1. Identité du Responsable de Traitement

Le responsable du traitement de vos données à caractère personnel est :

2. Données Personnelles Collectées

Conformément au principe de minimisation, nous ne collectons que les données strictement nécessaires au bon fonctionnement technique et commercial de la Plateforme SaaS et aux obligations légales associées :

2.1. Lors de la création de compte et l'utilisation (Données Profil)

• Données d'identification : Nom, Prénom, adresse email professionnelle, numéro de téléphone, avatar.
• Données professionnelles et comptables : Dénomination sociale, numéro de SIRET, numéro de TVA intracommunautaire, adresses physiques de livraison et de facturation, rôle dans l'entreprise, chiffres clés (CA, effectifs).

2.2. Lors de l'utilisation de l'application (Données Techniques et Logs)

• Données de connexion : Adresse IP, type de navigateur (User-Agent), identifiants de session (Jetons JWT générés par NextAuth), horodatages de connexion.
• Journaux d'activités (Logs) : Traçabilité des actions sensibles (historique de commandes, créations/modifications de comptes) via notre module de logs internes, pour des raisons de sécurité et de débogage.

2.3. Lors des transactions (Données de Paiement)

Nous gérons l'initiation des paiements (Panier, Montants, Devises). Toutefois, les paiements effectifs sont entièrement gérés sous forme de terminaux virtuels cryptés par notre partenaire Stripe.

• La Plateforme "My Order" ne stocke et ne transite à aucun moment les numéros de cartes bancaires (PAN) complets.
• Nous ne conservons que des alias techniques (ex: les 4 derniers chiffres ou stripeCustomerId et stripe_connected_account_id) nécessaires au rapprochement comptable (facturation et commissions Marketplace).

3. Finalités des Traitements (Pourquoi collectons-nous vos données ?)

Vos données sont traitées pour les finalités suivantes :

1. Fourniture du service SaaS : Authentification, création des catalogues, mise en relation fournisseurs/acheteurs, gestion des commandes B2B.
2. Exécution des commandes et Livraisons : Transmission des informations d'expédition, gestion des partiels (splitOrderIds), édition des bons de livraison et factures PDF.
3. Gestion Financière et Facturation : Acheminement des flux de paiements vers les distributeurs (Marketplace Transfers), prélèvement des commissions techniques, édition de la comptabilité.
4. Sécurité Informatique : Protection des comptes contre les accès non autorisés, détection de la fraude, maintien de l'intégrité de l'infrastructure de base de données.
5. Gestion de la Relation Client (Support/SAV) : Traitement des requêtes de retour (ReturnRequests), communication technique (emails liés au statut des commandes).

La base légale du traitement repose principalement sur l'exécution du contrat vous liant à HEAVEN AGENCY ou aux distributeurs, le respect des obligations légales (comptabilité), et notre intérêt légitime à sécuriser nos systèmes d'information.

4. Sous-traitants et Destinataires des Données

HEAVEN AGENCY s'engage à ne jamais vendre ni louer vos données à des tiers. Vos données sont toutefois partagées avec des prestataires technologiques de confiance, hébergés en Union Européenne ou présentant des garanties adéquates au sens du RGPD :

• Supabase / Amazon Web Services (AWS) : Hébergement de l'infrastructure Cloud, de la base de données relationnelle (PostgreSQL) et stockage des fichiers médias (Preuves de paiement, documents PDF, images). Les serveurs sont localisés en région parisienne (eu-west-3).
• Stripe : Tiers de confiance pour le traitement des paiements sécurisés (CARD, SEPA, BANK_TRANSFER) et la gestion des flux de place de marché.
• IONOS / Nodemailer : Service SMTP pour l'envoi des communications par email strictement transactionnelles.
• Google LLC (Google Places API) : Pour le service spécifique d'aide à la saisie des adresses physiques.

5. Durées de Conservation

Vos données sont conservées pour une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées :

• Données liées aux transactions financières et facturation : 10 ans suivant la clôture de l'exercice comptable (Obligation légale de conservation des livres de commerce et pièces justificatives).
• Données rattachées au Profil Utilisateur : Toute la durée d'ouverture du compte, pus 3 ans après la désactivation pour animation commerciale B2B.
• Données de journalisation technique (Logs et IP) : Conservation glissante de 1 an maximum, à des fins de cybersécurité.

6. Utilisation des Cookies et Traceurs Techniques

La plateforme "My Order" réduit l'usage des cookies au strict nécessaire technique.

• Nous utilisons des cookies de "Session" (jetons de sécurité next-auth.session-token gérés par le protocole JWT) essentiels au maintien de votre connexion sécurisée d'une durée technique de 30 jours.
• Étant strictement nécessaires à la fourniture du service expressément demandé par l'Utilisateur professionnel, ces cookies de session ne requièrent pas de recueil du consentement préalable (exemption au titre de l'article 82 de la Loi Informatique et Libertés).
• La Plateforme n'intègre aucun cookie de profilage publicitaire tiers.

7. Vos Droits Informatique et Libertés

Conformément à la réglementation applicable, vous disposez des droits suivants sur vos données :

• Droit d'accès : Connaître les données dont nous disposons sur vous.
• Droit de rectification : Modifier ou corriger des données incomplètes ou obsolètes.
• Droit à l'effacement (Droit à l'oubli) : Demander la suppression de votre compte (hors données dont la conservation répond à une obligation légale comptable).
• Droit à la limitation et Droit d'opposition : Restreindre l'usage de certaines données ou vous opposer au traitement pour motifs légitimes.
• Droit à la portabilité : Récupérer une copie exportable de vos données brutes.

Pour exercer ces droits, vous pouvez modifier directement une partie de vos données dans l'onglet Profil de l'application, ou nous adresser une demande formelle :

• Par email à l'adresse dédiées : no-reply@my-order.fr
• Par courrier postal strict : HEAVEN AGENCY, DPO, 3 PLACE DE VALOIS, 94220 CHARENTON-LE-PONT

Vous avez également le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente en France : la Commission Nationale de l'Informatique et des Libertés (CNIL).