Politique de confidentialité

Dernière mise à jour : 15 octobre 2026

La présente politique de confidentialité vous explique quelles données personnelles nous traitons lorsque vous visitez notre boutique sur stepmasters.de, effectuez un achat chez nous, vous abonnez à notre newsletter, nous contactez ou utilisez notre portail sur partner.stepmasters.de (soumission de projets, espace partenaires et fonction de rétractation). Vous y apprendrez également sur quelle base juridique nous le faisons, à qui nous transmettons des données, combien de temps nous les conservons et quels sont vos droits.

La présente politique de confidentialité existe en allemand, en anglais, en français, en espagnol, en italien et en polonais. Toutes les versions ont le même contenu.

Responsable du traitement

Le responsable du traitement des données est :
STEPMASTERS, exploité par Nico Rotter
Dörfer Kamp 19a
59394 Nordkirchen
Allemagne
E-mail : info@stepmasters.de
Téléphone : +49 163 4054907

Nous n’avons pas désigné de délégué à la protection des données, car nous n’y sommes pas tenus. Pour toute question relative à la protection des données et pour exercer vos droits, vous pouvez nous joindre aux coordonnées ci-dessus.

L’essentiel en bref

  • Nous vendons exclusivement des produits numériques (modèles CAO et plans de construction à télécharger). Nous n’avons donc pas besoin d’adresse de livraison.
  • Notre boutique fonctionne sur la plateforme Shopify. Shopify traite des données pour notre compte et, pour certaines fonctions, également sous sa propre responsabilité (voir « Shopify, notre plateforme »).
  • Les cookies de personnalisation, d’analyse et de marketing ne sont déposés qu’avec votre consentement. Le bandeau cookies s’affiche pour les visiteurs de tous les pays. Vous pouvez modifier votre choix à tout moment via « Préférences en matière de cookies » en bas de chaque page.
  • Vous ne recevez la newsletter que si vous vous y abonnez vous-même. Vous pouvez vous désabonner à tout moment.
  • Vous disposez notamment d’un droit d’accès, de rectification et d’effacement, d’un droit d’opposition (voir « Votre droit d’opposition ») et du droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données.

Quelles données traitons-nous ?

Selon la manière dont vous utilisez nos services, nous traitons les catégories de données personnelles suivantes :

  • Coordonnées : nom, adresse e-mail, adresse de facturation et, si vous l’indiquez, numéro de téléphone.
  • Données de commande et de contrat : produits achetés, prix, numéro de commande, date de la commande, votre accord pour la mise à disposition immédiate des téléchargements, rétractations, remboursements et annulations.
  • Données de paiement : moyen de paiement choisi, statut du paiement, numéro de transaction et, pour les paiements par carte, type de carte et derniers chiffres de la carte. Nous ne recevons pas l’intégralité des données de votre carte.
  • Données de compte : données de votre compte client, par exemple identifiant client, langue choisie et statut d’abonnement à la newsletter. Il n’y a pas de mot de passe ; vous vous connectez avec un code que vous recevez par e-mail.
  • Données de communication : contenu de vos messages et de nos réponses.
  • Données relatives à l’appareil et à l’utilisation : adresse IP, informations sur le navigateur et l’appareil, pages consultées, date et heure de la consultation ainsi que cookies et identifiants similaires.
  • Données des partenaires : pour les partenaires, en outre l’adresse, les informations et fichiers relatifs aux projets soumis, les accords, les ventes de leurs propres projets, les relevés ainsi que les coordonnées bancaires et les informations fiscales nécessaires aux versements.

Origine des données

Nous recevons la plupart des données directement de vous, par exemple lorsque vous passez commande, vous connectez, nous écrivez ou soumettez un projet. Les données relatives à l’appareil et à l’utilisation sont générées automatiquement lorsque vous consultez nos pages. Shopify, nos prestataires de services de paiement et les banques nous transmettent des informations sur le statut des paiements, l’évaluation des risques, les remboursements et les rétrofacturations. Pour notre portail, Shopify nous transmet votre identifiant client, votre adresse e-mail et des informations sur vos commandes.

Shopify, notre plateforme

Hébergement de la boutique

Notre boutique est exploitée par Shopify. Notre partenaire contractuel est Shopify International Limited, c/o Intertrust Ireland, 2nd Floor 1-2 Victoria Buildings, Haddington Road, Dublin 4, D04 XN32, Irlande (« Shopify »). Shopify traite pour notre compte les données générées lors de la visite de notre boutique et des achats (art. 28 du RGPD). Shopify fournit à cet effet les pages de la boutique, le processus de paiement, le compte client, l’envoi des e-mails relatifs à votre commande et les téléchargements. Cela inclut des données techniques d’accès comme votre adresse IP, dont Shopify a besoin pour afficher les pages et protéger la boutique contre les attaques.

La base juridique est l’art. 6, par. 1, point b), du RGPD lorsqu’il s’agit de votre commande ou de votre compte client, et à défaut l’art. 6, par. 1, point f), du RGPD. Notre intérêt légitime est une boutique en ligne sûre et fiable.

Shopify transmet les données que vous communiquez à la boutique à sa société mère Shopify Inc. au Canada ainsi qu’à d’autres sociétés du groupe Shopify et à des prestataires, qui peuvent se trouver dans d’autres pays que votre pays de résidence, par exemple aux États-Unis ou à Singapour. Le Canada bénéficie d’une décision d’adéquation de la Commission européenne (décision 2002/2/CE). Selon Shopify, les transferts au sein du groupe Shopify reposent sur des règles d’entreprise contraignantes (art. 47 du RGPD) et les transferts vers d’autres prestataires sur des clauses contractuelles types de la Commission européenne (art. 46, par. 2, point c), du RGPD).

