Politique de confidentialité

1. Identité et coordonnées du prestataire

Nom : Quantinel Holdings LLC / Tabakerya.com
Bureau social : 10 N Main St, WY 82834, Buffalo, Wyoming
Email DPO: [email protected]
Téléphone : +1 023457869

Selon l'article 4, paragraphe 7 du Règlement (UE) 2016/679 (RGPD) et la Loi sur la protection de la vie privée des consommateurs en Californie (CCPA), Quantinel Holdings LLC est le responsable du traitement des données personnelles collectées via la plateforme Tabakerya.com. Pour les utilisateurs de l'UE, notre représentant désigné est [EU Representative Name], joignable à l'adresse [email protected].

2. Catégories de données traitées et finalités spécifiques

Nous traitons les catégories de données suivantes, strictement limitées aux finalités déclarées :

• Identité et informations de contact : Nom complet, prénom, adresse physique, courriel, numéro de téléphone. Objectif : Exécution du contrat de vente-achat (art. 6(1)(b) RGPD), livraison des colis, émission des factures fiscales.
• Données fiscales et commerciales (B2B) : Nom de l'entreprise, numéro de TVA / CIF, numéro d'inscription au registre du commerce, code TVA intracommunautaire. Objectif : Conformité fiscale (Droit comptable, Code fiscal roumain, Règlements de l'IRS américain), Facturation B2B
• Détails de la transaction et des logistiques : Historique des commandes, produits achetés, AWB, statut de livraison, méthodes de paiement. Objectif : Gérer les relations contractuelles, prévenir la fraude, concilier les comptes financiers.
• Données techniques et de navigation : Adresse IP, type d'appareil, navigateur, cookies, journaux de serveur. Objectif : Sécurité informatique (article 32 du RGPD), analyses anonymisées, détection d'abus.
• Données marketing (uniquement avec accord) : Je préfère les lettres d'information, l'historique des interactions de campagne. Objectif : Communications commerciales personnalisées (article 6(1)(a) RGPD).

3. Bases juridiques du traitement (article 6 du RGPD et CCPA)

Le traitement des données est exclusivement basé sur les motifs juridiques suivants :

• Exécution d'un contrat (art. 6(1)(b) RGPD) : Pour le traitement des commandes, les livraisons, les retours et le service client.
• Obligations légales (article 6(1)(c) du RGPD) : Conserver les factures pendant 10 ans (RO) / 7 ans (US IRS), rapports ANAF/IRS, vérification d'âge minimum de 18+ pour le tabac/l'alcool.
• Intérêt légitime (art. 6(1)(f) RGPD) : Prévention de la fraude, cybersécurité et protection de la propriété intellectuelle. Nous avons effectué le test d'équilibre (LIA) et documenté les mesures d'atténuation.
• Consentement explicite (art. 6(1)(a) RGPD) : Uniquement à des fins de newsletter, les cookies non essentiels et le profilage publicitaire. Vous pouvez retirer votre consentement à tout moment sans affecter la légalité du traitement antérieur.
• Finalité commerciale CCPA/CPRA : Pour les utilisateurs en Californie, nous traitons les données exclusivement pour des raisons commerciales légitimes, transparentes et documentées conformément à cette politique.

4. Destinataires et catégories de terrain autorisées

Vos données ne sont PAS vendues. Elles sont partagées UNIQUEMENT avec :

• Vendeurs de la place de marché : Indiquez simplement votre nom, l'adresse de livraison et le numéro de téléphone. Signez des accords sur le traitement des données (DPA) conformes à l'article 28 du RGPD.
• Fournisseurs de logistique (messagers) : Données strictement nécessaires pour générer le BAV et assurer la livraison. Elles n'ont pas accès à votre historique de commandes ou à vos informations financières.
• Processeurs : Jeton de transaction chiffré. Nous n'enregistrons pas le CVV, les numéros complets de carte de crédit ou des informations bancaires sensibles. Conforme au niveau 1 PCI-DSS.
• Fournisseurs d'infrastructure et hébergement : Serveurs AWS/Azure dans les régions EU-États-Unis. Clauses contractuelles standard (CCS) et Cadre de protection des données EU-États-Unis.
• Autorités publiques : Uniquement sur demande écrite et motivée par la loi (ANAF, ANPC, tribunaux, forces de l'ordre).

