Confidentialité

Qui est responsable

Le responsable du traitement est Atelier Lysenne (Bahri Labs, SASU, SIREN 109 283 416, siège 47 rue Vivienne, 75002 Paris), joignable à rgpd@atelierlysenne.com.

Ce que le site collecte, et pourquoi

Quoi	Quelles données	Pourquoi	Combien de temps
Ton panier	Les kits ajoutés et leurs quantités	Retrouver ton panier d’une visite à l’autre	Gardé dans ton navigateur (stockage local), jamais envoyé à nos serveurs tant que tu ne commandes pas ; tu l’effaces en vidant le panier ou les données du site
Une commande	Nom, adresse, e-mail, téléphone éventuel, articles, paiement	Préparer, expédier et suivre ta commande ; obligations comptables	Durée légale de conservation des documents commerciaux
La newsletter	Ton adresse e-mail, la date et la preuve de ton consentement	T’envoyer nos nouvelles, seulement si tu as coché la case	Jusqu’à ton désabonnement (lien dans chaque e-mail, ou sur simple demande)
Le formulaire de contact	Ton nom, ton e-mail, ton message	Te répondre	Le temps de traiter ta demande, puis trois ans après notre dernier échange

Le paiement se fait sur une page de commande sécurisée : les données de carte sont traitées par le prestataire de paiement et n’arrivent jamais sur nos serveurs. Ces données sont nécessaires à l’exécution de la commande ; la newsletter et le contact reposent sur ton consentement.

Cookies et traceurs

Le site mesure sa propre audience, sans cookie et sans aucun tiers : les pages vues et les gestes d’achat sont enregistrés sur nos serveurs. Pour distinguer deux visites, ton navigateur garde un jeton aléatoire le temps de l’onglet ; il est oublié à sa fermeture et ne permet ni de te reconnaître d’une visite à l’autre, ni de te suivre ailleurs. Aucune adresse IP n’est conservée. Cette mesure ne demande pas ton accord parce qu’elle ne sert qu’à nous, et à rien d’autre. Elle note aussi les erreurs techniques que ton navigateur rencontre sur le site — le message d’erreur, la page, et un résumé de l’appareil du genre « iOS 17 · Safari », jamais l’identifiant complet du navigateur —, pour réparer ce qui casse. Pour voir si les pages se lisent bien, elle note enfin jusqu’où tu fais défiler une page, combien de temps elle reste affichée, quels éléments du site tu touches ou cliques (une photo, le lien vers la livraison, le menu…), et si ton écran est celui d’un téléphone ou d’un ordinateur ; jamais ce que tu tapes, et jamais un enregistrement de ta visite à rejouer. Ces données sont conservées 25 mois au plus.

Les traceurs tiers — Meta pour la publicité, Microsoft Clarity pour voir ce qui gêne sur le site — ne se chargent qu’après ton accord explicite. Tant que tu n’as pas cliqué « Accepter », aucune requête ne part vers Facebook ni vers Microsoft. Refuser est un simple clic, au même endroit et de la même taille qu’accepter, et ne t’enlève rien du site.

Microsoft Clarity se charge avec le même bouton « Accepter », et se retire avec le même bouton ci-dessus. Il enregistre ta navigation sur le site — pages vues, clics, défilement, mouvements de la souris ou du doigt — sous forme d’enregistrements de visite et de cartes de clics, qui nous montrent où l’on bute et ce qui ne marche pas. Les champs de saisie et les formulaires sont masqués : rien de ce que tu tapes n’est enregistré. Il pose deux cookies : _clck (un an), qui reconnaît ton navigateur d’une visite à l’autre, et _clsk (un jour), qui relie les pages d’une même visite. Il ne sert qu’à repérer ce qui gêne sur le site, pas à la publicité.

Les polices sont hébergées sur nos serveurs : aucune requête ne part vers Google Fonts. Les vidéos YouTube ne se chargent qu’au clic sur le bouton de lecture, via le domaine youtube-nocookie.com ; à partir de ce clic, les conditions de YouTube s’appliquent. La page de commande utilise ses propres cookies, nécessaires au paiement.

Avec qui les données sont partagées

Avec les prestataires strictement nécessaires : la plateforme de commande et de paiement, le transporteur pour la livraison, et Resend pour l’envoi de la newsletter.

Si — et seulement si — tu as accepté le traceur publicitaire, ta navigation sur le site (pages vues, kits consultés, mises au panier) est transmise à Meta Platforms Ireland Limited, qui nous sert à mesurer nos publicités et peut s’en servir pour ses propres finalités publicitaires, y compris hors de l’Union européenne. C’est précisément ce que tu refuses en cliquant « Refuser », et ce que tu peux retirer à tout moment par le bouton ci-dessus.

Si ta visite vient d’une annonce Google et que tu as accepté le traceur publicitaire, l’identifiant de clic que Google ajoute au lien de l’annonce (gclid, ou gbraid sur iPhone) est gardé avec ta commande. Après un achat, nous transmettons à Google Ireland Limited cet identifiant, la date et le montant de la commande — rien d’autre, ni nom ni adresse — pour savoir quelles annonces amènent réellement des commandes. Sans ton accord, cet identifiant n’est pas gardé et rien n’est transmis à Google. Aucun script Google ne se charge sur le site.

Avec le même accord, les enregistrements de Microsoft Clarity décrits plus haut sont confiés à Microsoft Ireland Operations Limited, qui les héberge et peut les traiter hors de l’Union européenne. Même refus, même retrait.

Sur la page de commande, hébergée par Shopify, un second partage existe, et il ne dépend pas du bouton ci-dessus. Les informations liées à ta commande sont transmises à Meta par le pixel et par l’API Conversions — c’est-à-dire depuis les serveurs de Shopify, pas seulement depuis ton navigateur. Sont concernés : les produits consultés, les ajouts et retraits du panier, les termes que tu as recherchés, les identifiants techniques de ta visite, le fait qu’un paiement soit engagé puis abouti et son montant, ainsi que ton nom, ton adresse e-mail et ton adresse postale sous forme hachée — transformés en empreintes qu’on ne peut pas relire, mais qui permettent à Meta de reconnaître un compte existant. Ce partage nous sert à savoir quelles publicités amènent réellement des commandes. Tu peux détacher ces données de ton compte Facebook à tout moment depuis les paramètres « Activité en dehors de Facebook ».

Aucune donnée n’est vendue.

Le site et les envois de formulaire sont hébergés chez OVH SAS à Gravelines (France), et les sauvegardes chez Google Cloud en région europe-west1 (Belgique) — donc dans l’Union européenne. Les adresses confiées à Resend, en revanche, sont stockées aux États-Unis : choisir une région d’envoi européenne change le serveur qui expédie l’e-mail, pas le lieu de stockage. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne et par l’adhésion de Resend au cadre de protection des données UE–États-Unis.

Tes droits

Tu peux à tout moment demander l’accès à tes données, leur rectification, leur effacement, la limitation de leur traitement, t’opposer à leur usage ou en demander la portabilité. Il suffit d’écrire à rgpd@atelierlysenne.com. Si tu estimes que tes droits ne sont pas respectés, tu peux saisir la CNIL (cnil.fr).

Mises à jour

Cette page peut évoluer avec le site, par exemple à l’ouverture de la boutique en ligne. La date de dernière mise à jour figure en tête de page.