Politique de confidentialité

Allemagne & Europe

Site internet www.caviarhouse.com

PRÉAMBULE

La présente politique de confidentialité (ci-après la « Politique » ou « Datenschutzerklärung ») a pour objet d’informer les utilisateurs du site internet www.caviarhouse.com (ci-après le « Site ») des conditions dans lesquelles leurs données à caractère personnel sont collectées et traitées, conformément :

• au Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (« RGPD » / « DSGVO ») ;
• à la Bundesdatenschutzgesetz du 30 juin 2017, dans sa rédaction issue de la loi du 23 juin 2021 (« BDSG ») ;
• à la Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz du 23 juin 2021, telle que modifiée le 14 mai 2024 (« TDDDG », anciennement TTDSG), notamment son § 25 relatif aux cookies et traceurs ;
• à la Gesetz gegen den unlauteren Wettbewerb (« UWG »), notamment son § 7 relatif à la prospection par voie électronique ;
• aux dispositions applicables du Digitale-Dienste-Gesetz du 14 mai 2024 (« DDG », anciennement TMG) en matière d’information préalable des utilisateurs.

Le Site est exploité par la société CAVIAR HOUSE & PRUNIER City GmbH et s’adresse aux utilisateurs résidant en Allemagne et plus généralement dans l’Espace économique européen. À ce titre, le RGPD et le droit allemand de la protection des données s’appliquent intégralement aux traitements mis en œuvre par le Site, en application de l’article 3 al. 2 RGPD.

Les utilisateurs sont invités à lire attentivement la présente Politique avant toute utilisation du Site et notamment avant la transmission de toute donnée à caractère personnel.

1. IDENTITÉ DU RESPONSABLE DE TRAITEMENT

Le traitement des données personnelles décrit dans la présente Politique est mis en œuvre, conjointement, par les deux sociétés suivantes (ci-après ensemble « les Co-responsables » ou « gemeinsam Verantwortliche »), au sens de l'article 26 du Règlement général sur la protection des données (RGPD).

Premier responsable conjoint — Caviar House & Prunier City GmbH

Société de droit allemand (Gesellschaft mit beschränkter Haftung)Siège social : Redcarstr. 2a, D-53842 Troisdorf

Inscrite au registre du commerce (Handelsregister) du tribunal d'instance (Amtsgericht) de Caviar House & Prunier city GmbH sous le numéro HRB 14601

Numéro de TVA intracommunautaire : DE 313721542

Représentant légal (Vertretungsberechtigter) : Monsieur Serdal Akyildiz, Geschäftsführer/ Managing director

Téléphone : +49 2241 944970

Adresse électronique : info@caviarhouse-prunier.de

Caviar House & Prunier City GmbH exploite commercialement le site, encaisse les paiements des clients et assure la relation commerciale et logistique pour l'ensemble des États membres de l'Union européenne effectivement desservis.

Second responsable conjoint — Caviar House & Prunier France

CAVIAR HOUSE & PRUNIER, SASU, au capital social de 500 000 €, inscrite au Registre du commerce et des Sociétés de Paris, sous le numéro 399 465 319, dont le siège social est au 20 avenue Victor Hugo – 75016 Paris.

Caviar House & Prunier France définit la stratégie éditoriale du site, coordonne la sélection des produits et pilote les contractualisations transversales du groupe avec les principaux prestataires techniques (notamment l'hébergeur et les outils de mesure d'audience).

Régime de responsabilité conjointe :

Les deux sociétés ci-dessus déterminent ensemble les finalités et les moyens du traitement des données personnelles collectées via le site. Elles ont, à ce titre, la qualité de responsables conjoints du traitement.

Point de contact unique pour les personnes concernées :

Pour faciliter l'exercice de leurs droits, les Co-responsables ont désigné un point de contact unique : info@caviarhouse-prunier.de

2. CHAMP D’APPLICATION ET ENGAGEMENTS

La présente Politique s’adresse à l’ensemble des utilisateurs du Site, qu’il s’agisse de simples visiteurs, de prospects ou de clients de Caviar House & Prunier City GmbH

Le responsable de traitement s’engage à respecter les principes énoncés à l’article 5 du RGPD :

• licéité, loyauté et transparence ;
• limitation des finalités ;
• minimisation des données ;
• exactitude des données ;
• limitation de la durée de conservation ;
• intégrité et confidentialité par des mesures de sécurité appropriées ;
• responsabilité du responsable de traitement (« Rechenschaftspflicht »).

3. DONNÉES COLLECTÉES, FINALITÉS, BASES LÉGALES ET DURÉES DE CONSERVATION

Caviar House & Prunier City GmbH collecte les données à caractère personnel des utilisateurs dans les hypothèses suivantes :

• lors de la consultation du Site (collecte automatique de données techniques de navigation) ;
• lors de la création et de l’utilisation d’un compte client ;
• lors de la passation d’une commande sur le Site ;
• lors de l’envoi d’un message via le formulaire de contact, par e-mail, par téléphone ou par courrier ;
• lors de l’inscription à la newsletter ;
• lors de la participation à un jeu-concours ou à une opération promotionnelle, le cas échéant.

Le tableau ci-dessous récapitule, pour chaque finalité de traitement, les catégories de données traitées, la base légale du traitement au regard du RGPD, du BDSG et du TDDDG, les destinataires des données et leur durée de conservation.

Finalité du traitement	Données traitées	Base légale	Destinataires	Durée de conservation
Gestion et exécution des commandes (traitement, livraison, facturation, service après-vente)	Identité (civilité, nom, prénom), coordonnées (adresse postale, adresse de livraison, téléphone, e-mail), historique des commandes, données de facturation, données relatives au moyen de paiement	Exécution du contrat – art. 6 al. 1 let. b RGPD § 26 al. 1 BDSG le cas échéant	Services internes (commercial, logistique, comptabilité, service client) ; transporteurs ; prestataire de paiement (Saferpay – SIX Payment Services SA, PayPal Europe S.à.r.l.)	Durée de la relation contractuelle + 10 ans (§ 257 HGB, § 147 AO)
Gestion du compte client	Identifiant, mot de passe haché, préférences, historique de navigation interne au compte	Exécution du contrat – art. 6 al. 1 let. b RGPD	Services internes ; hébergeur	Durée d’activité du compte ; suppression à la demande ou après 3 ans d’inactivité
Gestion des demandes via le formulaire de contact, par e-mail, téléphone ou courrier	Identité, coordonnées, contenu du message, historique des échanges	Consentement – art. 6 al. 1 let. a RGPD Ou intérêt légitime – art. 6 al. 1 let. f RGPD	Service client	Durée nécessaire au traitement, puis 3 ans à compter du dernier contact
Envoi de la newsletter et communications commerciales par voie électronique	Adresse e-mail, civilité, prénom, centres d’intérêt déclarés, historique d’ouverture et de clics	Consentement préalable – art. 6 al. 1 let. a RGPD ; § 7 al. 2 UWG Pour les clients existants : § 7 al. 3 UWG (produits analogues)	Service marketing ; prestataire d’emailing Brevo (France)	Jusqu’au retrait du consentement ou 3 ans après le dernier contact pour les prospects
Mesure d’audience et analyse statistique (Google Analytics)	Adresse IP (anonymisée), données de navigation, pages consultées, durée de visite, terminal utilisé, identifiants techniques	Consentement préalable – § 25 al. 1 TDDDG ; art. 6 al. 1 let. a RGPD	Service marketing ; Google LLC (États-Unis) ; Google Ireland Ltd	13 mois maximum
Publicité ciblée et suivi de conversion (Google Ads, Meta Pixel, retargeting)	Adresse IP, identifiants publicitaires, événements de navigation, identifiants de comptes tiers si connectés	Consentement préalable – § 25 al. 1 TDDDG ; art. 6 al. 1 let. a RGPD	Google LLC, Meta Platforms Inc. (États-Unis),	13 mois maximum
Sécurité du site, prévention de la fraude et lutte contre les abus	Adresse IP, logs de connexion, données de paiement (jeton de transaction)	Intérêt légitime – art. 6 al. 1 let. f RGPD Obligations légales – art. 6 al. 1 let. c RGPD	Services internes ; prestataire de paiement ; autorités compétentes sur réquisition ; Cloudfare (hébergement Etat-unis conforme)	12 mois pour les logs ; 13 mois pour les données de paiement
Respect des obligations légales, fiscales et comptables	Données de facturation, identité et coordonnées du client	Obligation légale – art. 6 al. 1 let. c RGPD ; § 257 HGB ; § 147 AO	Services internes (comptabilité) ; expert-comptable ; administration fiscale sur réquisition	10 ans à compter de la clôture de l’exercice
Exercice et défense des droits en justice	Toute donnée nécessaire au litige	Intérêt légitime – art. 6 al. 1 let. f RGPD	Services internes ; conseils juridiques ; juridictions compétentes	Durée de la prescription applicable (§§ 195 ss BGB ; 3 ans en règle générale, 10 ans pour les créances contractuelles spécifiques)

