Politique de confidentialité

Date de dernière mise à jour : 19 octobre 2026

I. Dispositions générales

1. La présente Politique de confidentialité définit les règles de collecte, de traitement et de conservation des données personnelles des Utilisateurs dans le cadre de l’utilisation de la boutique en ligne accessible à l’adresse mariahempeldyblik.pl (ci-après : la Boutique).

2. Les données personnelles sont traitées conformément au Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après : le RGPD), à la loi polonaise du 10 mai 2018 relative à la protection des données personnelles ainsi qu’à la loi polonaise du 12 juillet 2024 – Droit des communications électroniques (Dz. U. poz. 1221) en ce qui concerne les cookies et les communications commerciales.

3. Le Responsable du traitement ne collecte que les données nécessaires aux finalités décrites dans la présente Politique.

II. Responsable du traitement

Le responsable du traitement des données personnelles collectées par l’intermédiaire de la Boutique est :

Corncrake Michał Lewandowski
ul. Promień 33/11, 51-659 Wrocław, Pologne
NIP (numéro d’identification fiscale) : 898-203-68-76
Téléphone : +48 733 869 037
E-mail : kontakt@mariahempeldyblik.pl

Toute question relative au traitement des données personnelles ainsi que toute demande concernant l’exercice des droits décrits au chapitre X doit être adressée à l’adresse e-mail ci-dessus ou à l’adresse postale.

Le Responsable du traitement n’a pas désigné de délégué à la protection des données.

III. Données traitées

1. Données fournies directement par l’Utilisateur :

nom et prénom,
adresse de livraison et adresse de facturation,
adresse e-mail,
numéro de téléphone,
nom de l’entreprise et numéro d’identification fiscale — en cas d’achat avec facture au nom d’une entreprise,
numéro de compte bancaire — en cas de remboursement,
contenu des messages envoyés via le formulaire de contact ou par e-mail,
identifiant et mot de passe — en cas de création d’un compte dans la Boutique,
adresse e-mail, nom et prénom, statut d’abonnement ainsi que consentement distinct au suivi de l’activité dans les messages — en cas d’inscription à la newsletter.

2. Données collectées automatiquement lors de l’utilisation de la Boutique :

adresse IP et localisation approximative qui en découle,
type et version du navigateur, système d’exploitation, type d’appareil, résolution d’écran,
adresse de la page de provenance ainsi que paramètres de l’URL, y compris les identifiants de campagnes publicitaires,
historique des pages et produits consultés, durée de la visite ainsi que des événements tels que l’ajout d’un produit au panier ou la passation d’une commande,
identifiants attribués dans les cookies et dans le stockage local du navigateur,
enregistrement des interactions avec le site — mouvements du curseur, clics, défilement — sous forme d’enregistrements de sessions et de cartes de chaleur, uniquement après consentement,
adresse IP enregistrée au moment de l’inscription à la newsletter — à titre de preuve du consentement,
informations sur l’ouverture des messages de la newsletter et sur les clics sur les liens qu’ils contiennent — uniquement après un consentement distinct au suivi de l’activité.

3. Données provenant de tiers :

données des commandes passées via la plateforme Etsy — ces commandes sont récupérées depuis Etsy par un système externe de gestion des commandes et transmises à la Boutique via une interface de programmation,
informations sur le statut du paiement reçues de l’opérateur de paiement,
informations sur le statut de l’envoi reçues du transporteur.

La fourniture des données est volontaire, mais nécessaire à la conclusion et à l’exécution du contrat de vente, à l’émission d’un document comptable et à la livraison de la commande. Sans ces données, il n’est pas possible de passer commande. La fourniture de données en vue de recevoir la newsletter est volontaire et ne conditionne pas la possibilité de passer commande.