Données techniques de fonctionnement

Lorsque vous consultez nos pages, le code de programme de Shopify envoie aux serveurs de Shopify des données techniques de fonctionnement et d’événements, par exemple les temps de chargement, les messages d’erreur, la page consultée ainsi que des informations sur votre navigateur et votre appareil. Shopify utilise ces données pour exploiter et sécuriser la plateforme et corriger les erreurs. Cette transmission fait partie de la plateforme ; nous ne pouvons pas la désactiver. La base juridique est l’art. 6, par. 1, point f), du RGPD. Notre intérêt légitime est une boutique stable et sûre. Shopify ne dépose des cookies d’analyse et de publicité que si vous l’avez accepté dans le bandeau cookies (voir « Cookies et bandeau cookies »).

Fonctions avancées de Shopify (Shopify Network Intelligence)

Nous utilisons des fonctions avancées de Shopify qui intègrent des données issues de vos interactions avec notre boutique, avec d’autres marchands et avec Shopify, par exemple pour des analyses, l’adaptation des offres et la publicité. Pour ces fonctions, Shopify peut utiliser des données personnelles collectées lors de vos interactions avec notre boutique, avec d’autres marchands et avec Shopify. Shopify est lui-même responsable de ce traitement et répond également à vos demandes concernant vos droits pour ces finalités. Shopify peut aussi transférer ces données vers d’autres pays à cet effet. Shopify n’utilise les données de notre boutique à des fins non essentielles, comme les analyses, l’adaptation des offres et la publicité fondée sur votre activité, que si vous y avez consenti dans le bandeau cookies (art. 6, par. 1, point a), du RGPD). Si vous refusez dans le bandeau ou retirez votre consentement, Shopify marque les données de votre appareil de sorte qu’elles ne soient pas utilisées à ces fins. Pour les finalités essentielles, par exemple la prévention de la fraude, nous fondons la transmission à Shopify sur l’art. 6, par. 1, point f), du RGPD. Notre intérêt légitime est une exploitation sûre et rentable de notre boutique.

Vous trouverez plus d’informations dans la politique de confidentialité de Shopify pour les consommateurs. Vous pouvez exercer vos droits à l’égard de Shopify via le portail de confidentialité de Shopify.

Application Shop et Shop Pay

Nous ne proposons ni le service de paiement Shop Pay ni la connexion avec Shop. Si vous avez chez Shopify un compte Shop associé à l’adresse e-mail que vous indiquez lors de votre commande, Shopify peut y afficher vos commandes passées chez nous ; Shopify en est lui-même responsable. Si vous utilisez l’application « Shop » ou un compte Shop de Shopify, par exemple pour suivre des commandes, Shopify traite vos données à cet effet sous sa propre responsabilité, conformément à la politique de confidentialité de Shopify pour les consommateurs. Lorsque vous consultez notre boutique, Shopify charge en outre un composant de shop.app que Shopify considère comme strictement nécessaire. Il peut déposer le cookie _shop_app_essential dans votre navigateur si celui-ci accepte les cookies tiers. Shopify est responsable de ce traitement par shop.app.

Cookies et bandeau cookies

Notre boutique utilise des cookies et des technologies similaires, comme le stockage local de votre navigateur. Lors de votre première visite, un bandeau cookies de Shopify vous demande à quelles catégories vous consentez. Le bandeau s’affiche pour les visiteurs de tous les pays. Il distingue quatre catégories :

  • Cookies strictement nécessaires. Ils sont toujours actifs, car la boutique ne peut pas être utilisée sans eux, par exemple pour le panier et le paiement, pour le pays, la langue et la devise choisis et pour enregistrer votre choix dans le bandeau cookies. Exemples selon la politique de Shopify en matière de cookies : _shopify_essential (données de session et de paiement, 1 an), cart (panier, 2 semaines), cart_currency (devise du panier, 2 semaines) et localization (pays et langue, 1 an). La base juridique de leur enregistrement et de leur lecture est le § 25, al. 2, n° 2 TDDDG (loi allemande sur la protection des données dans les télécommunications et les services numériques) ; pour le traitement ultérieur, ce sont l’art. 6, par. 1, points b) et f), du RGPD. Notre intérêt légitime est une boutique sûre et utilisable.
  • Personnalisation. Ces cookies enregistrent des informations sur vos actions et vos paramètres afin d’adapter votre prochaine visite.
  • Marketing. Ces cookies sont déposés notamment par Shopify pour mesurer et améliorer la publicité, par exemple _shopify_marketing (1 an). Nous n’utilisons pas actuellement nos propres services publicitaires tels que Google Ads ou Meta.
  • Analyse. Ces cookies nous aident à comprendre comment les visiteurs utilisent la boutique, par exemple au moyen des statistiques de Shopify. Exemples : _shopify_y (1 an), _shopify_s (30 minutes) et _shopify_analytics (1 an).

Les cookies des catégories personnalisation, marketing et analyse ne sont déposés que si vous y avez consenti dans le bandeau (§ 25, al. 1, TDDDG, art. 6, par. 1, point a), du RGPD). Si vous refusez, seuls les cookies strictement nécessaires restent actifs. Via le lien « Préférences en matière de cookies » en bas de chaque page, vous pouvez à tout moment modifier votre choix et retirer votre consentement pour l’avenir. Vous pouvez en outre supprimer les cookies à tout moment dans votre navigateur. Les cookies déposés par Shopify et leur durée sont décrits dans la politique de Shopify en matière de cookies.

Pour les visiteurs des régions pour lesquelles nous avons mis en place une page permettant de s’opposer à la transmission de leurs données, Shopify tient également compte du signal de navigateur « Global Privacy Control ». Si vous consultez notre site depuis l’une de ces régions, vous pouvez en outre vous opposer à la transmission de vos données à des fins publicitaires sur notre page consacrée aux choix en matière de confidentialité.

