Politique de confidentialité

La présente traduction est fournie à titre d'information. Seule la version allemande fait foi.

La protection de vos données personnelles nous tient particulièrement à cœur. Nous traitons donc vos données exclusivement sur le fondement des dispositions légales (RGPD, TKG 2021 autrichienne).

Sécurité — TLS (Transport Layer Security)

Le processus de commande est transmis via une connexion TLS chiffrée. Nous protégeons ainsi vos données pendant leur transmission contre tout accès non autorisé, au moyen de mesures conformes à l'état de la technique (art. 32 du RGPD). Nul ne peut toutefois garantir une sécurité absolue pour des données transmises sur Internet.

Responsable du traitement

Le responsable du traitement au sens du RGPD est Adelwöhrer & Puffer OG.
Adresse : Prankergasse 49, 8020 Graz, Österreich · Numéro de TVA : ATU82108559.
Joignable par e-mail à l'adresse office@alpenhigh.eu.

Délégué à la protection des données

Aucun délégué à la protection des données n'a été désigné ; il n'existe aucune obligation de désignation au titre de l'art. 37 du RGPD.

Hébergement

AlpenHigh est exploité sur des serveurs Hetzner situés en Allemagne (centres de données UE de Falkenstein/Nuremberg). Aucun transfert de données vers des pays tiers n'a lieu, sauf mention explicite contraire. Nous n'utilisons aucun CDN — la livraison des pages s'effectue directement depuis le serveur d'origine Hetzner, sans passer par un réseau périphérique (« edge ») situé aux États-Unis ; le chargement des pages ne comporte donc aucun transfert Schrems II vers les États-Unis.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité des données, de retrait du consentement et d'opposition. Vous pouvez exercer ces droits par e-mail à office@alpenhigh.eu ou par courrier postal.

• Accès : vous pouvez télécharger les données vous concernant que nous conservons, au format JSON, sous /account/data-export.
• Effacement : vous pouvez supprimer vous-même votre compte sous /account/delete. Tant qu'un point reste ouvert, par exemple une commande en cours, un versement en attente, une annonce active ou un avoir qui doit encore être réglé, ce n'est pas encore possible ; nous vous indiquons avant la suppression ce qui reste ouvert, et la suppression devient possible dès que ces points sont réglés (art. 17, § 3, du RGPD). La suppression entraîne l'effacement de votre profil, de vos adresses enregistrées, de vos sessions, de vos jetons et de vos clés de sécurité (MFA). Les données de commande et de facturation, y compris le nom et l'adresse de livraison/facturation figés sur la commande, sont conservées pendant 7 ans en vertu d'obligations légales de conservation en matière commerciale et fiscale (§ 132 BAO, § 190 UGB). Si votre compte est lié à un profil d'auteur du blog, le lien est rompu ; le profil d'auteur publié lui-même (nom, courte biographie, photo, site web) subsiste en tant que partie de nos contenus éditoriaux — voir la section « Profils d'auteur du blog ».

Vous disposez également du droit d'introduire une réclamation auprès de l'autorité autrichienne de protection des données (Datenschutzbehörde, Barichgasse 40-42, 1030 Vienne, dsb.gv.at) si vous estimez que vos droits ont été violés.

Fondements juridiques du traitement (art. 13, § 1, point c) du RGPD)

Aucune décision automatisée au sens de l'art. 22 du RGPD n'est prise. Il n'y a pas non plus de profilage.

Fourniture de vos données (art. 13, § 2, point e) du RGPD)

Certaines informations nous sont nécessaires pour pouvoir conclure et exécuter un contrat avec vous. Les fournir n'est pas une obligation légale, mais une condition contractuelle :

• Adresse e-mail — pour créer votre compte et vous connecter, ainsi que pour la confirmation de commande que nous devons vous adresser sur un support durable (§ 7, al. 3, FAGG).
• Date de naissance — pour la vérification de l'âge ; nous ne cédons notre assortiment qu'aux personnes de 18 ans et plus.
• Nom et adresse de livraison — pour l'expédition et la livraison, ainsi que pour la facture que nous devons conserver sept ans (§ 132 BAO).

