Politique de confidentialité

La présente traduction est fournie à titre d'information. Seule la version allemande fait foi.

La protection de vos données personnelles nous tient particulièrement à cœur. Nous traitons donc vos données exclusivement sur le fondement des dispositions légales (RGPD, TKG 2021 autrichienne).

Sécurité — TLS (Transport Layer Security)

Le processus de commande est transmis au moyen du protocole TLS (Transport Layer Security). Nous chiffrons vos données afin d'empêcher tout accès non autorisé et de garantir que les informations n'atteignent que le serveur prévu.

Responsable du traitement

Le responsable du traitement au sens du RGPD est Adelwöhrer & Puffer OG.
Adresse : Prankergasse 49, 8020 Graz, Österreich · Numéro de TVA : ATU82108559.
Joignable par e-mail à l'adresse office@alpenhigh.eu.

Délégué à la protection des données

Aucun délégué à la protection des données n'a été désigné ; il n'existe aucune obligation de désignation au titre de l'art. 37 du RGPD.

Hébergement

AlpenHigh est exploité sur des serveurs Hetzner situés en Allemagne (centres de données UE de Falkenstein/Nuremberg). Aucun transfert de données vers des pays tiers n'a lieu, sauf mention explicite contraire. Nous n'utilisons aucun CDN — la livraison des pages s'effectue directement depuis le serveur d'origine Hetzner, sans passer par un réseau périphérique (« edge ») situé aux États-Unis ; le chargement des pages ne comporte donc aucun transfert Schrems II vers les États-Unis.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité des données, de retrait du consentement et d'opposition. Vous pouvez exercer ces droits par e-mail à office@alpenhigh.eu ou par courrier postal.

• Accès : vous pouvez télécharger les données vous concernant que nous conservons, au format JSON, sous /account/data-export.
• Effacement : vous pouvez supprimer votre compte sous /account/delete. Cela entraîne la suppression de votre profil, de vos adresses enregistrées, de vos sessions, de vos jetons et de vos clés de sécurité (MFA). Les données de commande et de facturation — y compris le nom et l'adresse de livraison/facturation figés sur la commande — sont conservées pendant 7 ans en vertu d'obligations légales de conservation en matière commerciale et fiscale (§ 132 BAO, § 190 UGB).

Vous disposez également du droit d'introduire une réclamation auprès de l'autorité autrichienne de protection des données (Datenschutzbehörde, Barichgasse 40-42, 1030 Vienne, dsb.gv.at) si vous estimez que vos droits ont été violés.

Fondements juridiques du traitement (art. 13, § 1, point c) du RGPD)

Aucune décision automatisée au sens de l'art. 22 du RGPD n'est prise. Il n'y a pas non plus de profilage.

Destinataires et sous-traitants (art. 13, § 1, point e) du RGPD)

Durées de conservation (art. 13, § 2, point a) du RGPD)

Transferts vers des pays tiers, aux États-Unis (art. 13, § 1, point f) du RGPD)

Les traitements suivants impliquent un transfert de données à caractère personnel vers des destinataires situés aux États-Unis (pays tiers au sens des art. 44 et suivants du RGPD) :

• Postmark / ActiveCampaign LLC, Boston, MA — e-mails transactionnels (confirmation de commande, facture, notification d'expédition, réinitialisation de mot de passe) et envoi de la newsletter. Pour la newsletter, votre adresse e-mail et votre nom d'affichage sont transmis. Mécanisme de transfert : clauses contractuelles types au titre de l'art. 46, § 2, point c) du RGPD.
• Plisio, Inc., États-Unis — traitement de votre paiement en cryptomonnaie, uniquement si vous choisissez de payer par ce moyen. Au chargement de la page de paiement hébergée par Plisio, celui-ci reçoit votre adresse IP et les données de transaction on-chain ; nous transmettons en outre votre adresse e-mail pour la confirmation de paiement et, en cas de remboursement, l’adresse du portefeuille de remboursement que vous indiquez, la cryptomonnaie et le montant. Aucune décision d'adéquation de la Commission européenne ni aucune clause contractuelle type n'est en place pour Plisio. Le transfert repose donc sur l'art. 49, § 1, point b) du RGPD (transfert nécessaire à l'exécution du contrat de paiement que vous engagez en choisissant ce mode de paiement). Selon la politique de confidentialité de Plisio, celui-ci ne conserve pas les détails des transactions. Si vous préférez ne transférer aucune donnée vers les États-Unis, choisissez plutôt le virement bancaire SEPA (aucun transfert vers un pays tiers).

