Politique de confidentialité

1. Responsable de traitement

Le responsable du traitement de vos données est Sébastien ROVERSO (ROVERSO Sébastien - LE BIDON MALIN), 37 Rue Centrale, 74940 Annecy — contact@lebidonmalin.fr — 06 30 35 75 40.

2. Données que nous collectons

Nous ne collectons que ce dont nous avons besoin pour préparer votre commande, vous la remettre et vous la facturer. Voici, catégorie par catégorie, ce qui est réellement enregistré, à quoi cela sert, et si c'est obligatoire ou non.

Votre identité — nom et prénom (ou nom complet au moment de la commande), et le type de compte choisi : particulier ou professionnel.
À quoi cela sert : savoir à qui appartient la commande, vous reconnaître au moment du retrait et établir votre facture.
Obligatoire.
Votre adresse email.
À quoi cela sert : vous envoyer la confirmation et le suivi de votre commande, vous connecter à votre espace client (le lien de connexion vous est envoyé par email), et vous adresser nos offres sauf opposition de votre part (voir l'article 3).
Obligatoire.
Votre numéro de téléphone.
À quoi cela sert : nous vous rappelons dès que votre commande est prête, afin de convenir avec vous d'un rendez-vous de retrait à l'entrepôt. C'est nous qui vous appelons : vous n'avez aucune démarche à faire. Le téléphone nous sert aussi à vous joindre rapidement en cas de problème sur une commande en cours.
Obligatoire, à la commande comme à la création d'un compte : sans lui, nous ne pouvons pas vous appeler pour fixer le rendez-vous de retrait.
Votre adresse postale — adresse, code postal, ville.
À quoi cela sert : l'adresse figure sur votre facture et nous permet de respecter nos obligations comptables ; elle prépare également l'ouverture prochaine de la livraison, qui n'est pas encore proposée à la commande.
Obligatoire au moment de la commande, y compris pour un simple retrait à l'entrepôt ; elle n'est pas demandée à la création d'un compte.
Vos informations professionnelles — raison sociale, numéro SIRET, numéro de TVA intracommunautaire.
À quoi cela sert : établir une facture au nom de votre structure.
Obligatoires si vous choisissez un compte professionnel (raison sociale et SIRET ; le numéro de TVA reste facultatif, certains régimes en étant dispensés). Sans objet pour un particulier : ces champs ne vous sont alors pas demandés.
Vos commandes — référence, date, statut d'avancement, mode de récupération, produits et formats commandés, quantités, présence ou non d'un bidon consigné, montants et date de paiement.
À quoi cela sert : préparer votre commande, vous en donner le suivi, établir la facture et conserver la trace comptable de la vente.
Obligatoire — c'est le contenu même de votre commande.
Vos bidons consignés — le nombre de bidons vides que vous avez à nous rapporter.
À quoi cela sert : suivre la consigne d'un passage à l'autre.
Renseigné par nos soins, jamais saisi par vous.
Vos paiements — montant, devise, statut (en attente, payé, échoué, annulé, expiré, remboursé), dates, et les identifiants techniques de la transaction communiqués par notre prestataire de paiement.
À quoi cela sert : savoir si votre commande est réglée et pouvoir la rapprocher du paiement en cas de litige.
Obligatoire si vous choisissez de payer en ligne. Aucune donnée bancaire n'est concernée : voir l'encadré ci-dessous.
Votre compte et vos connexions — date de création du compte, date à laquelle votre adresse email a été confirmée, et une empreinte non réversible du lien de connexion à usage unique qui vous est envoyé.
À quoi cela sert : vous laisser accéder à votre espace client en toute sécurité. Le site ne vous demande aucun mot de passe et n'en conserve donc aucun : la connexion se fait uniquement par un lien envoyé sur votre boîte mail, valable 1 heure et utilisable une seule fois.
Créé automatiquement avec votre commande. Vous pouvez commander sans passer par la création d'un compte : dans ce cas, nous en ouvrons un à votre adresse email à partir des informations de votre commande, pour que vous puissiez la retrouver et en suivre l'avancement — et pour que nous disposions d'une fiche client. Aucune donnée supplémentaire ne vous est demandée pour cela. Ce compte ne s'ouvre qu'à vous : il n'est accessible qu'après avoir cliqué sur le lien de connexion envoyé sur votre boîte mail. Vous pouvez le faire supprimer à tout moment (article 6).
Votre opposition à la prospection — votre adresse email et la date de votre opposition, si vous avez coché la case prévue à cet effet ou cliqué sur un lien de désinscription.
À quoi cela sert : ne plus jamais vous adresser d'offres par email. Cette liste est une liste d'exclusion, jamais une liste de diffusion.
Entièrement facultatif — c'est vous qui décidez.
Données techniques de sécurité — adresse IP, navigateur utilisé, date et résultat, enregistrés lors de certains événements sensibles (création de compte, demande de lien de connexion, paiement, connexion à l'administration du site).
À quoi cela sert : limiter les abus (envois d'emails en rafale, tentatives de connexion automatisées) et conserver la trace des opérations sensibles, comme la sécurité du service l'exige.
Collecté automatiquement, sans action de votre part ; nous ne pouvons pas vous en dispenser sans renoncer à protéger le service.