Commande, paiement et téléchargement

Lorsque vous passez commande chez nous, nous traitons vos coordonnées, votre adresse de facturation ainsi que les données de commande et de paiement afin de conclure et d’exécuter le contrat avec vous : nous acceptons la commande, traitons le paiement, vous envoyons la confirmation de commande et les liens de téléchargement par e-mail, mettons les fichiers à disposition et nous occupons des rétractations, remboursements et questions. Les liens de téléchargement et les fichiers sont fournis par l’application Shopify « Digital Products ». Vous pouvez commander en tant qu’invité ; un compte client n’est pas nécessaire. La base juridique est l’art. 6, par. 1, point b), du RGPD. Sans ces informations, nous ne pouvons pas exécuter votre commande.

Avant la commande, vous acceptez dans le panier que nous commencions immédiatement la mise à disposition des téléchargements. Nous enregistrons cette déclaration avec le texte affiché et la langue comme attribut de votre commande afin de pouvoir la prouver. La base juridique est l’art. 6, par. 1, point f), du RGPD. Notre intérêt légitime est de pouvoir prouver votre déclaration.

Pour sécuriser les paiements et prévenir la fraude, par exemple au moyen d’une évaluation automatisée des risques de la commande, nous-mêmes, Shopify et nos prestataires de services de paiement traitons également vos données sur la base de l’art. 6, par. 1, point f), du RGPD. Notre intérêt légitime est la protection contre les défauts de paiement et les abus. Nous conservons les justificatifs de commande et de paiement en raison d’obligations légales (art. 6, par. 1, point c), du RGPD, voir « Durée de conservation »).

Nous n’acceptons que les commandes de clients situés dans notre zone de livraison (§ 1, al. 3, de nos conditions générales). En outre, en raison des sanctions de l’Union européenne, nous ne concluons pas de contrats avec des clients de certains États et territoires (§ 1, al. 4, de nos conditions générales) ; aucun de ces États ou territoires ne fait partie de la zone de livraison. Nous vérifions donc, à partir du pays de votre adresse de facturation, si une commande provient de la zone de livraison et, à partir du pays et, le cas échéant, du code postal, si elle provient de l’un de ces États ou territoires. Lors du paiement, une règle de contrôle de l’application Shopify « BCV : Billing Country Validator », exécutée chez Shopify, empêche automatiquement la finalisation des commandes dont le pays de facturation ne fait pas partie de la zone de livraison. Cela vaut également pour tous ces États et territoires. Cette règle ne tient compte que du pays de votre adresse de facturation (voir aussi « Obligation de fournir des données et décisions automatisées »). Shopify Flow, un outil de Shopify, marque les commandes qui nous parviennent malgré tout avec un pays de facturation situé en dehors de la zone de livraison ou sans pays de facturation et nous les signale par e-mail. Nous examinons nous-mêmes chaque commande signalée et décidons au cas par cas de son annulation éventuelle. La base juridique de la vérification de la zone de livraison, y compris lors du paiement, est l’art. 6, par. 1, point b), du RGPD, car la finalisation de la commande, puis son exécution ou son annulation, en dépendent. Pour la vérification au regard des sanctions, la base juridique est l’art. 6, par. 1, point c), du RGPD, dans la mesure où les règlements de sanctions de l’UE nous obligent à cette vérification, et pour le reste l’art. 6, par. 1, point f), du RGPD. Notre intérêt légitime est d’éviter les violations des sanctions et la charge de vérification qui y est liée.

Traitement des paiements et prestataires de services de paiement

Les moyens de paiement que nous proposons sont indiqués en bas de chaque page de notre boutique et lors du paiement. Pour tous les moyens de paiement, la base juridique de la transmission des données nécessaires au paiement est l’art. 6, par. 1, point b), du RGPD.

Shopify Payments (cartes, Apple Pay, Google Pay, Klarna et moyens de paiement locaux)

Nous traitons les paiements par carte, par exemple avec Visa, Mastercard, American Express, Maestro ou UnionPay, ainsi que les paiements avec Apple Pay, Google Pay, Klarna et les moyens de paiement locaux via Shopify Payments. Pour nous, le fournisseur de Shopify Payments est Shopify International Limited, Dublin, Irlande. Shopify traite les données de paiement pour notre compte afin de fournir les services de paiement (art. 28 du RGPD).

Le traitement proprement dit des paiements est assuré par un prestataire que Shopify utilise pour l’Allemagne, à savoir une ou plusieurs des sociétés suivantes : Stripe Payments Europe, Limited (Irlande), Adyen N.V. (Amsterdam, Pays-Bas) ou PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxembourg). Ce prestataire peut également traiter vos données en tant que responsable indépendant, notamment pour respecter les obligations légales de prévention du blanchiment d’argent et de la fraude, de contrôle des sanctions et de vérification d’identité. La politique de confidentialité du prestataire concerné s’applique : Stripe, Adyen, PayPal.

Pour l’autorisation d’un paiement par carte, les données de transaction nécessaires sont transmises au réseau de cartes concerné (par exemple Visa, Mastercard, American Express ou UnionPay) et à la banque qui a émis votre carte. Ceux-ci traitent les données en tant que responsables indépendants.

Moyens de paiement locaux

Selon le pays, nous proposons également via Shopify Payments des moyens de paiement locaux, par exemple Bancontact, BLIK, EPS, MB WAY, MobilePay ou Satispay. Si vous choisissez un tel moyen de paiement, les données nécessaires au paiement sont en outre transmises au fournisseur du moyen de paiement concerné et à votre banque ou à votre service de paiement. Ceux-ci traitent les données en tant que responsables indépendants, conformément à leurs propres informations sur la protection des données.

Apple Pay

Lorsque vous payez avec Apple Pay, vous confirmez le paiement sur votre appareil Apple. Apple ne nous communique pas votre numéro de carte. Sont transmises les informations nécessaires au paiement, par exemple un numéro de compte propre à l’appareil ou au marchand et, si vous les autorisez, votre adresse e-mail et votre adresse de facturation. Apple est lui-même responsable du traitement de vos données dans le cadre d’Apple Pay ; pour les personnes situées dans l’Espace économique européen, il s’agit d’Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irlande. Apple peut transférer des données à Apple Inc. aux États-Unis et, selon ses propres indications, s’appuie pour cela sur des clauses contractuelles types. Plus d’informations : Apple Pay et confidentialité et Engagement de confidentialité d’Apple.