Vous avez le droit de demander une copie des garanties applicables (texte des clauses contractuelles types ou notification de la décision d'adéquation) ; écrivez à office@alpenhigh.eu.

Transmission à des tiers

Nous ne transmettons vos données à caractère personnel — y compris votre adresse postale et votre adresse e-mail — à des tiers que si cela est nécessaire à l'exécution de votre contrat (par exemple à notre prestataire de paiement en cryptomonnaies si vous choisissez ce mode de paiement ; voir le tableau des destinataires ci-dessus) ou si vous y avez consenti de manière expresse et révocable à tout moment. Les prestataires partenaires ne reçoivent que les données strictement nécessaires au traitement de la commande.

Conservation des données

Les données clients — notamment le nom, l'adresse et les informations de paiement — sont conservées aux fins du traitement de la commande. Les données de commande et de facturation sont conservées sous forme inaltérable pendant sept ans en vertu du § 132 BAO et du § 190 UGB. La suppression d'un compte entraîne la suppression de votre profil actif, de vos adresses enregistrées, de vos sessions, de vos jetons et de vos clés de sécurité ; les données de commande et de facturation devant être conservées légalement — y compris le nom et l'adresse de livraison/facturation figés sur la commande — n'en sont pas affectées.

Adresses IP traitées

Nous collectons votre adresse IP aux points clairement délimités suivants. Le fondement juridique est, dans chaque cas, l'art. 6, § 1, point f) du RGPD (intérêt légitime à la prévention de la fraude, à l'audit de sécurité et à la traçabilité légalement requise), sauf indication contraire :

• Connexion (cookie de session) : IP collectée lors de la création d'une session de connexion, conservée pendant la durée de la session (fenêtre glissante plafonnée à 30 jours à compter de la création) et supprimée à l'expiration de la session.
• Journal d'audit : IP pour chaque action pertinente en matière de sécurité (connexion, réinitialisation de mot de passe, modification MFA, commande, changement d'adresse). Conservée 90 jours dans son intégralité, puis masquée au niveau /24 ; conservation totale de sept ans (traçabilité forensique au titre de l'UGB).
• Consentement à la newsletter : IP collectée lors de l'activation du bouton d'inscription à la newsletter — l'art. 7, § 1, du RGPD exige une preuve du consentement. Conservée tant que le consentement est en vigueur ; après retrait, l'IP est supprimée dès que la preuve atteint trois ans (calculés à partir de l'octroi du consentement).
• Renonciation FAGG relative aux boutures : IP collectée lors de la soumission de la déclaration au moment de la validation de la commande. Conservée 90 jours dans son intégralité, puis masquée au niveau /24 (la déclaration elle-même, avec son horodatage, est conservée à titre de preuve).
• Changement d'adresse e-mail : IP collectée lors de la demande de changement d'adresse — lutte contre le piratage de compte. Conservée 7 jours après confirmation ou révocation ; les demandes expirées sont supprimées au plus tard 7 jours après leur expiration.
• Paiement en cryptomonnaie : si vous payez en cryptomonnaie, votre adresse IP parvient à notre prestataire de paiement en cryptomonnaie Plisio (États-Unis) dès que votre navigateur charge sa page de paiement hébergée. Fondement juridique : art. 6, § 1, point b) du RGPD ; voir la section relative aux transferts vers des pays tiers pour le mécanisme de transfert.
• Journal d'accès à l'API partenaire : si votre compte a créé une clé API pour l'interface partenaire commercial, nous enregistrons, à chaque appel API, l'adresse IP appelante (ainsi que la méthode, le chemin et le périmètre d'autorisation) à des fins de lutte contre la fraude et d'intégrité de l'interface. Conservée trois ans, puis masquée au niveau /24.
• Choix de la langue lors de votre première visite : si vous ouvrez le site sans préfixe de langue dans l'URL et que ni votre compte ni votre navigateur (Accept-Language) n'indiquent une langue que nous proposons, nous vous redirigeons vers la version linguistique correspondant au pays de votre adresse IP. La correspondance est établie localement sur notre serveur à partir d'un jeu de données fourni avec l'application — aucun tiers n'est interrogé et rien n'est conservé : l'adresse IP n'est évaluée en mémoire que pour cette seule requête. Fondement juridique : art. 6, § 1, point f) du RGPD (intérêt légitime à une première page compréhensible).
• Preuve d'acceptation (conditions générales / confidentialité / rétractation) : IP collectée à chaque acceptation d'une version publiée de nos conditions générales, de notre politique de confidentialité ou de nos conditions de rétractation — lors de l'inscription, lors d'une nouvelle acceptation à la suite d'une mise à jour, ainsi qu'à chaque passation de commande (y compris à la clôture d'une enchère). Fondement juridique : art. 7, § 1, du RGPD (preuve du consentement). L'IP est conservée dans le cadre de la preuve d'acceptation pendant toute la durée de vie de votre compte et masquée au niveau /24 à la suppression du compte.

