Politique RGPD

1. Le RGPD et notre engagement

Le Règlement général sur la protection des données (RGPD) est une législation complète qui encadre la collecte, le traitement et la conservation des données personnelles des personnes situées dans l’Espace économique européen (EEE).

Printedin s’engage pleinement à respecter le RGPD. Nous traitons les données personnelles de manière licite, loyale et transparente. Nous ne collectons des données que pour des finalités déterminées, explicites et légitimes, en veillant à ce qu’elles soient adéquates, pertinentes et limitées à ce qui est nécessaire.

2. Responsable du traitement

Au sens du RGPD, Printedin agit en qualité de responsable du traitement des données personnelles de ses utilisateurs. Nous déterminons donc les finalités et les moyens du traitement.

3. Bases légales du traitement

Conformément à l’article 6 du RGPD, nous traitons les données personnelles sur les fondements suivants :

Lorsque nous nous appuyons sur le consentement, vous pouvez le retirer à tout moment. Ce retrait ne remet pas en cause la licéité du traitement effectué avant celui-ci.

4. Catégories de données personnelles

Nous traitons les catégories de données personnelles suivantes :

5. Droits des personnes concernées

Le RGPD vous confère les droits suivants sur vos données personnelles. Nous répondons à toute demande valide dans un délai de 30 jours (prorogeable de 60 jours pour les demandes complexes) :

5.1 Droit d’accès (art. 15)

Vous avez le droit d’obtenir la confirmation que vos données personnelles sont traitées et d’en demander une copie dans un format électronique d’usage courant.

5.2 Droit de rectification (art. 16)

Vous avez le droit de demander la correction de données inexactes ou le complètement de données incomplètes. La plupart des informations sont modifiables directement dans les réglages de votre profil.

5.3 Droit à l’effacement (art. 17)

Vous avez le droit de demander la suppression de vos données personnelles (« droit à l’oubli »), sous réserve des obligations légales applicables (par exemple les documents fiscaux à conserver).

5.4 Droit à la limitation (art. 18)

Vous pouvez demander la limitation du traitement pendant que nous vérifions l’exactitude de vos données, que nous examinons nos intérêts légitimes, ou lorsque le traitement est illicite mais que vous vous opposez à l’effacement.

5.5 Droit à la portabilité (art. 20)

Vous avez le droit de recevoir vos données personnelles dans un format structuré, couramment utilisé et lisible par machine (JSON ou CSV), et de les transmettre à un autre responsable de traitement.

5.6 Droit d’opposition (art. 21)

Vous avez le droit de vous opposer à un traitement fondé sur l’intérêt légitime ou réalisé à des fins de prospection. Nous cesserons le traitement sauf si nous démontrons des motifs légitimes impérieux prévalant sur vos intérêts.

5.7 Décision automatisée (art. 22)

Nous n’avons recours à aucune décision automatisée ni profilage produisant des effets juridiques ou vous affectant de manière significative.

6. Activités de traitement

Nous tenons un registre des activités de traitement conformément à l’article 30 du RGPD. Nos principales activités sont les suivantes :

• Inscription : traitement du nom, de l’e-mail et du mot de passe pour la création du compte.
• Création de produit : traitement des images et textes téléversés pour générer les aperçus.
• Exécution des commandes : traitement des adresses et données de paiement pour l’impression et l’expédition.
• Assistance client : traitement des échanges et des données de compte pour répondre aux demandes.
• Marketing : traitement des adresses e-mail pour vous rappeler une création laissée inachevée (sur consentement, depuis vos préférences de notification).
• Réponses aux demandes : transmission de votre correspondance avec nous et de la fiche du projet concerné à un prestataire d’IA qui rédige un brouillon de réponse que nous relisons (exécution du contrat et intérêt légitime).
• Mesure d’audience : traitement des données d’utilisation pour améliorer nos services (fondé sur le consentement).
• Publicité : traitement des pages consultées et des achats pour mesurer la publicité et constituer des audiences (fondé sur le consentement).

