Politique de confidentialité

Hugo BILLAUX EI, qui exerce sous le nom commercial LIORA — SIREN 923 209 183.

Adresse : 91 rue de la Girardière, appartement 33, 49300 Cholet, France.

Contact, y compris pour exercer vos droits : direction@liora-eu.com.

Nous n’avons pas désigné de délégué à la protection des données : ni notre taille, ni la nature de nos traitements ne l’imposent.

Nous accordons une grande importance à la protection de vos données personnelles. Cette politique explique quelles données nous collectons, pourquoi, à qui elles sont transmises, combien de temps nous les conservons et quels sont vos droits.

Elle porte sur les données de VOTRE compte, dont nous sommes responsables de traitement. Les données de vos propres clients, que vous nous confiez en connectant votre boutique, relèvent d’un autre régime : vous en êtes responsable, nous en sommes le sous-traitant, et c’est notre Accord de sous-traitance des données qui s’applique.

Le service est réservé aux professionnels. L’inscription sur ce site est refusée aux personnes de moins de seize ans, et nous ne collectons sciemment aucune donnée concernant des enfants.

À la création de votre compte, nous vous demandons :

• Votre identité : prénom, nom et date de naissance.
• Vos coordonnées : adresse e-mail personnelle (qui sert d’identifiant de connexion), téléphone, et le cas échéant une adresse e-mail professionnelle.
• Votre entreprise : numéro SIREN, forme juridique et, si vous le souhaitez, dénomination commerciale.

S’y ajoutent, du fait de l’usage du service :

• Votre mot de passe : conservé sous forme hachée, donc irréversible. Nous ne le connaissons pas et ne pouvons pas vous le rappeler.
• Vos connexions : date, adresse IP et navigateur utilisé, pour chaque session ouverte. Ces éléments servent à vous montrer vos appareils connectés et à détecter un accès anormal.
• Votre boutique : le domaine Shopify que vous reliez à votre compte.
• Votre abonnement : formule, statut, échéances et historique des changements. Vos coordonnées bancaires, elles, ne nous parviennent jamais — elles sont saisies chez notre prestataire de paiement.
• Votre acceptation de nos conditions : la date à laquelle vous les avez acceptées, et leur version.
• La vérification des mesures de gel : la date à laquelle nous avons vérifié que votre entreprise et ses dirigeants ne figurent pas au registre national des gels d’avoirs, et son résultat.
• Nos échanges : messages envoyés via nos formulaires ou par courriel, courriels du service qui vous ont été adressés, et notes internes que notre équipe peut écrire au sujet de votre dossier — par exemple pour suivre une demande d’assistance.
• Vos avis : lorsque vous indiquez, dans le centre d’aide de l’application, si un article vous a été utile.

Nous ne collectons aucune donnée sensible au sens de l’article 9 du RGPD, et n’établissons aucun profil automatisé produisant des effets juridiques à votre égard.

• Gérer votre compte et votre abonnement — exécution du contrat.
• Éditer vos factures et respecter nos obligations comptables — obligation légale. C’est à ce titre que le SIREN et la forme juridique sont demandés.
• Prouver votre acceptation de nos conditions — exécution du contrat et intérêt légitime : pouvoir établir quel texte vous avez accepté, et quand.
• Vérifier que vous avez la capacité juridique de souscrire — c’est l’unique usage de votre date de naissance.
• Vérifier que votre entreprise et ses dirigeants ne sont pas visés par une mesure de gel des avoirs — obligation légale (règlements (UE) n° 269/2014 et n° 833/2014). Nous consultons le registre national des gels dès chaque nouvelle souscription ou installation, et consignons la date et le résultat de cette vérification.
• Vous répondre et vous assister — exécution du contrat et intérêt légitime. Les notes internes relatives à votre dossier relèvent de cette finalité.
• Sécuriser le service — intérêt légitime : journalisation des connexions et des actions de notre équipe sur les comptes, afin de pouvoir constater et expliquer un accès anormal.
• Vous écrire au sujet du service — exécution du contrat pour les messages indispensables (confirmation d’adresse, réinitialisation de mot de passe, échéances, incidents), intérêt légitime pour les messages liés à votre expérience, tels qu’une demande de satisfaction. Vous pouvez vous opposer à ces derniers à tout moment, comme l’explique la section « Refuser nos courriels de satisfaction et de départ », sans aucune conséquence sur le service.