IV. Finalités, bases juridiques et durées de conservation

Finalité du traitement	Base juridique	Durée de conservation
Conclusion et exécution du contrat de vente : traitement de la commande, expédition, gestion du paiement, contact concernant la commande	art. 6, par. 1, point b) du RGPD — nécessité pour l’exécution du contrat	Jusqu’à l’exécution du contrat, puis jusqu’à l’expiration du délai de prescription des actions qui en découlent
Émission et conservation des documents comptables, obligations fiscales	art. 6, par. 1, point c) du RGPD — obligation légale découlant de la législation polonaise en matière de comptabilité et de fiscalité	5 ans à compter de la fin de l’année civile au cours de laquelle l’échéance de paiement de l’impôt est intervenue
Traitement des réclamations, des retours et des rétractations	art. 6, par. 1, point c) du RGPD — obligation légale	Jusqu’à l’expiration du délai de prescription des actions
Gestion du compte de l’Utilisateur dans la Boutique	art. 6, par. 1, point b) du RGPD	Jusqu’à la suppression du compte par l’Utilisateur ou à sa demande
Traitement de la correspondance et des demandes envoyées via le formulaire de contact	art. 6, par. 1, point f) du RGPD — intérêt légitime consistant à répondre à la demande	Jusqu’à la fin de la correspondance, puis pendant 3 ans au maximum
Constatation, exercice ou défense de droits en justice	art. 6, par. 1, point f) du RGPD — intérêt légitime	6 ans, et 3 ans pour les actions liées à l’exercice d’une activité professionnelle
Sécurité de la Boutique, diagnostic et prévention des abus — journaux du serveur	art. 6, par. 1, point f) du RGPD — intérêt légitime	Journaux d’accès HTTP — 7 jours. Journaux d’erreurs de l’application — supprimés périodiquement, au plus tard après 12 mois. Journaux d’accès à la messagerie — 30 jours
Enregistrement des consentements donnés afin de démontrer que le consentement a été donné	art. 6, par. 1, point c) du RGPD en lien avec l’art. 7, par. 1 du RGPD — obligation légale de démontrer le consentement	Pendant la durée de validité du consentement, soit 365 jours, puis, après son expiration ou son retrait, pendant le délai de prescription des actions liées au traitement fondé sur ce consentement. Les enregistrements sont conservés dans la base de données de la Boutique et ne sont pas transmis au fournisseur du logiciel
Envoi de la newsletter — informations sur les nouvelles œuvres disponibles dans la Boutique	art. 6, par. 1, point a) du RGPD — consentement, donné selon la procédure de double confirmation (clic sur le lien figurant dans le message de confirmation)	Jusqu’au retrait du consentement, c’est-à-dire jusqu’à la désinscription de la newsletter. Les adresses non confirmées, pour lesquelles le lien de confirmation n’a pas été cliqué, sont supprimées après 30 jours. Le contenu généré des messages envoyés est supprimé après 30 jours. L’envoi est suspendu pour les adresses inactives depuis 12 mois
Suivi de l’activité dans les messages de la newsletter — enregistrement des ouvertures et des clics sur les liens afin d’adapter le contenu et la fréquence des envois	art. 6, par. 1, point a) du RGPD — consentement distinct, donné lors de l’inscription et modifiable à tout moment sur la page de gestion de l’abonnement	Jusqu’au retrait du consentement au suivi ou jusqu’à la désinscription de la newsletter
Statistiques et analyse — mesure du trafic, des sources de visites et de l’utilisation de la Boutique	art. 6, par. 1, point a) du RGPD — consentement	Jusqu’au retrait du consentement. Durées de conservation chez le fournisseur de l’outil d’analyse : données d’événements — 2 mois, données des utilisateurs — 14 mois
Marketing, reciblage et personnalisation des publicités — affichage de publicités sur les services de Meta et de Google, mesure des conversions, création d’audiences	art. 6, par. 1, point a) du RGPD — consentement	Jusqu’au retrait du consentement. Les données transmises aux plateformes publicitaires sont conservées conformément aux politiques de ces plateformes — voir chapitre VI
Enregistrement des sessions et création de cartes de chaleur afin d’améliorer l’ergonomie de la Boutique	art. 6, par. 1, point a) du RGPD — consentement	Jusqu’au retrait du consentement. Durées de conservation chez le fournisseur de l’outil : enregistrements de sessions — 30 jours, données agrégées et sessions marquées — jusqu’à 13 mois

V. Destinataires des données personnelles

Les données personnelles des Utilisateurs peuvent être transmises aux destinataires indiqués ci-dessous, uniquement dans la mesure nécessaire aux finalités décrites au chapitre IV.

