Politique de confidentialité

Traduction fournie à titre indicatif. En cas de divergence, la version espagnole prévaut.

Nous vous expliquons ici quelles données vous concernant nous conservons, à quelles fins, sur quel fondement, pendant combien de temps, qui d'autre y a accès et ce que vous pouvez faire. Si quelque chose n'est pas clair, demandez-nous.

Qui est le responsable du traitement

Xpoly est le nom commercial de Mayra Liendro Almirón, travailleuse indépendante, NIF Z1696540L, domiciliée Avenida de Finisterre, 192, 11.º izquierda, 15010 A Coruña.
Pour toute question relative à vos données : [email protected], le 636 104 026, ou dans l'une de nos deux boutiques.

Xpoly n'a pas de délégué à la protection des données : compte tenu de sa taille et de son activité, elle n'est pas tenue d'en désigner un.

Résumé

• Pour consulter le site, nous ne vous demandons rien. Nous n'utilisons pas de cookies de publicité ni de mesure d'audience.
• Le site ne permet encore ni d'acheter ni de payer : on y consulte le catalogue et, avec un compte, on y réserve les précommandes, qui se paient et se retirent en boutique. Le compte se crée avec votre adresse électronique et un mot de passe, ou avec votre compte Google. Le reste (nom, téléphone, adresse, date de naissance), c'est vous qui le fournissez quand c'est nécessaire.
• Nous ne conservons ni copie ni numéro de votre DNI (si vous faites vérifier votre compte, nous notons seulement qui l'a contrôlé et quand).
• Notre serveur et nos sauvegardes se trouvent dans l'Union européenne. Un fournisseur, Cloudflare, est établi aux États-Unis, et nous l'expliquons ci-dessous.
• Vous pouvez consulter et corriger presque tout depuis « Votre compte », télécharger vos données et supprimer le compte également depuis cet espace, et nous demander le reste par courrier électronique.

Quelles données nous traitons et à quelles fins

1. Votre compte

Ce que nous conservons :

• votre adresse électronique (qui est aussi votre identifiant) ;
• votre mot de passe, chiffré de manière que personne ne puisse le lire, pas même nous ;
• si votre compte est actif, quand vous l'avez créé et quand vous vous êtes connecté pour la dernière fois (pour savoir si vous l'utilisez encore) ;
• ce que vous ajoutez dans « Votre compte » : nom, prénoms, téléphone, adresse, code postal, ville, province et date de naissance (tous facultatifs jusqu'à ce qu'une réservation — le téléphone — ou la vérification les exige) ;
• si vous le souhaitez, un pseudonyme : le nom sous lequel on vous connaît en boutique, pour que nous vous retrouvions lorsque nous vous servons. Vous l'ajoutez, le modifiez ou le supprimez dans « Votre compte » ;
• quand vous avez accepté cette politique et quelle version ;
• si vous vous connectez avec Google : l'identifiant de votre compte Google (un numéro que Google attribue à chaque compte) et la date à laquelle vous l'avez lié. Lors de la connexion, Google nous transmet aussi votre adresse électronique — uniquement si elle est confirmée chez lui —, votre nom et vos prénoms : avec l'adresse électronique, nous notons que votre adresse est confirmée et, si vous créez le compte de cette façon, nous inscrivons le nom et les prénoms dans votre fiche, où vous pouvez les modifier quand vous le souhaitez. Nous ne conservons rien d'autre provenant de Google — ni ses clés d'accès à votre compte — et nous n'envoyons rien vous concernant à Google : c'est vous qui vous connectez à votre compte Google, et Google nous confirme votre identité. Si vous retirez Google depuis « Votre compte », ou si vous supprimez le compte, l'identifiant est supprimé immédiatement ;
• lorsqu'un membre de notre personnel modifie un élément de votre compte depuis le panneau d'administration, qui, quand et quel champ (pas la valeur).