Vos données ne sont ni vendues, ni louées, ni transmises à des tiers à des fins commerciales. Nous ne nous servons pas de vos données pour entraîner des modèles. Lorsque nous écrivons à des marchands qui ne sont pas encore clients, nous le faisons selon les règles décrites dans la section suivante.

Il nous arrive d’écrire à des marchands qui exploitent une boutique Shopify pour leur présenter LIORA. Cette section vous concerne si vous avez reçu un tel message sans être client. Nous l’avons écrite pour que vous sachiez exactement ce que nous savons de vous, d’où nous le tenons, et comment ne plus jamais avoir de nos nouvelles.

Qui nous contactons, et qui nous ne contactons pas :

• Uniquement des adresses génériques de sociétés — du type contact@ ou info@, sur le nom de domaine de la boutique, appartenant à une entreprise dotée de la personnalité morale. Nous vérifions cette forme juridique avant d’écrire.
• Jamais une personne à titre individuel — ni un entrepreneur individuel, ni une adresse nominative, ni une messagerie personnelle de type Gmail ou Outlook, sauf si vous nous avez donné votre accord au préalable. En cas de doute sur la forme juridique, nous considérons qu’il s’agit d’une personne et nous n’écrivons pas.
• À Malte, personne sans accord écrit — sociétés comprises. Le droit maltais l’exige, et nous l’appliquons sans exception.

Nous n’ouvrons la prospection dans un pays qu’une fois remplies les démarches que ce pays impose aux entreprises qui y écrivent.

D’où viennent vos coordonnées, et ce que nous en gardons :

• Une collecte faite à la main — sur votre site, votre page de contact, vos mentions légales ou un annuaire professionnel : les endroits où vous publiez vous-même une adresse pour être contacté. Jamais de fichier acheté, loué ou échangé, et aucun outil d’extraction automatique.
• Le strict nécessaire — l’adresse, le nom et le site de la boutique, le pays, la forme juridique et le numéro d’immatriculation, l’adresse exacte de la page où nous l’avons trouvée, les dates de collecte et d’envoi, et votre réponse éventuelle.

Comment nous écrivons :

• Un seul message — sans réponse de votre part, nous ne vous relançons pas. Nous gardons trace de l’envoi précisément pour ne jamais vous réécrire à froid.
• Par e-mail, et rien d’autre — ni téléphone, ni SMS, ni messagerie instantanée, ni réseau social.
• Sans aucun suivi — pas de pixel qui nous dirait si vous avez ouvert le message, pas de lien qui nous dirait si vous avez cliqué. Nous ne savons de votre lecture que ce que vous choisissez de nous répondre.
• Rapidement, ou pas du tout — le message part au plus tard sept jours après la collecte de l’adresse. Une adresse qui n’a donné lieu à aucun envoi dans les trente jours est effacée.

Sur quel fondement, selon l’endroit où vous êtes :

• Union européenne, Royaume-Uni, Andorre, Thaïlande et Indonésie — notre intérêt légitime à présenter un outil de gestion à des professionnels dont c’est précisément l’activité, pour les seules adresses génériques de sociétés.
• États-Unis — les règles fédérales sur les messages commerciaux, qui reposent sur votre droit de vous y opposer à tout moment.
• Émirats arabes unis — votre consentement, ou le fait que vous ayez rendu vous-même l’adresse publique.
• Turquie — pour une adresse de société, le régime applicable aux messages adressés aux commerçants ; pour toute adresse d’une personne, votre consentement explicite.
• Partout, pour une personne — entrepreneur individuel, adresse nominative, et tout destinataire à Malte : votre consentement préalable.

Combien de temps nous gardons ces informations :

• Trois mois — pour l’ensemble des données, après notre message, si vous n’y avez pas répondu favorablement.
• Trois ans — pour la seule trace de l’envoi (adresse, pays, date), afin de ne jamais vous écrire deux fois.
• Tant que nous faisons de la prospection — si vous vous opposez : votre adresse rejoint une liste d’opposition, réduite à l’adresse et à la date de votre demande. C’est la seule façon de garantir que nous ne vous écrirons plus.

Aucune décision automatisée, aucun profilage, aucune note n’est attribuée aux personnes contactées.

Vous pouvez vous opposer à tout moment à recevoir nos messages de prospection. Ce droit est absolu : il est gratuit, il n’a pas à être justifié, et nous ne le discutons pas.

• Par le lien de désinscription présent dans chacun de nos messages — un clic, sans compte ni formulaire à remplir.
• En répondant « STOP » au message reçu.
• En nous écrivant à direction@liora-eu.com, par n’importe quel moyen : toute demande est prise en compte, quelle que soit sa forme.