Ce que nous ne collectons pas. Vos coordonnées bancaires ne transitent jamais par ce site et n'y sont jamais enregistrées : lorsque vous payez en ligne, vous saisissez votre carte directement sur la page sécurisée de notre prestataire Stripe. Nous ne lui transmettons de notre côté ni votre nom, ni votre adresse email, ni votre adresse postale — seulement le montant à régler et la référence de votre commande — et nous ne recevons en retour qu'un identifiant technique de transaction, un montant et un statut. Nous n'avons donc à aucun moment connaissance de votre numéro de carte. Nous ne vous demandons pas non plus votre date de naissance, nous ne suivons pas votre navigation (voir l'article 9) et nous n'achetons ni ne louons aucun fichier d'adresses : nous n'écrivons qu'aux personnes qui nous ont déjà commandé quelque chose.

3. Finalités et bases légales

Gestion de vos commandes et de leur retrait à l'entrepôt — enregistrement de la commande, préparation, appel téléphonique pour convenir du rendez-vous de retrait, remise des produits. La livraison n'est pas encore proposée à la commande ; lorsqu'elle le sera, la même finalité couvrira l'acheminement des produits à votre adresse. Base légale : exécution du contrat.
Gestion du compte client — base légale : exécution du contrat.
Encaissement des paiements — base légale : exécution du contrat.
Facturation et obligations comptables — votre identité et votre adresse postale figurent sur la facture, que nous devons établir et conserver. Base légale : obligation légale.
Envoi des courriels de suivi de commande — base légale : exécution du contrat.
Sécurité du site et prévention des abus — limitation du nombre d'envois d'emails et de tentatives de connexion, journalisation des opérations sensibles. Base légale : intérêt légitime du responsable de traitement à protéger son service et ses clients (article 6.1.f du RGPD).
Prospection commerciale par courrier électronique — nous utilisons votre adresse email pour vous informer de nos offres, nouveautés et actualités portant sur des produits et services analogues à ceux que vous nous avez déjà commandés.
Personnes concernées : uniquement nos clients, c'est-à-dire les personnes ayant déjà passé commande auprès de nous. Nous ne collectons aucune adresse de prospect et aucun formulaire d'inscription public n'est proposé sur le site.
Base légale : l'intérêt légitime du responsable de traitement à promouvoir ses propres produits auprès de sa clientèle (article 6.1.f du RGPD), dans le cadre dérogatoire prévu par l'article L34-5 du code des postes et des communications électroniques : la prospection adressée à un client existant, pour des produits ou services analogues, ne requiert pas son consentement préalable dès lors que la faculté de s'y opposer lui est offerte de manière expresse et dénuée d'ambiguïté.
Droit d'opposition : cette faculté vous est offerte au moment de votre commande (case dédiée « Je ne souhaite pas recevoir d'offres et actualités du Bidon Malin par email »), dans chacun des emails que nous vous adressons (lien de désinscription), et à tout moment en écrivant à contact@lebidonmalin.fr. Cette opposition s'exerce sans avoir à vous justifier et sans frais ; elle prend effet immédiatement et n'affecte en rien le traitement de vos commandes.