Lorsque la fourniture de certaines données est obligatoire, les champs correspondants sont signalés par un astérisque (*) ou par une mention équivalente. Le défaut de fourniture des données obligatoires empêche la réalisation du traitement concerné.

4. COOKIES ET TRACEURS

4.1. Définition et cadre juridique

Les cookies sont des fichiers texte déposés et stockés sur le terminal de l’utilisateur lors de la consultation du Site. Le terme « cookies » désigne ici, par extension, l’ensemble des traceurs déposés ou lus dans le terminal de l’utilisateur.

Le dépôt et la lecture de cookies sont régis en Allemagne par le § 25 du Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (« TDDDG »), qui transpose la directive 2002/58/CE et exige le consentement préalable de l’utilisateur pour tout dépôt ou lecture d’information sur son terminal, à l’exception des cookies strictement nécessaires à la fourniture d’un service de la société de l’information expressément demandé par l’utilisateur (§ 25 al. 2 TDDDG).

Le consentement doit être conforme aux exigences des articles 4 ch. 11 et 7 du RGPD : libre, spécifique, éclairé, univoque, démontré par un acte positif clair, et révocable à tout moment avec la même simplicité que celle nécessaire pour le donner.

Cette exigence s’applique indépendamment du caractère personnel ou non des données concernées (CJUE, 1er octobre 2019, Planet49, C-673/17).

4.2. Catégories de cookies utilisés sur le Site

Cookies techniquement nécessaires

Ces cookies sont indispensables au fonctionnement du Site et à la fourniture des services demandés par l’utilisateur (gestion du panier d’achat, identification de session, jeton CSRF de sécurité, mise en cache, mémorisation de la boutique sélectionnée et de la devise). Ils sont déposés sur le fondement du § 25 al. 2 ch. 2 TDDDG et ne nécessitent pas le consentement de l’utilisateur.

Cookies de préférences et de fonctionnalité

Ces cookies permettent de mémoriser les choix de l’utilisateur (langue, devise, liste de souhaits). Ils sont soumis au consentement préalable de l’utilisateur (§ 25 al. 1 TDDDG).

Cookies de mesure d’audience et de statistiques

Ces cookies permettent d’analyser la fréquentation du Site et le comportement des visiteurs. Le Site utilise notamment Google Analytics. Ces cookies sont soumis au consentement préalable de l’utilisateur.

Cookies publicitaires et de suivi marketing

Ces cookies permettent de diffuser à l’utilisateur des publicités personnalisées, de mesurer leur efficacité et d’animer un programme d’affiliation. Le Site utilise notamment Google Ads, Meta Pixel et Google Tag Manager. Ces cookies sont soumis au consentement préalable de l’utilisateur.

4.3. Recueil et retrait du consentement

Lors de sa première visite sur le Site, l’utilisateur se voit présenter un bandeau d’information lui permettant d’accepter, de refuser ou de paramétrer ses choix par catégorie de cookies. Le refus est aussi simple à exercer que l’acceptation, conformément à l’exigence de consentement libre posée par l’article 7 al. 4 RGPD et confirmée par la Datenschutzkonferenz (orientation du 20 décembre 2021).

L’utilisateur peut à tout moment modifier ses choix en accédant au module de gestion des cookies disponible en bas de chaque page du Site.

Les choix de l’utilisateur sont conservés pour une durée de six (6) mois ; la durée de vie des cookies eux-mêmes n’excède pas treize (13) mois.

5. OUTILS TIERS ET PLUGINS

5.1. Google Analytics

Le Site utilise Google Analytics, service d’analyse fourni par Google Ireland Ltd (Gordon House, Barrow Street, Dublin 4, Irlande) et Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis).

La fonction d’anonymisation des adresses IP est activée : l’adresse IP de l’utilisateur situé dans l’Union européenne ou dans l’Espace économique européen est tronquée par Google avant tout transfert aux États-Unis.

Conformément à la position de la Datenschutzkonferenz (résolution du 12 mai 2022) et à la jurisprudence allemande, le dépôt des cookies Google Analytics est subordonné au consentement préalable et exprès de l’utilisateur. L’utilisateur peut à tout moment retirer son consentement ou s’opposer à la collecte de ses données via Google Analytics en installant le module complémentaire de navigateur disponible à l’adresse https://tools.google.com/dlpage/gaoptout?hl=de ou en modifiant ses choix dans le module de gestion des cookies du Site.

5.2. Google Ads et suivi de conversion

Le Site utilise Google Ads et le suivi de conversion Google. Ces outils déposent des cookies sur le terminal de l’utilisateur uniquement après recueil de son consentement préalable. Pour plus d’informations : https://policies.google.com/privacy?hl=de

5.3. Meta Pixel (Facebook Pixel)

Le Site utilise Meta Pixel, fourni par Meta Platforms Ireland Ltd. (Merrion Road, Dublin 4, Irlande) et Meta Platforms, Inc. (États-Unis). Cet outil permet de suivre les interactions des utilisateurs avec les publicités diffusées sur Facebook et Instagram et de constituer des audiences personnalisées. Son utilisation est subordonnée au consentement préalable de l’utilisateur, conformément à la jurisprudence allemande (LG Bonn, 29 novembre 2022 ; LG Berlin, 13 juin 2023). Politique de confidentialité de Meta : https://www.facebook.com/privacy/policy

5.4. YouTube

Le Site intègre des contenus vidéo hébergés par YouTube, service exploité par Google Ireland Ltd. et Google LLC. Le mode étendu de protection des données (« erweiterter Datenschutzmodus ») est activé : YouTube ne dépose pas de cookies tant que l’utilisateur ne lance pas une vidéo. Le lancement d’une vidéo entraîne en revanche le dépôt de cookies et l’établissement d’une connexion avec les serveurs de Google. Le consentement de l’utilisateur est recueilli préalablement à toute lecture impliquant un transfert de données.

5.5. Google Fonts

Le Site utilise les polices d'écriture Google Fonts pour garantir une cohérence d'affichage des contenus sur l'ensemble des navigateurs et des terminaux des utilisateurs. Les fichiers de police sont hébergés localement sur les serveurs du Site, conformément aux recommandations issues notamment de la jurisprudence allemande (LG München I, 20 janvier 2022, 3 O 17493/20). Cette configuration permet d'éviter tout transfert non nécessaire de l'adresse IP des utilisateurs vers les serveurs de Google situés aux États-Unis. Aucune donnée personnelle n'est transmise à Google du fait du chargement des polices.

5.6. Plugins de médias sociaux

Le Site comporte des liens ou plugins vers les réseaux sociaux Facebook (Meta Platforms Ireland Ltd.), Instagram (Meta Platforms Ireland Ltd.) et X (X Corp.).

Conformément à l’arrêt CJUE Fashion ID (29 juillet 2019, C-40/17) et à la jurisprudence allemande subséquente, ces plugins sont configurés en mode « clic-deux-temps » (solution « Shariff ») : aucune donnée n’est transmise aux réseaux sociaux concernés tant que l’utilisateur n’a pas activé le bouton correspondant en cliquant volontairement sur celui-ci.

