Politique de Confidentialité

1. Responsable du traitement

2. Données personnelles collectées

Nous collectons les données suivantes :

2.1 Données d'identification

• Nom et prénom
• Adresse email
• Numéro de téléphone
• Date de naissance (optionnel)

2.2 Données de commande

• Adresse de livraison et de facturation
• Historique des commandes
• Informations de paiement (traitées par notre prestataire Stripe, jamais stockées par nos soins)

2.2 bis Précommandes

Lors d'une précommande, l'adresse email renseignée dans l'interface de paiement Stripe est transmise à Orkyva afin de confirmer la commande, informer le client de l'avancement de la production, communiquer les informations d'expédition et assurer le suivi de la relation contractuelle.

Cette adresse n'est pas utilisée à des fins de prospection commerciale sans un consentement distinct. Aucune inscription à une newsletter ou à une communication marketing n'est effectuée automatiquement à partir d'une précommande.

• Données concernées : adresse email uniquement. Le dossier de précommande lui-même ne contient ni nom, ni adresse postale, ni téléphone : il n'utilise que des références internes non nominatives.
• Origine : l'adresse provient exclusivement de la session de paiement Stripe, relue par notre serveur. Elle n'est jamais collectée par un formulaire de la page de précommande.
• Conservation : l'adresse est conservée le temps nécessaire au traitement et au suivi de la précommande. La durée applicable est celle des données de commande indiquée à la section 3.
• Effacement : vous pouvez demander l'effacement de cette adresse (section 5.3). Une fois effacée, elle ne peut plus servir à vous adresser la moindre communication relative à cette précommande.
• Destinataire : Stripe agit comme prestataire de paiement (section 4bis.3). L'adresse n'est transmise à aucun autre tiers.

2.3 Avis clients et signalements

• Avis produits : note, commentaire, nom d'affichage, date d'expérience (déclarée par l'auteur), dates de publication et de mise à jour, statut de modération — conservés 5 ans au maximum à compter de la publication ; les avis non publiés sont conservés 12 mois à compter de la décision, afin que leur auteur puisse en consulter le motif, les modifier et les soumettre à nouveau (art. 5.1.e RGPD — voir la section 3 et la notice Transparence des avis clients)
• Signalements d'avis : motif, explication fournie, compte associé si connecté, empreinte technique (adresse IP hachée, jamais stockée en clair) — voir la notice Transparence des avis clients

2.4 Données de navigation

• Adresse IP
• Type de navigateur
• Pages visitées
• Cookies — voir la Politique des cookies pour le détail complet

3. Finalités du traitement

Vos données sont traitées pour les finalités suivantes :

4. Destinataires des données

Vos données peuvent être transmises aux destinataires suivants :

Personnel autorisé de ORKYVA : Équipes commerciales, service client, comptabilité.

Prestataires de services :

• Stripe (paiement sécurisé)
• Transporteurs et prestataires de livraison desservant La Réunion
• OVHcloud (hébergement)

Aucun prestataire d'emailing/newsletter ni outil de mesure d'audience tiers n'est actif à ce jour (voir sections 4bis.5 et 6). Si un tel service est activé ultérieurement, les informations correspondantes seront mises à jour avant son utilisation.

Autorités légales : Sur demande judiciaire uniquement.

La plupart de nos prestataires sont établis dans l'Union européenne. Certains traitements peuvent impliquer des prestataires établis hors UE (ex. Stripe Inc., Google, Meta) ; dans ce cas, des garanties appropriées encadrent le transfert (clauses contractuelles types de la Commission européenne, décision d'adéquation).

4 bis. Ressources et services tiers techniques

Pour fonctionner, le site charge un nombre limité de ressources externes (polices, bibliothèques techniques, services de paiement et de sécurité). Cette section liste ces ressources et leur finalité. Elle est susceptible d'être mise à jour à mesure de l'évolution des services et des ressources du site.

4bis.1 Polices Google Fonts — auto-hébergées

Domaines historiques : fonts.googleapis.com et fonts.gstatic.com.