À quelles fins : pour que vous puissiez réserver sur le site et consulter vos réservations, sans avoir à saisir vos données à chaque fois.
Sur quel fondement : parce que c'est nécessaire pour vous fournir le service que vous demandez en créant le compte (art. 6.1.b RGPD). Conserver la version de cette politique que vous avez acceptée nous permet de démontrer que nous vous avons informé (art. 5.2 et 6.1.c RGPD).
Obligatoire : l'adresse électronique et le mot de passe, ou votre compte Google ; sans eux, pas de compte. Le reste, uniquement lorsque vous en avez besoin.
Origine : vous-même et, si vous vous connectez avec Google, Google, parce que vous le lui demandez en cliquant sur « Se connecter avec Google ».

2. La vérification de votre compte, si vous la demandez

Uniquement si vous demandez la vérification pour réserver sur le site des articles de forte demande (conditions d'utilisation, article 4).

Ce que nous conservons, en plus des données de votre compte :

• quand vous l'avez demandée ;
• votre date de naissance, qui est ici obligatoire (il faut avoir 18 ans), et votre fiche complète (nom, prénoms, téléphone et adresse) ;
• quand votre identité a été contrôlée en boutique et quel membre de notre personnel l'a contrôlée. Rien du document : ni copie, ni numéro, ni type ;
• quand la vérification a été accordée et par qui, ainsi que les trois vérifications que cette personne déclare : que vous n'avez qu'un seul compte, que vous n'avez aucun impayé ni rétrofacturation en cours chez nous et que vous achetez pour vous, non pour revendre ;
• si nous vous la refusons ou vous la retirons : s'il s'agit d'un refus ou d'un retrait, le motif (toujours l'une des conditions publiées), quand et par qui.

En boutique, pour contrôler votre identité, notre personnel recherche votre compte à partir de votre adresse électronique ou de votre numéro de téléphone complets.

À quelles fins : pour vérifier que vous remplissez les conditions publiées et vous permettre de réserver les articles de forte demande.
Sur quel fondement : c'est vous qui la demandez avant de réserver (art. 6.1.b RGPD, mesures précontractuelles prises à votre demande).
Décisions automatisées : la vérification est accordée par une personne. Le système contrôle seulement certaines conditions — les 18 ans, la fiche complète, l'identité contrôlée — et ne permet pas la vérification s'il en manque une ; dans « Votre compte », vous voyez laquelle. Si vous modifiez vos nom, prénoms, téléphone, adresse ou date de naissance, la vérification est retirée automatiquement, car elle certifiait ces données.

3. L'historique de la vérification

Chaque étape de la vérification est consignée dans un historique qui ne peut être ni modifié ni supprimé manuellement : la demande, l'identité contrôlée, la vérification, le refus ou le retrait, et ce que le système retire automatiquement lorsque vous modifiez vos données.

Ce que nous conservons pour chaque étape : de quelle étape il s'agit, quand, qui l'a effectuée (un membre de notre personnel, vous-même en la demandant, ou personne si c'est le système), le motif s'il s'agit d'un refus ou d'un retrait, les trois déclarations s'il s'agit d'une vérification et, si l'étape résulte d'une modification de vos données, quel champ a changé, jamais sa nouvelle valeur.

À quelles fins : pour pouvoir démontrer que nous traitons de la même manière toute personne qui demande la vérification et que chaque refus reposait sur un motif publié. La loi sur l'égalité de traitement interdit la discrimination dans l'accès aux biens et, si quelqu'un la dénonce en présentant des indices, c'est à nous de prouver que nous n'avons pas discriminé.
Sur quel fondement : l'intérêt légitime à pouvoir nous défendre en cas de réclamation (art. 6.1.f RGPD). L'historique ne conserve aucune coordonnée, adresse ni document.

4. Ce que vous retirez en boutique

Le site ne permet pas encore d'acheter. Lorsque vous retirez une réservation en boutique, la commande correspondant à cette remise est créée, et nous conservons : quels articles, combien, à quel prix (avec leur TVA), dans quelle boutique, la réservation dont elle provient et quel membre de notre personnel vous l'a remise et quand. La facture vous est remise par la boutique.

Si, lors de l'encaissement à la caisse de la boutique, votre compte est sélectionné, l'achat est enregistré à votre nom, pour que vous puissiez le consulter depuis votre compte. S'il n'est pas sélectionné, l'achat ne porte pas votre nom.