Google Pay

Lorsque vous payez avec Google Pay, vous confirmez le paiement via votre compte Google. Google transmet les informations nécessaires au paiement à Shopify Payments ; il peut s’agir notamment d’informations sur votre moyen de paiement et de votre code postal. Google est lui-même responsable du traitement de vos données dans le cadre de Google Pay ; pour les personnes situées dans l’Espace économique européen, il s’agit de Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. Google peut traiter des données au sein du groupe Google, y compris aux États-Unis. Plus d’informations : Avis de confidentialité de Google Payments.

Klarna

Klarna est intégré à notre boutique via Shopify Payments. Si vous choisissez un moyen de paiement Klarna, les données nécessaires au traitement sont transmises à Klarna Bank AB (publ), Sveavägen 46, 111 34 Stockholm, Suède (« Klarna »), notamment votre nom, votre adresse e-mail, votre adresse de facturation, le cas échéant votre numéro de téléphone ainsi que des informations sur la commande (produits, montant, numéro de commande). Klarna traite ces données en tant que responsable indépendant.

Pour les moyens de paiement par lesquels Klarna vous accorde un crédit, par exemple si vous payez plus tard ou en plusieurs fois, Klarna vérifie votre identité et votre solvabilité. À cet effet, Klarna peut transmettre votre nom, votre adresse, votre date de naissance et votre numéro de téléphone à des agences de renseignements commerciaux ; en Allemagne, il s’agit de SCHUFA Holding AG (Wiesbaden), Creditreform Boniversum GmbH (Neuss), Deutsche Post Direkt GmbH (Troisdorf) et infoscore Consumer Data GmbH (Baden-Baden). Selon Klarna, cette transmission repose sur l’art. 6, par. 1, point f), du RGPD. Klarna décide de manière automatisée si le paiement est accepté. Vous avez le droit d’obtenir une intervention humaine de la part de Klarna, d’exprimer votre point de vue et de contester la décision, par e-mail à datenschutz@klarna.de.

Klarna peut également traiter des données en dehors de l’UE et de l’Espace économique européen et garantit, selon ses propres indications, un niveau de protection équivalent à celui du RGPD. Plus d’informations : déclaration de confidentialité de Klarna et agences de renseignements avec lesquelles Klarna travaille.

PayPal

Lorsque vous payez avec PayPal, vous autorisez le paiement sur une page ou dans une fenêtre de PayPal. Les données nécessaires (nom, adresse e-mail, adresse de facturation, montant et numéro de commande) sont alors transmises à PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxembourg (« PayPal »). PayPal traite vos données en tant que responsable indépendant et peut, selon le mode de paiement PayPal choisi, vérifier votre identité et votre solvabilité à l’aide d’agences de renseignements commerciaux. Selon PayPal, les transferts au sein du groupe PayPal reposent sur des règles d’entreprise contraignantes approuvées (art. 47 du RGPD). Plus d’informations : politique de confidentialité de PayPal.

Compte client dans la boutique

Vous pouvez utiliser un compte client chez nous ; il n’est pas nécessaire pour passer commande. Le compte client est fourni par Shopify et ses pages se trouvent sur shopify.com. Vous vous connectez avec votre adresse e-mail et un code à usage unique que Shopify vous envoie par e-mail ; il n’y a pas de mot de passe. Dans le compte client, vous voyez vos commandes et vos coordonnées. La base juridique est l’art. 6, par. 1, point b), du RGPD.

Nous conservons votre compte client jusqu’à ce que vous nous demandiez de le supprimer. Les données que nous devons conserver sont ensuite limitées jusqu’à la fin de la durée de conservation (art. 17, par. 3, point b), du RGPD). La suppression chez nous ne concerne pas les données que Shopify conserve sous sa propre responsabilité pour un compte Shop ; pour celles-ci, veuillez vous adresser à Shopify.

Nous contacter

Si vous nous écrivez par e-mail, nous appelez ou utilisez le formulaire de contact, nous traitons vos informations, par exemple nom, adresse e-mail, numéro de téléphone, numéro de commande et contenu de votre message, afin de répondre à votre demande. Shopify nous transmet par e-mail les messages envoyés via le formulaire de contact ; Shopify protège le formulaire avec hCaptcha (voir « Protection contre le spam (hCaptcha) »). Notre boîte e-mail est exploitée pour notre compte par STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Allemagne (art. 28 du RGPD).

La base juridique est l’art. 6, par. 1, point b), du RGPD si votre demande concerne une commande ou un contrat, et à défaut l’art. 6, par. 1, point f), du RGPD. Notre intérêt légitime est de répondre à votre demande. Nous supprimons les demandes sans rapport avec une commande au plus tard deux ans après la fin de l’année civile au cours de laquelle la demande a été clôturée. Nous conservons la correspondance relative aux commandes, aux rétractations et aux remboursements en tant que lettres commerciales pendant six ans (voir « Durée de conservation »).

Newsletter

Vous ne recevez notre newsletter par e-mail, avec les nouveaux projets (modèles CAO et plans de construction), l’actualité de STEPMASTERS et des offres, que si vous vous y abonnez vous-même. Vous pouvez vous abonner en bas de chaque page. Nous avons uniquement besoin pour cela de votre adresse e-mail.

Si vous vous inscrivez en bas de page, vous recevez d’abord un e-mail contenant un lien de confirmation (double opt-in). Vous ne recevez la newsletter qu’après avoir ouvert ce lien. Nous nous assurons ainsi que personne n’inscrit l’adresse e-mail d’un tiers. Shopify protège l’inscription en bas de page avec hCaptcha.

Shopify enregistre pour notre compte votre adresse e-mail et le statut de votre consentement avec sa date et son heure. Nous envoyons la newsletter avec l’application Shopify « Messaging » ; Shopify agit en tant que notre sous-traitant (art. 28 du RGPD).