Finalité : typographie cohérente (familles Pacifico, Poppins, Space Grotesk, Inter, JetBrains Mono).

Statut actuel (depuis le 17 mai 2026) : les fichiers de police (WOFF2) sont désormais servis localement depuis nos serveurs sous licence SIL Open Font License 1.1. Aucune requête runtime n'est plus émise vers fonts.googleapis.com ni fonts.gstatic.com sur les pages publiques du site. Aucun cookie n'a jamais été déposé par ces requêtes.

Vérification continue : Orkyva contrôle qu'aucune nouvelle page n'introduise un appel runtime aux serveurs Google Fonts. En cas d'ajout ultérieur d'une famille non auto-hébergée, cette section sera mise à jour.

4bis.2 Bibliothèques techniques cdnjs (Cloudflare) — quasi-totalement auto-hébergées

Domaine historique : cdnjs.cloudflare.com.

Statut depuis le 17 mai 2026 : les bibliothèques Chart.js, html2canvas et qrcodejs sont désormais servies localement depuis nos serveurs.

Statut depuis le 18 mai 2026 : Font Awesome a été consolidé et est désormais servi localement sur la quasi-totalité des pages publiques, à partir d'une version unique.

Reste actuellement externe : Font Awesome uniquement sur la page de paiement reste chargé depuis cdnjs pour préserver l'environnement de paiement critique sans risque de régression d'icônes. Ce point fait l'objet d'une revue ultérieure dédiée.

Sécurité : l'inclusion Font Awesome cdnjs restante (paiement) utilise le mécanisme d'intégrité Subresource Integrity (SRI). Aucun cookie n'est déposé par ces requêtes.

Données techniques potentiellement transmises à Cloudflare (pour Font Awesome paiement uniquement) : adresse IP, en-tête User-Agent, URL référente.

4bis.3 Stripe (paiement)

Domaines : js.stripe.com, api.stripe.com, hooks.stripe.com.

Finalité : traitement sécurisé des paiements par carte bancaire, conformité PCI-DSS, authentification forte 3-D Secure.

Données transmises à Stripe : uniquement les informations strictement nécessaires au paiement (carte bancaire, montant, devise, identifiant de commande, contexte technique). Orkyva ne stocke jamais les numéros de carte.

Catégorie : strictement nécessaire à l'exécution du contrat de vente (art. 6.1.b RGPD).

Cadre juridique : contrat de traitement de données (DPA) accepté avec Stripe. Stripe Payments Europe Ltd est établi en Irlande ; certains traitements peuvent impliquer Stripe Inc. (États-Unis) sous garanties appropriées (clauses contractuelles types).

4bis.4 Google reCAPTCHA (anti-bot)

Domaines : www.google.com/recaptcha et www.gstatic.com/recaptcha.

Finalité : protection contre les inscriptions automatisées, les tentatives de connexion massives, les attaques par force brute sur la récupération de mot de passe et le formulaire de contact.

Pages concernées : connexion, création de compte, récupération de mot de passe, formulaire de contact.

Données techniques potentiellement transmises à Google : adresse IP, en-tête User-Agent, signaux comportementaux du navigateur, cookie _GRECAPTCHA (durée d'environ 6 mois).

Base légale envisagée : intérêt légitime d’Orkyva à protéger la plateforme contre les abus (art. 6.1.f RGPD). Cette base légale et la modalité de présentation à l'utilisateur (information, opt-in, alternative anti-bot) sont susceptibles d'évoluer ; toute modification sera reflétée sur cette page.

Action prévue : mise à jour explicite de l'information utilisateur et étude d'alternatives RGPD-friendly (lot dédié).

4bis.5 Mesure d'audience et marketing — statut actuel

Orkyva a documenté la possibilité d'utiliser Google Analytics 4 (mesure d'audience) et Meta Pixel (mesure publicitaire) sous régime de consentement explicite.

