Politique de confidentialité

1. Qui sommes-nous ?

KOCOA ("nous", "notre", "nos") exploite kocoa.nl et la marque innerTIDE. Nous nous engageons à protéger vos données personnelles conformément au Règlement général sur la protection des données (RGPD) et aux lois néerlandaises et européennes applicables en matière de protection de la vie privée.

2. Quelles sont les données que nous collectons ?

Lorsque vous visitez notre site web, passez une commande ou créez un compte, nous pouvons collecter : nom, adresse e-mail, adresse de livraison et de facturation, numéro de téléphone, informations de paiement (traitées de manière sécurisée par notre fournisseur de paiement — nous ne stockons jamais les données de carte) et toute information que vous fournissez lorsque vous nous contactez ou soumettez une demande de vente en gros.

Avis sur les produits

Si vous rédigez un avis sur un produit, nous publions le nom que vous saisissez (nous suggérons votre prénom et l'initiale de votre nom), votre note et votre texte, votre type de peau et votre localisation si vous les indiquez, la langue de l'avis et sa date. Nous conservons aussi, sans jamais les afficher, la commande à laquelle l'avis se rapporte et votre compte si vous en avez un, afin de vérifier l'achat et d'attribuer des points de fidélité. La base juridique est votre consentement, donné lors de l'envoi de l'avis (art. 6, paragraphe 1, point a, du RGPD) ; pour les points de fidélité, les conditions du programme de fidélité, qui constituent un contrat avec vous (art. 6, paragraphe 1, point b) ; et, pour vérifier l'achat et prévenir les abus, notre intérêt légitime (art. 6, paragraphe 1, point f). Nous conservons un avis tant que le produit est en vente, ou jusqu'à ce que vous nous demandiez de le supprimer : vous pouvez retirer votre consentement à tout moment au moyen des coordonnées figurant à la section 10 ci-dessous. Si vous supprimez votre compte, vos avis publiés restent en ligne sous le nom que vous avez saisi, sauf si vous nous demandez de les supprimer. Un avis que nous excluons, ou que nous supprimons à votre demande, est effacé dans un délai de 30 jours ; nous ne conservons qu'une trace de son existence, avec le motif et la date.

3. Comptes utilisateurs

Lorsque vous créez un compte, nous stockons votre nom, adresse e-mail, adresses enregistrées et historique de commandes. Vous pouvez consulter, mettre à jour ou supprimer vos données de compte à tout moment depuis les paramètres de votre compte. Si vous demandez la suppression de votre compte, nous supprimerons vos données personnelles dans un délai de 30 jours, sauf lorsque la conservation est requise par la loi (par ex. documents fiscaux).

4. Comment nous utilisons vos données

Nous utilisons vos données pour : traiter et exécuter les commandes, gérer votre compte, fournir une assistance clientèle, envoyer des e-mails transactionnels (confirmations de commande, mises à jour d'expédition), envoyer des communications marketing (uniquement avec votre consentement explicite, que vous confirmez via le lien de notre e-mail de confirmation), analyser l'utilisation du site web pour améliorer nos services, prévenir la fraude et nous conformer aux obligations légales.

Pour vous afficher les frais de livraison de votre pays, nous utilisons votre adresse IP une seule fois afin d'estimer votre pays ; nous ne la conservons pas à cette fin.

5. Cookies & suivi

Nous utilisons des cookies et des technologies similaires sur notre site web. Vous pouvez gérer vos préférences à tout moment via les paramètres de cookies dans le pied de page. Nous classons les cookies comme suit :

Cookies essentiels

Nécessaires au fonctionnement du site web (par ex. panier, authentification, préférences de cookies). Ils ne peuvent pas être désactivés.

