1. Responsable du traitement
Le responsable du traitement est :
Sullivan Mahut — Sulli Card Lab
20 rue des Blossières, 10000 Troyes, France
contact@sullicardlab.fr
+33 6 95 73 39 08
Sulli Card Lab n’a pas désigné de délégué à la protection des données. Toute question peut être adressée aux coordonnées ci-dessus.
2. Données traitées
Selon votre parcours, Sulli Card Lab peut traiter :
- identité et coordonnées : nom, prénom, adresse électronique, adresse postale, téléphone ;
- données de commande et de devis : produits, options, prix, statut, historique, factures et échanges ;
- contenus de personnalisation : texte, prénom, image, photographie, instructions, aperçu et BAT ;
- données de livraison : adresse, point relais, suivi et incidents ;
- données de paiement limitées : statut, identifiant de transaction, moyen utilisé et éléments de lutte contre la fraude ; le numéro complet de carte n’est pas détenu par SCL ;
- demandes de contact : objet, message, référence de commande et page d’origine limitée à ce qui est utile ;
- preuves : acceptation des CGV, validation du BAT, choix de consentement, date et version des informations présentées ;
- données techniques et de sécurité : adresse IP lorsque nécessaire, journaux, navigateur, horodatage et événements de sécurité ;
- données de mesure d’audience après consentement : identifiants de traceur, pages consultées, appareil et informations de navigation ;
- données rendues publiques par un auteur d’avis Google lorsque son avis est affiché : nom ou pseudonyme, photographie de profil, note, texte et lien public.
Sulli Card Lab ne demande pas de données sensibles. N’en transmettez pas dans un formulaire ou une image de personnalisation.
3. Finalités et bases juridiques
| Finalité | Données principales | Base juridique |
|---|---|---|
| Répondre à une demande de contact | Identité, e-mail, message, référence utile | Mesures précontractuelles ou intérêt légitime à répondre |
| Étudier un projet et établir un devis | Coordonnées, instructions, images et options | Mesures précontractuelles |
| Concevoir et faire valider un BAT | Instructions, aperçu, échanges et validation | Mesures précontractuelles puis exécution du contrat |
| Gérer la commande et le service après-vente | Identité, commande, échanges et preuves | Exécution du contrat |
| Encaisser le paiement et prévenir la fraude | Statut et identifiant de transaction, données techniques | Exécution du contrat et intérêt légitime de sécurité ; obligations propres du prestataire |
| Expédier et suivre le colis | Identité, adresse, téléphone ou e-mail utiles, point relais | Exécution du contrat |
| Tenir la comptabilité | Identité, commande, facture et règlement | Obligation légale |
| Gérer les garanties, réclamations et litiges | Commande, échanges, preuves, photographies | Obligation légale, exécution du contrat et défense des droits |
| Enregistrer et respecter les choix de cookies | Choix, date, version et preuve limitée | Obligation légale et intérêt légitime de preuve |
| Mesurer l’audience avec Google Analytics | Identifiants et données de navigation | Consentement |
| Sécuriser le site et lutter contre les abus | IP, journaux, événements techniques | Intérêt légitime à protéger le site et ses utilisateurs |
| Répondre aux demandes RGPD | Identité, demande, vérifications et réponse | Obligation légale |
| Afficher les avis Google publics | Contenu public de l’avis et données publiques associées | Intérêt légitime à présenter la réputation de SCL, sous réserve des droits des personnes |
Sulli Card Lab n’utilise pas les données pour une newsletter, de la prospection électronique, Meta Pixel, TikTok Pixel ou Google Ads à la date de cette politique.
4. Caractère obligatoire ou facultatif
Les champs nécessaires pour répondre à une demande, établir un devis, exécuter une commande, livrer ou respecter une obligation légale sont signalés comme obligatoires. Sans ces informations, Sulli Card Lab peut ne pas être en mesure de traiter la demande ou la commande.
Une simple demande de contact ne doit pas exiger une adresse postale. Le téléphone ne doit être obligatoire que lorsqu’il est nécessaire à la livraison, au transporteur ou au traitement demandé.
5. Destinataires et prestataires
Les données sont accessibles uniquement aux personnes qui en ont besoin chez Sulli Card Lab et, selon le parcours, aux prestataires suivants :
- o2switch, pour l’hébergement, la base de données et l’envoi des e-mails ;
- WooCommerce et Automattic/WooPayments, pour la boutique, le paiement et la lutte contre la fraude ;
- Klarna, Google Pay ou réseaux de cartes, uniquement lorsque le moyen correspondant est utilisé ;
- Mondial Relay ou La Poste, pour l’expédition et le suivi ;
- Google, pour Google Analytics après consentement et pour les services d’administration Site Kit ;
- Google Places, pour la récupération côté serveur des avis publics affichés sur le site ;
- les conseils, autorités, médiateur ou juridictions lorsque la loi, un litige ou la défense des droits le justifie.