L'adresse IP n'est pas utilisée à des fins de profilage ni de marketing. Vous pouvez consulter les valeurs enregistrées via votre export de données RGPD sous /account/data-export.

Liste de blocage des comptes bloqués

Si nous bloquons un compte pour violation et que ce compte est ensuite effacé à la demande de la personne concernée, nous conservons l'adresse e-mail du compte dans une liste de blocage interne. Sans cette conservation, l'effacement lèverait le blocage et la même adresse pourrait se réinscrire immédiatement. Le fondement juridique est notre intérêt légitime à faire respecter le blocage et à prévenir les abus (art. 6, § 1, point f) du RGPD). Cet intérêt est impérieux au sens de l'art. 21, § 1, du RGPD, car le blocage ne peut être appliqué qu'en mémorisant précisément cette adresse — à l'image d'une liste d'opposition publicitaire, qui doit conserver une adresse pour respecter durablement l'opposition.

La liste de blocage ne contient que l'adresse e-mail et la date du blocage. Elle n'est consultée que lors de la création d'un nouveau compte et lors du changement d'adresse e-mail d'un compte existant, et n'est utilisée à aucune autre fin ; rien n'est jamais envoyé à cette adresse. L'entrée subsiste tant que le blocage est justifié et est supprimée lorsque le blocage est levé.

Si vous supprimez vous-même votre compte sans qu'aucun blocage ne soit en vigueur, votre adresse e-mail n'est pas conservée.

Cookies

Nous utilisons exclusivement des cookies techniquement nécessaires, requis pour le fonctionnement du site et la connexion :

• Cookie de session — vous maintient connecté après la connexion.
• Cookie MFA (temporaire) — utilisé uniquement pendant l'étape de confirmation MFA.
• Choix de la langue — déposé uniquement lorsque vous changez vous-même de langue (sélecteur dans l'en-tête ou réglage du profil) ; il mémorise ce choix (allemand, anglais, français, espagnol) pendant 30 jours. La simple consultation du site ne dépose rien : la langue est portée par le préfixe de l'URL (/de, /en, /fr, /es).
• Intention de panier (temporaire) — si vous cliquez sur « Ajouter au panier » avant de vous être connecté, un cookie de courte durée mémorise l'article afin qu'il soit ajouté à votre panier une fois connecté. Expire au bout de 24 heures.
• Cookie de connexion par clé d'accès (temporaire) — utilisé uniquement pendant la connexion par clé d'accès (passkey), expire au bout de quelques minutes.

Nous n'utilisons aucun cookie de suivi, d'analyse ou de marketing, et nous n'intégrons aucun cookie tiers. C'est pourquoi nous n'affichons pas de bandeau de cookies : il n'y a rien pour lequel vous devriez donner votre consentement.