Shopify Messaging enregistre sur quels liens de la newsletter vous cliquez et attribue à la newsletter les visites, les articles ajoutés au panier et les commandes dans notre boutique qui suivent un tel clic. Nous voyons ainsi quels contenus vous intéressent et pouvons améliorer la newsletter. Nous n’enregistrons pas si vous ouvrez la newsletter. Nous vous indiquons ces deux points lors de l’inscription en bas de page.

La base juridique de l’envoi et de la mesure est votre consentement (art. 6, par. 1, point a), du RGPD). Vous pouvez retirer votre consentement à tout moment pour l’avenir : via le lien de désabonnement figurant dans chaque newsletter ou par e-mail à info@stepmasters.de.

Après votre désabonnement, nous n’utilisons plus votre adresse pour la newsletter. Nous conservons la preuve de votre consentement (adresse e-mail, nature, date et heure de votre consentement ou de votre confirmation, date et heure de votre désabonnement ainsi que le texte de l’inscription) jusqu’à la fin de la troisième année civile suivant votre désabonnement, afin de pouvoir prouver que nous vous avons envoyé la newsletter de manière licite. La base juridique est l’art. 6, par. 1, point c), en liaison avec l’art. 7, par. 1, du RGPD, à titre subsidiaire l’art. 6, par. 1, point f), du RGPD.

Protection contre le spam (hCaptcha)

Shopify protège notre formulaire de contact et l’inscription à la newsletter en bas de chaque page avec le service hCaptcha d’Intuition Machines, Inc., 1065 SW 8th St #704, Miami, FL 33130, États-Unis. hCaptcha vérifie si une saisie provient d’un être humain ou d’un programme automatisé. Shopify ne charge hCaptcha que lorsque vous cliquez dans l’un de ces formulaires ou y saisissez quelque chose. Sur notre page consacrée aux choix en matière de confidentialité, Shopify protège également le formulaire d’opposition avec hCaptcha et y charge hCaptcha dès l’ouverture de la page. À partir de ce moment et lors de l’envoi, sont notamment transmis à hCaptcha et analysés par celui-ci votre adresse IP, la date et l’heure, des informations sur le navigateur et l’appareil ainsi que votre comportement d’utilisation sur la page (par exemple mouvements de la souris, position de défilement, saisies au clavier et tactiles). La base juridique est l’art. 6, par. 1, point f), du RGPD. Notre intérêt légitime est la protection de notre boutique contre le spam et les abus.

Selon ses propres indications, Intuition Machines, Inc. est certifiée au titre du cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework). Les transferts vers les États-Unis reposent donc sur la décision d’adéquation de la Commission européenne (décision d’exécution (UE) 2023/1795). Selon hCaptcha, les données collectées techniquement sont supprimées dès que possible, en règle générale au plus tard après un an ; en cas de suspicion d’abus, hCaptcha peut les conserver plus longtemps. Plus d’informations : politique de confidentialité de hCaptcha.

Portail partenaires (partner.stepmasters.de)

Sur partner.stepmasters.de, nous exploitons un portail destiné aux personnes et entreprises domiciliées ou établies en Allemagne qui soumettent des projets à commercialiser par STEPMASTERS (partenaires). La fonction de rétractation de notre boutique passe également par le portail. Le responsable du traitement est STEPMASTERS (voir « Responsable du traitement »). Pour le portail, les dispositions suivantes s’appliquent en complément des autres sections.

Soumission de projets

Si vous soumettez un projet via le formulaire de soumission, nous traitons votre nom ou votre raison sociale, votre adresse e-mail, votre adresse, vos informations sur le projet, vos confirmations relatives à l’accord (avec date et version) ainsi que les fichiers téléversés, par exemple fichiers CAO, dessins, photos et documents. Nous utilisons ces données pour examiner votre projet ainsi que pour conclure et exécuter l’accord de commercialisation. La base juridique est l’art. 6, par. 1, point b), du RGPD.

À partir de vos informations, nous établissons une fiche projet au format PDF, que nous envoyons par e-mail à vous-même et à nous. Les fichiers téléversés sont stockés dans un espace de stockage non public chez Vercel (voir « Prestataires et transferts vers des pays tiers »). Seuls nous pouvons les récupérer, au moyen de liens de téléchargement signés. Si aucun accord n’est conclu, nous supprimons les fichiers et les informations relatives à la soumission, sauf obligation légale de conservation.

Compte partenaire et décomptes

Vous vous connectez à l’espace partenaires avec votre compte client ; la connexion passe par Shopify. Nous enregistrons à cet effet votre identifiant client, votre nom, votre adresse e-mail et votre numéro de partenaire. Pour le calcul de votre rémunération, nous enregistrons les ventes de vos projets (numéro de commande, produit, quantité, montants, remboursements) ainsi que vos versements. Pour les versements, nous traitons les informations que vous nous communiquez dans l’espace partenaires : titulaire du compte, IBAN, BIC, adresse, statut fiscal et numéro fiscal ou numéro de TVA. Nous recevons en outre par e-mail le titulaire du compte, l’IBAN, le BIC, l’adresse et le statut fiscal ; le numéro fiscal ou le numéro de TVA reste uniquement dans notre base de données. Vous recevez par e-mail une confirmation indiquant le titulaire du compte et l’IBAN abrégé. Pour le virement, nous transmettons le titulaire du compte, l’IBAN, le montant et la référence du paiement à notre banque. Nous utilisons ces informations exclusivement pour les versements et les décomptes correspondants. La base juridique est l’art. 6, par. 1, point b), du RGPD et, pour les documents de décompte et les pièces comptables, également l’art. 6, par. 1, point c), du RGPD en liaison avec les obligations de conservation prévues par le droit fiscal.