Une fois activés par l’utilisateur, ces plugins peuvent collecter des données telles que l’adresse IP, la page consultée et, si l’utilisateur est connecté à son compte sur le réseau social concerné, le rattachement de la visite à son profil. L’utilisateur est invité à consulter les politiques de confidentialité des réseaux sociaux concernés.

5.7. Cloudfare

Le Site utilise les services de la société Cloudflare, Inc., dont le siège social est situé 101 Townsend Street, San Francisco, CA 94107, États-Unis, en qualité de réseau de distribution de contenu (Content Delivery Network – CDN) et de service de protection contre les attaques informatiques. À ce titre, Cloudflare assure les fonctions suivantes :

• accélération du chargement des contenus du Site par la mise à disposition de serveurs proches géographiquement de l'utilisateur ;
• protection contre les attaques par déni de service distribué (DDoS) et contre les tentatives d'intrusion informatique ;
• filtrage du trafic illégitime et des bots malveillants.

L'utilisation de Cloudflare implique le traitement par cette société des données suivantes : adresse IP (tronquée), user-agent du navigateur, page demandée, horodatage de la requête. Cette troncature de l'adresse IP constitue une mesure de minimisation des données conforme à la règlementation sur la protection des données.

Le traitement est fondé sur l'intérêt légitime des Co-responsables conjoints à assurer la sécurité, la disponibilité et la performance du Site.

Cloudflare intervient en qualité de sous-traitant au sens de l'article 28 du RGPD [du UK GDPR]. Un contrat de sous-traitance (Data Processing Agreement) conforme aux exigences de cet article a été conclu entre les Co-responsables et Cloudflare.

Le transfert de données vers les États-Unis qui résulte de l'utilisation de Cloudflare est couvert par du EU-U.S. Data Privacy Framework, mécanisme reconnu par la Commission européenne par décision d'adéquation du 10 juillet 2023.

L'utilisateur peut consulter la politique de confidentialité de Cloudflare à l'adresse suivante : https://www.cloudflare.com/privacypolicy/.

6. PRESTATAIRES DE SERVICES DE PAIEMENT

6.1. Saferpay (SIX Payment Services SA)

Les paiements par carte bancaire effectués sur le Site sont traités via la plateforme Saferpay, exploitée par SIX Payment Services SA (Hardturmstrasse 201, 8005 Zurich, Suisse). Saferpay est conforme à la norme PCI DSS. Politique de confidentialité : https://www.six-payment-services.com/de/services/legal/privacy-statement.html

6.2. PayPal

Les paiements par PayPal sont traités par PayPal (Europe) S.à.r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg. Politique de confidentialité : https://www.paypal.com/de/webapps/mpp/ua/privacy-full

6.3. Données de paiement

Les données de carte bancaire sont transmises directement, sous forme cryptée, aux prestataires de paiement. Caviar House & Prunier City GmbH ne conserve ni le numéro de carte bancaire en clair, ni le cryptogramme visuel (CVV).

7. DESTINATAIRES DES DONNÉES

Les données à caractère personnel collectées sur le Site sont destinées aux personnes habilitées au sein des services de Caviar House & Prunier City GmbH. Elles peuvent également être communiquées aux catégories de destinataires suivantes :

• aux sous-traitants (« Auftragsverarbeiter ») agissant au nom et pour le compte du responsable de traitement, dans le cadre d’accords de traitement conformes à l’article 28 RGPD, notamment l’hébergeur, les prestataires d’envoi d’e-mails, les transporteurs, l’expert-comptable, les éditeurs des outils marketing et analytiques ;
• aux prestataires de services de paiement (Saferpay, PayPal) ;
• aux fournisseurs d’outils tiers (Google LLC, Meta Platforms Inc., X Corp.) lorsque l’utilisateur y a consenti via le bandeau cookies ;
• aux autorités administratives ou judiciaires compétentes, lorsque le responsable de traitement y est légalement tenu.

La liste détaillée des sous-traitants peut être communiquée à toute personne concernée qui en fait la demande au délégué à la protection des données.

8. TRANSFERTS DE DONNÉES HORS DE L’UNION EUROPÉENNE

Certains outils utilisés sur le Site (notamment Google Analytics, Google Ads, Meta Pixel, YouTube) impliquent un transfert de données vers les États-Unis ou vers d’autres pays tiers ne disposant pas d’un niveau de protection des données équivalent à celui de l’Union européenne.

Ces transferts sont encadrés par les garanties suivantes, conformément aux articles 44 à 49 RGPD :

• pour les transferts vers la Suisse, lieu d’établissement du responsable de traitement : décision d’adéquation de la Commission européenne du 26 juillet 2000 (encore en vigueur) ;
• pour les transferts vers les États-Unis : adhésion du destinataire au EU-U.S. Data Privacy Framework (décision d’adéquation de la Commission européenne du 10 juillet 2023) ;
• à défaut, conclusion de clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 (décision 2021/914) ;
• mesures techniques et organisationnelles complémentaires conformément aux recommandations 01/2020 du Comité européen de la protection des données du 18 juin 2021 (chiffrement, pseudonymisation, restrictions d’accès, évaluation des transferts).

L’utilisateur peut obtenir copie des garanties mises en œuvre en adressant une demande au délégué à la protection des données.

9. SÉCURITÉ ET CONFIDENTIALITÉ DES DONNÉES

Caviar House & Prunier City GmbH met en œuvre les mesures techniques et organisationnelles appropriées (« geeignete technische und organisatorische Maßnahmen ») pour assurer la sécurité et la confidentialité des données à caractère personnel et les protéger contre toute perte accidentelle, altération, divulgation ou accès non autorisé, conformément à l’article 32 RGPD et aux §§ 64 et suivants BDSG.

Ces mesures comprennent notamment :

• le chiffrement des communications par les protocoles SSL/TLS ;
• la limitation des accès aux données aux seules personnes habilitées ;
• la sécurisation physique et logique des serveurs et des systèmes d’information ;
• la mise en place de procédures de sauvegarde et de continuité d’activité ;
• la formation et la sensibilisation du personnel ;
• l’engagement contractuel des sous-traitants au respect d’un niveau de sécurité équivalent.

En cas de violation de données à caractère personnel susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, Caviar House & Prunier City GmbH notifie cette violation à l’autorité de contrôle compétente dans un délai de soixante-douze (72) heures, et le cas échéant aux personnes concernées, conformément aux articles 33 et 34 RGPD.

10. DROITS DES PERSONNES CONCERNÉES

Conformément aux articles 12 à 22 RGPD et aux §§ 32 à 37 BDSG, les personnes concernées disposent des droits suivants sur leurs données à caractère personnel :

• Droit d’information et d’accès (« Auskunftsrecht » – art. 15 RGPD ; § 34 BDSG) : obtenir la confirmation que des données sont traitées et en recevoir une copie.
• Droit de rectification (« Recht auf Berichtigung » – art. 16 RGPD) : faire rectifier les données inexactes ou incomplètes.
• Droit à l’effacement (« Recht auf Löschung » – art. 17 RGPD ; § 35 BDSG) : obtenir l’effacement des données dans les cas prévus par la loi.
• Droit à la limitation du traitement (« Recht auf Einschränkung der Verarbeitung » – art. 18 RGPD) : obtenir la limitation du traitement.
• Droit à la portabilité (« Recht auf Datenübertragbarkeit » – art. 20 RGPD) : recevoir les données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d’opposition (« Widerspruchsrecht » – art. 21 RGPD ; § 36 BDSG) : s’opposer, pour des motifs tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime du responsable, ainsi que, sans condition, à tout traitement à des fins de prospection commerciale.
• Droit de retirer son consentement (« Widerruf der Einwilligung » – art. 7 al. 3 RGPD) : retirer à tout moment le consentement donné, sans que ce retrait remette en cause la licéité des traitements antérieurs.
• Droit à une décision humaine (art. 22 RGPD) : ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé. Caviar House & Prunier City GmbH n’a pas recours à de telles décisions automatisées sur le Site.

