Politique de confidentialité

Politique de Confidentialité : Lib et Lou (Rozaliz SAS)

La société Rozaliz SAS, exploitant la marque Lib et Lou, attache une importance essentielle à la protection des données personnelles de ses clients et utilisateurs.

La présente politique de confidentialité a pour objet de vous informer, de manière claire et transparente, sur la manière dont nous collectons, utilisons et protégeons vos données personnelles conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.

1. Responsable du traitement
Le responsable du traitement des données personnelles est :
Rozaliz SAS (Lib et Lou)
Siège social : 46 bis, rue Armand Brunet, 18100 Vierzon, France
RCS Bourges : 837 798 487 00018
Email : [email protected]

Rozaliz est responsable du traitement des données collectées sur le site https://libetlou.com et agit en conformité avec la législation européenne applicable.

2. Données personnelles collectées
Les données susceptibles d'être collectées et traitées sont notamment :
- Données d'identification : nom, prénom, adresse postale, téléphone, adresse e-mail, date de naissance, identifiant de compte. Si vous vous connectez avec Google, nous recevons de Google votre adresse e-mail et votre nom.
- Données de compte client : identifiant, mot de passe chiffré, préférences, historique des commandes, des abonnements et des retours, liste d'envies et alertes de retour d'un jeu.
- Informations sur les enfants du foyer, saisies par le parent pour adapter la sélection de jeux : prénom, tranche d'âge, date de naissance (facultative) et catégories de jeux préférées.
- Données de transaction : historique de paiements, factures, moyens de paiement (via Stripe).
- Preuve de l'acceptation des conditions générales : version acceptée et date de chaque acceptation.
- Données de prévention de la fraude : résultat des contrôles faits à la création du compte, à la souscription et avant la première expédition (rapprochement du téléphone, des adresses et du moyen de paiement avec ceux d'autres comptes), statut d'une vérification d'identité et, le cas échéant, inscription sur la liste d'exclusion.
- Cartes cadeaux : coordonnées de l'acheteur et du bénéficiaire, message, solde et historique d'utilisation du crédit.
- Professionnels et établissements : coordonnées, type d'établissement, besoins et disponibilités indiqués pour être recontactés.
- Messages adressés au service client par le formulaire de contact ou le chat, et avis déposés sur les jeux (publiés sans votre nom).
- Données d'usage : navigation sur le site, historique de connexions, pages consultées une fois connecté à votre compte, origine de vos visites et de vos connexions, interactions avec le service.
- Données marketing : consentement à la newsletter, participation à des opérations promotionnelles, réponses à des quiz de recommandation, données de suivi d'ouverture d'e-mails et de clics.
- Données techniques : cookies, adresse IP, logs de connexion et données de performance du site.

Aucune donnée sensible au sens du RGPD (origine ethnique, santé, opinions, etc.) n'est collectée.

3. Finalités et bases légales du traitement
Les données personnelles collectées par Lib et Lou (Rozaliz SAS) sont utilisées uniquement dans le cadre des finalités suivantes :

3.1. Gestion des commandes et des abonnements
Suivi et exécution des commandes, facturation, retours, cartes cadeaux et service après-vente, et preuve de l'acceptation des conditions générales.
Base légale : exécution du contrat.

3.2. Gestion du compte client et de la relation utilisateur
Création et administration du compte client, assistance et communication avec le service client, mails de service (confirmation, suivi des colis, rappels de retour, avis de reconduction, message d'anniversaire d'un enfant de la tribu), réponse aux demandes des professionnels.
Base légale : exécution du contrat ou mesures précontractuelles prises à votre demande.

3.3. Envoi d'informations et d'offres commerciales personnalisées
Envoi d'emails marketing, newsletters, ou notifications concernant de nouveaux produits et services, et suivi de la performance de ces envois (pixels de suivi d'ouverture).
Base légale : consentement du client (opt-in).