Votre opposition est appliquée sous quarante-huit heures, et aucun autre message ne vous est envoyé. Vos autres demandes — accès, rectification, effacement — reçoivent une réponse sous trente jours au plus, et sous soixante-douze heures lorsqu’elles sont simples.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l’informatique et des libertés (CNIL), autorité chef de file pour Hugo BILLAUX EI, ou l’autorité de votre pays :

• Luxembourg — Commission nationale pour la protection des données (cnpd.public.lu).
• Malte — Information and Data Protection Commissioner (idpc.org.mt).
• Portugal — Comissão Nacional de Proteção de Dados (cnpd.pt).
• Royaume-Uni — Information Commissioner’s Office (ico.org.uk).
• États-Unis — Federal Trade Commission (reportfraud.ftc.gov).
• Andorre — Agència Andorrana de Protecció de Dades (apda.ad).
• Thaïlande — Personal Data Protection Committee (pdpc.or.th).
• Indonésie — ministère de la Communication et du Numérique (komdigi.go.id), dans l’attente de l’autorité prévue par la loi.
• Turquie — Kişisel Verileri Koruma Kurumu (kvkk.gov.tr).
• Émirats arabes unis — UAE Data Office (u.ae).

Toute personne, cliente ou non, peut nous signaler par notre formulaire de signalement un contenu stocké dans LIORA qu’elle estime illicite (règlement (UE) 2022/2065 sur les services numériques, art. 16). Nous traitons alors :

• Les données : votre nom et votre adresse électronique — facultatifs lorsque le signalement porte sur des abus sexuels sur mineurs —, l’emplacement du contenu, votre explication, la nature du contenu et la langue du formulaire.
• La finalité : examiner le signalement, vous en accuser réception et vous notifier notre décision motivée.
• La base légale : le respect d’une obligation légale (RGPD, art. 6.1.c).
• Les destinataires : Resend, qui achemine le signalement et l’accusé de réception, et Google (Google Workspace), dont la messagerie le reçoit.
• La durée : au plus trois ans après notre dernier échange, comme les autres messages reçus dans notre messagerie, où leur effacement se fait aujourd’hui à la main.

Votre adresse IP n’est pas conservée avec le signalement : elle ne sert qu’à limiter le nombre d’envois depuis un même appareil, dans un compteur effacé au plus tard le lendemain de votre dernier envoi.

Vos données ne sortent de chez nous que vers les prestataires strictement nécessaires au service. Chacun agit sur nos instructions, pour la seule part qui le concerne :

• Vercel Inc. — hébergement du site et exécution des traitements. Situés dans l’Union européenne, à Paris.
• Databricks, Inc. (service Neon) — base de données. Située dans l’Union européenne, à Francfort (Allemagne).
• Stripe Payments Europe Ltd — encaissement des abonnements et édition des factures. Reçoit votre nom, la dénomination et le SIREN de votre entreprise, votre adresse électronique, votre adresse de facturation et vos données de paiement, que nous ne voyons jamais.
• Resend Inc. — acheminement de nos courriels. Reçoit votre adresse électronique et le contenu du message.
• Google (Google Workspace) — messagerie de notre équipe. Reçoit les messages envoyés via nos formulaires, les courriels que vous nous adressez et vos demandes d’exercice de droits.
• Shopify — facturation de votre abonnement lorsque vous installez LIORA depuis l’App Store de Shopify. Les images de votre catalogue affichées dans l’application sont en outre servies par Shopify, qui reçoit à cette occasion l’adresse IP de votre navigateur.
• Scaleway SAS — hébergement de l’application, en France.

L’hébergement et les traitements ont lieu dans l’Union européenne, à l’exception de notre messagerie, dont Google ne garantit pas l’emplacement. Vercel, Databricks (service Neon), Stripe, Resend et Google appartiennent à des groupes établis aux États-Unis : un accès depuis ce pays, pour l’exploitation ou l’assistance, ne peut être exclu. Il est alors encadré par les clauses contractuelles types de la Commission européenne. Shopify appartient à un groupe établi au Canada, pays dont la Commission européenne reconnaît le niveau de protection. Nous préférons signaler ces réserves plutôt que d’affirmer une étanchéité que nous ne pourrions pas démontrer.