Pour exercer ces droits, l’utilisateur peut s’adresser au délégué à la protection des données ou au représentant dans l’Union européenne aux coordonnées indiquées aux articles 2 et 3 de la présente Politique.

Le responsable de traitement répond à la demande dans un délai d’un (1) mois à compter de sa réception, prolongeable de deux (2) mois en cas de complexité, l’utilisateur étant informé de la prolongation et de ses motifs (art. 12 al. 3 RGPD).

11. DROIT D’INTRODUIRE UNE RÉCLAMATION AUPRÈS D’UNE AUTORITÉ DE CONTRÔLE

Indépendamment de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès de l’autorité de contrôle compétente, conformément à l’article 77 RGPD et au § 19 BDSG.

L’autorité de contrôle fédérale allemande compétente est :

Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI)

Graurheindorfer Straße 153

53117 Bonn

Téléphone : +49 (0)228 997799-0

Adresse électronique : poststelle@bfdi.bund.de

Site web : www.bfdi.bund.de

L’utilisateur peut également saisir l’autorité de protection des données du Land de sa résidence habituelle, de son lieu de travail ou du lieu où la violation alléguée a été commise. La liste des autorités des Länder est disponible sur le site de la Datenschutzkonferenz (www.datenschutzkonferenz-online.de).

12. PARTICULARITÉS APPLICABLES AUX MINEURS

Les services proposés par le Site ne sont pas destinés aux mineurs. La création d’un compte client et la passation d’une commande sont réservées aux personnes ayant la pleine capacité juridique (§§ 104 et suivants BGB), notamment compte tenu de la réglementation applicable à la vente d’alcool (Jugendschutzgesetz).

Conformément à l’article 8 RGPD, l’âge minimal du consentement à un traitement de données par un fournisseur de services de la société de l’information est fixé en Allemagne à seize (16) ans. En deçà, le consentement doit être recueilli auprès du titulaire de la responsabilité parentale.

Dans l’hypothèse où des données d’un mineur seraient collectées par erreur, Caviar House & Prunier Group SA s’engage à les supprimer dans les meilleurs délais sur signalement.

13. MODIFICATION DE LA PRÉSENTE POLITIQUE

Caviar House & Prunier City GmbH se réserve le droit de modifier la présente Politique à tout moment afin de tenir compte des évolutions législatives, réglementaires, jurisprudentielles ou techniques.

Toute modification substantielle sera portée à la connaissance des utilisateurs par tout moyen approprié avant son entrée en vigueur.

Les utilisateurs sont invités à consulter régulièrement la présente Politique.

14. CONTACT

Pour toute question relative à la présente Politique ou à l’exercice des droits prévus par la nLPD, l’utilisateur peut contacter les Co-responsables conjoints du traitement par l'intermédiaire du point de contact unique désigné : Mr Ludovic Maulucci

20 avenue Victor Hugo

75116 – Paris, France

Email address: info.de@caviarhouse.com (objet: "Protection des données")

Vous pouvez également vous adresser directement à l'un des Co-responsables conjoints du traitement, aux coordonnées indiquées à l'article 1 de la présente Politique.

Royaume-Uni

Website: https://www.caviarhouse.com/en-gb/

PREAMBLE

This privacy policy (hereinafter the "Policy") is intended to inform users of the website https://www.caviarhouse.com/en-gb/ (hereinafter the "Website") of the conditions under which their personal data are collected and processed, in accordance with:

• the UK General Data Protection Regulation ("UK GDPR") as it results from the European Union (Withdrawal) Act 2018 and the Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019;
• the Data Protection Act 2018 ("DPA 2018");
• the Privacy and Electronic Communications (EC Directive) Regulations 2003, as amended ("PECR"), and in particular Regulation 6 on cookies and Regulation 22 on marketing by electronic means.

As the Website is operated by a company established in Switzerland, this Policy is intended to apply to users residing in the United Kingdom. For users residing in Switzerland, the European Union or any other country, the specific privacy policies are accessible on the corresponding websites of the Caviar House & Prunier group.

Users are invited to read this Policy carefully before using the Website and in particular before transmitting any personal data.

1. IDENTITY OF THE DATA CONTROLLER

The processing of personal data described in this Policy is carried out jointly by the following two companies (hereinafter together the "Joint Controllers"), within the meaning of Article 26 of the UK General Data Protection Regulation (UK GDPR):

First Joint Controller — CHP UK City Limited

Private limited company incorporated under English law

Registered office: 161 Piccadilly, London, England, W1J 9EA

Companies House registration number: 10832834

Place of registration: Registered in England and Wales

VAT number: GB 272 3993 75 [to be verified — see gov.uk/check-uk-vat-number or customer invoice]

Telephone: +44 (0)208 191 2208

Email address: info.uk@caviarhouse.com

CHP UK City Limited commercially operates the Website, collects payments from customers and manages the commercial and logistical relationship within the United Kingdom.

Second Joint Controller — CAVIAR HOUSE & PRUNIER (France)

SASU, with a share capital of €500,000

Registered with the Paris Trade and Companies Register under number 399 465 319

Registered office: 20 avenue Victor Hugo – 75016 Paris

Caviar House & Prunier France defines the editorial strategy of the Website, coordinates the selection of products and manages the cross-functional contractual arrangements of the group with the main technical service providers (in particular the hosting provider and audience measurement tools).

Joint controllership regime:

The two companies above jointly determine the purposes and means of processing personal data collected via the Website. They therefore act as Joint Controllers of the processing.

Single point of contact for data subjects:

To facilitate the exercise of their rights, the Joint Controllers have designated a single point of contact.

2. SCOPE AND COMMITMENTS

This Policy applies to all users of the Website, whether simple visitors, prospects or customers of Caviar House & Prunier Holding SA.

The data controller undertakes to comply with the principles set out in Article 5 of the UK GDPR:

• lawfulness, fairness and transparency;
• purpose limitation: only data strictly necessary for the defined purposes is collected;
• data minimisation;
• accuracy and keeping data up to date;
• storage limitation;
• integrity and confidentiality through appropriate security measures;
• accountability.

3. DATA COLLECTED, PURPOSES, LEGAL BASES AND RETENTION PERIODS

Caviar House & Prunier Group SA collects users' personal data in the following circumstances:

• when browsing the Website (automatic collection of technical navigation data);
• when creating and using a customer account;
• when placing an order on the Website;
• when sending a message via the contact form, by email, telephone or post;
• when subscribing to the newsletter;
• when participating in a competition or promotional campaign, where applicable.

Purpose: Management and fulfilment of orders

Data processed: Identity, contact details, order history, billing data, payment method data

Legal basis: Performance of a contract – Art. 6(1)(b) UK GDPR

Recipients: Internal departments, carriers, payment service providers (Saferpay – SIX Payment Services SA, PayPal Europe S.à.r.l.)