Vous pouvez configurer votre navigateur pour bloquer les cookies — cela limitera toutefois les fonctionnalités de ce site (la connexion, par exemple, ne sera alors pas possible).

Newsletter

L'abonnement à une newsletter suppose votre consentement exprès. L'inscription s'effectue exclusivement depuis votre compte, sous /account/newsletter — il n'existe pas d'inscription anonyme par e-mail. Cela garantit que vous seul pouvez inscrire votre adresse (votre e-mail a été confirmé lors de l'inscription).

Fondement juridique : art. 6, § 1, point a) du RGPD (consentement), § 174 TKG 2021.

Quelles données : votre adresse e-mail de compte, votre nom d'affichage (utilisé dans la formule d'appel), la date de votre consentement ainsi que l'adresse IP depuis laquelle vous avez activé le bouton d'inscription (art. 7, § 1, du RGPD — preuve du consentement). La newsletter est envoyée via Postmark (ActiveCampaign LLC, États-Unis) au titre des mêmes clauses contractuelles types que nos e-mails transactionnels ; votre adresse e-mail et votre nom d'affichage y sont transmis à des fins de livraison (voir la section relative aux transferts vers des pays tiers).

Remise : les abonnés disposant d'un compte particulier bénéficient d'une remise sur leurs commandes de la boutique ; elle ne s'applique pas aux comptes professionnels ni aux commandes en autoliquidation (reverse charge). L'abonnement est facultatif — vous pouvez commander à tout moment sans être abonné, simplement sans cette remise.

Désabonnement : à tout moment, en un clic — soit via le lien de désabonnement figurant dans chaque e-mail de la newsletter (aucune connexion requise), soit directement sous /account/newsletter. Après le désabonnement, votre adresse est retirée de la liste de diffusion de la newsletter.

Avis sur les produits

En tant qu'acheteur, vous pouvez évaluer les produits achetés (étoiles, texte et photos facultatives). Les avis publiés sont visibles publiquement et affichent votre nom d'affichage ainsi que, le cas échéant, votre photo de profil, en même temps que le contenu de l'avis. Les avis peuvent être vérifiés par notre équipe avant publication ; en cas de refus, vous en verrez le motif dans votre compte.

Fondement juridique : art. 6, § 1, point b) du RGPD (la fonction d'avis fait partie du contrat d'utilisation ; la publication d'un avis est facultative).

Quelles données : note en étoiles, texte de l'avis, photos téléversées, nom d'affichage et photo de profil, référence à l'achat (pour l'indication « acheteur vérifié ») ainsi que la date de l'avis.

Durée de conservation : jusqu'à ce que vous supprimiez vous-même l'avis (possible à tout moment sous /account/reviews) ou jusqu'à la suppression de votre compte — la suppression du compte entraîne le retrait intégral de vos avis, y compris les photos.

Programme de parrainage

Les membres peuvent partager un lien d'invitation personnel. Si vous vous inscrivez via un tel lien, nous associons définitivement votre compte à celui du membre qui vous a invité. Nous vous l'indiquons directement sur le formulaire d'inscription, avant que vous ne créiez le compte.

Ce que voit la personne qui invite : votre nom affiché et si votre première commande a été définitivement validée, c'est-à-dire le statut « en attente » ou « crédité ». Elle ne voit ni votre adresse e-mail, ni votre adresse postale, ni le montant ou le contenu de vos commandes.

Pourquoi : la personne qui invite reçoit un avoir dès que votre première commande est payée et que le délai de rétractation de 14 jours est écoulé. L'association est la base de ce règlement et empêche qu'un même parrainage soit rémunéré deux fois.

Fondement juridique : art. 6, § 1, point b) du RGPD pour la personne qui invite (l'avoir fait partie des conditions générales) et art. 6, § 1, point f) du RGPD pour vous en tant que personne invitée (exécution et règlement du programme). Vous pouvez vous opposer à ce traitement à tout moment (art. 21 du RGPD) par un simple message à office@alpenhigh.eu. Si vous vous inscrivez sans lien d'invitation, aucune association n'est créée.

