Politique de Confidentialité

2.1 Données fournies directement par l'Utilisateur

• Données d'identification : nom, prénom, pseudonyme, adresse email, date de naissance, photo de profil (optionnelle), numéro de téléphone (optionnel) ;
• Données d'authentification : mot de passe (haché et salé, jamais stocké en clair) ;
• Données de transaction : adresse postale de livraison, coordonnées bancaires (traitées exclusivement par Stripe, non stockées par la Société) ;
• Données de profil Créateur : nom d'artiste, biographie, spécialités, portfolio, liens vers réseaux sociaux ;
• Contenus publiés : photos d'articles, descriptions, hashtags, messages, commentaires, participation aux Concours Look ;
• Mensurations (optionnelles) : taille, poids, tour de poitrine, tour de taille, tour de hanches, épaules, entrejambe, tour de cou, longueur de bras, taille calculée. Ces données ne sont partagées qu'avec le Créateur concerné par une commande et avec le consentement explicite de l'Utilisateur.

2.2 Données collectées automatiquement

• Données de navigation : adresse IP, type et version du navigateur ou de l'application, système d'exploitation, pages consultées, dates et heures de connexion ;
• Données techniques : identifiant de l'appareil (device ID), token de notification push (FCM) ;
• Données de localisation : les photos importées peuvent contenir des métadonnées EXIF incluant des coordonnées GPS. La Société supprime systématiquement ces métadonnées dès l'importation ;

2.3 Données reçues de tiers

• Stripe : confirmation de paiement, identifiant de compte Stripe Connect (pour les Créateurs), statut des versements. La Société ne reçoit jamais les coordonnées bancaires complètes ;
• Réseaux sociaux (si connexion sociale activée) : nom, prénom, adresse email, photo de profil, sous réserve du consentement de l'Utilisateur sur la plateforme tierce concernée.

5.1 Sous-traitants techniques (art. 28 RGPD)

La Société fait appel à des prestataires techniques qui traitent des données personnelles pour son compte, en qualité de sous-traitants au sens de l'article 28 du RGPD. Ces prestataires sont liés par un contrat garantissant un niveau de protection équivalent à celui imposé par le RGPD :

5.2 Autres Utilisateurs de la Plateforme

Dans le cadre normal de l'utilisation de la Plateforme, certaines données sont visibles par d'autres Utilisateurs :

• Pseudonyme, photo de profil, évaluations reçues et annonces publiées sont visibles publiquement ;
• L'adresse postale complète n'est communiquée qu'au co-contractant (acheteur ou vendeur) pour les besoins de l'expédition, et uniquement après conclusion de la transaction ;
• Les mensurations ne sont jamais visibles publiquement. Elles ne sont partagées qu'avec le Créateur concerné, avec le consentement de l'Utilisateur.

5.3 Autorités légales et judiciaires

La Société peut être amenée à communiquer des données personnelles aux autorités judiciaires, administratives ou fiscales compétentes en réponse à une réquisition judiciaire, une injonction légale ou une obligation réglementaire. La Société s'engage à n'aller pas au-delà de ce qui est strictement requis par la demande légale.

5.4 Obligations DAC7

Conformément à la Directive 2021/514/UE (DAC7) transposée en droit français, la Société déclare automatiquement aux autorités fiscales compétentes (DGFiP pour la France, autorité équivalente pour les autres États membres de l'UE) les données des Vendeurs ne bénéficiant pas de l'exclusion prévue à l'article 1649 ter C(4) du CGI. Les données transmises comprennent les informations d'identification du Vendeur et les données de revenus bruts perçus via la Plateforme.

6.1 Cadre européen (RGPD)

Pour les Utilisateurs résidant dans l'Union européenne et l'Espace économique européen, les transferts hors UE sont encadrés par :

• Clauses contractuelles types (CCT) adoptées par la Commission européenne (décision 2021/914/UE, post-Schrems II) ;
• Décisions d'adéquation de la Commission européenne pour les pays reconnus comme offrant un niveau de protection équivalent (Royaume-Uni, Japon, Nouvelle-Zélande, etc.).

6.2 États-Unis (CCPA / US Privacy)

Pour les résidents de Californie, la Société se conforme au California Consumer Privacy Act (CCPA), tel que modifié par le California Privacy Rights Act (CPRA). Les résidents californiens disposent de droits spécifiques décrits à l'Article 8. Les transferts de données vers les États-Unis depuis l'UE sont encadrés par les CCT. Les données ne sont pas vendues à des tiers au sens du CCPA.

6.3 Canada (PIPEDA / Loi 25)

Pour les résidents canadiens, la Société se conforme à la Loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA) au niveau fédéral, ainsi qu'à la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) pour les résidents du Québec. Les données ne sont transférées vers des tiers que si ceux-ci offrent un niveau de protection comparable.