Retention period: Duration of the contractual relationship + 6 years (Limitation Act 1980, section 5)

Purpose: Customer account management

Data processed: Login credentials, hashed password, preferences, internal account browsing history

Legal basis: Performance of a contract – Art. 6(1)(b) UK GDPR

Recipients: Internal departments; hosting provider

Retention period: Duration of account activity; deletion upon request or after [TO BE COMPLETED: generally 3 years] of inactivity

Purpose: Management of requests submitted via the contact form, by email, telephone or post

Data processed: Identity, contact details, message content, correspondence history

Legal basis: Consent – Art. 6(1)(a) UK GDPR; or legitimate interest in responding to requests – Art. 6(1)(f) UK GDPR

Recipients: Customer service

Retention period: Duration necessary for processing, then 3 years from the last contact

Purpose: Sending of the newsletter and commercial communications by electronic means

Data processed: Email address, title, first name, declared areas of interest, email open and click history

Legal basis: Prior consent – Regulation 22 PECR and Art. 6(1)(a) UK GDPR; for existing customers: soft opt-in – Regulation 22(3) PECR

Recipients: Marketing department; email service provider [TO BE COMPLETED]

Retention period: Until withdrawal of consent or 3 years after the last contact for prospects

Purpose: Audience measurement and statistical analysis (Google Analytics)

Data processed: IP address (anonymised), navigation data, pages visited, duration of visit, device used, technical identifiers

Legal basis: Prior consent – Regulation 6 PECR and Art. 6(1)(a) UK GDPR

Recipients: Marketing department; Google LLC (United States)

Retention period: Maximum 13 months (ICO recommendation)

Purpose: Targeted advertising and conversion tracking (Google Ads, Meta Pixel, retargeting)

Data processed: IP address, advertising identifiers, navigation events, third-party account identifiers if logged in

Legal basis: Prior consent – Regulation 6 PECR and Art. 6(1)(a) UK GDPR

Recipients: Google LLC, Meta Platforms Inc. (United States), affiliate partners [TO BE COMPLETED]

Retention period: Maximum 13 months

Purpose: Website security, fraud prevention and abuse detection

Data processed: IP address, connection logs, payment data (transaction token)

Legal basis: Legitimate interest of the controller – Art. 6(1)(f) UK GDPR; legal obligations – Art. 6(1)(c) UK GDPR

Recipients: Internal departments; payment service provider; competent authorities upon requisition; Cloudflare

Retention period: 12 months for logs; 13 months for payment data

Purpose: Compliance with legal, tax and accounting obligations

Data processed: Billing data, customer identity and contact details

Legal basis: Legal obligation – Art. 6(1)(c) UK GDPR; Companies Act 2006, section 388; HMRC record-keeping requirements

Recipients: Internal departments (accounting); auditor; HMRC upon requisition

Retention period: 6 years from the close of the financial year (HMRC requirements)

Purpose: Exercise and defence of legal rights

Data processed: Any data necessary for the relevant dispute

Legal basis: Legitimate interest – Art. 6(1)(f) UK GDPR

Recipients: Internal departments; legal counsel; competent courts

Retention period: Duration of the applicable limitation period (Limitation Act 1980)

Where the provision of certain data is mandatory, the corresponding fields are indicated by an asterisk (*) or equivalent notice. Failure to provide mandatory data prevents the relevant processing from being carried out.

4. COOKIES AND TRACKERS

4.1. Definition and legal framework

Cookies are text files deposited and stored on the user's device when browsing the Website. The depositing and reading of cookies is governed in the United Kingdom by Regulation 6 of the Privacy and Electronic Communications (EC Directive) Regulations 2003 ("PECR"). Consent must comply with the requirements of Articles 4(11) and 7 of the UK GDPR.

4.2. Categories of cookies used on the Website

• Strictly necessary cookies: essential for the operation of the Website; no consent required.
• Preference and functionality cookies: subject to the user's prior consent.
• Analytics cookies: subject to the user's prior consent.
• Marketing and advertising cookies: subject to the user's prior consent.

4.3. Collection and withdrawal of consent

The user may at any time modify their choices by accessing the cookie management module available at the bottom of each page of the Website. Choices are retained for a period of six (6) months; the lifespan of the cookies themselves does not exceed thirteen (13) months.

5. THIRD-PARTY TOOLS AND PLUGINS

5.1. Google Analytics

Service provided by Google LLC and Google Ireland Ltd. The IP address anonymisation feature is enabled.

5.2. Google Ads and conversion tracking

Measures the effectiveness of advertising campaigns.

5.3. Meta Pixel

Provided by Meta Platforms Ireland Ltd.

5.4. YouTube

Extended data protection mode is enabled.

5.5. Google Fonts

Hosted locally on the Website's servers.

5.6. Social media plugins

Facebook, Instagram, X. Configured in "two-click" mode.

5.7. Cloudflare

Content Delivery Network (CDN) and cyberattack protection service. The transfer of data to the United States is covered by the UK Extension to the EU-U.S. Data Privacy Framework.

6. PAYMENT SERVICE PROVIDERS

6.1. Stripe

Card payments.

6.2. PayPal

Processed by PayPal (Europe) S.à.r.l. et Cie, S.C.A., Luxembourg.

6.3. Payment data

Caviar House & Prunier Group SA retains neither the card number in clear text nor the security code (CVV).

7. RECIPIENTS OF DATA

Data is intended for the departments of CHP UK City Limited and CAVIAR HOUSE & PRUNIER, SASU, as well as processors, payment service providers, third-party tool providers and competent authorities.

8. INTERNATIONAL DATA TRANSFERS

Transfers are governed by the following safeguards: adequacy decision (Switzerland), adherence to the UK Extension to the EU-U.S. Data Privacy Framework (United States), Data Processing Agreement, IDTA or UK Addendum.

9. DATA SECURITY AND CONFIDENTIALITY

Technical and organisational measures in compliance with Article 32 of the UK GDPR. Notification to the ICO in the event of a data breach within 72 hours.

10. RIGHTS OF DATA SUBJECTS

• Right of access
• Right to rectification
• Right to erasure
• Right to restriction of processing
• Right to data portability
• Right to object
• Right to withdraw consent
• Rights related to automated decision-making and profiling

11. RIGHT TO LODGE A COMPLAINT WITH THE ICO

Independently of any other administrative or legal remedy, any data subject has the right to lodge a complaint with the Information Commissioner's Office (ICO):

Information Commissioner's Office (ICO)

Wycliffe House, Water Lane

Wilmslow, Cheshire, SK9 5AF

United Kingdom

12. MINORS

Services are reserved for adults. The minimum age of consent is set at 13 years in the United Kingdom.

13. AMENDMENTS TO THIS POLICY

The Joint Controllers reserve the right to amend this Policy at any time.

14. CONTACT

Single point of contact:

Mr Ludovic Maulucci

20 avenue Victor Hugo

75116 – Paris, France

Email address: info.uk@caviarhouse.com (subject: "Data Protection")

Suisse

Site internet : www.caviarhouse.com/fr-ch

PRÉAMBULE

La présente politique de confidentialité (ci-après la « Politique ») a pour objet d’informer les utilisateurs du site internet www.caviarhouse.com/fr-ch (ci-après le « Site ») des conditions dans lesquelles leurs données à caractère personnel sont collectées et traitées.

Le Site est exploité par Caviar House & Prunier (Suisse) SA, société de droit suisse établie à Genève. Conformément aux conditions générales de vente applicables, les produits proposés sur le Site sont vendus exclusivement aux personnes résidant en Suisse et livrés exclusivement sur le territoire suisse.

Le présent traitement est par conséquent soumis au droit suisse, et en particulier :

• à la loi fédérale sur la protection des données du 25 septembre 2020 (ci-après la « nLPD »), entrée en vigueur le 1er septembre 2023 ;
• à l’ordonnance sur la protection des données du 31 août 2022 (« OPDo ») ;
• à l’article 45c de la loi fédérale sur les télécommunications du 30 avril 1997 (« LTC ») relatif aux cookies et traitements analogues ;
• à la loi fédérale contre la concurrence déloyale du 19 décembre 1986 (« LCD »), notamment son article 3 let. o relatif à la prospection commerciale par voie électronique.

Les utilisateurs sont invités à lire attentivement la présente Politique avant toute utilisation du Site et notamment avant la transmission de toute donnée à caractère personnel.

1. IDENTITÉ DU RESPONSABLE DU TRAITEMENT

Le traitement des données personnelles décrit dans la présente Politique est mis en œuvre, conjointement, par les deux sociétés suivantes (ci-après ensemble « les Co-responsables ».

Premier responsable conjoint : Caviar House & Prunier Suisse SA

Société anonyme de droit suisse

Capital social : CHF 1'800'000, entièrement libéréInscrite au registre du commerce du canton de Genève sous le numéro IDE CHE-105.991.842

Siège social : Rue du Rhône 30, 1204 Genève, Suisse

Téléphone : 02 27 81 02 37

Adresse électronique : info.ch@caviarhouse.com

Représentée par Cyril Baron, Managing Director

Second responsable conjoint :

CAVIAR HOUSE & PRUNIER, SASU, au capital social de 500 000 €, inscrite au Registre du commerce et des Sociétés de Paris, sous le numéro 399 465 319, dont le siège social est au 20 avenue Victor Hugo – 75016 Paris.