3.4. Analyse statistique, mesure d'audience et publicité
Mesure d'audience et des campagnes publicitaires par les outils de Google (Google Tag Manager, Google Analytics, Google Ads), Meta (Facebook, Instagram), Pinterest et Hotjar, seulement si vous l'acceptez dans le bandeau des cookies (« Mesure d'audience » et « Publicité »). Avec votre accord « Publicité », lors de votre inscription et de votre souscription, notre serveur transmet aussi à Meta, Pinterest et Google l'événement concerné, avec votre adresse e-mail, votre téléphone et votre adresse sous une forme chiffrée irréversible (hachage), afin de mesurer l'efficacité de nos publicités ; la campagne par laquelle vous êtes arrivé est aussi notée avec votre abonnement chez notre prestataire de paiement.
Base légale : consentement.
Mesure interne de l'origine des visites et des connexions, sur nos serveurs, sans adresse IP et jamais transmise à un tiers : source et campagne de la visite, type de lien publicitaire suivi (jamais son identifiant), site d'où vient le visiteur, page d'arrivée. Pour un client connecté, l'origine de chaque connexion est rattachée à son compte.
Base légale : intérêt légitime de Rozaliz SAS à connaître l'efficacité de ses campagnes.
Pages consultées par les clients connectés à leur compte, sur nos serveurs et jamais transmises à un tiers : adresse de chaque page vue (sans ses paramètres) et heure de consultation, rattachées à votre compte. Elles nous permettent de comprendre votre parcours sur le site (durée de visite, pages d'entrée et de sortie) pour l'améliorer et mieux vous accompagner, par exemple au service client. Aucune adresse IP, aucun cookie supplémentaire, rien n'est noté avant votre connexion. Vous pouvez vous y opposer à tout moment en écrivant à l'adresse indiquée à l'article 8 : vos pages vues sont alors effacées et ne sont plus notées.
Base légale : intérêt légitime de Rozaliz SAS à comprendre et améliorer le parcours de ses clients.

3.5. Respect des obligations légales et réglementaires
Conservation de certaines données à des fins comptables, fiscales ou de sécurité.
Base légale : obligation légale.

3.6. Outils internes de l'équipe
Les collaborateurs habilités de Lib et Lou peuvent interroger les données de gestion (commandes, abonnements, retours, avis) à l'aide d'un assistant d'intelligence artificielle (Claude, Anthropic). Le même outil rédige des résumés des avis déposés sur les jeux, à partir de leur texte et de leur note, sans le nom de leur auteur ; ces résumés sont publiés sur les fiches des jeux, et l'équipe peut les corriger ou les retirer à tout moment.
Base légale : intérêt légitime de Rozaliz SAS.

3.7. Prévention de la fraude et liste d'exclusion
Contrôles à la création du compte, à la souscription et avant la première expédition : une commande signalée est mise en attente et examinée par l'équipe, qui peut demander au client de confirmer ses informations et, seulement en cas de doute, de fournir un justificatif. Une vérification d'identité peut être faite par le service de Stripe, qui ne nous transmet que son résultat ; un justificatif reçu par le service client est supprimé dès la fin de la vérification.
Liste d'exclusion : les clients dont le compte a été résilié pour manquement grave (fausses informations, fraude au paiement, non-restitution des jeux, comportement injurieux ou malveillant) ne peuvent pas souscrire de nouvel abonnement pendant 3 ans (article 11 des Conditions Générales de Location et d'Utilisation). Un nouveau compte qui partage le téléphone, une adresse ou le moyen de paiement d'un compte exclu est signalé à l'équipe.
Aucun refus ni aucune exclusion n'est décidé de façon entièrement automatisée : la décision revient à l'équipe, et le client peut présenter ses observations en écrivant à l'adresse indiquée à l'article 8.
Base légale : intérêt légitime de Rozaliz SAS à prévenir la fraude et à protéger son stock de jeux.

3.8. Données de votre compte Google
Lib et Lou reçoit des données d'un compte Google dans deux cas seulement.
Connexion avec Google (clients du site) : si vous choisissez « Continuer avec Google », Google nous transmet, avec votre accord, votre nom, votre adresse e-mail et l'identifiant technique de votre compte Google. Nous ne demandons aucun autre accès : ni à votre boîte Gmail, ni à vos contacts, ni à vos fichiers. Ces données servent uniquement à créer votre compte Lib et Lou, à vous y connecter et à vous reconnaître lors de vos connexions suivantes.
Outil interne de l'équipe : les collaborateurs habilités de Lib et Lou utilisent un outil interne qui accède, avec l'autorisation de son titulaire, à la boîte Gmail de l'équipe Lib et Lou, et jamais à celle d'un client ou d'un visiteur. Il sert seulement à aider l'équipe à gérer cette boîte : lire et classer ses messages, préparer les réponses et vérifier les e-mails de service envoyés aux clients tels qu'ils sont reçus. Les messages peuvent être lus par l'assistant d'intelligence artificielle de l'équipe (article 3.6), pour cette seule tâche.
Protection : ces données circulent de façon chiffrée, sont conservées sur nos serveurs sécurisés (article 7) et ne sont accessibles qu'aux personnes habilitées. L'autorisation d'accès à la boîte de l'équipe est gardée dans un coffre chiffré.
Partage : nous ne vendons, ne louons et ne cédons jamais les données reçues de Google. Elles ne sont transmises qu'aux sous-traitants techniques nécessaires au service (article 4), ou si la loi l'exige. Elles ne servent jamais à de la publicité, ni à du profilage commercial, ni à entraîner ou améliorer un modèle d'intelligence artificielle.
Conservation et effacement : le nom, l'adresse e-mail et l'identifiant reçus à la connexion sont gardés avec votre compte client, pendant les durées de l'article 5, et effacés avec lui. Les messages de la boîte de l'équipe restent dans Gmail et ne sont pas recopiés dans les bases du site. Vous pouvez retirer à tout moment l'accès de Lib et Lou depuis votre compte Google et demander l'effacement de ces données en écrivant à l'adresse indiquée à l'article 8.
L'utilisation et le transfert à toute autre application des informations reçues des API Google par Lib et Lou respectent la Politique relative aux données utilisateur des services d'API Google (Google API Services User Data Policy), y compris les exigences d'utilisation limitée (Limited Use).
Base légale : exécution du contrat pour la connexion des clients, intérêt légitime de Rozaliz SAS pour l'outil interne de l'équipe.

