Politique de confidentialité

La présente politique décrit la manière dont vos données à caractère personnel sont collectées et traitées lorsque vous utilisez le site getnobullshit.com (ci-après « le Site »), que vous créez un compte, que vous passez commande ou que vous vous abonnez à notre newsletter.

Elle est établie conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Loi Informatique et Libertés »).

Le responsable du traitement de vos données personnelles est :

FGRibreau SARL
Société à responsabilité limitée au capital de 2 000 €
Immatriculée au RCS de La Roche-sur-Yon sous le numéro 850 824 350
Siège social : 3 rue de l’Aubépine, 85110 Chantonnay, France
Représentée par François-Guillaume Ribreau, en qualité de gérant

Contact (exercice des droits et toute question relative à vos données) : fg@getnobullshit.com

Délégué à la protection des données (DPO) : non désigné. Compte tenu de la nature et du volume des traitements, la désignation d’un DPO n’est pas obligatoire au sens de l’article 37.1 du RGPD. Pour toute question relative à vos données, vous pouvez écrire à l’adresse de contact ci-dessus.

Selon votre usage du Site, nous collectons les catégories de données suivantes :

• Création de compte — Adresse e-mail, mot de passe (stocké sous forme de condensé chiffré argon2, jamais en clair). Obligatoire, source : vous-même.
• Commande (e-book sans DRM, checklists, livre relié, posters, licence équipe) — Nom, prénom, e-mail, adresse de facturation et, pour les produits physiques, adresse de livraison. Obligatoire, source : vous-même.
• Paiement — Données de paiement traitées directement par notre prestataire de paiement (carte, e-mail) — nous ne stockons ni ne voyons votre numéro de carte. Obligatoire, source : vous-même via le prestataire.
• Newsletter — Adresse e-mail, date et preuve du consentement (double opt-in). Obligatoire, source : vous-même.
• Navigation / mesure d’audience — Pages consultées, données techniques agrégées (via Matomo, configuration sans cookie — voir §8). Source : automatique.

Nous ne collectons aucune donnée sensible au sens de l’article 9 du RGPD (santé, opinions, etc.).

Sans les données marquées obligatoires, nous ne pouvons pas traiter votre commande ni créer/gérer votre compte.

Tampon nominatif : votre nom et votre e-mail sont apposés (tatouage) sur le fichier du livre numérique pour prévenir le partage non autorisé (base : exécution du contrat art. 6.1.b et intérêt légitime).

Conformément à l’article 13 du RGPD, chaque traitement repose sur une base légale déterminée et fait l’objet d’une durée de conservation définie :

• Traitement et exécution de votre commande — Base : exécution du contrat (art. 6.1.b). Durée : pendant la relation contractuelle, puis archivées à des fins de preuve et pour satisfaire aux obligations comptables (jusqu’à 10 ans — art. L123-22 C. com.).
• Gestion de votre compte client — Base : exécution du contrat (art. 6.1.b). Durée : pendant toute la durée de vie du compte ; supprimé à votre demande (sous réserve des obligations comptables ci-dessous) ; le compte inactif est supprimé ou anonymisé au plus tard 3 ans après votre dernière connexion.
• Obligations comptables et fiscales — Base : obligation légale (art. 6.1.c). Durée : 10 ans à compter de la clôture de l’exercice (art. L.123-22 du Code de commerce).
• Envoi de la newsletter — Base : consentement (art. 6.1.a, double opt-in). Durée : jusqu’au retrait de votre consentement (désinscription).
• Prospection commerciale auprès des clients et prospects — Base : intérêt légitime / consentement selon le cas (voir encadré §7). Durée : 3 ans à compter du dernier contact de votre part (recommandation CNIL).
• Mesure d’audience du Site — Base : intérêt légitime (art. 6.1.f). Durée : 25 mois.
• Sécurité du Site et prévention de la fraude (journaux de connexion) — Base : intérêt légitime (art. 6.1.f). Durée : 1 an (art. 6 II de la LCEN pour les journaux de connexion).

Lorsque le traitement est fondé sur l’intérêt légitime (art. 6.1.f), notre intérêt consiste à mesurer l’audience de manière agrégée, à sécuriser le Site et, le cas échéant, à informer notre clientèle de produits similaires. Cet intérêt a été mis en balance avec vos droits et libertés ; vous disposez d’un droit d’opposition (voir §7).