Caviar House & Prunier France définit la stratégie éditoriale du site, coordonne la sélection des produits et pilote les contractualisations transversales du groupe avec les principaux prestataires techniques (notamment l'hébergeur et les outils de mesure d'audience).

Régime de responsabilité conjointe :

Les deux sociétés ci-dessus déterminent ensemble les finalités et les moyens du traitement des données personnelles collectées via le site. Elles ont, à ce titre, la qualité de responsables conjoints du traitement.

Point de contact unique pour les personnes concernées :

Pour faciliter l'exercice de leurs droits, les Co-responsables ont désigné un point de contact unique :

2. CHAMP D’APPLICATION ET ENGAGEMENTS

La présente Politique s’adresse à l’ensemble des utilisateurs du Site, qu’il s’agisse de simples visiteurs, de prospects ou de clients de Caviar House & Prunier Holding SA.

Le responsable du traitement s’engage à respecter les principes énoncés à l’article 6 de la nLPD :

• la licéité du traitement (art. 6 al. 1 nLPD) ;
• la bonne foi et la proportionnalité (art. 6 al. 2 nLPD) ;
• la finalité déterminée et reconnaissable du traitement (art. 6 al. 3 nLPD) ;
• l’exactitude des données et leur mise à jour (art. 6 al. 5 nLPD) ;
• la sécurité appropriée des données (art. 8 nLPD).

3. DONNÉES COLLECTÉES, FINALITÉS, BASES LÉGALES ET DURÉES DE CONSERVATION

Caviar House & Prunier Suisse SA collecte les données à caractère personnel des utilisateurs dans les hypothèses suivantes :

• lors de la consultation du Site (collecte automatique de données techniques de navigation) ;
• lors de la création et de l’utilisation d’un compte client ;
• lors de la passation d’une commande sur le Site ;
• lors de l’envoi d’un message via le formulaire de contact, par e-mail, par téléphone ou par courrier postal ;
• lors de l’inscription à la newsletter ;
• lors de la participation à un jeu-concours ou à une opération promotionnelle, le cas échéant.

Le tableau ci-dessous récapitule, pour chaque finalité de traitement mise en œuvre par Caviar House & Prunier Holding SA, les catégories de données traitées, la base légale du traitement au regard de la nLPD, les destinataires des données et leur durée de conservation.

Finalité du traitement	Données traitées	Base légale (nLPD)	Destinataires	Durée de conservation
Gestion et exécution des commandes (traitement, livraison en Suisse, facturation, service après-vente)	Identité (civilité, nom, prénom), coordonnées (adresse postale, adresse de livraison, téléphone, e-mail), historique des commandes, données de facturation, données relatives au moyen de paiement	Traitement nécessaire à la conclusion ou à l’exécution du contrat – art. 31 al. 2 let. a nLPD	Services internes (commercial, logistique, comptabilité, service client) ; transporteurs ; prestataire de paiement (Saferpay, PayPal)	Durée de la relation contractuelle + 10 ans (art. 958f CO – obligation de conservation des livres et pièces comptables)
Gestion du compte client	Identifiant, mot de passe haché, préférences, historique de navigation interne au compte	Traitement nécessaire à l’exécution du contrat – art. 31 al. 2 let. a nLPD	Services internes ; hébergeur	Durée d’activité du compte ; suppression à la demande de l’utilisateur ou après 3 ans d’inactivité
Gestion des demandes via le formulaire de contact, par e-mail, téléphone ou courrier	Identité, coordonnées, contenu du message, historique des échanges	Consentement de la personne concernée – art. 6 al. 6 et 31 al. 1 nLPD Ou intérêt prépondérant à répondre aux sollicitations – art. 31 al. 1 nLPD	Service client	Durée nécessaire au traitement, puis 3 ans à compter du dernier contact
Envoi de la newsletter et communications commerciales par voie électronique	Adresse e-mail, civilité, prénom, centres d’intérêt déclarés, historique d’ouverture et de clics	Consentement préalable – art. 6 al. 6 nLPD et art. 3 let. o de la loi fédérale contre la concurrence déloyale (LCD) Pour les clients existants : intérêt prépondérant pour produits analogues (art. 3 let. o LCD)	Service marketing ; prestataire d’emailing : BREVO	Jusqu’au retrait du consentement ou 3 ans après le dernier contact pour les prospects
Mesure d’audience et analyse statistique (Google Analytics)	Adresse IP (anonymisée), données de navigation, pages consultées, durée de visite, terminal utilisé, identifiants techniques	Information préalable et droit d’opposition – art. 45c de la loi fédérale sur les télécommunications (LTC) ; art. 31 al. 1 nLPD	Service marketing ; Google LLC (États-Unis)	13 mois maximum
Publicité ciblée et suivi de conversion (Google Ads, Meta Pixel, retargeting)	Adresse IP, identifiants publicitaires, événements de navigation, identifiants de comptes tiers si connectés	Consentement préalable de la personne concernée – art. 6 al. 6 nLPD ; art. 45c LTC	Google LLC, Meta Platforms Inc. (États-Unis), partenaires d’affiliation	13 mois maximum
Sécurité du site, prévention de la fraude et lutte contre les abus	Adresse IP, logs de connexion, données de paiement (jeton de transaction)	Intérêt prépondérant du responsable – art. 31 al. 1 et al. 2 let. c nLPD Obligations légales – art. 31 al. 1 nLPD	Services internes ; prestataire de paiement ; autorités compétentes en cas de réquisition ; Cloudfare	12 mois pour les logs de connexion ; 13 mois pour les données de paiement
Respect des obligations légales et comptables	Données de facturation, identité et coordonnées du client	Obligation légale – art. 31 al. 1 nLPD ; art. 957 et 958f CO	Services internes (comptabilité) ; expert-comptable ; administration fiscale sur réquisition	10 ans à compter de la clôture de l’exercice
Exercice et défense des droits en justice	Toute donnée nécessaire au litige concerné	Intérêt prépondérant – art. 31 al. 2 let. f nLPD	Services internes ; conseils juridiques ; juridictions compétentes	Durée de la prescription applicable (art. 127 CO : 10 ans en matière contractuelle, art. 128 CO : 5 ans pour certaines créances)

Lorsque la fourniture de certaines données est obligatoire (par exemple pour la passation d’une commande), les champs correspondants sont signalés par un astérisque (*) ou par une mention équivalente lors de la collecte. Le défaut de fourniture des données obligatoires empêche la réalisation du traitement concerné.

4. COOKIES ET TRACEURS

4.1. Définition et cadre juridique

Les cookies sont des fichiers texte, souvent de petite taille, déposés et stockés sur le terminal de l’utilisateur (ordinateur, tablette, smartphone) lors de la consultation du Site. Le terme « cookies » désigne ici, par extension, l’ensemble des traceurs déposés ou lus dans le terminal de l’utilisateur.

Le dépôt et la lecture de cookies sont régis en droit suisse par l’article 45c LTC, qui exige une information préalable claire de l’utilisateur sur la finalité du traitement et sur les moyens de s’y opposer.

Pour les cookies impliquant un traitement de données personnelles sensibles ou un profilage à risque élevé au sens de la nLPD, le consentement préalable et exprès de l’utilisateur est requis (art. 6 al. 7 nLPD).

Le responsable du traitement a fait le choix d’appliquer le régime du consentement préalable pour l’ensemble des cookies non strictement nécessaires au fonctionnement du Site, par souci de transparence et conformément aux recommandations du PFPDT.

4.2. Catégories de cookies utilisés sur le Site

Cookies strictement nécessaires

Ces cookies sont indispensables au fonctionnement du Site et à la fourniture des services demandés par l’utilisateur (gestion du panier d’achat, identification de session, jeton CSRF de sécurité, mise en cache, mémorisation de la boutique sélectionnée et de la devise). Ils ne nécessitent pas le consentement de l’utilisateur. Leur désactivation rend le Site inutilisable.