Statut technique à la date de cette version : les identifiants Google Analytics et Meta Pixel ne sont pas renseignés dans la configuration du site. En l'état, aucun de ces traceurs n'est chargé, indépendamment du choix de l'utilisateur dans la bannière de consentement. Toute activation future fera l'objet d'une mise à jour de la présente politique et de la Politique des cookies.

4bis.6 Hébergement et services internes

L'hébergement du site est assuré par OVHcloud, avec des infrastructures situées dans l'Union européenne. Les communications avec le site sont protégées par HTTPS.

4bis.7 Réserves

Cette section a été préparée à partir de l'inventaire des ressources externes effectivement chargées par le site. La rédaction définitive des bases légales, des durées, des informations délivrées à l'utilisateur et des modalités de consentement est susceptible d'évoluer ; les mises à jour seront publiées sur cette page.

5. Vos droits RGPD

Conformément au RGPD, vous disposez des droits suivants :

5.1 Droit d'accès (Article 15)

Vous pouvez obtenir une copie des données personnelles vous concernant.

5.2 Droit de rectification (Article 16)

Vous pouvez demander la correction de données inexactes ou incomplètes.

5.3 Droit à l'effacement / « droit à l'oubli » (Article 17)

Vous pouvez demander la suppression de vos données, sauf obligation légale de conservation.

5.4 Droit à la limitation du traitement (Article 18)

Vous pouvez demander le gel temporaire de vos données.

5.5 Droit à la portabilité (Article 20)

Vous pouvez récupérer vos données dans un format structuré et couramment utilisé.

5.6 Droit d'opposition (Article 21)

Vous pouvez vous opposer au traitement de vos données pour des raisons tenant à votre situation particulière.

5.7 Droit de retirer votre consentement

Pour les traitements basés sur votre consentement (newsletter), vous pouvez le retirer à tout moment.

5.8 Droit d'opposition au profilage et aux décisions automatisées

Si nous utilisons vos données pour des décisions automatisées ou du profilage (par exemple recommandations de produits personnalisées ou publicités ciblées basées sur votre navigation et vos achats), vous pouvez vous y opposer à tout moment en contactant notre référent données personnelles.

Comment exercer vos droits ?

Email : contact@orkyva.re

Courrier : Orkyva — 8 Ruelle Boulot, 97400 Saint-Denis, La Réunion, France

Délai de réponse : 1 mois maximum.

Une copie de votre pièce d'identité pourra être demandée pour vérifier votre identité.

6. Cookies et traceurs

Le site utilise des cookies strictement nécessaires (toujours actifs) et prévoit un dispositif de consentement pour d'éventuels traceurs de mesure d'audience (Google Analytics 4) et marketing (Meta Pixel, Google Ads). À ce jour, aucun de ces traceurs tiers n'est actif : aucun identifiant de mesure n'est renseigné et aucun cookie analytics ou marketing n'est déposé, quel que soit votre choix (voir section 4bis.5). En cas d'activation future, les cookies non essentiels ne seraient déposés qu'après votre consentement explicite.

Vos choix sont conservés 6 mois et peuvent être modifiés à tout moment via le lien « Gestion des cookies » en pied de page. Orkyva implémente Google Consent Mode V2 (signaux par défaut à denied) ; le Meta Pixel, non actif à ce jour, ne serait chargé qu'après consentement marketing explicite.

Pour le détail complet (liste nominative des cookies, durées, finalités, fournisseurs, Consent Mode V2, Meta Pixel, droit de retrait) → consultez notre Politique des cookies dédiée.

6.1 Types de cookies — aperçu

Cookies essentiels (exemptés de consentement)

Ces cookies sont nécessaires au bon fonctionnement du site et ne peuvent pas être désactivés.

Le panier et les préférences d'affichage (thème sombre, etc.) sont conservés en stockage local (localStorage) de votre navigateur, et non sous forme de cookies.