6.4 Brésil (LGPD)

Pour les résidents brésiliens, la Société se conforme à la Lei Geral de Proteção de Dados (LGPD, loi n° 13.709/2018). Les droits des titulaires de données prévus par la LGPD sont intégralement respectés, notamment les droits d'accès, de correction, d'anonymisation, de portabilité, d'élimination et d'information. L'Autorité Nationale de Protection des Données (ANPD) est l'autorité de contrôle compétente pour le Brésil.

6.5 Afrique du Sud (POPIA)

Pour les résidents sud-africains, la Société se conforme au Protection of Personal Information Act (POPIA, loi n° 4/2013). Les données ne sont traitées que dans les limites autorisées par la POPIA. L'Information Regulator est l'autorité de contrôle compétente pour l'Afrique du Sud.

6.6 Asie-Pacifique (PDPA, APPI, PIPL)

Pour les résidents des pays d'Asie-Pacifique, la Société respecte les réglementations locales applicables :

• Thaïlande, Singapour, Malaisie : Personal Data Protection Act (PDPA) de chaque pays ;
• Japon : Act on the Protection of Personal Information (APPI) ;
• Chine : Personal Information Protection Law (PIPL, loi du 1er novembre 2021). Les données des résidents chinois sont traitées conformément aux exigences de localisation et de consentement de la PIPL ;
• Inde : Digital Personal Data Protection Act (DPDPA, 2023).

6.7 Autres pays

Pour les pays non mentionnés ci-dessus, la Société applique les principes généraux du RGPD comme standard de référence minimal, en complément des obligations légales locales applicables. Si vous résidez dans un pays disposant d'une réglementation spécifique sur la protection des données non mentionnée dans la présente Politique, vous pouvez contacter la Société à privacy@clowoo.com pour obtenir des informations sur le cadre applicable à votre situation.

7.1 Mesures techniques

• Chiffrement des communications : toutes les communications entre l'application et le serveur sont chiffrées via HTTPS (TLS 1.2 minimum) ;
• Chiffrement de la messagerie : les messages échangés entre Utilisateurs sont chiffrés de bout en bout (AES-256-GCM) ;
• Hachage des mots de passe : les mots de passe sont hachés et salés (bcrypt) avant stockage. Aucun mot de passe n'est jamais stocké en clair ;
• Protection contre les bots et les attaques : rate limiting, détection de bots (50+ patterns), fail2ban, jails PM2 ;
• Suppression des métadonnées EXIF : toutes les métadonnées de géolocalisation sont supprimées des photos à l'importation ;
• Contrôles d'accès : accès aux données en production limité aux seules personnes habilitées, selon le principe du moindre privilège.

7.2 Mesures organisationnelles

• Politique de gestion des accès et des habilitations ;
• Audits de sécurité réguliers ;
• Procédure de gestion des incidents de sécurité et de notification des violations de données conformément à l'article 33 du RGPD (notification à la CNIL dans les 72 heures) ;
• Sensibilisation des personnes ayant accès aux données personnelles.

Délais de réponse

La Société répond à toute demande d'exercice de droits dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être porté à trois mois pour les demandes complexes ou nombreuses, auquel cas la Société informera l'Utilisateur du délai supplémentaire et de ses motifs dans le premier mois.

En cas de refus, la Société notifie l'Utilisateur par écrit en motivant sa décision. L'Utilisateur peut contester ce refus en saisissant la CNIL.

Autorités de contrôle par région

Selon votre pays de résidence, vous pouvez introduire une réclamation auprès de l'autorité compétente :

10.1 Pages web légales (CGV, CGU, Politique de confidentialité)

Les pages web du site clowoo.com (dont les présentes) déposent un unique cookie technique strictement nécessaire, ne requérant pas de consentement selon les lignes directrices de la CNIL du 1er octobre 2020 :

• Cookie de préférence de langue (clowoo_lang) : mémorise la langue choisie par le visiteur pour lui éviter de devoir la resélectionner à chaque visite. Durée : 1 an. Ce cookie ne contient aucune donnée personnelle et ne permet aucun suivi.

Aucun cookie analytique, publicitaire ou de réseau social n'est déposé sur ces pages. Aucun outil de mesure d'audience tiers n'est utilisé.

10.2 Évolutions futures

Si la Société venait à intégrer des outils analytiques ou des fonctionnalités de connexion sociale sur ses pages web, la présente section serait mise à jour en conséquence, avec un préavis de 30 jours, et un bandeau de consentement serait mis en place conformément aux lignes directrices de la CNIL.