Politique de confidentialité

Pour la gestion du site, des comptes vendeurs, des abonnements, de la sécurité et du support, le responsable du traitement est l’éditeur du service Ovenly. Vous pouvez le contacter à hello@ovenly-shop.com. Son identité juridique complète et son adresse doivent encore être renseignées dans les mentions légales avant l’ouverture commerciale du service.

Lorsqu’un client commande dans la boutique d’un vendeur, ce vendeur détermine pourquoi les données de commande sont utilisées (préparer la commande, organiser le retrait, gérer le service après-vente). Il agit alors comme responsable du traitement et Ovenly traite ces données pour son compte en tant que prestataire technique. Le client peut retrouver l’identité et les coordonnées du vendeur dans la boutique concernée ou le contacter directement.

Ovenly peut néanmoins agir pour ses propres finalités limitées, par exemple pour sécuriser la plateforme, prévenir les abus, assurer le suivi technique d’un paiement ou respecter une obligation légale.

• Compte et authentification : adresse email, identifiant utilisateur, nom affiché, moyen de connexion, métadonnées de compte et informations de session. Le mot de passe est géré sous forme protégée par le service d’authentification et n’est jamais visible en clair par Ovenly.
• Profil vendeur et onboarding : nom de boutique, type d’activité, canaux de vente, volume estimé de commandes, jours et horaires habituels de remise, lien public souhaité et préférences de langue.
• Boutique et catalogue : description, coordonnées de contact, liens sociaux, visuels, produits, catégories, prix, disponibilités et contenu légal ajouté par le vendeur.
• Commandes : nom du client, email, numéro de téléphone le cas échéant, contenu et montant de la commande, note libre, créneau de retrait, statut et historique opérationnel.
• Paiements et abonnements : formule choisie, statut de paiement, montants et références de transaction. Les données complètes de carte bancaire sont saisies et traitées par le prestataire de paiement, pas par Ovenly.
• Communications : messages adressés au support, emails de vérification, confirmations et rappels de commande, abonnements demandés aux nouveaux menus d’une boutique, preuve du consentement et informations nécessaires à leur délivrance ou leur désinscription.
• Données techniques : adresse IP, journaux de sécurité, type de navigateur, appareil, pages ou actions techniques, erreurs et informations nécessaires au maintien d’une session.
• Mesure d’audience, si acceptée : vues des pages d’accueil, d’inscription et d’onboarding (sans paramètres d’URL), clic vers l’inscription, validation des étapes boutique, apparence, horaires, premier produit et menu, découverte de l’aperçu et affichage du choix d’abonnement, associés à un identifiant de navigateur puis à l’identifiant du compte vendeur après connexion. Des enregistrements des interactions sur les pages d’accueil, d’inscription et d’onboarding peuvent aussi être collectés pour comprendre les difficultés rencontrées. Les textes, champs saisis et images sont masqués ; les pages de paiement ne sont pas enregistrées.

Les données proviennent directement de vous, du vendeur auprès duquel vous commandez, de votre fournisseur d’authentification (Google si vous choisissez cette option) et des prestataires de paiement pour les statuts et références de transaction.

Les champs signalés comme obligatoires sont nécessaires pour créer un compte, ouvrir une boutique ou traiter une commande. Sans eux, le service demandé ne peut pas être fourni. Évitez d’inscrire des informations sensibles dans les champs libres.

Ovenly ne réalise pas de décision produisant un effet juridique exclusivement sur la base d’un traitement automatisé. Les statistiques visibles par un vendeur sont calculées à partir de ses propres commandes pour l’aider à piloter son activité.

L’accès est limité aux personnes autorisées chez Ovenly, au vendeur concerné pour les données de ses clients, et aux prestataires qui en ont besoin pour fournir leur service :

• Supabase pour la base de données, l’authentification et le stockage des images ;
• Vercel pour l’hébergement et la diffusion de l’application ;
• Whop pour la gestion des abonnements vendeurs ;
• Resend pour l’envoi des emails transactionnels et des annonces de nouveaux menus auxquelles le client a consenti ;
• PostHog pour la mesure du parcours d’inscription, uniquement après votre accord ;
• Google uniquement si le vendeur choisit la connexion avec Google.

Ces prestataires agissent selon leurs contrats et leurs propres obligations. Des données peuvent aussi être communiquées à une autorité ou un conseil professionnel lorsqu’une loi l’exige ou pour défendre un droit. Elles ne sont ni louées ni vendues à des tiers.

Certains prestataires sont établis aux États-Unis ou s’appuient sur des équipes et sous-traitants situés dans plusieurs pays. Selon la configuration du service, cela peut entraîner un transfert ou un accès depuis un pays extérieur à l’Espace économique européen.

Ces transferts doivent reposer sur un mécanisme reconnu par le droit européen : décision d’adéquation, cadre de protection des données UE–États-Unis lorsque le destinataire est certifié, clauses contractuelles types de la Commission européenne et, si nécessaire, mesures complémentaires. Vous pouvez demander des informations sur les garanties applicables à l’adresse de contact indiquée plus haut.