Cookies analytiques (non actifs à ce jour — nécessiteraient votre consentement)

Ces cookies permettraient de mesurer l’audience et d’améliorer le site. Ils ne sont pas déposés actuellement (aucun identifiant renseigné — voir 4bis.5) ; en cas d'activation future, ils ne seraient déposés qu'après votre consentement explicite via la bannière cookies.

Cookies marketing / publicitaires (non actifs à ce jour — nécessiteraient votre consentement)

Ces cookies permettraient la mesure de performance des campagnes publicitaires et le reciblage. Ils ne sont pas déposés actuellement ; en cas d'activation future, ils ne seraient déposés qu'après consentement marketing explicite.

Cookies de personnalisation

Mémorisation de préférences d'interface (thème clair/sombre, langue, affichage). Exemptés de consentement s'ils sont strictement nécessaires à une fonctionnalité demandée.

6.2 Gestion des cookies et bandeau de consentement

Un bandeau de consentement s'affiche lors de votre première visite. Vous pouvez :

• Accepter tout — cookies essentiels, analytiques et marketing activés
• Refuser tout — seuls les cookies strictement nécessaires restent actifs
• Personnaliser — choix par catégorie (analytics / marketing / personnalisation)

Le refus des cookies non essentiels est aussi simple que leur acceptation (principe de parité visuelle recommandé par la CNIL).

Vos choix sont conservés pour une durée maximale de 6 mois. Vous pouvez les modifier à tout moment via le lien « Gestion des cookies » présent en pied de page du site.

6.3 Consentement et outils tiers

Orkyva implémente Google Consent Mode V2 (4 signaux : ad_storage, analytics_storage, ad_user_data, ad_personalization — tous denied par défaut). Le Meta Pixel, non actif à ce jour, ne serait activé qu'après consentement marketing explicite. La durée de vie maximale des cookies non essentiels est de 13 mois (recommandation CNIL).

Pour le détail technique complet et la liste nominative : voir la Politique des cookies.

6.4 Gestion via le navigateur

Vous pouvez également gérer les cookies via les paramètres de votre navigateur :

• Chrome : Paramètres > Confidentialité et sécurité > Cookies
• Firefox : Paramètres > Vie privée et sécurité
• Safari : Préférences > Confidentialité
• Edge : Paramètres > Cookies et autorisations de site

6 bis. Traitements automatisés et décisions

Orkyva met en œuvre différents traitements automatisés dans le cadre de l'exploitation du site. Conformément à l'article 22 du RGPD, ces traitements sont décrits ci-dessous, ainsi que vos droits associés.

6bis.1 Détection de fraude et scoring de risque

À chaque commande, un score de risque est calculé automatiquement à partir de signaux techniques (adresse IP, empreinte de navigateur, géolocalisation approximative), comportementaux (vitesse de remplissage, multiplication des tentatives) et transactionnels (cohérence adresse de facturation / livraison / carte). Ce scoring permet :

• La validation automatique des commandes à faible risque.
• Le déclenchement d'une authentification forte 3D-Secure v2 pour les commandes à risque intermédiaire.
• La mise en vérification manuelle des commandes à risque élevé (intervention humaine).
• Le rejet automatique ou la demande de justificatifs complémentaires pour les commandes présentant des signaux de fraude caractérisés.

6bis.2 Règles d'alerte et incidents

Des règles d'alerte automatisées surveillent en continu la plateforme afin de détecter les anomalies techniques, les dégradations de service, les tentatives d'accès non autorisés et les comportements inhabituels. Elles déclenchent des alertes internes à destination des équipes techniques et sécurité. Ces traitements ne produisent aucune décision individuelle à l'égard d'un utilisateur.

6bis.3 Supervision humaine

Aucune décision produisant des effets juridiques significatifs (rejet de commande, suspension de compte, contestation d'un chargeback) n'est prise de manière exclusivement automatisée. Vous disposez à tout moment :

• Du droit d'obtenir une intervention humaine pour examiner votre cas.
• Du droit d'exprimer votre point de vue et de présenter tout élément de preuve utile.
• Du droit de contester la décision en écrivant à contact@orkyva.re.

