Politique de confidentialité

Préambule

La présente Politique de Confidentialité décrit la manière dont la société BY TOUCH, éditrice de la marque Cocoricado, collecte, utilise, conserve et protège les données personnelles des utilisateurs du site cocoricado.fr.

BY TOUCH s'engage à respecter la réglementation applicable en matière de protection des données personnelles, et notamment :

• le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (Règlement Général sur la Protection des Données, dit « RGPD ») ;
• la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.

L'acceptation de la présente Politique de Confidentialité par l'Utilisateur résulte de l'utilisation du site cocoricado.fr.

1. Identité du responsable de traitement

Société BY TOUCH

Société à responsabilité limitée (SARL) au capital de 5 000 €

Siège social : 4 rue Lemercier, 75017 Paris

RCS Paris : 794 283 804

TVA intracommunautaire : FR58794283804

Gérance : Alexandre Partouche et Julie Partouche

Marque concernée par la présente Politique : Cocoricado (cocoricado.fr).

Contact pour toute question relative aux données personnelles :

• E-mail : contact@cocoricado.fr
• Courrier postal : BY TOUCH, 4 rue Lemercier, 75017 Paris

Compte tenu de la nature et du volume des traitements, BY TOUCH n'est pas tenue de désigner un Délégué à la Protection des Données (DPO) au sens de l'article 37 du RGPD. Le responsable des traitements est joignable directement aux coordonnées ci-dessus.

BY TOUCH tient un registre des traitements commun à l'ensemble de ses marques.

2. Données personnelles collectées

2.1. Via le formulaire de demande de devis

Lors de l'envoi du formulaire de demande de devis :

• Nom et prénom
• Adresse e-mail professionnelle
• Entreprise ou collectivité
• Numéro de téléphone (facultatif)
• Contenu du message ou besoin exprimé
• Produits et quantités sélectionnés, et date de livraison souhaitée
• Le cas échéant, l'indication que la demande répond à une consultation publique
• Le fichier de votre logo, si vous le joignez (facultatif)

Ces données sont nécessaires au traitement de la demande commerciale. À l'envoi du formulaire de devis, votre demande est transmise à notre prestataire d'hébergement des fonctions, Supabase, qui prépare votre proposition et la transmet à l'équipe commerciale. Vous recevez un accusé de réception ; la proposition vous est ensuite envoyée depuis la messagerie de Cocoricado.

2.2. Lors de la facturation et de l'exécution de commandes

En cas de passage de commande (signature d'un devis) :

• Coordonnées professionnelles complètes
• Adresse de livraison et de facturation
• Données de paiement (traitées par notre prestataire bancaire ; BY TOUCH n'a pas accès aux numéros de cartes complets)
• Historique des commandes et factures

2.3. Prévention des envois abusifs

Pour éviter les envois automatisés, le formulaire de devis accepte au plus cinq demandes par heure depuis une même adresse IP. Pour appliquer cette limite, votre adresse IP est transformée par une fonction cryptographique non réversible (hachage), puis enregistrée sous cette seule forme dans la base de données hébergée par Supabase. L'adresse IP hachée est conservée 30 jours au plus, puis supprimée automatiquement. Elle ne sert à rien d'autre.

2.4. Cookies, traceurs et mesure d'audience

Le site cocoricado.fr ne dépose aucun cookie et n'utilise aucune balise publicitaire. Il n'affiche donc pas de bandeau de consentement.

