Politique de confidentialité

Document de travail. Les mentions entre doubles crochets ne sont pas encore renseignées. Elles doivent l'être avant la première diffusion publicitaire, et aucune ne doit être remplie par supposition.

Ce document décrit les données personnelles collectées sur xmarlin.com, ce que nous en faisons, à qui elles sont transmises et comment les faire corriger ou supprimer. Il couvre la loi marocaine 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, et le règlement européen 2016/679 (RGPD) pour les visiteurs situés dans l'Union européenne.

1. Responsable du traitement

Responsable: [[À COMPLÉTER: dénomination sociale exacte et ICE du responsable de traitement]]
Adresse: [[À COMPLÉTER: adresse postale complète du responsable de traitement]]
Contact données personnelles: [[À COMPLÉTER: adresse e-mail dédiée aux demandes relatives aux données personnelles]]
Déclaration CNDP: [[À COMPLÉTER: numéro et date du récépissé de déclaration CNDP au titre de la loi 09-08, et intitulé exact du traitement déclaré]]
Délégué à la protection des données: [[À COMPLÉTER: nom et coordonnées d'un DPO, ou mention explicite qu'aucun DPO n'est désigné]]

La déclaration CNDP doit être déposée et son numéro reporté ici avant la première campagne publicitaire, pas après. Le formulaire de commande collecte des données personnelles dès la première visite payante.

2. Données collectées

Données saisies par le client

Nom complet
Numéro de téléphone, normalisé au format international +212
Ville
Adresse de livraison, et point de repère éventuel donné par téléphone
Pack commandé, taille adulte, taille enfant, coloris, prix en dirhams

Aucune adresse e-mail n'est demandée. Aucun compte n'est créé. Aucune donnée bancaire n'est collectée, puisque le paiement se fait en espèces au livreur.

Données de suivi de commande

Statut de la commande, résultat de l'appel de confirmation, date de confirmation
Date d'expédition, numéro de suivi, date de livraison, motif de refus éventuel

Données techniques et publicitaires

Paramètres de campagne présents dans l'adresse de la page : source, campagne et identifiant de créa publicitaire
Identifiants de clic publicitaire transmis par Meta et TikTok
Mesure d'audience du site, sans cookie et sans identifiant individuel
[[À COMPLÉTER: préciser si l'adresse IP et le user-agent sont enregistrés côté serveur lors de l'envoi du formulaire, et pour combien de temps — à confirmer avec le stream D une fois la Function écrite]]

3. Finalités et bases légales

Traiter et livrer la commande: Exécution du contrat, et du précontrat pour l'appel de confirmation.
Appeler ou écrire sur WhatsApp pour confirmer la commande: Exécution du contrat. Sans cette étape, la commande n'est pas expédiée.
Répondre aux questions et gérer un échange: Exécution du contrat et intérêt légitime à assurer le service client.
Mesurer l'efficacité des publicités: Consentement pour les visiteurs situés dans l'Union européenne. Les pixels publicitaires ne se chargent pas avant recueil du consentement. [[À COMPLÉTER: base retenue pour les visiteurs situés au Maroc, à faire valider par le conseil au regard de la loi 09-08]]
Obligations comptables et fiscales: Obligation légale. [[À COMPLÉTER: durée légale de conservation des pièces comptables, à confirmer par le comptable]]

4. Destinataires et sous-traitants

Cloudflare: Hébergement du site, exécution du formulaire de commande, mesure d'audience sans cookie.
Supabase: Base de données des commandes. [[À COMPLÉTER: région d'hébergement du projet Supabase]]
Transporteur: Nom, téléphone et adresse sont transmis pour la livraison et la collecte du paiement. [[À CONFIRMER AVEC LE TRANSPORTEUR: nom du transporteur, et existence d'un contrat de sous-traitance écrit couvrant les données transmises]]
Meta: Pixel et API de conversions, pour la mesure publicitaire. WhatsApp Business pour la relation client.
TikTok: Pixel et API d'événements, pour la mesure publicitaire.

Les données ne sont ni vendues ni louées. Aucun autre destinataire que ceux listés ci-dessus ne reçoit de données de commande.

5. Transferts hors du Maroc

Les prestataires ci-dessus hébergent ou traitent des données en dehors du territoire marocain.

[[À COMPLÉTER: base juridique des transferts hors Maroc, et autorisation de transfert CNDP si elle est requise pour ce traitement. Pour les visiteurs de l'Union européenne, indiquer le mécanisme retenu pour les transferts hors UE — clauses contractuelles types ou décision d'adéquation. À faire valider par le conseil]]

6. Durées de conservation

Commande livrée: [[À COMPLÉTER: durée de conservation d'une commande livrée]]
Commande annulée ou non confirmée: [[À COMPLÉTER: durée de conservation d'une commande annulée ou restée sans réponse]]
Pièces comptables: [[À COMPLÉTER: durée légale de conservation comptable, confirmée par le comptable]]

7. Vos droits

Visiteurs situés au Maroc — loi 09-08

La loi 09-08 ouvre un droit d'accès, un droit de rectification et un droit d'opposition, exercés auprès du responsable de traitement, ainsi que la possibilité de saisir la CNDP.

[[À COMPLÉTER: formulation exacte des droits au titre de la loi 09-08, délais de réponse et pièces à fournir à l'appui d'une demande, à faire valider par le conseil]]

Visiteurs situés dans l'Union européenne — RGPD

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité et d'opposition, ainsi que du droit d'introduire une réclamation auprès de l'autorité de contrôle de votre pays de résidence.

Comment exercer ces droits

Écrire à [[À COMPLÉTER: adresse e-mail dédiée aux demandes relatives aux données personnelles]] ou à [[À COMPLÉTER: adresse postale complète pour les demandes écrites]]. Réponse sous [[À COMPLÉTER: délai de réponse retenu, cohérent avec les délais légaux applicables]].

8. Cookies et traceurs

La mesure d'audience du site fonctionne sans cookie. Les pixels publicitaires Meta et TikTok déposent des traceurs et ne sont chargés, pour les visiteurs situés dans l'Union européenne, qu'après consentement. Le refus du consentement n'empêche ni la navigation ni la commande.

[[À COMPLÉTER: liste finale des traceurs déposés, leur durée de vie et leur finalité, à établir avec le stream D une fois les pixels installés]]

9. Sécurité

Les échanges avec le site sont chiffrés. L'accès à la base de commandes est restreint aux personnes qui traitent les commandes.

[[À COMPLÉTER: liste nominative des personnes ayant accès à la base de commandes, et procédure suivie en cas de violation de données]]

10. Mineurs

Le site vend des vêtements pour enfants, mais les commandes sont passées par des adultes. Aucune donnée n'est collectée directement auprès d'un mineur, à l'exception de la taille de l'enfant, saisie par l'adulte qui commande.

11. Modifications

Toute modification de cette politique est publiée sur cette page, avec sa date de mise à jour.