Politique de confidentialité

Dernière mise à jour : 16 juillet 2026 — version v1.1-2026-07

Responsable du traitement

Le responsable de traitement est Vintiz — 6 rue Saint-Jacques, 27200 Vernon, France (responsable unique). La fonction de Délégué à la Protection des Données (DPO) est assurée par notre partenaire Solidarité Textiles ; vous pouvez le contacter à dpo@solidarite-textiles.fr.

Données collectées

Selon votre interaction avec Vintiz, nous collectons les données suivantes :

• Newsletter — adresse e-mail, date, heure et adresse IP du consentement (preuve RGPD).
• Carte de fidélité (souscription en boutique) — prénom, nom, e-mail, téléphone, achats, points de fidélité, niveau de carte, et solde d'avoir éventuel.
• Personal Shopper IA (sur demande) — préférences de style, tailles, marques, dérivées de votre historique d'achats afin de vous proposer des sélections personnalisées.
• Encaissement — chaque vente est enregistrée avec montant, articles, méthode de paiement et chaînage cryptographique, dans le cadre de la démarche de certification du logiciel de caisse. Vintiz ne revendique pas encore une certification NF525.

Finalités et bases légales

• Newsletter — consentement explicite (RGPD art. 6.1.a). Retirable à tout moment via le lien de désinscription.
• Programme fidélité, avoirs, historique d'achats — exécution de la relation commerciale (RGPD art. 6.1.b).
• Personal Shopper IA et profilage — consentement explicite (RGPD art. 6.1.a + art. 22). Vos préférences de style, tailles, couleurs et historique d'achats alimentent un modèle d'embeddings. Claude Haiku 4.5, fourni par Anthropic, peut rédiger la recommandation. Le profil dérivé est supprimé dès le retrait du consentement et, à défaut, après 24 mois d'inactivité. Retrait via le toggle Personal Shopper dans votre espace de gestion des données.
• Alertes nouveautés tendance par email — consentement explicite séparé du profilage. Un produit fraîchement arrivé en boutique et compatible avec votre profil déclenche au maximum un email tous les 7 jours. Retrait 1-clic dans chaque email ou via la page espace client RGPD.
• Souscription carte fidélité au POS — l'équipe boutique enregistre nom, prénom, code postal et email avec votre consentement explicite (newsletter et profilage cochés séparément). Le n° de carte (V######) est généré automatiquement.
• Comptabilité fiscale — obligation légale (CGI, décret 2016-1138 NF525) imposant la conservation 6 ans des transactions.

Cookies et mesure d'audience

Ce site utilise uniquement des cookies fonctionnels nécessaires à son fonctionnement. Notre mesure d'audience s'appuie sur Matomo en mode « sans cookie » (IP anonymisée, pas de suivi entre sites, données non partagées) : conforme aux critères d'exemption de la CNIL, elle ne nécessite pas votre consentement et ne dépose aucun cookie. Aucun cookie publicitaire tiers n'est déposé. Le cas échéant, un outil complémentaire soumis à consentement (Google Analytics 4) ne serait activé qu'après votre accord via le bandeau, révocable à tout moment depuis le lien « Gérer les cookies » en pied de page.

Vous pouvez à tout moment vous opposer à cette mesure d'audience anonyme :

Pixels de suivi dans les e-mails

Nos e-mails marketing peuvent contenir un pixel mesurant leur ouverture. Conformément à la recommandation de la CNIL, ce suivi individuel n'est réalisé qu'avec votre consentement spécifique : vous pouvez l'accorder ou le retirer à tout moment depuis /account/rgpd (consentement « Suivi d'ouverture des e-mails »), indépendamment de votre inscription à la newsletter. À défaut de consentement, la mesure reste strictement anonyme et agrégée.

Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :

• Accès et portabilité (art. 15 + 20) — visualiser et télécharger l'ensemble de vos données au format JSON depuis /account/rgpd.
• Rectification (art. 16) — demande à dpo@solidarite-textiles.fr ou directement en boutique.
• Effacement / droit à l'oubli (art. 17) — demande en self-service depuis /account/rgpd. La suppression effective intervient sous 30 jours pour permettre une éventuelle annulation. Les transactions soumises à l'obligation NF525 (6 ans) sont conservées mais anonymisées (votre identité est dissociée du paiement).
• Limitation et opposition (art. 18 + 21) — dpo@solidarite-textiles.fr.
• Réclamation auprès de la CNIL (www.cnil.fr).