• Compte, profil, boutique et notes internes — tant que votre compte existe. Tout est effacé à sa fermeture, y compris les notes écrites à votre sujet.
• Vérification des mesures de gel — la date de la dernière vérification figure sur votre compte tant qu’il existe, et disparaît avec lui. La trace de chaque vérification — sa date, son auteur et son résultat — est en outre inscrite au journal des actions de notre équipe, où elle est conservée trois ans, y compris après la fermeture du compte, sous un identifiant technique : elle prouve que le contrôle exigé par la réglementation a bien été fait.
• Journal des connexions (dates, adresses IP, navigateurs) — douze mois après la fin de chaque session, puis effacement automatique ; au plus tard à la fermeture du compte.
• Jetons de confirmation et de réinitialisation — vingt-quatre heures au plus, soixante-douze heures pour le lien d’un compte ouvert par notre équipe. Ils sont effacés la nuit suivant leur expiration.
• Journal des courriels que nous vous avons envoyés — trois ans, pour pouvoir prouver ce qui vous a été adressé et ne pas vous réécrire à tort ; au plus tard à la fermeture du compte.
• Avis du centre d’aide — trois ans après leur dépôt, et au plus tard à la fermeture de votre compte. Les avis déposés sans compte sur ce site sont effacés au bout de trois ans.
• Messages envoyés via nos formulaires, et courriels que vous nous adressez — effacés au plus tard trois ans après notre dernier échange. Ils ne sont pas conservés dans notre base de données, mais dans notre messagerie (Google Workspace), où cet effacement se fait aujourd’hui à la main.
• Journal des actions de notre équipe sur les comptes — trois ans. C’est ce qui permet de dire qui a fait quoi si vous nous le demandez ; il subsiste après la fermeture du compte, rattaché à un identifiant technique.
• Historique de votre abonnement — dix ans, comme les pièces comptables qu’il documente ; il subsiste après la fermeture du compte, rattaché à un identifiant technique.
• Factures et pièces comptables — dix ans, comme la loi l’exige, indépendamment de la fermeture du compte. Elles sont conservées chez notre prestataire de paiement.
• Registre des incidents de sécurité — cinq ans. Il contient l’identifiant technique des comptes touchés, jamais le contenu de vos données.

À la fermeture de votre compte ne subsistent donc que vos factures, l’historique de votre abonnement, le journal des actions de notre équipe, qui garde la trace des vérifications des mesures de gel, et le registre des incidents — ces trois derniers sous un identifiant technique —, ainsi que nos échanges par courriel, pour la durée indiquée ci-dessus.

Les durées des données tenues dans notre base sont appliquées automatiquement, chaque nuit, et non à la main. Les sauvegardes chiffrées peuvent conserver une copie au-delà, le temps de leur rotation ; elles ne sont jamais consultées et sont écrasées d’elles-mêmes.

Conformément au RGPD, vous disposez d’un droit d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité, ainsi que du droit de retirer à tout moment un consentement que vous auriez donné.

La plupart de vos informations sont directement modifiables depuis votre espace client, où vous pouvez également fermer votre compte vous-même — la suppression est alors immédiate et définitive, dans les limites décrites à la section précédente. Pour toute autre demande, écrivez à direction@liora-eu.com : nous répondons sous un mois.

Vous pouvez aussi nous donner des directives sur le sort de vos données après votre décès — conservation, effacement ou communication — et désigner la personne chargée de les exécuter, en écrivant à direction@liora-eu.com (article 85 de la loi n° 78-17 du 6 janvier 1978). À défaut de directives, vos héritiers peuvent nous demander de fermer votre compte.

Avant de saisir une autorité, vous pouvez nous adresser une réclamation à direction@liora-eu.com : nous en accusons réception dans les trente jours et vous tenons informé des suites que nous lui donnons.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou déposer une réclamation sur cnil.fr.

Notre Sécurité et réponse aux incidents décrit ce que nous faisons lorsqu’un incident touche vos données : comment le signaler, comment nous le qualifions, et qui est prévenu.

Vous pouvez vous opposer, à tout moment et sans avoir à vous justifier, aux courriels liés à votre expérience : demande de satisfaction, message après votre départ. Chacun de ces courriels comporte un lien qui vous permet d’enregistrer votre refus sans vous connecter ; votre messagerie peut aussi vous proposer un bouton de désinscription en un clic. Vous pouvez également l’enregistrer depuis votre espace client, dans la rubrique « Mes informations ».

Votre refus prend effet immédiatement, est conservé avec sa date, et n’a aucune conséquence sur le service. Il ne concerne pas les messages indispensables à votre compte, comme une confirmation d’adresse ou l’annonce d’une échéance.