6.1 Sous-traitants

Nous faisons appel aux catégories de sous-traitants suivantes, toutes encadrées par des accords de sous-traitance (DPA) appropriés :

7. Transferts internationaux de données

Nous stockons et traitons principalement les données personnelles au sein de l’Espace économique européen (EEE). Lorsqu’un transfert hors EEE est nécessaire, nous assurons une protection adéquate par :

• Décisions d’adéquation : transferts vers des pays bénéficiant d’une décision d’adéquation de l’UE.
• Clauses contractuelles types (CCT) : clauses approuvées par l’UE garantissant un niveau de protection équivalent.
• Mesures supplémentaires : mesures techniques et organisationnelles additionnelles lorsque nécessaire (chiffrement, pseudonymisation).

8. Mesures de protection des données

Conformément à l’article 32 du RGPD, nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque :

8.1 Mesures techniques

• chiffrement TLS 1.3 de bout en bout pour toutes les données en transit
• chiffrement AES-256 des données personnelles au repos
• hachage des mots de passe par bcrypt avec facteur de coût adaptatif
• analyses et tests de sécurité automatisés réguliers
• segmentation du réseau et protection par pare-feu
• journalisation et surveillance des accès à la base de données

8.2 Mesures organisationnelles

• formation et sensibilisation du personnel à la protection des données
• contrôle d’accès selon le principe du moindre privilège
• accords de confidentialité avec l’ensemble des salariés et prestataires
• analyses d’impact (AIPD) pour les traitements à risque élevé
• revues et audits réguliers des activités de traitement
• procédures de réponse aux incidents et protocoles d’escalade

9. Notification des violations de données

Conformément aux articles 33 et 34 du RGPD, nous avons mis en place des procédures de réponse aux violations de données :

• Autorités de contrôle : nous notifions à l’autorité de contrôle compétente, dans un délai de 72 heures après en avoir pris connaissance, toute violation de données susceptible d’engendrer un risque pour les droits et libertés des personnes. Pour les personnes situées au Royaume-Uni, il s’agit de l’Information Commissioner’s Office (ICO). Pour les personnes situées dans l’Espace économique européen, il s’agit de l’autorité compétente de l’État membre concerné — nous ne sommes pas établis dans l’UE, la notification ne passe donc pas par une autorité chef de file unique.
• Personnes concernées : nous informons les personnes concernées dans les meilleurs délais lorsqu’une violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés.
• Documentation : toutes les violations sont consignées dans notre registre, quelle qu’en soit la gravité, avec les faits, les effets et les mesures correctives prises.

10. Contact protection des données

Nous n’avons pas désigné de délégué à la protection des données, et le RGPD ne nous y oblige pas : l’article 37, paragraphe 1, ne l’exige que des autorités publiques et des responsables du traitement qui suivent des personnes à grande échelle ou traitent des catégories particulières de données à grande échelle. La protection des données relève de la direction de l’entreprise, qui répond à ces demandes. Vous pouvez nous joindre ici :

11. Autorité de contrôle et réclamations

Si vous estimez que notre traitement de vos données personnelles enfreint le droit de la protection des données, vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle (article 77). L’autorité compétente dépend de l’endroit où vous vous trouvez, et non de celui où nous sommes établis :

11.1 Si vous êtes dans l’Espace économique européen

Vous pouvez saisir l’autorité de contrôle de l’État membre où vous résidez, où vous travaillez, ou où la violation alléguée a eu lieu. Étant établis au Royaume-Uni et non dans l’Union, nous ne relevons d’aucune autorité chef de file — votre autorité nationale est compétente. Le Comité européen de la protection des données publie les coordonnées à jour de chaque autorité nationale :

11.2 Si vous êtes au Royaume-Uni

L’Information Commissioner’s Office est l’autorité de contrôle du Royaume-Uni. Les coordonnées ci-dessous sont celles de l’ICO — ce ne sont pas les nôtres ; pour nous joindre, voir la section Contact protection des données ci-dessus.

L’exercice de ce droit est gratuit et ne suppose pas de nous avoir contactés au préalable — nous préférerions toutefois corriger un problème plutôt que vous obliger à en arriver là. Écrivez-nous à privacy@printedin.com et nous répondrons sous 30 jours.