1. Catégories de destinataires dans le cadre de l’exécution des commandes et du fonctionnement de la Boutique

Fournisseurs de services d’hébergement et de maintenance de l’infrastructure serveur établis dans l’Union européenne — pour la conservation des données de la Boutique et des journaux du serveur.
Opérateurs de paiement électronique — pour les données nécessaires à l’exécution et au règlement de la transaction. Les paiements en ligne des commandes livrées en Pologne sont traités par Autopay S.A., dont le siège est à Sopot (Pologne). Les paiements des commandes livrées dans les autres pays sont traités par Stripe et PayPal — voir point 2.
Opérateurs postaux, sociétés de messagerie (notamment DHL pour les envois hors de Pologne) et prestataires assurant la préparation et l’expédition des colis, opérant en Pologne et dans l’Union européenne — pour les données suivantes : nom et prénom, adresse de livraison, numéro de téléphone, adresse e-mail.
Fournisseurs de logiciels de gestion des commandes ainsi que d’émission et d’archivage des documents de vente, établis en Pologne — pour les données de la commande et les données de facturation.
Fournisseur du logiciel de gestion des consentements — Complianz B.V., dont le siège est à Groningue (Pays-Bas). Cette entité ne reçoit pas les données personnelles des Utilisateurs de la Boutique : les enregistrements des consentements sont conservés exclusivement dans la base de données de la Boutique. Seules les données techniques du site et les coordonnées du Responsable du traitement, nécessaires au fonctionnement du service, lui sont transmises.
Cabinet comptable au service du Responsable du traitement, établi en Pologne — pour les données figurant dans les documents comptables.
Cabinets d’avocats et sociétés de recouvrement établis en Pologne — uniquement si nécessaire pour la constatation, l’exercice ou la défense de droits en justice.
Autorités publiques — uniquement dans la mesure et dans les cas prévus par la loi.

Des contrats de sous-traitance conformes aux exigences de l’art. 28 du RGPD sont conclus avec les entités traitant des données pour le compte du Responsable du traitement. Sur demande adressée à kontakt@mariahempeldyblik.pl, le Responsable du traitement indiquera le nom des destinataires concrets appartenant aux catégories ci-dessus.

2. Destinataires désignés nommément

Les destinataires ci-dessous sont désignés individuellement, car la transmission des données implique leur traitement en dehors de l’Espace économique européen, une responsabilité conjointe du traitement ou un traitement par un responsable distinct :

Stripe Payments Europe, Limited, Dublin, Irlande, et Stripe, LLC, États-Unis — traitement des paiements par carte et des autres moyens de paiement en ligne proposés via Stripe. Données : nom et prénom, adresse e-mail, adresse de facturation, montant de la transaction, données du moyen de paiement (le Responsable du traitement n’a pas accès aux données complètes de la carte), adresse IP et données de l’appareil utilisées pour la prévention de la fraude. Stripe agit en partie en tant que sous-traitant et en partie en tant que responsable de traitement distinct, notamment pour la prévention de la fraude et le respect de ses obligations légales. Politique de confidentialité de Stripe : https://stripe.com/privacy.
PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg — paiement via PayPal. Données : nom et prénom, adresse e-mail, adresse de livraison, montant et contenu de la commande. PayPal agit en tant que responsable de traitement distinct ; les règles de traitement des données par PayPal sont décrites dans la déclaration de confidentialité disponible sur le site de PayPal.
Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irlande — pixel Meta et Conversions API. Données : identifiants issus des cookies, adresse IP, informations sur les produits consultés et les événements d’achat. Rôle : responsable conjoint du traitement — voir chapitre VII.
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande — outils d’analyse et de publicité. Données : identifiants issus des cookies, adresse IP, événements dans la Boutique, données relatives aux transactions.
Microsoft Ireland Operations Limited et Microsoft Corporation — outil d’analyse du comportement des utilisateurs. Données : enregistrements de sessions, cartes de chaleur, données techniques du navigateur.
Automattic Inc., dont le siège est à San Francisco (États-Unis), et Aut O’Mattic A8C Ireland Ltd., dont le siège est en Irlande — service d’envoi de la newsletter. Données : adresse e-mail, nom et prénom, statut d’abonnement et — après un consentement distinct — informations sur les ouvertures des messages et les clics sur les liens.
Etsy Ireland UC et Etsy, Inc. — uniquement pour les commandes passées via la plateforme Etsy. Etsy agit à cet égard en tant que responsable de traitement distinct.