4. Destinataires et sous-traitants
Les données personnelles sont exclusivement destinées à Rozaliz et à ses sous-traitants techniques intervenant pour le compte de Lib et Lou dans la limite de leurs missions.

Sous-traitants principaux :
- OVHcloud (hébergement du site, de sa base de données et de ses fichiers, France)
- Hetzner Online GmbH (conservation des sauvegardes chiffrées, Allemagne)
- Cloudflare, Inc. (réseau et sécurité du trafic du site, États-Unis)
- Stripe Payments Europe Ltd. (prestataire de paiement : paiements sécurisés, prévention de la fraude et vérification d'identité, Irlande)
- Brevo (Sendinblue SAS) (e-mails et SMS, suivi des envois, chat et messages du service client, France)
- Sendcloud, Mondial Relay et GLS (préparation, envoi et suivi des colis, choix du point de retrait)
- Google (connexion avec Google ; mesure d'audience et publicité après consentement)
- Addingwell (serveur de mesure d'audience, après consentement, France)
- Meta Platforms et Pinterest (publicité et mesure des campagnes, après consentement)
- Hotjar (mesure d'audience, après consentement)
- Anthropic (assistant interne de l'équipe et résumés des avis, États-Unis)
- Slack (alertes et notifications internes à l'équipe, États-Unis)

Lorsque vous saisissez une adresse, sa recherche est faite par le service public de la Base Adresse Nationale (IGN), sans autre donnée vous concernant.
Le service client peut aussi recevoir des transporteurs les informations utiles au suivi de vos colis.

Rozaliz ne vend, ne loue et ne cède jamais les données personnelles à des tiers.

5. Durée de conservation des données
Les données personnelles sont conservées uniquement pendant la durée nécessaire aux finalités pour lesquelles elles ont été collectées :
- Données de compte client : conservées pendant toute la durée de l'abonnement, puis 3 ans après la fin de la relation commerciale (sauf demande de suppression).
- Données de commande et de facturation, cartes cadeaux comprises : conservées pendant 10 ans conformément aux obligations comptables et fiscales.
- Données liées à la prospection commerciale (emails, newsletters, offres) : conservées pendant 3 ans à compter du dernier contact avec la personne concernée.
- Messages adressés au service client et demandes des professionnels : 3 ans.
- Réponses du parcours d'inscription avant la création du compte : 30 jours.
- Alertes de retour d'un jeu : 2 ans après leur envoi ou leur annulation.
- Origine des visites et des connexions : 13 mois.
- Pages consultées par les clients connectés : 13 mois.
- Données techniques (logs, adresses IP, cookies analytiques) : conservées pendant une durée maximale de 13 mois.
- Preuve de votre choix sur les cookies et de votre inscription à la newsletter : tant que ce choix vaut, puis 6 ans au plus.
- Données liées aux demandes d'exercice de droits (RGPD) : conservées pendant 3 ans à titre de preuve.
- Preuve de l'acceptation des conditions générales : pendant toute la relation commerciale, puis 5 ans.
- Résultats des contrôles antifraude et des vérifications d'identité : pendant toute la relation commerciale, puis 3 ans.
- Justificatif demandé lors d'une vérification : supprimé dès la fin de la vérification.
- Liste d'exclusion : 3 ans à compter de la résiliation pour manquement grave.

À l'issue de ces durées, les données sont supprimées ou rendues anonymes.