4. Destinataires et sous-traitants

Vos données ne sont jamais vendues. Elles sont communiquées uniquement à nos sous-traitants, strictement pour les finalités ci-dessus :

Stripe — traitement sécurisé des paiements par carte bancaire. Nous ne lui transmettons que le montant à régler et la référence de votre commande ; les informations que vous saisissez ensuite sur sa page de paiement (numéro de carte, et le cas échéant l'adresse email à laquelle il vous adresse un reçu) sont traitées par Stripe et ne nous sont pas restituées.
Infomaniak — hébergement du site et acheminement des courriels.
Dolibarr — notre logiciel de facturation. Dès la confirmation de votre adresse email, une fiche vous concernant y est créée avec votre nom (ou votre raison sociale), votre adresse email, votre téléphone, votre adresse postale et, si vous êtes un professionnel, votre numéro SIRET et votre numéro de TVA intracommunautaire ; puis, à chaque commande qui vous est remise, une facture y est créée à partir de cette fiche.
À quoi cela sert : établir votre facture et respecter nos obligations comptables (conservation 10 ans, voir l'article 6). Aucune donnée bancaire n'est concernée : vos paiements restent entièrement traités par Stripe (voir ci-dessus).
Hébergement : ce logiciel est hébergé soit sur le même serveur que le site, dans un conteneur isolé qui n'est jamais exposé sur Internet, soit sur une instance séparée, accessible uniquement en connexion chiffrée (HTTPS) ; l'option retenue vous sera communiquée sur demande à contact@lebidonmalin.fr.

Ces sous-traitants sont liés par des engagements de confidentialité et de sécurité conformes à l'article 28 du RGPD.

5. Transferts de données en dehors de l'Union européenne

Nos deux sous-traitants sont situés, ou rattachés à un groupe établi, hors de l'Union européenne. Nous devons vous le dire et vous indiquer ce qui protège vos données dans ce cas.

Hébergement du site et acheminement des courriels — Suisse. Notre hébergeur Infomaniak Network SA est établi à Rue Eugène-Marziano 25, 1227 Genève (Les Acacias), Suisse. Les données que vous nous confiez sont donc hébergées en Suisse, pays qui n'est pas membre de l'Union européenne.
Ce qui encadre ce transfert : la Commission européenne a reconnu que la Suisse assure un niveau de protection adéquat des données personnelles. Cette « décision d'adéquation » signifie que vos données y bénéficient d'une protection jugée équivalente à celle du RGPD : le transfert est licite sans formalité ni garantie contractuelle supplémentaire, et vous conservez exactement les mêmes droits.
Paiement en ligne — groupe établi aux États-Unis. Notre prestataire de paiement Stripe appartient à un groupe dont la société mère est établie aux États-Unis. Les données liées à votre paiement sont donc susceptibles d'être traitées ou consultées depuis un pays situé hors de l'Union européenne.
Ce qui est concerné : comme indiqué à l'article 2, nous ne transmettons à Stripe que le montant à régler et la référence de votre commande — ni votre nom, ni votre adresse email, ni votre adresse postale. Les coordonnées bancaires que vous saisissez sur sa page de paiement sont remises directement à Stripe et ne transitent jamais par notre site.
Ce qui encadre ce transfert : les États-Unis ne bénéficient pas d'une reconnaissance générale équivalente à celle de la Suisse. Un tel transfert doit donc reposer sur l'un des mécanismes prévus au chapitre V du RGPD — décision d'adéquation applicable au prestataire, ou garanties appropriées de l'article 46, au premier rang desquelles les clauses contractuelles types de la Commission européenne. Le mécanisme retenu est celui que prévoit l'accord de protection des données conclu avec Stripe ; vous pouvez nous en demander le détail, et copie des garanties correspondantes, en écrivant à contact@lebidonmalin.fr.