Pour la connexion, le portail dépose des cookies strictement nécessaires qui enregistrent votre session. Sans eux, aucune connexion n’est possible (§ 25, al. 2, n° 2, TDDDG). Le portail n’utilise pas de cookies d’analyse ou de publicité.

Fonction de rétractation

Si vous vous rétractez d’un contrat via notre fonction de rétractation (stepmasters.de/pages/widerruf), nous traitons votre nom, votre adresse e-mail, le numéro de commande, les articles concernés et, si vous l’indiquez, le motif. Le portail reçoit ces informations, les enregistre dans notre base de données et les envoie par e-mail à nous-mêmes ainsi qu’à vous en tant qu’accusé de réception. La base juridique est l’art. 6, par. 1, point c), du RGPD en liaison avec le § 356a du Code civil allemand (BGB) ainsi que l’art. 6, par. 1, point b), du RGPD. Nous conservons votre déclaration en tant que lettre commerciale pendant six ans à compter de la fin de l’année civile au cours de laquelle elle a été reçue. Si elle fait partie d’une pièce comptable, par exemple parce que nous effectuons un remboursement à la suite de la rétractation, nous la conservons pendant huit ans (voir « Durée de conservation »).

Journaux du serveur

À chaque accès au portail, notre hébergeur Vercel enregistre pour des raisons techniques des données d’accès dans des journaux du serveur, notamment votre adresse IP, la date et l’heure, l’adresse consultée (URL), le code de statut, l’identifiant du navigateur (user agent) et la page visitée précédemment (referrer), ainsi que les messages d’erreur du portail. Nous avons besoin de ces données pour l’exploitation et la sécurité du portail, par exemple pour détecter les erreurs et les attaques. Vercel supprime automatiquement les journaux au plus tard après 30 jours. La base juridique est l’art. 6, par. 1, point f), du RGPD. Notre intérêt légitime est l’exploitation sûre et stable du portail.

Protection contre les abus

Pour protéger le portail contre les abus, par exemple les téléversements en masse, nous comptons par adresse IP les requêtes adressées au téléversement de fichiers, au formulaire de soumission et à la fonction de rétractation. Pour cela, nous n’enregistrons pas l’adresse IP elle-même, mais uniquement une valeur de contrôle pseudonymisée, un compteur et le début de la fenêtre de temps. Nous supprimons ces entrées chaque jour dès qu’elles datent de plus d’un jour. Nous vérifions automatiquement le type des fichiers téléversés ; nous n’acceptons pas les programmes exécutables. La base juridique est l’art. 6, par. 1, point f), du RGPD. Notre intérêt légitime est l’exploitation sûre du portail.

Prestataires et transferts vers des pays tiers

Pour le portail, nous faisons appel aux prestataires suivants :

  • Vercel Inc. (États-Unis) : hébergement du portail et stockage des fichiers téléversés. Les serveurs du portail se trouvent à Francfort-sur-le-Main (Allemagne). Vercel peut mettre des fichiers en cache dans son réseau pour leur diffusion, et certains services de Vercel peuvent également traiter des données aux États-Unis. Selon ses propres indications, Vercel est certifiée au titre du cadre de protection des données UE-États-Unis ; les transferts vers les États-Unis reposent donc sur la décision d’adéquation de la Commission européenne (décision d’exécution (UE) 2023/1795).
  • Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapour 049513 : base de données pour les comptes partenaires, les ventes, les versements et les déclarations de rétractation. La base de données se trouve à Francfort-sur-le-Main (Allemagne). Supabase peut également accéder aux données depuis Singapour ou d’autres pays hors de l’UE pour l’exploitation et l’assistance. Il n’existe pas de décision d’adéquation pour Singapour. Le fondement est donc constitué par les clauses contractuelles types de la Commission européenne (art. 46, par. 2, point c), du RGPD), qui font partie de l’accord de traitement des données de Supabase.
  • Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, États-Unis) : envoi d’e-mails, par exemple accusés de réception et notifications. Resend traite les données principalement aux États-Unis. Selon ses propres indications, Resend est certifiée au titre du cadre de protection des données UE-États-Unis ; les transferts vers les États-Unis reposent donc sur la décision d’adéquation de la Commission européenne (décision d’exécution (UE) 2023/1795), et des clauses contractuelles types ont en outre été conclues (art. 46, par. 2, point c), du RGPD).
  • Shopify : connexion via le compte client ainsi que données de commande et de produits pour les décomptes (voir « Shopify, notre plateforme »).

Durée de conservation dans le portail

Nous supprimons les informations et fichiers des soumissions non acceptées dès qu’il est établi qu’aucun accord ne sera conclu. Nous conservons les projets acceptés et les accords pendant la durée de la collaboration, puis jusqu’à huit ans après la fin de l’année civile du dernier décompte relatif au projet, car nos décomptes reposent sur ces documents. Nous conservons le compte partenaire et la correspondance avec les partenaires pendant la durée de la collaboration, puis pendant six ans à compter de la fin de l’année civile au cours de laquelle la collaboration prend fin. Nous conservons les décomptes et les justificatifs de versement en tant que pièces comptables pendant huit ans et les enregistrements des ventes et des rémunérations des partenaires pendant dix ans, à chaque fois à compter de la fin de l’année civile. Si un projet est retiré de la vente, nous supprimons les copies de travail devenues inutiles dans un délai de 30 jours. La remarque relative aux délais de conservation fiscaux figurant dans la section « Durée de conservation » s’applique également.