Nous répondons à toute demande sous un délai maximum de 30 jours.

Conservation

• Newsletter — jusqu'à désinscription, et au plus tard 3 ans sans interaction (standard CNIL prospection).
• Compte client / carte de fidélité — pendant la durée de la relation commerciale, puis 5 ans après la dernière transaction.
• Données de transaction (NF525) — 6 ans, obligation légale (article L102 B du Livre des procédures fiscales).
• Profil Personal Shopper — jusqu'au retrait du consentement ou, à défaut, 24 mois sans activité. La preuve du retrait reste conservée dans le registre de consentement.
• Mesure d'audience — 14 mois.

Destinataires et sous-traitants

Vos données ne sont transmises à aucun tiers commercial. Les sous-traitants techniques utilisés sont :

• Scaleway (hébergement, France) — base de données et application.
• Anthropic (API commerciale Claude) — analyse automatisée des fiches produits et rédaction des recommandations Personal Shopper. Seules les données nécessaires à la demande sont transmises. Anthropic indique que les entrées et sorties de son API commerciale ne servent pas, par défaut, à entraîner ses modèles et sont supprimées sous 30 jours dans le régime standard, sous réserve des exceptions prévues par ses conditions.
• SumUp (paiement CB) — informations de paiement traitées directement par SumUp ; Vintiz n'a accès qu'à un identifiant de transaction non nominatif.
• Brevo (Sendinblue) — envoi des newsletters, des emails et SMS transactionnels et marketing (adresse e-mail / numéro de téléphone uniquement). Sous-traitant établi dans l'Union européenne.
• Twilio (fournisseur SMS de secours) — uniquement pour l'envoi de votre code de connexion ou de votre ticket par SMS lorsque vous nous le demandez.

Le QR code de votre carte de fidélité est généré localement (dans votre navigateur ou sur nos serveurs) : votre numéro de carte n'est transmis à aucun service tiers.

L'utilisation de l'API Claude peut entraîner un traitement dans plusieurs régions et un stockage aux États-Unis par défaut. Elle implique donc un transfert de données hors de l'Espace économique européen, à encadrer par les garanties contractuelles applicables. Les détails à jour sont disponibles dans le centre de confidentialité Anthropic.

Sécurité

Les données sont stockées dans une base PostgreSQL sauvegardée quotidiennement. Les accès administratifs utilisent des comptes nominatifs authentifiés ; le PIN caisse identifie l'opérateur et ne constitue pas un second facteur. Les opérations sensibles sont journalisées. Les écritures fiscales sont chaînées, signées et protégées contre la modification dans la version candidate à la certification NF525.

Profilage, Personal Shopper IA et décisions automatisées

Le Personal Shopper IA et les recommandations de produits utilisent un traitement automatisé pour suggérer des articles susceptibles de vous plaire. Aucune décision automatisée produisant un effet juridique ou affectant significativement votre situation n'est prise sur la base de ce profilage : il s'agit uniquement de suggestions, qu'une employée valide systématiquement avant tout envoi personnalisé. Vous pouvez à tout moment retirer votre consentement au profilage depuis votre espace de gestion des données.

Conformité AI Act (UE 2024/1689, art. 50) — le Personal Shopper IA est un système d'intelligence artificielle à risque limité au sens du règlement européen. À ce titre :

• vous êtes informée de manière permanente, dans l'interface de votre espace client, que vous interagissez avec une IA ;
• chaque recommandation produite par l'IA est marquée comme telle (badge visible « IA » et marquage HTMLdata-ai-generated="true"lisible par les outils d'assistance et de transparence) ;
• vous pouvez à tout moment demander l'intervention d'un humain Vintiz pour réviser une recommandation, en écrivant à dpo@solidarite-textiles.fr.

Le modèle utilisé est Claude Haiku 4.5 via l'API commerciale d'Anthropic. Les données envoyées sont limitées à ce qui est nécessaire à la recommandation. Dans le régime standard annoncé par Anthropic, les entrées et sorties sont supprimées sous 30 jours, sauf exception contractuelle, légale ou liée à la sécurité.

Modification de cette politique

Cette politique est versionnée. Chaque modification fait l'objet d'une nouvelle version (visible en haut de cette page) et, lorsqu'elle est substantielle, vous est notifiée par e-mail si vous êtes inscrit·e à la newsletter ou détenteur d'une carte fidélité.