Sans ces informations, nous ne pouvons ni créer de compte ni accepter ou livrer une commande. Il n'y a pas d'autre conséquence.

Tout le reste est facultatif : numéro de téléphone, photo de profil, adresse de facturation différente de l'adresse de livraison ou texte d'un avis produit. Ne pas les fournir ne vous porte aucun préjudice ; seule la fonction concernée n'est alors pas disponible.

Destinataires et sous-traitants (art. 13, § 1, point e) du RGPD)

Durées de conservation (art. 13, § 2, point a) du RGPD)

Transferts vers des pays tiers, aux États-Unis (art. 13, § 1, point f) du RGPD)

Les traitements suivants impliquent un transfert de données à caractère personnel vers des destinataires situés aux États-Unis (pays tiers au sens des art. 44 et suivants du RGPD) :

• Postmark / ActiveCampaign LLC, Boston, MA — e-mails transactionnels (confirmation de commande, facture, notification d'expédition, réinitialisation de mot de passe) et envoi de la newsletter. Pour la newsletter, votre adresse e-mail et votre nom d'affichage sont transmis. Mécanisme de transfert : décision d'adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework ; décision d'exécution (UE) 2023/1795, art. 45 du RGPD). ActiveCampaign LLC et AC PM LLC, qui exploite Postmark, sont certifiées au titre du Data Privacy Framework (liste du département du Commerce des États-Unis). À titre complémentaire, notre contrat avec Postmark comprend des clauses contractuelles types au titre de l'art. 46, § 2, point c) du RGPD, qui prendraient le relais comme garantie si la décision d'adéquation cessait de s'appliquer.
• Plisio, Inc., États-Unis — traitement de votre paiement en cryptomonnaie, uniquement si vous choisissez de payer par ce moyen. Au chargement de la page de paiement hébergée par Plisio, celui-ci reçoit votre adresse IP et les données de transaction on-chain ; nous transmettons en outre votre adresse e-mail pour la confirmation de paiement et, en cas de remboursement, l’adresse du portefeuille de remboursement que vous indiquez, la cryptomonnaie et le montant. Plisio n'est pas un sous-traitant agissant pour notre compte, mais un responsable du traitement indépendant pour les données qu'il collecte lors du paiement ; les demandes d'accès ou d'effacement relatives à ces données sont donc à adresser à Plisio, celles relatives aux données de votre commande à nous. Aucune décision d'adéquation de la Commission européenne ni aucune clause contractuelle type n'est en place pour Plisio. Le transfert repose donc sur l'art. 49, § 1, point b) du RGPD (transfert nécessaire à l'exécution du contrat de paiement que vous engagez en choisissant ce mode de paiement). Selon la politique de confidentialité de Plisio, celui-ci ne conserve pas les détails des transactions. Si vous préférez ne transmettre aucune donnée vers les États-Unis lors du paiement, choisissez plutôt le virement bancaire SEPA ou les espèces par courrier : Plisio n'intervient dans aucun des deux cas. Quel que soit le mode de paiement choisi, nous envoyons nos e-mails relatifs à la commande (confirmation, facture, notification d'expédition) via Postmark aux États-Unis, sur le fondement de la décision d'adéquation relative à l'EU-U.S. Data Privacy Framework mentionnée ci-dessus.

Vous avez le droit de demander une copie des garanties applicables (texte des clauses contractuelles types ou notification de la décision d'adéquation) ; écrivez à office@alpenhigh.eu.