Les messages liés à l’exécution des commandes — confirmations, informations sur l’expédition et documents de vente — ne sont pas envoyés via le service d’envoi de la newsletter indiqué ci-dessus. Ce service ne gère que la newsletter et les messages relatifs à l’abonnement lui-même.

VI. Transferts de données en dehors de l’Espace économique européen

Dans le cadre de l’utilisation des outils d’analyse et de publicité, du service d’envoi de la newsletter ainsi que des services de paiement, les données personnelles des Utilisateurs peuvent être transférées en dehors de l’Espace économique européen, notamment aux États-Unis. Cela concerne les destinataires désignés nommément au chapitre V, point 2.

Dans le cas de Meta et de Google, les données sont d’abord transmises à des sociétés établies en Irlande, puis peuvent être transférées respectivement à Meta Platforms, Inc. et à Google LLC aux États-Unis. Dans le cas de l’outil d’analyse du comportement des utilisateurs, les données peuvent être traitées par Microsoft Corporation aux États-Unis.

Le transfert des données à ces trois destinataires repose sur la décision d’exécution de la Commission européenne du 10 juillet 2023 constatant le niveau de protection adéquat des données personnelles assuré par le cadre de protection des données UE–États-Unis (EU–U.S. Data Privacy Framework). Meta Platforms, Inc., Google LLC et Microsoft Corporation figurent sur la liste des entités certifiées dans le cadre de ce programme. Des clauses contractuelles types approuvées par la Commission européenne, visées à l’art. 46, par. 2, point c) du RGPD, sont appliquées à titre complémentaire.

Dans le cas du service d’envoi de la newsletter, les données des abonnés sont transmises à Automattic Inc. aux États-Unis. Ce transfert repose sur des clauses contractuelles types approuvées par la Commission européenne, visées à l’art. 46, par. 2, point c) du RGPD.

Dans le cas des paiements, les données peuvent être transférées à Stripe, LLC aux États-Unis, entité certifiée dans le cadre de l’EU–U.S. Data Privacy Framework, ainsi qu’à des sociétés du groupe PayPal en dehors de l’Espace économique européen, sur la base des garanties appropriées mises en œuvre par ces prestataires.

Une copie des garanties appliquées peut être obtenue en contactant le Responsable du traitement à l’adresse kontakt@mariahempeldyblik.pl.

La transmission des données aux outils d’analyse et de publicité et au service de newsletter n’a lieu qu’après le consentement de l’Utilisateur — dans le bandeau de consentement pour les outils d’analyse et de publicité, et après la confirmation de l’inscription pour la newsletter. En l’absence de consentement, les scripts correspondants ne sont pas exécutés et les données ne sont pas transmises. La transmission des données aux opérateurs de paiement est nécessaire à l’exécution du contrat et n’a lieu que lorsque l’Utilisateur choisit le moyen de paiement concerné.

VII. Responsabilité conjointe du traitement avec Meta

En ce qui concerne la collecte de données via le pixel Meta et la Conversions API ainsi que leur transmission à Meta afin d’établir des statistiques et de créer des audiences publicitaires, le Responsable du traitement et Meta Platforms Ireland Limited agissent en tant que responsables conjoints du traitement au sens de l’art. 26 du RGPD.

La répartition des responsabilités est définie par le document adopté par Meta — l’Avenant relatif aux responsables conjoints du traitement (Controller Addendum), qui fait partie des Conditions d’utilisation des outils professionnels de Meta. Les éléments essentiels de cet accord sont disponibles à l’adresse : https://www.facebook.com/legal/controller_addendum.

