensez que votre enfant nous a fourni des données, contactez-nous à privacy@tobimasu.com.

10. Modifications

Tobimasu se réserve le droit de modifier la présente politique de confidentialité. En cas de modification substantielle, vous serez informé par email et/ou par un bandeau visible sur le site. La version applicable est celle publiée sur le site au moment de votre visite.