Transmission à des tiers

Nous ne transmettons vos données à caractère personnel, y compris votre adresse postale et votre adresse e-mail, à des tiers que dans les cas suivants : lorsque cela est nécessaire à l'exécution de votre contrat (par exemple à notre prestataire de paiement en cryptomonnaies si vous choisissez ce mode de paiement ; voir le tableau des destinataires ci-dessus) ; lorsque vous y avez expressément consenti (vous pouvez retirer ce consentement à tout moment, avec effet pour l'avenir) ; lorsque nous y sommes légalement tenus ou qu'une autorité nous le demande de manière licite, par exemple l'administration fiscale dans le cadre d'un contrôle, les tribunaux ou les autorités de poursuite pénale (art. 6, § 1, point c) du RGPD, § 143 et § 147 BAO) ; ou lorsque cela est nécessaire à la constatation ou à la défense de droits en justice (art. 6, § 1, point f) du RGPD). Les prestataires partenaires ne reçoivent que les données strictement nécessaires au traitement de la commande.

Conservation des données

Les données clients — notamment le nom, l'adresse et les informations de paiement — sont conservées aux fins du traitement de la commande. Les données de commande et de facturation sont conservées sous forme inaltérable pendant sept ans en vertu du § 132 BAO et du § 190 UGB. La suppression d'un compte entraîne la suppression de votre profil actif, de vos adresses enregistrées, de vos sessions, de vos jetons et de vos clés de sécurité ; les données de commande et de facturation devant être conservées légalement — y compris le nom et l'adresse de livraison/facturation figés sur la commande — n'en sont pas affectées.

Adresses IP traitées

Nous collectons votre adresse IP aux points clairement délimités suivants. Le fondement juridique est, dans chaque cas, l'art. 6, § 1, point f) du RGPD (intérêt légitime à la prévention de la fraude, à l'audit de sécurité et à la traçabilité légalement requise), sauf indication contraire :

• Connexion (cookie de session) : IP collectée lors de la création d'une session de connexion, conservée pendant la durée de la session (fenêtre glissante plafonnée à 30 jours à compter de la création) et supprimée à l'expiration de la session.
• Journal d'audit : IP pour chaque action pertinente en matière de sécurité (connexion, réinitialisation de mot de passe, modification MFA, commande, changement d'adresse). Conservée 90 jours dans son intégralité, puis masquée au niveau /24. L'entrée devient alors pseudonyme et est conservée pendant au moins 7 ans à titre de preuve comptable (§ 132 BAO, § 190 UGB) et, au-delà, aussi longtemps que nécessaire, pour la lutte contre la fraude et les abus (art. 6, § 1, point f), du RGPD).
• Consentement à la newsletter : IP collectée lors de l'activation du bouton d'inscription à la newsletter — l'art. 7, § 1, du RGPD exige une preuve du consentement. Conservée tant que le consentement est en vigueur ; après retrait, l'IP est supprimée dès que la preuve atteint trois ans (calculés à partir de l'octroi du consentement).
• Renonciation FAGG relative aux boutures : IP collectée lors de la soumission de la déclaration au moment de la validation de la commande. Conservée 90 jours dans son intégralité, puis masquée au niveau /24 (la déclaration elle-même, avec son horodatage, est conservée à titre de preuve).
• Changement d'adresse e-mail : IP collectée lors de la demande de changement d'adresse — lutte contre le piratage de compte. Conservée 7 jours après confirmation ou révocation ; les demandes expirées sont supprimées au plus tard 7 jours après leur expiration.
• Paiement en cryptomonnaie : si vous payez en cryptomonnaie, votre adresse IP parvient à notre prestataire de paiement en cryptomonnaie Plisio (États-Unis) dès que votre navigateur charge sa page de paiement hébergée. Fondement juridique : art. 6, § 1, point b) du RGPD ; voir la section relative aux transferts vers des pays tiers pour le mécanisme de transfert.
• Journal d'accès à l'API partenaire : si votre compte a créé une clé API pour l'interface partenaire commercial, nous enregistrons, à chaque appel API, l'adresse IP appelante (ainsi que la méthode, le chemin et le périmètre d'autorisation) à des fins de lutte contre la fraude et d'intégrité de l'interface. Conservée trois ans, puis masquée au niveau /24.
• Choix de la langue lors de votre première visite : si vous ouvrez le site sans préfixe de langue dans l'URL et que ni votre compte ni votre navigateur (Accept-Language) n'indiquent une langue que nous proposons, nous vous redirigeons vers la version linguistique correspondant au pays de votre adresse IP. La correspondance est établie localement sur notre serveur à partir d'un jeu de données fourni avec l'application — aucun tiers n'est interrogé et rien n'est conservé : l'adresse IP n'est évaluée en mémoire que pour cette seule requête. Fondement juridique : art. 6, § 1, point f) du RGPD (intérêt légitime à une première page compréhensible).
• Preuve d'acceptation (conditions générales / confidentialité / rétractation / avis de commande) : IP collectée à chaque acceptation d'une version publiée de nos conditions générales, de notre politique de confidentialité ou de nos conditions de rétractation — lors de l'inscription, lors d'une nouvelle acceptation à la suite d'une mise à jour, ainsi qu'à chaque passation de commande (y compris à la clôture d'une enchère) — et à chaque confirmation d'un avis de commande que nous avons activé au moment où vous passez une commande boutique. Fondement juridique : art. 7, § 1, du RGPD (preuve du consentement). L'IP est conservée dans le cadre de la preuve d'acceptation pendant toute la durée de vie de votre compte et masquée au niveau /24 à la suppression du compte ; la confirmation d'un avis de commande est conservée sur le même fondement comme preuve en cas de litige sur la commande.