Cookies de préférences et de fonctionnalité

Ces cookies permettent de mémoriser les choix de l’utilisateur (langue, devise, liste de souhaits, fermeture des pop-ups) et d’améliorer son expérience de navigation. Ils sont soumis au consentement préalable de l’utilisateur.

Cookies de mesure d’audience et de statistiques

Ces cookies permettent d’analyser la fréquentation du Site et le comportement des visiteurs afin d’en améliorer l’ergonomie et le contenu. Le Site utilise notamment Google Analytics (Google LLC, États-Unis), qui dépose des cookies analytiques. Ces cookies sont soumis au consentement préalable de l’utilisateur.

Cookies publicitaires et de suivi marketing

Ces cookies permettent de diffuser à l’utilisateur des publicités personnalisées sur le Site ou sur des sites tiers, de mesurer leur efficacité et d’animer un programme d’affiliation. Le Site utilise notamment Google Ads, Meta Pixel (Facebook Pixel) et Google Tag Manager. Ces cookies sont soumis au consentement préalable de l’utilisateur.

4.3. Recueil et retrait du consentement

Lors de sa première visite sur le Site, l’utilisateur se voit présenter un bandeau d’information lui permettant :

• d’accepter l’ensemble des cookies (« Accepter tout ») ;
• de refuser l’ensemble des cookies non strictement nécessaires (« Refuser ») ;
• de paramétrer ses choix par catégorie de cookies (« Configurer »).

Le refus est aussi simple à exercer que l’acceptation, conformément aux recommandations du PFPDT.

L’utilisateur peut à tout moment modifier ses choix en accédant au module de gestion des cookies disponible en bas de chaque page du Site.

Les choix de l’utilisateur sont conservés pour une durée de six (6) mois ; à l’issue de cette période, l’utilisateur sera à nouveau invité à exprimer ses préférences. La durée de vie des cookies eux-mêmes n’excède pas treize (13) mois.

4.4. Paramétrage du navigateur

L’utilisateur peut également paramétrer son navigateur internet pour bloquer les cookies, être averti de leur dépôt ou les supprimer. La procédure varie selon le navigateur utilisé :

• Safari : https://support.apple.com/fr-fr/guide/safari/sfri11471/mac
• Google Chrome : https://support.google.com/chrome/answer/95647
• Mozilla Firefox : https://support.mozilla.org/fr/kb/protection-renforcee-contre-pistage-firefox-ordinateur
• Microsoft Edge : https://support.microsoft.com/fr-fr/microsoft-edge

5. OUTILS TIERS ET PLUGINS

5.1. Google Analytics

Le Site utilise Google Analytics, service d’analyse fourni par Google LLC (1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis).

La fonction d’anonymisation des adresses IP est activée. Le dépôt des cookies Google Analytics est subordonné au consentement préalable de l’utilisateur, exprimé via le bandeau cookies. L’utilisateur peut à tout moment retirer son consentement ou s’opposer à la collecte de ses données via Google Analytics en installant le module complémentaire de navigateur disponible à l’adresse https://tools.google.com/dlpage/gaoptout?hl=fr ou en modifiant ses choix dans le module de gestion des cookies du Site.

5.2. Google Ads et suivi de conversion

Le Site utilise Google Ads et le suivi de conversion Google, qui permettent de mesurer l’efficacité des campagnes publicitaires en ligne. Ces outils déposent des cookies sur le terminal de l’utilisateur uniquement après recueil de son consentement préalable. Politique de confidentialité de Google : https://policies.google.com/privacy?hl=fr

5.3. Meta Pixel (Facebook Pixel)

Le Site utilise Meta Pixel, fourni par Meta Platforms Inc. (États-Unis). Cet outil permet de suivre les interactions des utilisateurs avec les publicités diffusées sur Facebook et Instagram et de constituer des audiences personnalisées. Son utilisation est subordonnée au consentement préalable de l’utilisateur.

5.4. YouTube

Le Site intègre des contenus vidéo hébergés par YouTube, service exploité par Google LLC. Le mode étendu de protection des données est activé : YouTube ne dépose pas de cookies sur le terminal de l’utilisateur tant que celui-ci ne lance pas une vidéo. Le lancement d’une vidéo entraîne en revanche le dépôt de cookies par YouTube et l’établissement d’une connexion avec ses serveurs.

5.5. Google Fonts

Le Site utilise les polices d'écriture Google Fonts pour garantir une cohérence d'affichage des contenus sur l'ensemble des navigateurs et des terminaux des utilisateurs. Les fichiers de police sont hébergés localement sur les serveurs du Site, conformément aux recommandations. Cette configuration permet d'éviter tout transfert non nécessaire de l'adresse IP des utilisateurs vers les serveurs de Google situés aux États-Unis. Aucune donnée personnelle n'est transmise à Google du fait du chargement des polices.

5.6. Plugins de médias sociaux

Le Site comporte des liens ou plugins vers les réseaux sociaux Facebook (Meta Platforms), Instagram (Meta Platforms) et X (X Corp.). Ces plugins sont configurés en mode « clic-deux-temps » : aucune donnée n’est transmise aux réseaux sociaux concernés tant que l’utilisateur n’a pas activé le bouton correspondant en cliquant volontairement sur celui-ci.

5.7. Cloudfare

Le Site utilise les services de la société Cloudflare, Inc., dont le siège social est situé 101 Townsend Street, San Francisco, CA 94107, États-Unis, en qualité de réseau de distribution de contenu (Content Delivery Network – CDN) et de service de protection contre les attaques informatiques. À ce titre, Cloudflare assure les fonctions suivantes :

• accélération du chargement des contenus du Site par la mise à disposition de serveurs proches géographiquement de l'utilisateur ;
• protection contre les attaques par déni de service distribué (DDoS) et contre les tentatives d'intrusion informatique ;
• filtrage du trafic illégitime et des bots malveillants.

L'utilisation de Cloudflare implique le traitement par cette société des données suivantes : adresse IP (tronquée), user-agent du navigateur, page demandée, horodatage de la requête. Cette troncature de l'adresse IP constitue une mesure de minimisation des données conforme à la règlementation sur la protection des données.

Le traitement est fondé sur l'intérêt légitime des Co-responsables conjoints à assurer la sécurité, la disponibilité et la performance du Site.

Cloudflare intervient en qualité de sous-traitant au sens de l'article 28 du RGPD [du UK GDPR]. Un contrat de sous-traitance (Data Processing Agreement) conforme aux exigences de cet article a été conclu entre les Co-responsables et Cloudflare.

Le transfert de données vers les États-Unis qui résulte de l'utilisation de Cloudflare est couvert par le Swiss-U.S. Data Privacy Framework, reconnu par le Conseil fédéral suisse le 14 août 2024..

L'utilisateur peut consulter la politique de confidentialité de Cloudflare à l'adresse suivante : https://www.cloudflare.com/privacypolicy/.

6. PRESTATAIRES DE SERVICES DE PAIEMENT

6.1. Saferpay (worldline.ch)

Les paiements par carte bancaire effectués sur le Site sont traités via la plateforme Saferpay, exploitée par SIX Payment Services SA (Hardturmstrasse 201, 8005 Zurich, Suisse). Saferpay est conforme à la norme PCI DSS (Payment Card Industry Data Security Standard). Politique de confidentialité de SIX : https://www.six-payment-services.com/fr/services/legal/privacy-statement.html

6.2. PayPal

Les paiements par PayPal sont traités (S.C.A., 22-24 Boulevard Royal, L-2449 Luxembourg.) Politique de confidentialité de PayPal : https://www.paypal.com/ch/webapps/mpp/ua/privacy-full

6.3. Données de paiement

Les données de carte bancaire sont transmises directement, sous forme cryptée, aux prestataires de paiement. Caviar House & Prunier Suisse SA ne conserve ni le numéro de carte bancaire en clair, ni le cryptogramme visuel (CVV).