6. Cookies, traceurs et suivi des e-mails
Le site libetlou.com utilise des cookies nécessaires à son bon fonctionnement et, sous réserve de votre consentement, des cookies de mesure d'audience et publicitaires.
- Cookies nécessaires : fonctionnement du site, connexion, panier, paiement, sécurité, mémorisation de votre choix sur les cookies (6 mois), reprise du parcours d'inscription (30 jours), bandeaux fermés. La page de paiement charge le module de Stripe, qui dépose ses propres traceurs de sécurité.
- Mesure interne : un cookie de Lib et Lou (30 jours) retient l'origine de votre visite pour la rattacher à votre inscription ou à votre connexion ; il n'est lu que par nos serveurs.
- Cookies de mesure d'audience : Google Analytics par Google Tag Manager, Hotjar.
- Cookies publicitaires : Google Ads, Meta (Facebook, Instagram) et Pinterest, ainsi que l'identifiant du lien publicitaire suivi (30 jours).
- Chat et vidéos : le chat du service client (Brevo) et les vidéos YouTube ou Vimeo ne se chargent que si vous cliquez dessus.

Lors de votre première visite, une bannière vous permet de tout accepter, de gérer vos préférences ou de n'accepter que les cookies nécessaires. Vous pouvez modifier vos préférences à tout moment via le lien « Gérer mes cookies » présent en bas de page. Si vous retirez votre accord, les cookies concernés sont effacés.
Durée maximale de conservation des cookies : 13 mois à compter de leur dépôt.

Pixels et balises de suivi dans nos e-mails :
Afin de mesurer l'efficacité de nos communications et d'adapter le contenu de nos newsletters (via notre outil d'envoi Brevo), nos e-mails marketing intègrent des indicateurs techniques (pixels de suivi). Ces images de très petite taille nous permettent de savoir si un message a été ouvert et si des liens ont été cliqués.

Vous pouvez retirer votre consentement ou vous opposer à ce suivi à tout moment en configurant votre messagerie pour qu'elle ne charge pas automatiquement les images distantes, ou en cliquant sur le lien de désinscription / gestion des préférences figurant au bas de chacun de nos e-mails marketing.

7. Sécurité des données
Rozaliz met en œuvre toutes les mesures techniques et organisationnelles nécessaires pour garantir la sécurité et la confidentialité des données personnelles, notamment :
- chiffrement SSL/TLS des communications,
- hébergement sur serveurs sécurisés,
- limitation des accès aux seules personnes habilitées,
- sauvegardes automatiques chiffrées, conservées hors du lieu d'hébergement,
- tokenisation et non-conservation des données bancaires (Stripe).

8. Vos droits
Conformément au RGPD, vous disposez des droits suivants :
- Droit d'accès : obtenir la confirmation qu'un traitement est en cours et en recevoir une copie.
- Droit de rectification : corriger des données inexactes ou incomplètes.
- Droit à l'effacement : demander la suppression de vos données, sauf obligations légales de conservation.
- Droit à la limitation : restreindre temporairement le traitement de vos données.
- Droit d'opposition : vous opposer à certains traitements, notamment de prospection commerciale, au suivi d'ouverture des e-mails ou au suivi des pages consultées.
- Droit à la portabilité : recevoir vos données dans un format structuré et courant.
- Droit de retrait du consentement : retirer votre accord à tout moment pour les traitements fondés sur le consentement.
- Droit de définir des directives post-mortem : fixer des instructions relatives à la conservation, l'effacement et la communication de vos données après votre décès.

Pour exercer vos droits, adressez-vous à :
Email : [email protected] (objet « DPO »)
ou par courrier à : Rozaliz SAS, Service DPO, 46 bis, rue Armand Brunet, 18100 Vierzon, France.

Rozaliz s'engage à répondre dans un délai maximal d'un mois à compter de la réception de la demande.
Vous disposez également du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente (CNIL) : www.cnil.fr.

9. Transfert international de données
Certains de nos sous-traitants (notamment Google, Meta, Pinterest, Anthropic, Cloudflare et Slack) peuvent traiter des données en dehors de l'Union européenne, en particulier aux États-Unis. Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne pour les sociétés certifiées au cadre de protection des données UE-États-Unis (Data Privacy Framework) ou, à défaut, par les clauses contractuelles types approuvées par la Commission européenne.

10. Mise à jour de la politique
Rozaliz se réserve le droit de modifier la présente politique à tout moment, notamment pour se conformer à toute évolution légale, réglementaire ou technique.
La version à jour est accessible en permanence sur https://libetlou.com.
En cas de modification substantielle, les utilisateurs concernés seront informés par courrier électronique ou notification sur leur compte client.

11. Contact
Pour toute question relative à la présente politique ou au traitement de vos données :
Email : [email protected] (mentionner « DPO » dans l'objet du message)