L'adresse IP n'est pas utilisée à des fins de profilage ni de marketing. Vous pouvez consulter les valeurs enregistrées via votre export de données RGPD sous /account/data-export.

Liste de blocage des comptes bloqués

Si nous bloquons un compte pour violation et que ce compte est ensuite effacé à la demande de la personne concernée, nous conservons l'adresse e-mail du compte dans une liste de blocage interne. Sans cette conservation, l'effacement lèverait le blocage et la même adresse pourrait se réinscrire immédiatement. Le fondement juridique est notre intérêt légitime à faire respecter le blocage et à prévenir les abus (art. 6, § 1, point f) du RGPD). Cet intérêt est impérieux au sens de l'art. 21, § 1, du RGPD, car le blocage ne peut être appliqué qu'en mémorisant précisément cette adresse — à l'image d'une liste d'opposition publicitaire, qui doit conserver une adresse pour respecter durablement l'opposition.

La liste de blocage ne contient que l'adresse e-mail et la date du blocage. Elle n'est consultée que lors de la création d'un nouveau compte et lors du changement d'adresse e-mail d'un compte existant, et n'est utilisée à aucune autre fin ; rien n'est jamais envoyé à cette adresse. L'entrée subsiste tant que le blocage est justifié et est supprimée lorsque le blocage est levé.

Si vous supprimez vous-même votre compte sans qu'aucun blocage ne soit en vigueur, votre adresse e-mail n'est pas conservée.

Cookies

Nous utilisons exclusivement des cookies techniquement nécessaires, requis pour le fonctionnement du site et la connexion :

• Cookie de session — vous maintient connecté après la connexion.
• Cookie MFA (temporaire) — utilisé uniquement pendant l'étape de confirmation MFA.
• Choix de la langue — déposé uniquement lorsque vous changez vous-même de langue (sélecteur dans l'en-tête ou réglage du profil) ; il mémorise ce choix (allemand, anglais, français, espagnol) pendant 30 jours. La simple consultation du site ne dépose rien : la langue est portée par le préfixe de l'URL (/de, /en, /fr, /es).
• Intention de panier (temporaire) — si vous cliquez sur « Ajouter au panier » avant de vous être connecté, un cookie de courte durée mémorise l'article afin qu'il soit ajouté à votre panier une fois connecté. Expire au bout de 7 jours.
• Cookie de connexion par clé d'accès (temporaire) — utilisé uniquement pendant la connexion par clé d'accès (passkey), expire au bout de quelques minutes.
• Bandeau d'information fermé (temporaire) — déposé uniquement lorsque vous fermez vous-même le bandeau en haut de la page ; il ne mémorise que le bandeau que vous avez fermé. Il prend fin au bout de 24 heures ; si nous modifions le texte du bandeau, celui-ci réapparaît.
• Choix du thème — déposé uniquement lorsque vous basculez vous-même entre le thème clair et le thème sombre ; il ne mémorise que ce choix (clair ou sombre) pendant 30 jours.