Durée de conservation : tant que les deux comptes existent. Un compte jamais confirmé est supprimé au bout de 30 jours, avec son association de parrainage. Lors de la suppression d'un compte, celui-ci est anonymisé : le nom affiché disparaît donc aussi de la liste de parrainage de la personne qui a invité. L'avoir lui-même est une écriture du portefeuille et est conservé 7 ans (§ 132 BAO).

Cartes cadeaux

Lorsque quelqu'un vous offre une carte cadeau, cette personne saisit chez nous votre adresse e-mail. Nous n'avons donc pas reçu votre adresse de vous-même (art. 14 du RGPD). Nous l'utilisons uniquement pour vous remettre le cadeau : vous recevez un e-mail avec la carte cadeau au format PDF. Cela ne vous inscrit ni à de la publicité ni à la newsletter.

Fondement juridique : art. 6, § 1, point f) du RGPD (intérêt légitime à la remise du cadeau). Si vous avez un compte chez nous, l'art. 6, § 1, point b) du RGPD s'applique en outre au transfert de la carte sur votre compte.

Quelles données : votre adresse e-mail, la date de l'offre et le montant de la carte. L'adresse figure également dans le journal de transfert de la carte, qui nous permet de retracer qui a transmis la carte et quand.

Durée de conservation : jusqu'à ce que le cadeau soit accepté, refusé ou retiré par la personne qui l'offre, et au maximum 12 mois à compter de l'offre. Votre adresse est ensuite supprimée de la carte et du journal de transfert ; le journal est conservé sans votre adresse.

Vos droits : vous pouvez vous opposer à ce traitement à tout moment et demander l'accès ou l'effacement. Un simple message à office@alpenhigh.eu suffit ; vous n'avez pas besoin d'un compte.

Téléversement d'une pièce d'identité lors d'une candidature vendeur ou professionnel

Si vous demandez à devenir vendeur ou compte professionnel, le formulaire d'intégration vous invite à téléverser une pièce d'identité avec photo (carte d'identité nationale ou passeport). Cette étape sert exclusivement :

• à la vérification de l'âge (vente de marchandises soumises à une restriction d'âge),
• à la vérification de l'identité du vendeur pour l'intégrité de la place de marché,
• à la lutte contre la fraude et le blanchiment de capitaux.

Conservation : le fichier est chiffré au moyen d'AES-256-GCM immédiatement après le téléversement et enregistré sur notre serveur ; la clé réside exclusivement dans l'environnement serveur et jamais dans la base de données. Le document n'existe à aucun moment en clair sur le disque.

Accès : seuls le personnel opérateur et de vérification d'AlpenHigh peuvent brièvement consulter le document dans le navigateur aux fins de l'examen de la candidature. Chaque accès individuel est consigné dans le journal d'audit avec horodatage, identifiant du réviseur et adresse IP.

Durée de conservation : 5 ans après la fin de la relation d'affaires (droit européen de lutte contre le blanchiment), puis suppression. En cas de rejet de la candidature ou d'anonymisation du compte, le document est supprimé plus tôt.

Fondement juridique : art. 6, § 1, point b) du RGPD (vérification précontractuelle de l'identité lors de l'intégration du vendeur) et point f) (intérêt légitime à l'intégrité de la place de marché, à la vérification des vendeurs et à la lutte contre la fraude). Le numéro de la pièce d'identité et la photographie ne font l'objet d'aucun traitement ultérieur actif de notre part — ils demeurent exclusivement chiffrés et ne sont déchiffrés qu'à l'occasion d'une demande concrète d'un réviseur.

Contact

Les données que vous nous transmettez par e-mail ou via le formulaire de contact sont conservées exclusivement aux fins du traitement de votre demande et d'éventuelles questions ultérieures, pendant six mois au maximum (généralement huit semaines). Base juridique : art. 6, § 1, point f) du RGPD (réponse à votre demande) ou, lorsque la demande concerne une commande existante ou envisagée, point b) du RGPD.