Cookies analytiques

Google Analytics 4, Microsoft Clarity et PostHog nous aident à comprendre comment les visiteurs utilisent notre site web, notamment les pages vues, la profondeur de défilement, les clics (y compris les clics répétés et les clics sans effet), la vitesse de chargement des pages, les cartes thermiques de clics et les enregistrements de sessions. Nous utilisons aussi Google Analytics pour notre publicité Google, comme décrit sous Cookies marketing. Vous pouvez les désactiver à tout moment dans les paramètres des cookies. Lorsqu'une commande est payée ou remboursée, notre serveur la signale également à Google Analytics et à PostHog, quel que soit votre choix en matière de cookies : le numéro de commande, le montant, la devise, la langue et l'éventuel affilié à l'origine de la visite, les produits (à Google Analytics uniquement), l'identifiant de votre compte si vous en avez un et, pour PostHog, l'identifiant de votre session de navigation lorsqu'il a été enregistré, et, pour Google Analytics, l'identifiant d'analyse de votre navigateur et de votre visite lorsqu'il a été enregistré. Ces envois du serveur ne contiennent ni votre nom ni votre adresse e-mail.

Cookies marketing

Meta Pixel (Facebook/Instagram) nous permet de mesurer l'efficacité de nos campagnes publicitaires et de vous montrer des publicités pertinentes. Nous utilisons également Google Analytics 4 pour la publicité Google : la balise Google recherche les adresses e-mail, numéros de téléphone, noms et adresses saisis ou affichés sur nos pages, par exemple lors de la commande ou dans votre compte (y compris une adresse de livraison que vous saisissez pour une autre personne), les transforme dans votre navigateur en un code irréversible (un hash SHA-256) et envoie ce code à Google. Votre code postal et votre pays sont envoyés tels quels. Google rapproche ces codes de comptes Google afin de mesurer quelles publicités ont mené à un achat et d'afficher nos publicités sur les services Google, y compris auprès de vous. Google ne reçoit de notre part ni votre adresse e-mail, ni votre numéro de téléphone, ni votre nom, ni votre adresse postale sous une forme lisible. Si vous êtes connecté à un compte Google et autorisez les publicités personnalisées, Google associe aussi vos visites à ce compte (Google signals) pour des rapports multi-appareils et des audiences publicitaires. Vous pouvez les désactiver à tout moment dans les paramètres des cookies ; pour la partie Google, désactivez les cookies d'analyse : plus rien n'est alors envoyé à Google depuis votre navigateur.

6. Services tiers

Nous partageons des données avec ces prestataires. La plupart ne les traitent que sur nos instructions, dans le cadre d'un accord de traitement des données ; les transporteurs et Mollie agissent en outre comme responsables du traitement indépendants au titre de leurs obligations légales en matière de livraison et de paiement, et Meta est notre responsable conjoint du traitement pour Meta Pixel :

Mollie — traitement des paiements (iDEAL, PayPal, Bancontact, cartes de crédit)
Supabase — authentification des utilisateurs et stockage des données de compte et de commande (UE : Francfort, Allemagne)
Cloudflare — sauvegardes externes chiffrées de notre base de données et copies de nos factures, stockées dans l'UE et chiffrées avant l'envoi avec une clé que nous seuls détenons, de sorte que Cloudflare ne peut pas les lire
Resend (via Amazon SES) — e-mails transactionnels et marketing
Netlify — hébergement du site web
MyParcel, PostNL et DHL — livraison de vos commandes
PostHog — analyse du site web et enregistrements de sessions (données stockées dans l'UE ; vous pouvez le désactiver dans les paramètres des cookies)
Sentry — suivi des erreurs, y compris des enregistrements d'un échantillon de visites et des visites au cours desquelles une erreur se produit, avec tout le texte masqué et les images occultées (données stockées dans l'UE)
Slack — notifications internes de commandes et d'erreurs pour notre équipe
Upstash — compteurs de limitation de débit contenant des adresses IP ou des identifiants de compte (conservés au maximum une heure ; 24 heures pour la limite de téléchargement des données) et clés de courte durée dérivées d'adresses e-mail, qui nous évitent d'envoyer des alertes internes en double (conservées 24 heures)
tawk.to — chat en direct (chargé sur chaque page)
Google Analytics 4 — analyse du site web et publicité Google, y compris les adresses e-mail, numéros de téléphone, noms et adresses hachés trouvés sur nos pages, les codes postaux et les pays, et, pour les visiteurs connectés à Google, le lien avec leur compte Google (Google signals) ; vous pouvez le désactiver dans les paramètres des cookies. Pour la mesure, Google agit sur nos instructions ; lorsqu'il utilise les données pour afficher des publicités dans ses propres services, et lorsqu'il utilise les données Analytics sous forme agrégée pour améliorer ses services, Google est un responsable du traitement indépendant et sa politique de confidentialité s'applique.
Microsoft Clarity — cartes thermiques et enregistrements de sessions (vous pouvez le désactiver dans les paramètres des cookies)
Meta Pixel — mesure publicitaire (vous pouvez le désactiver dans les paramètres des cookies)
Google Maps Places — suggestions d'adresses lors du paiement
Google Customer Reviews — si vous choisissez d'évaluer votre achat sur Google, nous transmettons à Google votre adresse e-mail, le numéro de commande, le pays de livraison, la date de livraison prévue et les GTIN des produits ; Google vous envoie son enquête en tant que responsable du traitement indépendant (la politique de confidentialité de Google s'applique). Base juridique : votre consentement ; vous pouvez refuser dans la fenêtre de dialogue.
PDOK (Kadaster) — recherche des codes postaux néerlandais lors du paiement (un organisme public)
Notre expert-comptable — comptabilité et déclarations fiscales