Nous n'utilisons aucun cookie de suivi, d'analyse ou de marketing, et nous n'intégrons aucun cookie tiers. C'est pourquoi nous n'affichons pas de bandeau de cookies : il n'y a rien pour lequel vous devriez donner votre consentement.

Vous pouvez configurer votre navigateur pour bloquer les cookies — cela limitera toutefois les fonctionnalités de ce site (la connexion, par exemple, ne sera alors pas possible).

Newsletter

L'abonnement à une newsletter suppose votre consentement exprès. L'inscription s'effectue exclusivement depuis votre compte, sous /account/newsletter — il n'existe pas d'inscription anonyme par e-mail. Cela garantit que vous seul pouvez inscrire votre adresse (votre e-mail a été confirmé lors de l'inscription).

Fondement juridique : art. 6, § 1, point a) du RGPD (consentement), § 174 TKG 2021.

Quelles données : votre adresse e-mail de compte, votre nom d'affichage (utilisé dans la formule d'appel), la date de votre consentement ainsi que l'adresse IP depuis laquelle vous avez activé le bouton d'inscription (art. 7, § 1, du RGPD — preuve du consentement). La newsletter est envoyée via Postmark (ActiveCampaign LLC, États-Unis) sur le même fondement que nos e-mails transactionnels (décision d'adéquation relative à l'EU-U.S. Data Privacy Framework) ; votre adresse e-mail et votre nom d'affichage y sont transmis à des fins de livraison (voir la section relative aux transferts vers des pays tiers).

Remise : nous accordons actuellement une remise sur les commandes de la boutique aux abonnés disposant d'un compte particulier ; elle ne s'applique pas aux comptes professionnels ni aux commandes en autoliquidation (reverse charge). La remise est un avantage facultatif que nous pouvons modifier ou supprimer pour l'avenir ; c'est toujours le prix affiché dans votre panier qui fait foi. L'abonnement est facultatif : vous pouvez commander à tout moment sans être abonné, simplement sans cette remise.

Désabonnement : à tout moment, en un clic — soit via le lien de désabonnement figurant dans chaque e-mail de la newsletter (aucune connexion requise), soit directement sous /account/newsletter. Après le désabonnement, votre adresse est retirée de la liste de diffusion de la newsletter.

Avis sur les produits

En tant qu'acheteur, vous pouvez évaluer les produits achetés (étoiles, texte et photos facultatives). Les avis publiés sont visibles publiquement et affichent votre nom d'affichage ainsi que, le cas échéant, votre photo de profil, en même temps que le contenu de l'avis. Les avis peuvent être vérifiés par notre équipe avant publication ; en cas de refus, vous en verrez le motif dans votre compte.

Fondement juridique : art. 6, § 1, point b) du RGPD (la fonction d'avis fait partie du contrat d'utilisation ; la publication d'un avis est facultative).

Quelles données : note en étoiles, texte de l'avis, photos téléversées, nom d'affichage et photo de profil, référence à l'achat (pour l'indication « acheteur vérifié ») ainsi que la date de l'avis.

Durée de conservation : jusqu'à ce que vous supprimiez vous-même l'avis (possible à tout moment sous /account/reviews) ou jusqu'à la suppression de votre compte — la suppression du compte entraîne le retrait intégral de vos avis, y compris les photos.

Profils d'auteur du blog

Les articles de notre blog paraissent sous un profil d'auteur : nom, courte biographie, photo de profil et, le cas échéant, un site web. Un profil d'auteur peut être lié à un compte membre ; la personne liée est alors informée des nouveaux commentaires sur ses articles et ses propres commentaires portent une mention d'auteur sous l'article.