Pour connaître la fréquentation du site, nous utilisons Plausible Analytics, un outil de mesure d'audience édité par Plausible Insights OÜ, société établie à Tartu, en Estonie. Plausible ne dépose aucun cookie et n'écrit rien dans votre navigateur, ni cookie, ni cache, ni stockage local. À chaque page vue, un script chargé depuis plausible.io transmet l'adresse de la page, le site d'où vous venez et les éventuels paramètres de campagne du lien suivi, le type de navigateur, de système et d'appareil, le pays, la région et la ville déduits de votre adresse IP, ainsi que la profondeur de lecture et le temps passé sur la page. Il compte aussi quelques actions sur le site, sans jamais transmettre une donnée saisie dans le formulaire : l'ouverture d'une fiche produit, avec sa famille ; le début et l'envoi d'une demande de devis, avec le nombre de produits demandés et leur famille principale ; les recherches, en notant seulement si elles donnent un résultat, jamais les mots cherchés ; les clics vers un autre site, et les clics sur notre numéro de téléphone ou notre adresse e-mail, sans le numéro ni l'adresse ; enfin, les pages introuvables, avec l'adresse demandée.

Votre adresse IP et les informations de votre navigateur ne sont jamais enregistrées. Elles servent seulement à calculer un identifiant de visite valable pour la journée, dont la clé de calcul est supprimée toutes les 24 heures, ce qui empêche de vous reconnaître d'un jour à l'autre ou d'un site à l'autre. Nous ne consultons que des statistiques agrégées.

Ces données sont hébergées dans l'Union européenne, sur des serveurs de la société allemande Hetzner à Falkenstein (Allemagne), avec Bunny (Slovénie) pour la diffusion du script et UpCloud (Finlande) pour la base de données ; Plausible indique qu'aucune donnée de visite n'est transférée hors de l'Union européenne. Elles servent uniquement à mesurer l'audience du site pour notre compte : elles ne sont ni recoupées avec d'autres traitements, ni transmises à des tiers, ni réutilisées par Plausible pour son propre compte. Les statistiques sont conservées 25 mois au plus, puis supprimées.

Cette mesure d'audience répond aux conditions fixées par la CNIL pour être dispensée de consentement. Vous pouvez néanmoins vous y opposer à tout moment, en bloquant le domaine plausible.io dans votre navigateur ou en nous écrivant à contact@cocoricado.fr.

Lorsque vous ajoutez des produits à « Ma demande », la liste est gardée dans votre navigateur (stockage local), sur votre seul appareil. Elle ne nous est transmise que lorsque vous envoyez le formulaire de demande de devis, et elle reste dans votre navigateur jusqu'à cet envoi ou jusqu'à ce que vous la vidiez. Ce stockage est strictement nécessaire au service que vous demandez : il ne nécessite pas de consentement, conformément à l'article 82 de la loi Informatique et Libertés et aux recommandations de la CNIL.

3. Finalités du traitement

Les données collectées sont traitées pour les finalités suivantes :

• Traitement des demandes de devis et exécution des commandes (sections 2.1 et 2.2) : base légale article 6.1.b RGPD (exécution du contrat ou mesures précontractuelles).
• Communication commerciale avec les prospects et clients (section 2.1) : base légale articles 6.1.b et 6.1.f RGPD (exécution du contrat et intérêt légitime).
• Tenue de la comptabilité et facturation (section 2.2) : base légale article 6.1.c RGPD (obligation légale).
• Envoi d'informations commerciales et de newsletters (section 2.1) : base légale article 6.1.a RGPD (consentement préalable, opt-in explicite).
• Prévention des envois abusifs du formulaire (section 2.3) : base légale article 6.1.f RGPD (intérêt légitime à protéger le service contre les envois automatisés).
• Mesure d'audience du site (section 2.4) : base légale article 6.1.f RGPD (intérêt légitime à connaître la fréquentation du site et l'intérêt de ses pages).

Nous ne vous adressons jamais d'offre d'une autre marque de BY TOUCH sans votre consentement préalable.

