Légal
Politique de confidentialité
Dernière mise à jour : 1er juin 2026
1. Responsable du traitement
Le responsable du traitement des données personnelles collectées via le site MecaIndus est la SAS IAvarone Conseil, SIREN 932 210 339, siège social 8 ter boulevard Léon Malfreyt, 63000 Clermont-Ferrand. Monsieur Jérôme Iavarone, Président, exerce les missions de référent à la protection des données. Pour toute question relative à vos données ou à l’exercice de vos droits : bonjour@mecaindus.com.
2. Données collectées
Selon votre usage du site, nous collectons :
- Identification du compte : adresse email professionnelle, et le cas échéant raison sociale, SIRET et numéro de TVA intracommunautaire renseignés au checkout.
- Données de commande : produits commandés, adresse de livraison, adresse de facturation, montant, historique des commandes.
- Paiement : les données de carte bancaire ne transitent jamais par nos serveurs : elles sont saisies et conservées directement par Stripe, prestataire PCI-DSS. Nous ne recevons qu’un identifiant de transaction et les quatre derniers chiffres de la carte.
- Connexion et sécurité : adresse IP, journaux de connexion, horodatages, agent utilisateur. Conservés pour la lutte contre la fraude et le respect de nos obligations légales.
- Mesure d’audience : données techniques anonymisées sur la navigation (pages consultées, performances, erreurs) : détails dans la politique cookies.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Création et gestion du compte client | Exécution du contrat |
| Traitement et suivi des commandes | Exécution du contrat |
| Émission et conservation des factures | Obligation légale |
| Envoi des emails transactionnels | Exécution du contrat |
| Prévention de la fraude et journalisation sécurité | Intérêt légitime |
| Mesure d’audience et amélioration du service | Intérêt légitime / Consentement selon les outils |
4. Destinataires et sous-traitants
Vos données sont traitées par les sous-traitants techniques suivants, sélectionnés pour leur conformité au RGPD :
- Vercel Inc. : hébergement de l’application (États-Unis, transferts encadrés par le EU-US Data Privacy Framework et clauses contractuelles types).
- Supabase Inc. : base de données et stockage objets (serveurs UE).
- Stripe Payments Europe Ltd. : traitement des paiements (Irlande).
- Resend : envoi des emails transactionnels (commandes, expéditions, lien de connexion).
- Sentry : supervision des erreurs applicatives (UE).
- Axiom : journaux applicatifs agrégés (UE).
- PostHog : mesure d’audience produit (UE).
- Upstash Redis : caches courte durée et anti-abus (UE).
Les fournisseurs partenaires qui expédient vos commandes (par exemple Adifor, CIR, Efrapo, RBK, Axoméca) reçoivent uniquement les éléments nécessaires à la préparation et à l’expédition : nom, adresse de livraison, références commandées.
5. Durée de conservation
- Compte client : 3 ans à compter du dernier contact actif.
- Données de commande et factures : 10 ans au titre des obligations comptables et fiscales.
- Journaux techniques et de sécurité : 12 mois.
- Cookies et identifiants de mesure : 13 mois maximum (voir politique cookies).
6. Sécurité des données
Le site utilise un chiffrement HTTPS/TLS en transit, un chiffrement au repos pour la base de données et le stockage, des mots de passe hachés (ou un mécanisme sans mot de passe via lien magique), un cloisonnement strict des accès administrateurs et des sauvegardes automatiques quotidiennes. Les paiements sont délégués à Stripe (norme PCI-DSS).
7. Vos droits
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants : accès, rectification, effacement, opposition, limitation du traitement et portabilité de vos données. Pour les exercer, contactez-nous à bonjour@mecaindus.com en justifiant de votre identité. Une réponse vous sera apportée sous un mois.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL : cnil.fr.
8. Transferts hors UE
Certains de nos sous-traitants (Vercel, Stripe, PostHog) peuvent traiter des données en dehors de l’Union européenne. Ces transferts sont encadrés soit par le EU-US Data Privacy Framework, soit par des clauses contractuelles types approuvées par la Commission européenne, garantissant un niveau de protection équivalent.
9. Modification de la politique
La présente politique peut être mise à jour pour refléter une évolution légale, un nouvel outil ou une nouvelle fonctionnalité. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle, une information sera communiquée par email aux comptes actifs.