Fondement juridique : art. 6, § 1, point f) du RGPD — notre intérêt légitime à une paternité identifiable des contenus éditoriaux (transparence envers les lecteurs, origine professionnelle reconnaissable).

Quelles données : nom, courte biographie, photo de profil, site web ainsi que le lien avec un compte membre lorsqu'il existe.

Durée de conservation : un profil d'auteur subsiste tant que les articles correspondants sont publiés — y compris après la suppression du compte lié. La suppression du compte rompt le lien avec le compte ; le profil publié lui-même fait partie de nos contenus éditoriaux et est conservé au titre de l'exercice du droit à la liberté d'expression et d'information (art. 17, § 3, point a), du RGPD). Vous pouvez demander à tout moment la suppression ou la pseudonymisation de votre profil d'auteur à office@alpenhigh.eu ; nous retirons alors la biographie, la photo et le site web et remplaçons le nom, sauf motifs légitimes impérieux contraires (art. 21 du RGPD).

Signalements concernant des vendeurs

Les membres connectés peuvent nous signaler un vendeur via la page de l'enchère (« Signaler ce vendeur »). Le signalement est transmis exclusivement à notre équipe ; le vendeur signalé ne saura jamais qui l'a signalé. Après examen, nous vous informons via la cloche que votre signalement a été clos — sans détail sur les éventuelles mesures prises à l'égard du vendeur.

Quelles données : votre motif (texte libre), la référence à l'enchère et au vendeur signalé, les horodatages et l'état de traitement.

Base juridique : art. 6, par. 1, point f) du RGPD (traitement des notifications de contenus présumés illicites ou contraires aux règles, art. 16 du DSA) ; le signalement est volontaire.

Durée de conservation : pendant la durée de vie des comptes concernés. Si votre compte ou celui du vendeur signalé est supprimé (art. 17 du RGPD), nous supprimons définitivement le signalement.

Programme de parrainage

Les membres peuvent partager un lien d'invitation personnel. Si vous vous inscrivez via un tel lien, nous associons définitivement votre compte à celui du membre qui vous a invité. Nous vous l'indiquons directement sur le formulaire d'inscription, avant que vous ne créiez le compte.

Ce que voit la personne qui invite : votre nom affiché et si votre première commande a été définitivement validée, c'est-à-dire le statut « en attente » ou « crédité ». Elle ne voit ni votre adresse e-mail, ni votre adresse postale, ni le montant ou le contenu de vos commandes.

Pourquoi : selon les conditions du programme de parrainage, la personne qui invite peut recevoir un avoir, au plus tôt lorsque votre première commande est payée, livrée et que le délai de rétractation de 14 jours est écoulé. Les conditions complètes, y compris un éventuel nombre maximal de parrainages rémunérés, figurent dans le compte, sous « Portefeuille et parrainage ». L'association est la base de ce règlement et empêche qu'un même parrainage soit rémunéré deux fois.

Fondement juridique : art. 6, § 1, point b) du RGPD pour la personne qui invite (l'avoir fait partie des conditions générales) et art. 6, § 1, point f) du RGPD pour vous en tant que personne invitée (exécution et règlement du programme). Vous pouvez vous opposer à ce traitement à tout moment (art. 21 du RGPD) par un simple message à office@alpenhigh.eu. Si vous vous inscrivez sans lien d'invitation, aucune association n'est créée.

Durée de conservation : tant que les deux comptes existent. Un compte jamais confirmé est supprimé au bout de 30 jours, avec son association de parrainage. Lors de la suppression d'un compte, celui-ci est anonymisé : le nom affiché disparaît donc aussi de la liste de parrainage de la personne qui a invité. L'avoir lui-même est une écriture du portefeuille et est conservé 7 ans (§ 132 BAO).

Cartes cadeaux

Lorsque quelqu'un vous offre une carte cadeau, cette personne saisit chez nous votre adresse e-mail. Nous n'avons donc pas reçu votre adresse de vous-même (art. 14 du RGPD). Nous l'utilisons uniquement pour vous remettre le cadeau : vous recevez un e-mail avec la carte cadeau au format PDF. Cela ne vous inscrit ni à de la publicité ni à la newsletter.