4. Destinataires des données

Les données personnelles collectées sont destinées :

• En interne : à la société BY TOUCH (équipe commerciale, comptable et technique) dans la limite des accès strictement nécessaires à l'accomplissement des missions de chacun.
• Aux prestataires techniques sous-traitants : hébergeur du site (Netlify, Inc.), hébergement de la base de données et des fonctions qui préparent la proposition (Supabase Pte. Ltd), envoi de l'accusé de réception et transmission de la demande à l'équipe commerciale, sans suivi d'ouverture ni de clics (Plus Five Five, Inc., « Resend »), messagerie électronique, depuis laquelle la proposition vous est envoyée (OVH), mesure d'audience du site (Plausible Insights OÜ, « Plausible Analytics »), prestataires de paiement (organismes bancaires), prestataires logistiques et transporteurs pour la livraison des Produits.
• Aux autorités administratives ou judiciaires dans le cadre d'obligations légales.

Ces destinataires interviennent en qualité de sous-traitants au sens de l'article 28 du RGPD. Ils disposent d'un accès limité aux données et sont contractuellement tenus de les traiter conformément aux instructions de BY TOUCH et dans le respect du RGPD.

Les données personnelles ne sont jamais vendues ni louées à des tiers.

5. Transferts de données hors Union européenne

Certains prestataires techniques de BY TOUCH peuvent héberger ou traiter des données aux États-Unis ou dans d'autres pays tiers à l'Union européenne.

Ces transferts sont systématiquement encadrés par :

• les Clauses Contractuelles Types validées par la Commission européenne, conformément à l'article 46 du RGPD ;
• le mécanisme EU-US Data Privacy Framework lorsque le prestataire concerné y a adhéré ;
• toute autre garantie appropriée prévue par les articles 44 à 49 du RGPD.

Netlify, Inc., qui héberge le site, peut traiter des données aux États-Unis. Ces transferts sont encadrés par le EU-US Data Privacy Framework, auquel Netlify, Inc. a adhéré, et par les Clauses Contractuelles Types.

Supabase héberge la base de données et les fonctions de la proposition dans l'Union européenne, à Paris. La société cocontractante, Supabase Pte. Ltd, est établie à Singapour : les accès depuis l'extérieur de l'Union européenne, par la société, ses équipes de support et ses propres sous-traitants, sont encadrés par les Clauses Contractuelles Types de la Commission européenne.

Resend (Plus Five Five, Inc.) n'envoie au client que l'accusé de réception de sa demande ; il transmet aussi la demande, avec la proposition et le logo éventuel, à la messagerie de l'équipe commerciale. La proposition elle-même est envoyée au client depuis la messagerie de Cocoricado (OVH). Resend traite ces données aux États-Unis : adresse e-mail du destinataire, contenu du message, pièces jointes et données d'envoi. Ces transferts sont encadrés par le EU-US Data Privacy Framework, auquel Resend a adhéré, et par les Clauses Contractuelles Types. Ces e-mails sont envoyés sans suivi d'ouverture ni de clics.

Les polices de caractères, les photos, la carte et les scripts du site sont servis par cocoricado.fr lui-même. Une seule ressource vient d'un service tiers : le script de mesure d'audience Plausible, chargé depuis plausible.io et décrit en section 2.4, dont les données restent dans l'Union européenne. À l'envoi du formulaire de devis, votre navigateur transmet la demande à la fonction hébergée chez Supabase.

6. Durée de conservation des données

• Données de prospection commerciale (demandes de devis non concrétisées, y compris le fichier de logo joint) : 3 ans après le dernier contact, conformément aux recommandations CNIL pour la prospection B2B. La demande est aussi enregistrée dans la base de données hébergée par Supabase, avec la même durée ; elle en est supprimée automatiquement chaque mois une fois ce délai écoulé. Le fichier de logo n'est pas enregistré dans cette base.
• Adresse IP hachée servant à limiter les envois du formulaire : conservée 30 jours au plus, puis supprimée automatiquement.
• Données clients (commandes signées) : pendant la durée de la relation commerciale, puis 3 ans après la dernière commande pour les données de prospection associées.
• Pièces comptables et factures : 10 ans (article L123-22 du Code de commerce).
• Statistiques de mesure d'audience (Plausible) : 25 mois au plus ; la clé qui permet de calculer l'identifiant de visite est supprimée après 24 heures.