6bis.4 Base légale des traitements automatisés

Ces traitements reposent sur l'intérêt légitime du responsable de traitement (art. 6.1.f RGPD), strictement pondéré par la protection des droits et libertés des personnes concernées. Les données collectées ne sont pas utilisées à d'autres fins que la sécurité et la prévention de la fraude, et leur durée de conservation est alignée sur l'article 3 (13 mois pour les commandes sans incident, jusqu'à 5 ans en cas de fraude avérée pour les besoins de la défense).

6 ter. Systèmes automatisés backend

Outre la détection de fraude (§6 bis), Orkyva exploite des systèmes internes visant à assurer la fiabilité, la traçabilité et la qualité du service :

6ter.1 CRM et suivi client

Un système CRM (Customer Relationship Management) consolide l'ensemble des interactions d'un client avec Orkyva (commandes, retours, contacts support, avoirs, préférences). Cette consolidation permet un traitement cohérent et personnalisé des demandes. Les données ne sont pas transmises à des tiers à des fins commerciales sans consentement.

6ter.2 Files de traitement automatisées

Des files de traitement (job queue) pilotent de manière asynchrone :

• L'envoi des emails transactionnels (confirmation, expédition, facturation).
• La synchronisation des stocks entre le site et les entrepôts.
• L'orchestration des opérations de livraison et de retours.
• Les éventuelles relances (paniers abandonnés, newsletters) — uniquement après consentement.

Ces files ne prennent aucune décision individuelle ; elles automatisent des tâches opérationnelles déjà décidées par le système ou par un opérateur humain.

6ter.3 Monitoring et supervision d'incidents

La plateforme est supervisée en permanence par un système d'incidents et d'alertes techniques (disponibilité, performance, intégrité). Les événements sont journalisés, analysés et déclenchent des procédures de remédiation. Aucune de ces opérations ne concerne l'identification ou le profilage d'un utilisateur individuel à des fins commerciales.

En synthèse : Orkyva utilise des systèmes automatisés pour détecter les anomalies, déclencher des alertes internes et améliorer la sécurité — dans le strict respect du RGPD et sous contrôle humain.

7. Sécurité des données

Orkyva met en œuvre des mesures techniques et organisationnelles appropriées visant à assurer un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD :

• Chiffrement SSL/TLS : les communications avec le site sont chiffrées via HTTPS.
• Authentification renforcée : les mots de passe sont stockés sous forme hachée (jamais en clair).
• Protection des serveurs : pare-feu, filtrage et restriction des accès.
• Sauvegardes régulières : Copies de sécurité des données.
• Accès restreints : Seul le personnel autorisé accède aux données.
• Journalisation : Traçabilité des accès et modifications.

8. Registre des activités de traitement

Conformément à l'article 30 du RGPD, ORKYVA tient un registre des activités de traitement documentant l'ensemble des traitements de données personnelles effectués. Ce registre est tenu à disposition de la CNIL sur demande.

9. Notification des violations de données

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, ORKYVA s'engage à :

• Notifier la CNIL dans un délai maximum de 72 heures après en avoir pris connaissance.
• Vous informer dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés.
• Mettre en œuvre toutes les mesures nécessaires pour limiter les impacts de l'incident.
• Documenter la violation et les actions correctives prises.

10. Données des mineurs

Nos services ne sont pas destinés aux personnes de moins de 16 ans. Si nous apprenons que nous avons collecté des données personnelles d'un mineur sans consentement parental, nous les supprimerons immédiatement.

11. Modifications de la politique

Nous nous réservons le droit de modifier cette politique de confidentialité. Toute modification sera publiée sur cette page avec mise à jour de la date. Les changements substantiels vous seront notifiés par email ou via une notification sur le site.

12. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

Site web : www.cnil.fr

Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

Téléphone : 01 53 73 22 22

13. Contact

Pour toute question relative à cette politique de confidentialité ou à vos données personnelles, vous pouvez nous contacter :