Fondement juridique : art. 6, § 1, point f) du RGPD (intérêt légitime à la remise du cadeau). Si vous avez un compte chez nous, l'art. 6, § 1, point b) du RGPD s'applique en outre au transfert de la carte sur votre compte.

Quelles données : votre adresse e-mail, la date de l'offre et le montant de la carte. L'adresse figure également dans le journal de transfert de la carte, qui nous permet de retracer qui a transmis la carte et quand.

Durée de conservation : jusqu'à ce que le cadeau soit accepté, refusé ou retiré par la personne qui l'offre, et au maximum 12 mois à compter de l'offre. Votre adresse est ensuite supprimée de la carte et du journal de transfert ; le journal est conservé sans votre adresse.

Vos droits : vous pouvez vous opposer à ce traitement à tout moment et demander l'accès ou l'effacement. Un simple message à office@alpenhigh.eu suffit ; vous n'avez pas besoin d'un compte.

Téléversement d'une pièce d'identité lors d'une candidature vendeur ou professionnel

Si vous demandez à devenir vendeur ou compte professionnel, le formulaire d'intégration vous invite à téléverser une pièce d'identité avec photo (carte d'identité nationale ou passeport). Cette étape sert exclusivement :

• à la vérification de l'âge (vente de marchandises soumises à une restriction d'âge),
• à la vérification de l'identité du vendeur pour l'intégrité de la place de marché,
• à la lutte contre la fraude et le blanchiment de capitaux.

Conservation : le fichier est chiffré au moyen d'AES-256-GCM immédiatement après le téléversement et enregistré sur notre serveur ; la clé réside exclusivement dans l'environnement serveur et jamais dans la base de données. Le document n'existe à aucun moment en clair sur le disque.

Accès : seuls le personnel opérateur et de vérification d'AlpenHigh peuvent brièvement consulter le document dans le navigateur aux fins de l'examen de la candidature. Chaque accès individuel est consigné dans le journal d'audit avec horodatage, identifiant du réviseur et adresse IP.

Durée de conservation : 5 ans après la fin de la relation d'affaires (droit européen de lutte contre le blanchiment), puis suppression. En cas de rejet de la candidature ou d'anonymisation du compte, le document est supprimé plus tôt.

Fondement juridique : art. 6, § 1, point b) du RGPD (vérification précontractuelle de l'identité lors de l'intégration du vendeur) et point f) (intérêt légitime à l'intégrité de la place de marché, à la vérification des vendeurs et à la lutte contre la fraude). Le numéro de la pièce d'identité et la photographie ne font l'objet d'aucun traitement ultérieur actif de notre part — ils demeurent exclusivement chiffrés et ne sont déchiffrés qu'à l'occasion d'une demande concrète d'un réviseur.

Contact

Les données que vous nous transmettez par e-mail ou via le formulaire de contact sont utilisées pour traiter votre demande et d'éventuelles questions ultérieures. Nous les supprimons dès que nous n'en avons plus besoin à cette fin, en règle générale huit semaines après le traitement de la demande. Si votre demande concerne une commande, nous conservons la correspondance aussi longtemps qu'elle est nécessaire au traitement de la commande et aux éventuelles prétentions qui en découlent, en règle générale jusqu'à trois ans (art. 17, § 3, point e), du RGPD et délais de prescription prévus par l'ABGB). Lorsqu'un message devient une pièce comptable, par exemple votre déclaration de rétractation ou de remboursement relative à une commande, la conservation légale de sept ans s'applique (§ 132 BAO). L'e-mail que nous envoyons figure en outre dans le journal des e-mails envoyés, voir le tableau « Durées de conservation ». Base juridique : art. 6, § 1, point f) du RGPD (réponse à votre demande) ou, lorsque la demande concerne une commande existante ou envisagée, point b) du RGPD.