Destinataires en bref

Seuls reçoivent vos données les destinataires qui en ont besoin pour les finalités indiquées :

  • Sous-traitants agissant pour notre compte et selon nos instructions : Shopify International Limited (boutique, paiement, compte client, envoi de la newsletter, téléchargements), Intuition Machines, Inc. (hCaptcha, protection des formulaires, sous-traitant de Shopify), STRATO GmbH (boîte e-mail), Supabase Pte. Ltd. (base de données du portail) et Plus Five Five, Inc. (Resend, e-mails du portail).
  • Autre prestataire : Vercel Inc. (États-Unis), hébergement du portail et stockage des fichiers téléversés (voir « Prestataires et transferts vers des pays tiers »).
  • Responsables indépendants qui traitent des données pour le service que vous avez choisi ou pour leurs propres finalités : Shopify pour les fonctions avancées et l’application « Shop », les prestataires de traitement des paiements de Shopify Payments, les réseaux de cartes et les banques, les fournisseurs de moyens de paiement locaux, Apple, Google, Klarna et PayPal, chacun comme décrit ci-dessus.
  • Notre banque pour les versements aux partenaires.
  • Les autorités, par exemple les autorités fiscales, lorsque nous y sommes légalement tenus (art. 6, par. 1, point c), du RGPD).

Transferts vers des pays hors de l’UE

Certains destinataires traitent également des données en dehors de l’Union européenne et de l’Espace économique européen. Les fondements correspondants figurent dans les sections concernées. En résumé :

  • Canada (Shopify Inc.) : décision d’adéquation de la Commission européenne.
  • États-Unis : pour les destinataires certifiés au titre du cadre de protection des données UE-États-Unis (selon leurs propres indications Resend, Vercel et hCaptcha), la décision d’adéquation de la Commission européenne ; sinon les clauses contractuelles types de la Commission européenne.
  • Singapour et autres pays (Supabase, prestataires de Shopify) : clauses contractuelles types de la Commission européenne ou, au sein du groupe Shopify, règles d’entreprise contraignantes.

Les prestataires de services de paiement, les réseaux de cartes et les banques émettrices de cartes peuvent également traiter des données en dehors de l’Espace économique européen. Selon leurs propres indications, ils fondent ces transferts sur des décisions d’adéquation de la Commission européenne, sur des clauses contractuelles types ou sur des règles d’entreprise contraignantes approuvées. Si aucun de ces fondements n’existe, par exemple si le réseau de votre carte a son siège dans un pays tiers, le transfert a lieu parce qu’il est nécessaire à l’exécution du contrat conclu avec vous (art. 49, par. 1, point b), du RGPD). Vous pouvez nous demander une copie des clauses contractuelles types.

Durée de conservation

Nous ne conservons les données personnelles que le temps nécessaire à la finalité concernée ou aussi longtemps que la loi nous y oblige. Ensuite, nous les supprimons. En détail :

  • Factures et pièces comptables, par exemple confirmations de commande comportant les mentions de facturation, justificatifs de commande, de paiement et de remboursement : huit ans (§ 147, al. 1, n° 4, et al. 3 du Code fiscal allemand (AO), § 14b de la loi allemande relative à la TVA (UStG)).
  • Lettres commerciales, par exemple correspondance relative aux commandes, aux rétractations et aux remboursements : six ans (§ 147, al. 1, n° 2 et 3, et al. 3 AO).
  • Livres et enregistrements comptables, par exemple le registre des ventes et les enregistrements des rémunérations des partenaires : dix ans (§ 147, al. 1, n° 1, et al. 3 AO).

Ces délais commencent à courir à la fin de l’année civile au cours de laquelle le document a été établi ou la lettre reçue ou envoyée. Ils sont prolongés aussi longtemps que les documents sont pertinents pour des impôts dont le délai d’établissement n’a pas encore expiré (§ 147, al. 3 AO). La base juridique est l’art. 6, par. 1, point c), du RGPD. Pendant cette période, nous n’utilisons les données que pour remplir ces obligations.

  • Autres données relatives à votre commande (par exemple numéro de téléphone, adresse IP lors de la commande ou résultat de l’évaluation des risques) : nous les utilisons jusqu’à la fin de la troisième année civile suivant l’achat (délai de prescription ordinaire), afin de pouvoir faire valoir ou contester des droits (art. 6, par. 1, point f), du RGPD). Shopify les enregistre avec la commande. Ensuite, nous ne les utilisons plus que dans le cadre de la conservation des justificatifs de commande et les supprimons en même temps que ceux-ci (art. 6, par. 1, point f), du RGPD ; notre intérêt légitime est de conserver la commande complète chez Shopify, car certaines de ces données ne peuvent pas y être supprimées séparément).
  • Compte client dans la boutique : jusqu’à ce que vous en demandiez la suppression ; les données soumises à une obligation de conservation sont ensuite limitées jusqu’à la fin du délai.
  • Demandes sans rapport avec une commande : jusqu’à la fin de la deuxième année civile suivant la clôture de la demande.
  • Newsletter : jusqu’à votre désabonnement ; la preuve du consentement jusqu’à la fin de la troisième année civile suivant le désabonnement.
  • Cookies : pendant la durée indiquée dans la section « Cookies et bandeau cookies », sauf si vous les supprimez auparavant dans votre navigateur.
  • hCaptcha : selon hCaptcha, en règle générale au plus tard après un an, plus longtemps en cas de suspicion d’abus.
  • Portail partenaires : voir « Durée de conservation dans le portail ».
  • Données détenues par des responsables indépendants tels que Shopify pour les fonctions avancées, les prestataires de services de paiement, Apple, Google, Klarna et PayPal : conformément à leurs informations sur la protection des données.

Vos droits

Vous disposez à notre égard des droits suivants concernant vos données personnelles :

  • accès aux données que nous traitons à votre sujet (art. 15 du RGPD),
  • rectification des données inexactes ou incomplètes (art. 16 du RGPD),
  • effacement de vos données (art. 17 du RGPD), sauf si nous devons encore les conserver,
  • limitation du traitement (art. 18 du RGPD),
  • portabilité des données : recevoir les données que vous nous avez fournies dans un format structuré, couramment utilisé et lisible par machine ou les faire transmettre à un autre responsable du traitement (art. 20 du RGPD),
  • retrait du consentement à tout moment pour l’avenir (art. 7, par. 3, du RGPD) ; la licéité du traitement effectué avant le retrait n’en est pas affectée,
  • opposition à certains traitements (art. 21 du RGPD, voir la section suivante),
  • réclamation auprès d’une autorité de contrôle de la protection des données (art. 77 du RGPD, voir « Réclamation auprès d’une autorité de contrôle »).

