Politique de confidentialité

1. En bref

• Nous ne traitons que ce dont nous avons besoin pour votre commande. Pas de cookies, pas de traceurs publicitaires, pas d’outils de mesure d’audience d’autres entreprises.
• Nous conservons les informations sur l’enfant séparément de la commande et nous les supprimons 30 jours après l’envoi de la lettre.
• L’IA ne reçoit jamais de prénoms ni d’adresses. Elle écrit avec des repères que nous ne remplaçons qu’à l’impression.
• Nous ne voyons jamais les données de votre carte : le paiement passe par Stripe.
• Nous ne vendons pas vos données et ne les utilisons pas pour de la publicité.

2. Responsable du traitement

Consensus Ventures GmbH, Maxstraße 11, 82335 Berg, Allemagne, représentée par son gérant Thomas Huhn, e-mail : hello@courrierdeslutins.com. Nous ne sommes pas tenus de désigner un délégué à la protection des données. Pour toute question sur vos données, écrivez-nous à l’adresse ci-dessus.

3. Visite du site

Le site est hébergé par Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis. Nos fonctions serveur tournent à Francfort-sur-le-Main. Le nom de domaine et la messagerie passent par Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, États-Unis. Quand vous ouvrez une page, Vercel traite des données techniquement nécessaires comme l’adresse IP, l’heure, la page demandée et le type de navigateur, pour afficher la page et la protéger contre les attaques. La base juridique est notre intérêt légitime à un site sûr et qui fonctionne (article 6, paragraphe 1, point f, du RGPD). Ces prestataires traitent les données pour notre compte (article 28 du RGPD). Des données peuvent être transférées aux États-Unis. Ce transfert repose sur la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis lorsque le prestataire y est certifié, et sinon sur les clauses contractuelles types de l’UE (article 46, paragraphe 2, point c, du RGPD).

Nous ne déposons aucun cookie et n’enregistrons rien dans votre navigateur.

Si vous arrivez chez nous par un lien publicitaire ou un lien partenaire, un court code de campagne figure dans l’adresse. Nous enregistrons ce code avec la commande, sans cookie, pour savoir quelle publicité ou quel partenaire a mené à une commande. Le partenaire n’apprend que la date, le produit, le montant et le canal, jamais votre nom, votre adresse ou quoi que ce soit sur votre enfant. La base juridique est l’article 6, paragraphe 1, point f, du RGPD.

Mesure facultative des achats Google Ads : si vous arrivez par une annonce Google, vous pouvez consentir séparément, juste avant la commande, à ce que nous transmettions à Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande, l’identifiant du clic Google (gclid), l’heure et le montant de l’achat. Google s’en sert pour attribuer l’achat à une annonce et optimiser nos campagnes. Nous ne transmettons ni nom, ni adresse, ni information sur l’enfant. Sans case cochée, aucune donnée n’est transmise et la commande reste possible sans changement. La base juridique est votre consentement (article 6, paragraphe 1, point a, du RGPD). Vous pouvez le retirer à tout moment par e-mail. Google peut transférer des données à Google LLC aux États-Unis dans le cadre UE-États-Unis de protection des données lorsque la certification s’applique, sinon sur la base des clauses contractuelles types de l’UE.

Statistiques de commande sans cookie : quand vous passez au paiement et quand le paiement est terminé, nous notons cette étape avec le produit, le montant, le code de campagne, le type d’appareil (téléphone, tablette ou ordinateur) et le pays déduit approximativement de l’adresse IP. Pour relier ces deux étapes, notre serveur calcule une empreinte à partir de l’adresse IP, du type de navigateur et d’une valeur aléatoire valable un seul jour. Nous n’enregistrons pas l’adresse IP elle-même et nous supprimons la valeur du jour le lendemain. Les données sont conservées 90 jours. La base juridique est notre intérêt légitime à améliorer la commande et à trouver les erreurs (article 6, paragraphe 1, point f, du RGPD). Vous pouvez vous y opposer à tout moment en nous écrivant (article 21 du RGPD).

4. Votre commande

Pour votre commande, nous traitons votre nom, votre adresse e-mail, l’adresse de livraison, le produit, le montant et l’état du paiement. La base juridique est l’exécution du contrat (article 6, paragraphe 1, point b, du RGPD). Nous conservons jusqu’à dix ans les documents utiles à la facturation, en raison du droit commercial et fiscal allemand (article 6, paragraphe 1, point c, du RGPD, avec l’article 257 du code de commerce allemand, HGB, et l’article 147 du code fiscal allemand, AO).

Les données sont enregistrées dans une base de données de Neon (prestataire établi aux États-Unis), dans un centre de données à Francfort-sur-le-Main (AWS eu-central-1). Le prestataire traite les données pour notre compte (article 28 du RGPD). Des données peuvent être transférées aux États-Unis. Ce transfert repose sur la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis lorsque le prestataire y est certifié, et sinon sur les clauses contractuelles types de l’UE (article 46, paragraphe 2, point c, du RGPD).

5. Informations sur l’enfant

Pour que la lettre soit personnelle, vous nous parlez de l’enfant : prénom, âge, genre si vous le souhaitez, ville, souvenirs, animal, amis, souhaits, frères et sœurs, prénom du lutin. Nous conservons ces informations séparément de la commande. La base juridique est l’exécution du contrat (article 6, paragraphe 1, point b, du RGPD). Ne saisissez ces informations que si vous êtes responsable de l’enfant, par exemple en tant que parent.