Meta est responsable de la mise en œuvre des droits des personnes concernées pour les données traitées après leur réception. Indépendamment de cela, l’Utilisateur peut s’adresser pour toute question au Responsable du traitement, qui transmettra la demande conformément aux accords conclus. Les règles de traitement des données par Meta sont décrites dans la Politique de confidentialité de Meta : https://www.facebook.com/privacy/policy.

VIII. Cookies et technologies similaires

1. La Boutique utilise des cookies — de petits fichiers texte enregistrés sur l’appareil de l’Utilisateur — ainsi que des technologies similaires, telles que le stockage local du navigateur et les pixels de suivi.

2. Les cookies utilisés sont répartis en quatre catégories, correspondant au choix proposé dans le bandeau de consentement :

Fonctionnels — permettent le fonctionnement du panier, du processus de commande, de la connexion ainsi que la mémorisation du choix effectué dans le bandeau de consentement. Ils ne nécessitent pas de consentement, car la Boutique ne peut pas fonctionner sans eux.
Préférences — mémorisent les choix de l’Utilisateur, par exemple le contenu de la liste de favoris et l’historique des produits récemment consultés. Ils nécessitent un consentement.
Statistiques — servent à mesurer le trafic et l’utilisation de la Boutique. Ils nécessitent un consentement.
Marketing — permettent l’affichage de publicités adaptées et la mesure de leur efficacité, ainsi que le rattachement d’une visite dans la Boutique à un clic sur un lien figurant dans la newsletter. Ils nécessitent un consentement.

3. La liste détaillée des cookies utilisés, avec leur nom, leur fournisseur, leur finalité et leur durée de conservation, figure sur la page : Politique relative aux cookies.

4. Consentement et retrait. Lors de la première visite, un bandeau de consentement s’affiche. Tant que le consentement n’a pas été donné, seuls les cookies fonctionnels sont activés et les scripts relevant des autres catégories restent bloqués. Le consentement peut être modifié ou retiré à tout moment à l’aide du panneau de gestion des consentements :

. Le retrait du consentement ne remet pas en cause la licéité du traitement effectué avant ce retrait.

5. Durée de validité du consentement. Le choix effectué est mémorisé pendant 365 jours. À l’issue de cette période, le bandeau de consentement s’affiche à nouveau.

6. Mode de recueil du consentement. La Boutique utilise le mécanisme Google Consent Mode, version 2. Les outils de Google sont informés de l’étendue du consentement donné et, en l’absence de consentement, n’enregistrent pas d’identifiants dans les cookies et n’utilisent pas les données à des fins publicitaires.

7. L’Utilisateur peut lui-même limiter ou désactiver les cookies dans les paramètres de son navigateur. Cela peut affecter le bon fonctionnement de certaines fonctions de la Boutique, en particulier du panier et du processus de commande.

8. Outre les cookies, les informations relatives aux transactions réalisées sont également transmises aux fournisseurs des outils d’analyse et de publicité directement depuis le serveur de la Boutique. Ce mécanisme complète la mesure effectuée dans le navigateur et est soumis aux mêmes règles de consentement.

IX. Profilage et prise de décision automatisée

1. Après consentement aux finalités publicitaires, les données de l’Utilisateur font l’objet d’un profilage. Celui-ci consiste en une analyse automatisée du comportement dans la Boutique — produits consultés, ajouts au panier, achats effectués — afin d’adapter le contenu publicitaire affiché sur les services de Meta et de Google et d’attribuer l’Utilisateur à des audiences publicitaires.

2. Après un consentement distinct au suivi de l’activité dans les messages de la newsletter, les données de l’abonné font l’objet d’un profilage consistant en l’analyse des ouvertures de messages et des clics sur les liens, afin d’adapter le contenu et la fréquence des envois suivants.

3. Le profilage ne produit pas d’effets juridiques à l’égard de l’Utilisateur et ne l’affecte pas de manière significative de façon similaire au sens de l’art. 22 du RGPD. Aucune décision automatisée n’est prise concernant la conclusion du contrat, le prix, la disponibilité des produits ou les conditions de vente.