Passé ces délais, les données sont supprimées de manière sécurisée ou anonymisées de façon irréversible.

7. Droits de l'Utilisateur

Conformément aux articles 12 à 22 du RGPD, l'Utilisateur dispose des droits suivants concernant ses données personnelles :

• Droit d'accès (article 15) : obtenir confirmation que des données le concernant sont traitées et en recevoir une copie.
• Droit de rectification (article 16) : faire rectifier les données inexactes ou incomplètes.
• Droit à l'effacement (article 17), dit « droit à l'oubli », sous réserve des obligations légales de conservation (notamment comptables).
• Droit à la limitation du traitement (article 18).
• Droit à la portabilité des données (article 20) : récupérer les données fournies dans un format structuré et lisible par machine.
• Droit d'opposition (article 21) au traitement pour des motifs tenant à sa situation particulière, et de manière absolue pour la prospection commerciale.
• Droit de retrait du consentement à tout moment lorsque le traitement est fondé sur le consentement (article 7).
• Droit de définir des directives relatives au sort des données après son décès (article 85 de la loi Informatique et Libertés).

Pour exercer ces droits, l'Utilisateur peut adresser sa demande à :

• E-mail : contact@cocoricado.fr
• Courrier postal : BY TOUCH, Service Protection des Données, 4 rue Lemercier, 75017 Paris

La demande doit être accompagnée d'un justificatif d'identité en cas de doute raisonnable sur l'identité du demandeur.

BY TOUCH s'engage à répondre dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois en cas de complexité ou de nombre élevé de demandes (l'Utilisateur en sera alors informé).

8. Réclamation auprès de la CNIL

Si l'Utilisateur estime, après nous avoir contactés, que ses droits sur ses données ne sont pas respectés, il peut adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• Site web : cnil.fr
• Adresse postale : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris cedex 07

9. Sécurité des données

BY TOUCH met en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, et notamment :

• Chiffrement des connexions au site (HTTPS / TLS)
• Sensibilisation interne aux bonnes pratiques RGPD

Néanmoins, internet n'est pas un environnement complètement sécurisé. BY TOUCH ne peut garantir une sécurité absolue de la transmission ou du stockage des informations sur internet, mais s'engage à prendre toutes les mesures raisonnables pour préserver la confidentialité et l'intégrité des données.

10. Modification de la présente Politique

BY TOUCH se réserve le droit de modifier la présente Politique de Confidentialité à tout moment, notamment pour tenir compte des évolutions législatives, réglementaires, ou de l'évolution des services proposés sur Cocoricado.

La version applicable est celle en vigueur à la date de l'utilisation du site. La date de la dernière mise à jour est mentionnée en tête du présent document. Voir aussi nos mentions légales et nos conditions générales de vente.

En cas de modification substantielle, BY TOUCH s'engage à en informer les Utilisateurs concernés par tout moyen approprié.

Historique des versions

• Version 1.1, 2 novembre 2026 : branchement du formulaire de devis sur Supabase, qui prépare la proposition, et sur Resend, qui envoie l'accusé de réception ; limite de cinq demandes par heure et par adresse IP ; conservation des demandes en base, avec purge automatique.
• Version 1.0.2, 29 octobre 2026 : précision des actions comptées par la mesure d'audience (recherches, liens sortants, contacts, pages introuvables).
• Version 1.0.1, 28 octobre 2026 : ajout de Plausible pour la mesure d'audience, sans cookie.
• Version 1.0, 26 octobre 2026 : version initiale.

Politique de Confidentialité, version 1.1 du 2 novembre 2026

Cocoricado, marque de la société BY TOUCH, SARL au capital de 5 000 €

Siège social : 4 rue Lemercier, 75017 Paris, RCS Paris 794 283 804

Contact : contact@cocoricado.fr