5. Transferts internationaux de données

Les données peuvent être transférées et traitées en dehors de l'UE/Espace économique européen. Pour les transferts vers les États-Unis et d'autres pays tiers, nous appliquons :

• Clauses contractuelles standard (CCS) approuvées par la Commission européenne (Décision 2021/914).
• Le cadre de protection des données UE-États-Unis (décision d'équivalence du juillet 2023).
• Évaluations supplémentaires de la législation locale et mesures techniques complémentaires (chiffrement bout en bout, pseudonymisation).

6. Période de conservation des données

Nous conservons vos données uniquement pendant la durée strictement nécessaire :

• Informations fiscales et comptables : 10 ans à partir de l'émission de la facture (Loi comptable 82/1991, Art. 25 ; IRS Pub 583).
• Informations sur la commande et la livraison : 3 ans depuis la dernière interaction (terme général pour la prescription des droits civils).
• Données de marketing : 24 mois depuis le dernier consentement actif ou jusqu'au retrait.
• Journal de sécurité : 90 jours, puis suppression automatique et irréversible.
• Comptes inactifs : Supprimé automatiquement après 36 mois d'inactivité totale.

7. Droits des personnes concernées (chapitre III du RGPD et CCPA)

Vous disposez des droits suivants, que vous pouvez exercer gratuitement en envoyant une demande écrite à l'adresse [email protected] :

• Droit d'accès (art. 15 RGPD / Droit à la connaissance selon le CCPA) : Obtenir une copie des données et informations concernant le traitement.
• Droit à la rectification (art. 16 RGPD) : Corriger les données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli », article 17 du RGPD / suppression selon la CCPA) : À l'exception des données conservées en raison d'obligations légales.
• Droit de restreindre le traitement (art. 18 RGPD) : Blocage temporaire des données en cas de contestation de leur exactitude.
• Le droit à la portabilité (article 20 du RGPD) : Réception des données au format structuré, généralement également lisible par machine.
• Droit d'opposition (art. 21 RGPD) : Contre le traitement fondé sur un intérêt légitime ou la prospection commerciale.
• Le droit de s'opposer à la vente/partage des données (CCPA/CPRA) : Le lien « Ne vendez ou partagez pas mes informations personnelles » est toujours disponible dans le pied de page.
• Droit à la non-discrimination (CCPA §1798.125) : Nous ne refuserons pas les services, n'imposerons pas de frais supplémentaires ni ne fournirons une qualité inférieure lors de l'exercice des droits CCPA.

Nous répondons aux demandes dans un délai maximum de 30 jours calendaires. Nous pouvons prolonger ce délai jusqu'à 60 jours supplémentaires pour les cas complexes, en vous informant à l'avance.

8. Cookies et technologies similaires

Nous utilisons les catégories de cookies suivantes :

• Essentiels : Nécessaires au fonctionnement du site, au panier d'achat et à la sécurité. Ne nécessitent pas de consentement (exception : article 5(3) de la directive ePrivacy).
• Préférences : Enregistrez vos paramètres de langue, de devise et d'accessibilité.
• Statistiques : Google Analytics 4 (adresse IP anonymisée, aucun recueil de données personnelles identifiables). Utilisé pour améliorer l'expérience utilisateur.
• Marketing : Les pixels Meta et les publicités Google Ads. SEULEMENT avec un consentement explicite. Ils peuvent être gérés via une plateforme de gestion du consentement (CMP).

Vous pouvez gérer les préférences de quiconque via le bandeau des cookies ou les paramètres de votre navigateur.

9. Mesures techniques et organisationnelles de sécurité

Nous mettons en œuvre des mesures conformes à l'article 32 du RGPD et aux bonnes pratiques de l'industrie :

• Chiffrement AES-256 pour les données au repos et TLS 1.3 pour les données en transit.
• Anonymisation et tokenisation des données sensibles.
• Contrôle d'accès strict (RBAC), authentification à plusieurs facteurs pour les administrateurs.
• Surveillance continue du SIEM, tests de pénétration trimestriels et audits annuels ISO 27001.
• Plan de réponse aux incidents (notification du délit dans les 72 heures à l'ANPC/autorités compétentes).

10. Modifications et entrée en vigueur

Nous nous réservons le droit de mettre à jour cette politique afin de refléter les changements législatifs, technologiques ou opérationnels. Les modifications importantes seront communiquées par courriel et affichées sous forme de bandeau sur le site au moins 30 jours avant leur entrée en vigueur. La continuation de l'utilisation de la plateforme après la publication des modifications constitue l'acceptation de la nouvelle version.