Vos données ne sont accessibles qu’aux personnes habilitées de FGRibreau SARL et à nos sous-traitants, agissant sur nos instructions documentées dans le cadre d’un contrat de sous-traitance conforme à l’article 28 du RGPD :

• Stripe Payments Europe, Ltd. (Irlande, Union européenne) — Traitement des paiements par carte. Un transfert ultérieur vers Stripe, Inc. (États-Unis) peut intervenir (voir §5).
• France Nuage SAS (cluster Kubernetes) — Hébergement du Site : pages et back-end applicatif (comptes, commandes). France.
• Brevo (Sendinblue SAS, société française — siège social à Paris) — Acheminement des e-mails transactionnels et de la newsletter. Serveurs situés dans l’Union européenne.
• Matomo (auto-hébergé) — Mesure d’audience. France.

Nous ne vendons ni ne louons vos données à des tiers. Vos données peuvent être communiquées aux autorités administratives ou judiciaires lorsque la loi nous y oblige.

Notre prestataire de paiement contractant, Stripe Payments Europe, Ltd., est établi en Irlande, dans l’Union européenne. À ce titre, le traitement de vos paiements s’effectue au sein de l’Union européenne.

Ce prestataire peut toutefois procéder à un transfert ultérieur (intragroupe) de certaines données vers sa maison mère située aux États-Unis, Stripe, Inc. Ce transfert ultérieur est encadré par :

• le Data Privacy Framework (DPF) UE–États-Unis, faisant l’objet d’une décision d’adéquation de la Commission européenne du 10 juillet 2023 (article 45 du RGPD) ; et/ou
• les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 (article 46.2.c du RGPD), assorties le cas échéant de mesures complémentaires.

Les autres sous-traitants (France Nuage, Matomo, prestataire SMTP) hébergent les données au sein de l’Union européenne. Vous pouvez obtenir une copie des garanties applicables en écrivant à fg@getnobullshit.com.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre la destruction, la perte, l’altération ou l’accès non autorisé. Les mots de passe des comptes sont stockés sous forme de condensé chiffré (algorithme argon2) et ne sont jamais conservés en clair. Les échanges avec le Site sont chiffrés (HTTPS).

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données :

• Droit d’accès (art. 15) ;
• Droit de rectification (art. 16) ;
• Droit à l’effacement (art. 17), sous réserve des données que nous devons conserver au titre d’une obligation légale (notamment comptable) ;
• Droit à la limitation du traitement (art. 18) ;
• Droit à la portabilité (art. 20) ;
• Droit d’opposition (art. 21) — voir l’encadré ci-dessous ;
• Droit de ne pas faire l’objet d’une décision automatisée (art. 22) ;
• Droit de retirer votre consentement (art. 7.3) à tout moment, sans remettre en cause la licéité du traitement antérieur.

DROIT D’OPPOSITION — Vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, au traitement de vos données fondé sur notre intérêt légitime (article 6.1.f du RGPD). Si vos données sont traitées à des fins de prospection commerciale, vous pouvez vous y opposer à tout moment, sans avoir à justifier de motif.

Modalités d’exercice — Pour exercer vos droits, écrivez à fg@getnobullshit.com. Nous pourrons vous demander un justificatif d’identité si un doute raisonnable existe. Nous vous répondons dans un délai d’un mois, prolongeable de deux mois en cas de demande complexe ou nombreuse.

Réclamation auprès de la CNIL — Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés : CNIL — 3 Place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07 — www.cnil.fr/fr/plaintes.

Le Site utilise Matomo, une solution de mesure d’audience auto-hébergée en France, configurée en mode sans cookie (disableCookies) : aucun cookie de suivi n’est déposé sur votre appareil à des fins de mesure d’audience. Le signal « Do Not Track » (setDoNotTrack) émis par votre navigateur est respecté : s’il est activé, votre navigation n’est pas comptabilisée.

Dans cette configuration, et conformément aux lignes directrices de la CNIL, cette mesure d’audience est exemptée du recueil de consentement et repose sur notre intérêt légitime (art. 6.1.f du RGPD). Aucun bandeau cookie n’est donc nécessaire pour ce traitement. Voir notre politique de gestion des traceurs et cookies pour le détail.

Aucun cookie non essentiel n’est déposé : ni pixel publicitaire, ni widget tiers traçant, ni CDN traçant. Seul un cookie de session strictement nécessaire (nbtl_session) est utilisé lorsque vous êtes connecté à votre compte ; il est exempté de consentement (art. 82, al. 2).

Nous pouvons être amenés à modifier la présente politique pour l’adapter à l’évolution du Site ou de la réglementation. La version applicable est celle publiée sur le Site, identifiée par sa date de dernière mise à jour figurant en tête de document.

Pour toute question relative à la présente politique ou au traitement de vos données :

FGRibreau SARL — 3 rue de l’Aubépine, 85110 Chantonnay, France
E-mail : fg@getnobullshit.com