7. DESTINATAIRES DES DONNÉES

Les données à caractère personnel collectées sur le Site sont destinées aux personnes habilitées au sein des services de Caviar House & Prunier Suisse SA (service commercial, service marketing, service client, service comptable, service informatique) qui en ont besoin pour les finalités décrites dans la présente Politique.

Elles peuvent également être communiquées aux catégories de destinataires suivantes :

• aux sous-traitants agissant au nom et pour le compte du responsable du traitement, notamment l’hébergeur du Site, les prestataires d’envoi d’e-mails, les transporteurs et entreprises de livraison, l’expert-comptable, les éditeurs des outils marketing et analytiques utilisés sur le Site ;
• aux prestataires de services de paiement (wordline, PayPal) ;
• aux fournisseurs d’outils tiers (Google LLC, Meta Platforms Inc., X Corp.) lorsque l’utilisateur y a consenti via le bandeau cookies ;
• aux autorités administratives ou judiciaires compétentes, lorsque le responsable du traitement y est légalement tenu (réquisition, injonction).

La liste détaillée des sous-traitants peut être communiquée à toute personne concernée qui en fait la demande à l’adresse du préposé à la protection des données.

8. COMMUNICATION DE DONNÉES À L’ÉTRANGER

Certains outils utilisés sur le Site (notamment Google Analytics, Google Ads, Meta Pixel, YouTube) impliquent une communication de données à l’étranger, principalement vers les États-Unis.

Conformément aux articles 16 et 17 nLPD, ces communications sont encadrées par les garanties suivantes :

• pour les communications vers des pays bénéficiant d’une protection adéquate selon la liste de l’ordonnance sur la protection des données (annexe 1 OPDo) : aucune mesure complémentaire n’est requise ;
• pour les communications vers les États-Unis : adhésion du destinataire au Swiss-U.S. Data Privacy Framework reconnu par le Conseil fédéral suisse le 14 août 2024 ;
• à défaut, conclusion de clauses contractuelles types reconnues par le PFPDT, notamment les clauses types adoptées par la Commission européenne le 4 juin 2021 ;
• le cas échéant, mesures techniques et organisationnelles complémentaires (chiffrement, pseudonymisation, restrictions d’accès).

L’utilisateur peut obtenir copie des garanties mises en œuvre en adressant une demande au préposé à la protection des données.

9. SÉCURITÉ ET CONFIDENTIALITÉ DES DONNÉES

Caviar House & Prunier Suisse SA met en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité et la confidentialité des données à caractère personnel et les protéger contre toute perte accidentelle, altération, divulgation ou accès non autorisé, conformément à l’article 8 nLPD et aux articles 1 à 6 OPDo.

Ces mesures comprennent notamment :

• le chiffrement des communications par les protocoles SSL/TLS ;
• la limitation des accès aux données aux seules personnes habilitées, sur la base du principe du besoin d’en connaître ;
• la sécurisation physique et logique des serveurs et des systèmes d’information ;
• la mise en place de procédures de sauvegarde et de continuité d’activité ;
• la formation et la sensibilisation du personnel aux exigences de protection des données ;
• l’engagement contractuel des sous-traitants au respect d’un niveau de sécurité équivalent.

En cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, Caviar House & Prunier Suisse SA notifie cette violation au PFPDT dans les meilleurs délais, conformément à l’article 24 nLPD, et informe les personnes concernées lorsque la loi l’exige.

10. DROITS DES PERSONNES CONCERNÉES

Conformément aux articles 25 à 32 nLPD, les personnes concernées disposent des droits suivants sur leurs données à caractère personnel :

• Droit d’accès (art. 25 nLPD) : obtenir du responsable du traitement la confirmation que des données la concernant sont traitées et recevoir les informations nécessaires pour pouvoir faire valoir ses droits selon la nLPD.
• Droit à la remise ou à la transmission des données (« droit à la portabilité » – art. 28 nLPD) : recevoir les données personnelles que la personne concernée a communiquées au responsable du traitement, dans un format électronique couramment utilisé, ou en demander la transmission directe à un autre responsable du traitement lorsque cela est techniquement possible.
• Droit de rectification (art. 32 al. 1 nLPD) : faire rectifier les données inexactes.
• Droit d’opposition et droit à l’effacement ou à la destruction (art. 32 al. 2 nLPD) : s’opposer au traitement ou demander l’effacement ou la destruction des données personnelles.
• Droit d’interdire la communication à des tiers (art. 30 al. 2 let. b nLPD) : interdire au responsable du traitement de communiquer ses données personnelles à des tiers déterminés.
• Droit de retirer son consentement (art. 6 al. 6 nLPD) : retirer à tout moment le consentement donné. Le retrait du consentement ne remet pas en cause la licéité des traitements antérieurs.
• Droit relatif aux décisions individuelles automatisées (art. 21 nLPD) : être informé d’une décision prise exclusivement sur la base d’un traitement automatisé ayant des effets juridiques pour la personne concernée ou l’affectant de manière significative, et pouvoir faire valoir son point de vue ou demander que la décision soit revue par une personne physique. Caviar House & Prunier Suisse SA n’a pas recours à de telles décisions automatisées sur le Site.

Pour exercer ces droits, l’utilisateur peut s’adresser au préposé à la protection des données aux coordonnées figurant à l’article 2 de la présente Politique. Une copie d’un document d’identité pourra être demandée en cas de doute raisonnable sur l’identité du demandeur, conformément à l’article 19 OPDo.

Le responsable du traitement répond à la demande dans un délai de trente (30) jours à compter de sa réception. Lorsque ce délai ne peut être respecté, le responsable du traitement en informe la personne concernée et lui indique le délai dans lequel la réponse sera fournie, conformément à l’article 25 al. 7 nLPD.

11. DROIT D’ANNONCE AUPRÈS DU PFPDT

Indépendamment de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’adresser une annonce au Préposé fédéral à la protection des données et à la transparence si elle estime que le traitement de ses données personnelles méconnaît la nLPD :

Préposé fédéral à la protection des données et à la transparence (PFPDT)

Feldeggweg 1

3003 Berne

Téléphone : +41 (0)58 462 43 95

Site web : www.edoeb.admin.ch

12. PARTICULARITÉS APPLICABLES AUX MINEURS

Les services proposés par le Site ne sont pas destinés aux mineurs. La création d’un compte client et la passation d’une commande sont réservées aux personnes ayant la pleine capacité civile au sens des articles 13 et 17 du Code civil suisse, notamment compte tenu de la réglementation applicable à la vente d’alcool (loi fédérale sur les denrées alimentaires et les objets usuels, ordonnance sur les boissons et législations cantonales applicables).

Dans l’hypothèse où des données d’un mineur seraient collectées par erreur, Caviar House & Prunier Suisse SA s’engage à les supprimer dans les meilleurs délais sur signalement.

13. MODIFICATION DE LA PRÉSENTE POLITIQUE

Caviar House & Prunier Suisse SA se réserve le droit de modifier la présente Politique à tout moment afin de tenir compte des évolutions législatives, réglementaires, jurisprudentielles ou techniques.

Toute modification substantielle sera portée à la connaissance des utilisateurs par tout moyen approprié (notamment par un message affiché sur le Site ou par e-mail pour les utilisateurs disposant d’un compte) avant son entrée en vigueur.

Les utilisateurs sont invités à consulter régulièrement la présente Politique.

14. CONTACT

Pour toute question relative à la présente Politique ou à l’exercice des droits prévus par la nLPD, l’utilisateur peut contacter les Co-responsables conjoints du traitement par l'intermédiaire du point de contact unique désigné : Monsieur Ludovic Maulucci, 20 avenue Victor Hugo, 75116 Paris - Adresse électronique : info.ch@caviarhouse.com (objet : « Data Protection »)

Vous pouvez également vous adresser directement à l'un des Co-responsables conjoints du traitement, aux coordonnées indiquées à l'article 1 de la présente Politique.