6. Durées de conservation

Commandes et factures : 10 ans (obligation comptable). Elles sont conservées dans notre logiciel de facturation (Dolibarr), qui en est l'archive de référence. En cas de suppression de votre compte, l'identité et l'adresse qui figurent sur une facture déjà émise sont conservées telles quelles — c'est la trace comptable elle-même — mais toutes vos autres données (téléphone, historique non facturé) sont effacées ou anonymisées.
Compte client (identité, coordonnées, informations professionnelles, bidons consignés) : 2 ans à compter de la dernière activité, puis suppression ou anonymisation.
Adresse postale et téléphone communiqués lors d'une commande : ils font partie de la commande et suivent donc la durée de celle-ci (10 ans), l'adresse figurant sur la facture.
Adresse email utilisée à des fins de prospection : 2 ans à compter de votre dernière activité (dernière commande ou dernier contact), en cohérence avec la durée de conservation du compte client.
Adresse email inscrite en liste d'opposition : conservée aussi longtemps que nécessaire pour honorer votre opposition. C'est la finalité même de cette liste : ne pouvant pas oublier une adresse sans risquer de la démarcher de nouveau par erreur, nous la conservons — accompagnée de la seule date de votre opposition — à cette unique fin d'exclusion.
Liens de connexion à votre espace client : 1 heure, et une seule utilisation. Passé ce délai le lien ne vaut plus rien.
Journaux techniques de sécurité (adresse IP, navigateur, tentatives de connexion) : 12 mois au maximum. Les compteurs anti-abus, eux, ne retiennent l'adresse IP que le temps de la fenêtre de limitation, soit quelques minutes.

7. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition sur vos données. Vous pouvez les exercer directement depuis votre espace « Mes données », ou en écrivant à contact@lebidonmalin.fr.

Le droit d'effacement connaît une limite : les commandes et factures déjà émises doivent être conservées 10 ans au titre de nos obligations comptables. Si vous demandez la suppression de votre compte, votre identité est effacée mais la trace comptable de vos achats subsiste, anonymisée.

Vous avez également le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

8. Absence de décision automatisée et de profilage

Nous ne prenons à votre égard aucune décision fondée exclusivement sur un traitement automatisé, au sens de l'article 22 du RGPD, et nous ne pratiquons aucun profilage : ni segmentation de clientèle, ni note ou score attribué à votre dossier, ni ciblage publicitaire, ni analyse de vos habitudes d'achat. Concrètement, le site n'adapte ni les prix, ni les produits qui vous sont montrés, ni les messages que vous recevez en fonction de qui vous êtes ou de ce que vous avez déjà commandé.

Le choix « particulier » ou « professionnel » que vous faites en créant votre compte ou en commandant sert uniquement à savoir quelles informations vous demander et au nom de qui établir la facture : il ne change ni les prix, ni les conditions qui vous sont appliqués.

Les seuls automatismes en place sont les mesures de sécurité décrites à l'article 3 : elles limitent temporairement le nombre d'emails ou de tentatives de connexion partant d'une même origine. Elles ne portent aucune appréciation sur votre personne, et une personne reste joignable à contact@lebidonmalin.fr si l'une d'elles vous gênait.

9. Cookies

Le site n'utilise aucun traceur publicitaire ni outil de mesure d'audience tiers, à la seule exception d'une vidéo YouTube intégrée sur la page FAQ, chargée uniquement si vous cliquez pour la lancer. Les modalités sont détaillées dans notre politique de cookies.