4. L’Utilisateur peut à tout moment s’opposer au profilage en retirant le consentement correspondant dans les paramètres de consentement, sur la page de gestion de l’abonnement ou en contactant le Responsable du traitement.

X. Droits de l’Utilisateur

1. L’Utilisateur dispose du droit :

d’accéder à ses données et d’en obtenir une copie (art. 15 du RGPD),
de faire rectifier les données inexactes et compléter les données incomplètes (art. 16 du RGPD),
d’obtenir l’effacement de ses données (art. 17 du RGPD), sauf si une obligation légale s’y oppose, en particulier l’obligation de conserver les documents comptables,
d’obtenir la limitation du traitement (art. 18 du RGPD),
à la portabilité des données traitées sur la base du consentement ou du contrat (art. 20 du RGPD),
de s’opposer au traitement fondé sur l’intérêt légitime, y compris au profilage à des fins de prospection (art. 21 du RGPD),
de retirer son consentement à tout moment, sans que cela remette en cause la licéité du traitement effectué avant ce retrait (art. 7, par. 3 du RGPD).

2. Les demandes doivent être adressées à kontakt@mariahempeldyblik.pl ou à l’adresse postale du Responsable du traitement indiquée au chapitre II.

3. Les abonnés à la newsletter peuvent eux-mêmes modifier leur nom et prénom, retirer leur consentement au suivi de l’activité dans les messages et se désinscrire de la newsletter sur la page de gestion de l’abonnement, dont le lien figure en bas de chaque message envoyé. La modification de l’adresse e-mail n’est pas possible de cette manière — elle nécessite une désinscription suivie d’une nouvelle inscription.

4. Le Responsable du traitement répond dans les meilleurs délais, et au plus tard dans un délai d’un mois à compter de la réception de la demande. Pour les demandes complexes, ce délai peut être prolongé de deux mois supplémentaires, ce dont l’Utilisateur sera informé.

5. Après l’exécution d’une demande d’effacement, les données peuvent subsister dans les sauvegardes de la Boutique jusqu’à leur écrasement selon le cycle de rotation décrit au chapitre XI. Pendant cette période, elles ne sont utilisées à aucune fin opérationnelle.

6. L’Utilisateur a le droit d’introduire une réclamation auprès d’une autorité de contrôle s’il estime que le traitement de ses données enfreint le RGPD — auprès de l’autorité compétente pour le Responsable du traitement, le Prezes Urzędu Ochrony Danych Osobowych (Président de l’Office de protection des données personnelles), ul. Stawki 2, 00-193 Varsovie, Pologne, ou auprès de l’autorité de contrôle de son État membre de résidence (en France : la CNIL).

XI. Sécurité des données

1. Le Responsable du traitement applique des mesures techniques et organisationnelles adaptées au risque pour les droits et libertés des personnes concernées, notamment le chiffrement de la connexion par le protocole TLS, le contrôle de l’accès au panneau d’administration et la mise à jour régulière des logiciels.

2. Le Responsable du traitement effectue des sauvegardes de la Boutique. Les sauvegardes sont conservées pendant environ 45 jours, conformément au cycle de rotation appliqué par l’hébergeur, puis sont écrasées.

3. Le Responsable du traitement ne traite pas de catégories particulières de données personnelles visées à l’art. 9 du RGPD.

XII. Liens vers des services externes

1. La Boutique contient des liens vers les profils du Responsable du traitement sur les réseaux sociaux. En accédant à un tel service, l’Utilisateur accepte que son exploitant traite les données conformément à sa propre politique de confidentialité.

2. Les produits du Responsable du traitement sont également proposés via la plateforme Etsy. Un achat effectué sur Etsy est soumis à la politique de confidentialité d’Etsy, et le Responsable du traitement ne reçoit que les données nécessaires à l’exécution et au règlement de la commande.

XIII. Modifications de la Politique de confidentialité

1. Le Responsable du traitement se réserve le droit de modifier la présente Politique, notamment en cas de modification de la législation ou des outils utilisés.

2. La version en vigueur de la Politique est toujours disponible sur la Boutique, dans la version linguistique correspondante. La date de dernière mise à jour est indiquée au début du document.