7. Conservation des données

Nous conservons vos données personnelles uniquement le temps nécessaire : les données de commande sont conservées pendant 7 ans pour se conformer aux obligations fiscales néerlandaises, les données de compte sont conservées jusqu'à la suppression de votre compte et les données analytiques sont automatiquement supprimées après 14 mois. Pour notre newsletter : une inscription que vous ne confirmez pas est supprimée après 30 jours. Lorsque vous vous désinscrivez, nous cessons immédiatement de vous envoyer des e-mails marketing et marquons votre inscription comme terminée. Nous conservons la trace de votre inscription et de votre consentement (date et modalités de votre inscription, de votre confirmation et de votre désinscription) pendant 3 ans après votre désinscription, afin de pouvoir démontrer que nous disposions de votre consentement, puis nous la supprimons. Nous conservons également votre adresse e-mail sur une liste d'opposition aussi longtemps que nécessaire pour respecter votre choix. Les sauvegardes chiffrées de notre base de données sont conservées jusqu'à 6 mois, et les copies de sauvegarde des factures pendant 7 ans. Les données dont vous avez demandé la suppression restent dans ces sauvegardes jusqu'à leur expiration ; nous ne les utilisons pas et, si nous devons un jour restaurer une sauvegarde, nous les supprimons à nouveau avant que les données restaurées ne soient utilisées.

8. Transferts internationaux de données

Certains de nos prestataires sont établis en dehors de l'UE/EEE : Netlify, Resend avec Amazon SES, Slack, Google, Meta et Microsoft sont établis aux États-Unis. Les transferts vers ces prestataires reposent sur le cadre de protection des données UE-États-Unis (Data Privacy Framework) ou sur des clauses contractuelles types (CCT). PostHog et Sentry stockent nos données dans l'UE ; l'accès par leurs sociétés mères américaines repose sur le Data Privacy Framework ou sur des CCT. Cloudflare stocke nos sauvegardes chiffrées dans l'UE ; l'accès par Cloudflare, Inc., établie aux États-Unis, repose sur le Data Privacy Framework ou sur des CCT. Supabase stocke nos données dans l'UE (Francfort, Allemagne) ; l'accès par Supabase, établie à Singapour, depuis l'extérieur de l'UE repose sur des CCT.

9. Vos droits

En vertu du RGPD, vous avez le droit de : accéder à vos données personnelles, corriger les données inexactes, demander la suppression de vos données, demander la limitation du traitement ou vous y opposer, demander la portabilité des données et retirer votre consentement à tout moment. Pour exercer l'un de ces droits, contactez-nous à l'adresse ci-dessous. Nous répondrons dans un délai de 30 jours. Vous avez également le droit d'introduire une réclamation auprès de l'autorité de contrôle néerlandaise (Autoriteit Persoonsgegevens).

10. Contact

Pour toute question relative à la confidentialité ou pour exercer vos droits, veuillez nous contacter à l'adresse suivante : privacy@kocoa.nl.