Pour exercer vos droits, un simple message à info@stepmasters.de ou un courrier à l’adresse indiquée ci-dessus suffit. Nous répondons dans les meilleurs délais et au plus tard dans un délai d’un mois. Afin de ne pas communiquer de données à des personnes non autorisées, nous pouvons vous demander de confirmer votre identité, par exemple au moyen d’un message envoyé depuis l’adresse e-mail que vous utilisez chez nous. L’exercice de vos droits n’entraîne aucun inconvénient pour vous. Pour les données que Shopify traite sous sa propre responsabilité, vous pouvez également exercer vos droits directement via le portail de confidentialité de Shopify.

Votre droit d’opposition (art. 21 du RGPD)

Lorsque nous traitons vos données sur la base de l’art. 6, par. 1, point f), du RGPD (intérêts légitimes), vous avez le droit de vous opposer à tout moment à ce traitement pour des raisons tenant à votre situation particulière. Nous ne traitons alors plus vos données à ces fins, à moins que nous ne démontrions qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur vos intérêts, droits et libertés, ou que le traitement serve à la constatation, à l’exercice ou à la défense de droits en justice.

Lorsque nous traitons vos données à des fins de prospection, par exemple pour la newsletter, vous pouvez vous y opposer à tout moment sans avoir à motiver votre demande. Nous ne traitons alors plus vos données à ces fins.

Vous pouvez adresser votre opposition sans formalité particulière à info@stepmasters.de ou par courrier à STEPMASTERS, exploité par Nico Rotter, Dörfer Kamp 19a, 59394 Nordkirchen, Allemagne. Vous pouvez également vous désabonner de la newsletter via le lien figurant dans chaque e-mail.

Réclamation auprès d’une autorité de contrôle

Vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données, en particulier dans l’État membre de votre résidence habituelle, de votre lieu de travail ou du lieu où la violation aurait été commise. L’autorité compétente pour nous est :

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (Commissaire à la protection des données et à la liberté d’information du Land de Rhénanie-du-Nord-Westphalie)
Kavalleriestraße 2–4
40213 Düsseldorf
Allemagne
Téléphone : +49 211 38424-0
E-mail : poststelle@ldi.nrw.de
Réclamation en ligne (en allemand) : www.ldi.nrw.de/beschwerde

Vous pouvez également vous adresser à l’autorité de contrôle de votre pays, en France par exemple à la CNIL. La liste des autorités de contrôle de l’Espace économique européen est disponible auprès du Comité européen de la protection des données. Vous pouvez aussi vous adresser d’abord à nous.

Obligation de fournir des données et décisions automatisées

Vous n’êtes pas légalement tenu de nous fournir des données. Nous avons toutefois besoin des informations signalées comme obligatoires pour conclure le contrat, pour le compte ou pour une soumission ; sans elles, nous ne pouvons ni conclure ni exécuter le contrat. Lorsque la règle de contrôle refuse, lors du paiement, une commande dont le pays de facturation se trouve en dehors de notre zone de livraison (voir « Commande, paiement et téléchargement »), il peut s’agir d’une décision fondée exclusivement sur un traitement automatisé au sens de l’art. 22 du RGPD. Cette règle compare uniquement le pays de votre adresse de facturation avec les pays de la zone de livraison ; s’il se trouve en dehors, la commande ne peut pas être finalisée. Dans la mesure où l’art. 22 du RGPD s’applique, nous fondons cette décision sur l’art. 22, par. 2, point a), du RGPD, car elle est nécessaire à la conclusion du contrat : nous fournissons les téléchargements immédiatement après la commande, de sorte qu’il faut vérifier dès le paiement si la commande provient de la zone de livraison. Vous avez le droit d’obtenir une intervention humaine de notre part, d’exprimer votre point de vue et de contester la décision ; pour ce faire, contactez-nous en utilisant les coordonnées ci-dessus. Si vous résidez dans la zone de livraison et ne pouvez malgré tout pas finaliser la commande, vérifiez d’abord le pays de votre adresse de facturation. Nous ne prenons nous-mêmes aucune autre décision fondée exclusivement sur un traitement automatisé au sens de l’art. 22 du RGPD. Les prestataires de services de paiement et Klarna peuvent refuser un paiement à la suite d’une vérification automatisée (voir « Klarna ») ; vous pouvez alors choisir un autre moyen de paiement.

Enfants

Notre offre ne s’adresse pas aux enfants de moins de 16 ans. Nous ne collectons pas sciemment de données concernant des enfants. Si un enfant nous a transmis des données, les parents ou titulaires de l’autorité parentale peuvent nous demander de les supprimer en utilisant les coordonnées ci-dessus.

Sécurité

Nos pages transmettent les données sous forme chiffrée (TLS). Nous protégeons vos données par des mesures techniques et organisationnelles conformément à l’art. 32 du RGPD, par exemple des restrictions d’accès et des sauvegardes chiffrées. Personne ne peut toutefois garantir une transmission totalement sûre sur Internet. Veuillez ne pas nous envoyer d’informations confidentielles telles que des coordonnées bancaires par e-mail ; les partenaires les saisissent dans l’espace partenaires.

Liens vers d’autres sites web

Nos pages contiennent des liens vers des sites web d’autres fournisseurs, par exemple vers les informations sur la protection des données de nos prestataires. Les fournisseurs concernés sont responsables de leurs contenus et de leurs traitements de données. Si vous suivez un tel lien, leurs informations sur la protection des données s’appliquent.

Modifications de la présente politique de confidentialité

Nous adaptons la présente politique de confidentialité lorsque nos traitements de données ou la situation juridique changent. La version publiée ici s’applique ; la date indiquée en haut montre sa dernière mise à jour. Sur demande, nous vous envoyons les versions antérieures.