Les prestataires ne reçoivent que les données nécessaires à leur mission et traitent également certaines données selon leurs propres obligations et politiques.
6. Transferts hors de l’Espace économique européen
Certains prestataires internationaux, notamment Google ou les acteurs du paiement, peuvent traiter des données hors de l’Espace économique européen. Sulli Card Lab s’appuie alors sur le mécanisme juridique annoncé par le prestataire et applicable au transfert, tel qu’une décision d’adéquation ou des clauses contractuelles types, ainsi que sur les garanties complémentaires disponibles.
Les traceurs Google Analytics ne sont déclenchés qu’après consentement. Vous pouvez refuser sans perdre l’accès à la boutique.
7. Durées de conservation
| Catégorie | Durée appliquée ou cible |
|---|---|
| Demande de contact sans commande | 12 mois après le dernier échange |
| Devis non accepté | 12 mois après son émission ou le dernier échange |
| Images d’un projet non commandé | 6 mois après le dernier échange |
| Commande échouée, annulée ou abandonnée | 30 jours, sauf nécessité de sécurité ou litige documenté |
| Fichiers de production contenant une photo, un prénom ou une autre donnée personnelle | 12 mois après la livraison, sauf litige ou demande de conservation justifiée |
| Design et fichier SCL sans donnée personnelle | Conservation comme actif métier, sans limitation prédéterminée |
| Données nécessaires à la preuve du contrat | 5 ans en archive à accès restreint à compter de la fin de la relation ou du contrat, sous réserve d’un délai légal différent |
| Factures et pièces comptables | 10 ans à compter de la clôture de l’exercice concerné |
| Choix de consentement aux traceurs | 6 mois avant nouvelle sollicitation, sauf changement substantiel plus tôt |
| Données Google Analytics | 14 mois, sous réserve du paramétrage effectif vérifié |
| Demande d’exercice de droits et preuve de la réponse | 5 ans, avec minimisation des justificatifs |
| Journaux de sécurité | Durée proportionnée à l’incident, cible de 6 à 12 mois hors contentieux |
À l’issue de ces durées, les données sont supprimées, anonymisées de manière irréversible ou placées en archive restreinte lorsqu’une obligation ou la défense des droits l’impose.
8. Réutilisation des designs
Les créations SCL et fichiers dépourvus de données personnelles peuvent être conservés comme actifs de l’atelier. Sauf exclusivité écrite au devis, un design sur mesure peut être réutilisé sous une forme non personnelle.
Les photos, prénoms, coordonnées et autres éléments identifiant un Client ne sont pas réutilisés pour une autre personne. Ils sont retirés du fichier réutilisable et supprimés selon les durées ci-dessus.
9. Vos droits
Dans les conditions prévues par le RGPD et la loi Informatique et Libertés, vous pouvez demander :
- l’accès à vos données ;
- leur rectification ;
- leur effacement ;
- la limitation du traitement ;
- la portabilité des données que vous avez fournies lorsque les conditions sont réunies ;
- l’opposition à un traitement fondé sur l’intérêt légitime, pour des raisons tenant à votre situation ;
- le retrait de votre consentement à tout moment pour l’avenir ;
- des informations sur le sort de vos données après votre décès selon le droit français.
Adressez votre demande à contact@sullicardlab.fr ou par courrier à Sulli Card Lab — Sullivan Mahut, 20 rue des Blossières, 10000 Troyes.
Sulli Card Lab peut demander les éléments strictement nécessaires pour vérifier l’identité en cas de doute raisonnable. Une copie intégrale de pièce d’identité n’est pas demandée systématiquement et les éléments reçus sont supprimés dès que la vérification n’est plus nécessaire.
Une réponse est apportée dans le délai légal, en principe un mois. Vous pouvez aussi introduire une réclamation auprès de la CNIL, 3 place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07, https://www.cnil.fr/.
10. Décisions automatisées
Sulli Card Lab ne prend pas de décision commerciale fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard. Les prestataires de paiement peuvent effectuer des contrôles automatisés de fraude ou d’éligibilité conformément à leurs propres règles ; lorsqu’un refus émane de leur système, vous pouvez contacter SCL pour connaître les solutions alternatives disponibles.
11. Sécurité
Sulli Card Lab met en œuvre des mesures adaptées au risque : accès limité, mots de passe robustes et authentification renforcée, chiffrement HTTPS, mises à jour suivies, sauvegardes, journalisation de sécurité, séparation des archives, contrôle des fichiers téléversés et suppression programmée.
Aucun système n’étant totalement invulnérable, les incidents sont analysés et, lorsque la loi l’exige, notifiés à la CNIL et aux personnes concernées.
12. Mise à jour
La politique est mise à jour lorsque les traitements ou prestataires évoluent. La date de la version en vigueur est indiquée ci-dessous. Un changement substantiel est porté à votre attention par un moyen approprié.
Version 1.0 — 12 août 2026.