Suppression : 30 jours après l’envoi de la lettre, nous supprimons automatiquement les informations sur l’enfant ainsi que le nom et la rue figurant sur la lettre. Si une commande n’est pas payée, nous supprimons ces informations et vos coordonnées au bout de trois jours.

6. Écriture de la lettre avec une IA (Claude, centres de données dans l’UE)

La lettre est écrite par un modèle de langage d’Anthropic (Claude). La demande passe par l’intermédiaire OpenRouter, Inc. (États-Unis) vers des centres de données dans l’UE : Amazon Web Services en Irlande (Amazon Web Services EMEA SARL, Luxembourg) ou Google Cloud en Europe (Google Cloud EMEA Limited, Dublin). Nous n’autorisons que des prestataires qui ne conservent pas le contenu et ne l’utilisent pas pour l’entraînement.

L’IA reçoit seulement l’âge, le genre si vous l’avez indiqué, les souvenirs, les souhaits et ce dont l’enfant peut être fier, avec des repères à la place des prénoms de l’enfant, des amis, des frères et sœurs et de l’animal. Nous n’insérons les prénoms et les adresses qu’à l’impression. N’écrivez donc ni prénoms ni adresses dans les champs de texte libre.

Les prestataires traitent les données pour notre compte (article 28 du RGPD). La base juridique est l’article 6, paragraphe 1, point b, du RGPD. Des données peuvent être transférées aux États-Unis. Ce transfert repose sur la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis lorsque le prestataire y est certifié, et sinon sur les clauses contractuelles types de l’UE (article 46, paragraphe 2, point c, du RGPD).

7. Paiement (Stripe)

Le paiement est assuré par Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlande. Stripe traite vos données de paiement, votre adresse e-mail et le montant, et vérifie le paiement contre la fraude. Stripe en est lui-même responsable. Nous recevons seulement l’état du paiement, jamais les données de votre carte. La base juridique est l’article 6, paragraphe 1, point b, du RGPD. Plus d’informations sur stripe.com/privacy. Des données peuvent être transférées aux États-Unis. Ce transfert repose sur la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis lorsque le prestataire y est certifié, et sinon sur les clauses contractuelles types de l’UE (article 46, paragraphe 2, point c, du RGPD).

Si vous payez avec PayPal ou Bancontact, la politique de confidentialité de ce service s’applique aussi.

8. Impression et envoi

Les lettres sont imprimées par LetterXpress, A&O Fischer GmbH & Co. KG, Maybachstraße 9, 21423 Winsen (Luhe), Allemagne, et remises à la poste allemande, qui les confie à la poste française ou belge pour la distribution. Pour cela, l’imprimeur reçoit la lettre terminée avec le prénom et l’adresse de l’enfant ; la poste ne voit que ce qui apparaît dans la fenêtre de l’enveloppe. L’imprimeur traite les données pour notre compte (article 28 du RGPD). La base juridique est l’article 6, paragraphe 1, point b, du RGPD.

9. E-mails

Nous envoyons les confirmations de commande, les lettres du lutin et les cartes cadeaux par Resend (Plus Five Five, Inc., États-Unis), depuis des serveurs en Irlande. Resend reçoit votre adresse e-mail et le contenu de l’e-mail. Le prestataire traite les données pour notre compte (article 28 du RGPD). La base juridique est l’article 6, paragraphe 1, point b, du RGPD. Des données peuvent être transférées aux États-Unis. Ce transfert repose sur la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis lorsque le prestataire y est certifié, et sinon sur les clauses contractuelles types de l’UE (article 46, paragraphe 2, point c, du RGPD).

Si vous nous écrivez à hello@courrierdeslutins.com, Cloudflare transfère l’e-mail vers notre messagerie chez Google Workspace (Google Cloud EMEA Limited, Dublin, Irlande). Nous utilisons votre message uniquement pour y répondre (article 6, paragraphe 1, point b ou f, du RGPD) et le supprimons quand nous n’en avons plus besoin et qu’aucune obligation de conservation ne s’applique.

10. Cartes cadeaux

Quand vous achetez une carte cadeau, nous traitons le nom et l’adresse e-mail de la personne qui l’offre et, s’il est indiqué, le nom qui figure sur la carte. Nous conservons la carte jusqu’à son utilisation ou son expiration, puis pendant les durées de conservation légales.

11. Vos droits

Vous avez un droit d’accès (article 15 du RGPD), de rectification (article 16), d’effacement (article 17), de limitation du traitement (article 18), à la portabilité des données (article 20) et un droit d’opposition au traitement fondé sur l’intérêt légitime (article 21). Il vous suffit d’écrire à hello@courrierdeslutins.com.

Vous pouvez aussi introduire une réclamation auprès d’une autorité de protection des données, par exemple celle de votre lieu de résidence : en France, la CNIL ; en Belgique, l’Autorité de protection des données. L’autorité compétente pour nous est l’autorité bavaroise de protection des données (Bayerisches Landesamt für Datenschutzaufsicht), Promenade 18, 91522 Ansbach, Allemagne.

Nous ne prenons pas de décision automatisée au sens de l’article 22 du RGPD.