Ovenly applique les durées suivantes, sous réserve d’une obligation légale plus longue ou d’un litige en cours :

• Compte et boutique : pendant la relation contractuelle, puis suppression ou archivage limité dans les cinq ans suivant sa fin pour la preuve et la défense de droits.
• Prospects et demandes sans contrat : jusqu’à trois ans après le dernier contact, ou plus tôt en cas de retrait d’une demande fondée sur le consentement.
• Commandes : le temps nécessaire à leur exécution et au suivi client, puis archivage selon les instructions et obligations du vendeur. Les pièces comptables et justificatifs soumis à une obligation légale peuvent être conservés dix ans.
• Références de paiement et d’abonnement : pendant la relation puis pendant les délais légaux de preuve, de contestation, de remboursement et de comptabilité applicables. Les prestataires de paiement conservent leurs propres données selon leurs politiques.
• Emails transactionnels et incidents de délivrance : le temps nécessaire à l’envoi, au suivi et à la résolution des erreurs. Les événements techniques bruts de délivrance liés aux annonces de menus sont supprimés après 90 jours et les livraisons terminées après douze mois. Un identifiant d’annonce par menu est conservé pendant la vie du menu, puis au maximum douze mois après sa suppression, afin d’éviter une seconde annonce et d’achever les livraisons déjà créées.
• Abonnements aux menus : une demande non confirmée est supprimée après 30 jours. L’adresse et la preuve du consentement sont conservées tant que l’abonnement est actif ; après désinscription ou suppression par le prestataire de messagerie, les données minimales nécessaires pour respecter ce choix et établir la preuve du retrait sont supprimées après trois ans.
• Protection anti-abus des abonnements : les adresses IP et emails sont transformés avec une clé secrète en identifiants techniques non réversibles. Seuls ces identifiants sont conservés, pendant deux jours au maximum.
• Journaux techniques et de sécurité : pour la durée strictement nécessaire à la sécurité et au diagnostic, en principe au plus douze mois, sauf incident ou obligation légale justifiant une conservation plus longue.
• Enregistrements de session PostHog : 30 jours selon le réglage actuel du projet.

Une suppression de compte n’efface pas immédiatement les données qui doivent être conservées pour une obligation légale ou la défense d’un droit ; elles sont alors isolées et leur accès est restreint.

Ovenly utilise les mécanismes suivants pour le fonctionnement du service :

• des cookies Supabase indispensables à l’authentification et au maintien sécurisé de la session ;
• un cookie temporaire d’intention d’inscription ou de brouillon d’onboarding, conservé au maximum 24 heures ;
• le stockage local du navigateur pour la langue, le brouillon d’onboarding, la formule choisie, les messages déjà fermés et votre choix concernant la mesure d’audience ;
• le stockage de session pour conserver temporairement le contexte d’un paiement pendant la navigation.

Ces éléments sont nécessaires au service ou enregistrent un choix demandé par l’utilisateur. Ils ne servent pas à la publicité comportementale. Vous pouvez supprimer les données locales depuis les réglages de votre navigateur ; cela peut vous déconnecter ou effacer un brouillon non finalisé.

Si vous acceptez la mesure d’audience, PostHog conserve un identifiant de navigateur dans le stockage local et reçoit les vues de pages, événements et enregistrements du parcours décrits ci-dessus. La collecte reste désactivée en cas de refus. Vous pouvez modifier votre choix ici ou depuis le pied de page ; retirer votre accord arrête la collecte et efface l’identifiant PostHog de ce navigateur. Les enregistrements sont limités aux pages d’accueil, d’inscription et d’onboarding sans paramètres d’URL, avec masquage des textes, champs saisis et images. Cette mesure ne comprend pas de suivi publicitaire.

Selon le traitement et sa base légale, vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation de leur utilisation, leur portabilité, ou vous opposer à un traitement fondé sur l’intérêt légitime. Lorsqu’un traitement repose sur le consentement, vous pouvez le retirer à tout moment sans remettre en cause les opérations déjà réalisées.

Écrivez à hello@ovenly-shop.com en précisant votre demande et l’adresse email concernée. Un justificatif d’identité ne sera demandé qu’en cas de doute raisonnable. Ovenly répond en principe sous un mois, délai qui peut être prolongé de deux mois pour une demande complexe après vous en avoir informé.

Pour une demande relative à une commande, vous pouvez également contacter directement le vendeur de la boutique. Ovenly l’assistera lorsque la donnée est hébergée sur la plateforme.

Chaque annonce de nouveau menu contient également un lien permettant de se désinscrire uniquement de la boutique concernée, sans affecter les éventuels abonnements à d’autres boutiques.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez déposer une réclamation auprès de laCommission nationale de l’informatique et des libertés (CNIL).

Ovenly met en place des mesures proportionnées aux risques : contrôle des accès, séparation des boutiques, règles d’autorisation au niveau de la base de données, chiffrement des échanges, secrets conservés côté serveur, journalisation et sauvegardes fournies par les prestataires concernés. Aucun service en ligne ne peut toutefois garantir un risque nul.

Le service est destiné à des professionnels majeurs ou habilités à agir pour leur activité. Il n’est pas conçu pour permettre à un enfant de créer seul une boutique. Les vendeurs ne doivent pas demander de données non nécessaires à leurs clients.

Cette politique peut être modifiée pour refléter une évolution du produit, des prestataires ou du droit applicable. La date en tête de page indique la dernière mise à jour. En cas de changement important, une information adaptée sera affichée dans le service ou envoyée par email.