1. Qui traite vos données ?
Le responsable des traitements est [À COMPLÉTER : dénomination sociale], [adresse du siège], exploitant l’enseigne Cosmoshop et le site https://cosmoshop-paris.com. Pour toute question sur vos données ou pour exercer vos droits : [À COMPLÉTER : adresse e-mail dédiée] ou par courrier à [À COMPLÉTER : adresse]. [À COMPLÉTER si désigné : délégué à la protection des données – coordonnées.]
2. Quelles données, pourquoi, sur quelle base et combien de temps ?
| Finalité | Données | Base légale | Durée de conservation |
|---|---|---|---|
| Traiter votre commande (préparation, livraison ou Click & Collect, substitution avec votre accord, facturation, service après-vente) – y compris en commande invité | Nom, prénom, e-mail, téléphone, adresse de livraison, instructions d’accès, magasin et créneau choisis, contenu de la commande, historique des échanges | Exécution du contrat | Durée de la relation commerciale, puis archivage [À VALIDER RGPD-9 : ex. 5 ans pour la preuve, 10 ans pour les pièces comptables et les contrats ≥ 120 €] |
| Paiement par carte | Les données de carte sont saisies directement chez Stripe ; Cosmoshop reçoit seulement [À VÉRIFIER : identifiant de transaction, statut, 4 derniers chiffres, type de carte] | Exécution du contrat | Données de carte : non conservées par Cosmoshop. Données de transaction : [À COMPLÉTER] |
| Compte client (facultatif) | Identifiants, adresses enregistrées, historique de commandes, listes de courses, favoris | Exécution du contrat (conditions d’utilisation du compte) | Jusqu’à la suppression du compte ; compte inactif supprimé après [À COMPLÉTER : ex. 3 ans sans connexion] |
| Porte-monnaie et fidélité | Solde, mouvements (date, motif, commande), points | Exécution du contrat ; obligations comptables | Durée du compte, puis archivage comptable [À VALIDER] |
| E-mails liés à la commande (confirmation, commande prête, code de retrait, suivi, substitution) | E-mail, nom, informations de commande | Exécution du contrat | Journaux d’envoi : [À COMPLÉTER] |
| Newsletter et offres par e-mail | E-mail, prénom, préférences d’envoi, statistiques d’ouverture [À VÉRIFIER : réglage Brevo] | Consentement (case non cochée) ; pour les clients, offres sur des produits analogues avec possibilité de refuser à la collecte et dans chaque e-mail (art. L34-5 CPCE) [À VALIDER] | Jusqu’au désabonnement ; prospects non clients : 3 ans après le dernier contact |
| Chat en ligne (Crisp) | Messages, nom et e-mail si vous les donnez, données techniques du navigateur | Consentement (le chat n’est chargé qu’après votre accord – décision O-05) | [À COMPLÉTER : ex. 3 ans après la fin de l’échange – docs/18] |
| Service client (e-mail, téléphone, réclamations) | Échanges, pièces jointes, référence de commande | Exécution du contrat / intérêt légitime | 3 ans après la clôture [À VALIDER – docs/18] |
| Avis produits | Nom affiché, e-mail, note, texte, lien avec la commande (« achat vérifié ») | Intérêt légitime (informer les autres clients) [À VALIDER] | Durée de publication ; supprimable à votre demande |
| Gestion de vos choix cookies (Complianz) | Choix exprimé, date, identifiant technique | Obligation légale (preuve du consentement) | 6 mois pour le choix [voir politique cookies] |
| Sécurité du site et hébergement (Hostinger, CDN) | Adresse IP, journaux techniques, données de connexion | Intérêt légitime (sécurité) | [À COMPLÉTER : durée des journaux chez l’hébergeur] |
| Prévention de la fraude au paiement | Données de transaction et techniques traitées par Stripe | Intérêt légitime [À VÉRIFIER RGPD-3] | Selon Stripe [À VÉRIFIER] |
| [Si activé – RGPD-6] Préférences alimentaires et allergies déclarées dans le compte | Allergies, régimes | Consentement explicite | Jusqu’à retrait ; supprimables à tout moment |
| [Si activé] Mesure d’audience | [À COMPLÉTER : outil non choisi] | Consentement, ou exemption si configuration conforme CNIL | 25 mois maximum pour les données, 13 mois pour les traceurs |
Les champs obligatoires sont signalés dans les formulaires ; sans eux, la commande ne peut pas être traitée. Aucune décision entièrement automatisée produisant des effets juridiques n’est prise à votre égard [À VÉRIFIER : outils anti-fraude de Stripe].
3. Qui reçoit vos données ?
- Les équipes habilitées de Cosmoshop (préparation, magasin de retrait, service client, comptabilité).
- Nos prestataires, qui agissent sur nos instructions : – Hostinger – hébergement du site et de la base de données, CDN [À COMPLÉTER : entité, pays d’hébergement] ; – Stripe – paiement par carte [À COMPLÉTER : entité contractante, transferts hors UE et garanties] ; – Brevo – envoi des e-mails transactionnels et des newsletters [À COMPLÉTER : entité ; hébergement dans l’UE selon la décision O-02, à confirmer par le contrat] ; – Crisp – chat en ligne [À COMPLÉTER : entité, hébergement] ; – Complianz (extension WordPress, fonctionne sur notre hébergement) – gestion des consentements [À VÉRIFIER : aucune donnée transmise à l’éditeur de l’extension] ; – [À COMPLÉTER C-06 : transporteur / prestataire de livraison] ; – [À COMPLÉTER RGPD-5 : autres prestataires techniques ayant accès au site].
- Les autorités, sur demande légale.
Vos données ne sont jamais vendues.
4. Transferts hors de l’Union européenne
[À COMPLÉTER RGPD-2 : pour chaque prestataire, indiquer s’il y a transfert hors UE et la garantie utilisée (décision d’adéquation, clauses contractuelles types…). Ne rien écrire tant que les contrats n’ont pas été lus.]
5. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition (notamment à la prospection, à tout moment et sans justification), de portabilité, et du droit de retirer votre consentement à tout moment, aussi simplement que vous l’avez donné. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.
Depuis votre espace client, vous pouvez modifier vos informations, gérer vos abonnements et [À VÉRIFIER : fonctions WooCommerce d’export et de suppression activées] demander l’export ou la suppression de vos données. Sinon, écrivez à [À COMPLÉTER : adresse]. Nous répondons dans un délai d’un mois. Une preuve d’identité peut être demandée en cas de doute raisonnable.
La suppression de votre compte n’efface pas les données que la loi nous oblige à conserver (factures, contrats) : elles sont archivées avec un accès restreint.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).
6. Sécurité
Le site est accessible uniquement en HTTPS. Les paiements par carte sont traités par Stripe : aucune donnée de carte n’est stockée par Cosmoshop. Les accès à l’administration sont limités [À COMPLÉTER : double authentification des comptes administrateurs – exigée par docs/18, à vérifier sur le site].
7. Cookies
Voir notre politique cookies et le lien « Gérer mes cookies » en bas de page.
8. Modifications
Cette politique peut évoluer (nouveau service, nouveau prestataire). La date de mise à jour figure ci-dessous.
Dernière mise à jour : [À COMPLÉTER].
Version provisoire du 29/09/2026