À quelles fins : pour vous vendre ce que vous avez réservé, tenir la comptabilité et assurer la garantie.
Sur quel fondement : pour exécuter le contrat de vente (art. 6.1.b RGPD) et, pour conserver les documents, parce que la législation fiscale et commerciale l'exige (art. 6.1.c RGPD).

5. Vos réservations de précommande

Une réservation, vous l'enregistrez vous-même depuis le site, avec votre compte, ou notre personnel l'enregistre pour vous en boutique ou par téléphone.

Ce que nous conservons : le produit — ou, s'il n'est pas encore dans notre catalogue, ce que vous nous avez demandé, avec vos mots —, les unités demandées, la boutique de retrait, votre rang dans la file d'attente, la version des conditions de précommande que vous avez acceptée si vous vous êtes inscrit sur le site, l'état de la réservation et ses dates (quand vous vous êtes inscrit, quand une unité vous a été attribuée, jusqu'à quand vous pouvez payer, quand nous vous avons prévenu, quand et comment vous avez payé, quand vous l'avez retirée ou quand elle a été libérée ou annulée, et pourquoi), la commande créée lors du paiement ou de la remise et, pour chaque attribution, votre rang à ce moment-là, si une unité vous a été attribuée ou non et quel membre de notre personnel a procédé à l'attribution. Si c'est nous qui l'avons enregistrée, également quel membre de notre personnel l'a enregistrée et par quel canal (en boutique ou par téléphone), ainsi que qui vous a prévenu, qui a enregistré le paiement et qui vous l'a remise. Si l'un de ces deux premiers enregistrements est annulé parce qu'il avait été fait par erreur, il est consigné qui l'a annulé, quand et pourquoi.

Au nom de qui elle est enregistrée, si nous l'enregistrons en boutique ou par téléphone :

• Si vous avez un compte, au nom de votre compte. Pour le trouver, notre personnel effectue une recherche par vos nom et prénoms et, parmi les comptes correspondants, ne voit que le nom, les prénoms et les trois derniers chiffres du téléphone : il ne voit ni votre adresse électronique, ni votre adresse, ni votre date de naissance. Il doit saisir au moins deux mots, et si plus de cinq comptes correspondent, il n'en voit aucun. Il ne voit votre numéro de téléphone complet que lorsqu'il faut vous appeler : lorsque votre réservation a déjà son unité, le personnel de la boutique qui la détient ou dans laquelle vous la retirez le voit pour vous prévenir, jusqu'à ce qu'il note qu'il l'a fait.
• Si vous n'avez pas de compte, nous conservons avec la réservation vos nom, prénoms, téléphone et adresse électronique. Aucun compte n'est créé avec ces données.

À quelles fins : pour gérer la file d'attente, attribuer les unités, vous appeler lorsque la vôtre arrive et vous l'encaisser en boutique. Conserver qui a procédé à l'attribution et à qui une unité a été attribuée nous permet aussi de répondre si quelqu'un estime que l'attribution n'a pas été équitable ; et la version des conditions que vous avez acceptée, de pouvoir démontrer ce que nous vous avons dit avant votre inscription.
Sur quel fondement : c'est vous qui le demandez en vous inscrivant (art. 6.1.b RGPD).

6. Les avis

Aujourd'hui, nous ne vous envoyons pas d'avis par courrier électronique. Lorsque votre unité arrive, ou s'il faut vous dire quelque chose au sujet de votre réservation, la boutique vous appelle au numéro de téléphone de votre compte ou à celui que vous nous avez donné lors de votre inscription. Lorsque nous commencerons à envoyer des avis par courrier électronique, cette politique sera mise à jour au préalable et nous vous en informerons.

Publicité : nous n'envoyons pas de communications commerciales. Si nous le faisons un jour, nous vous demanderons une autorisation distincte, au moyen d'une case non cochée, et vous pourrez vous désabonner à chaque envoi.

7. La sécurité du site

Ce qui est traité :

• Votre adresse IP, que voit notre fournisseur de réseau, Cloudflare, à chaque visite, et que nous utilisons pour limiter les tentatives de connexion et de création de compte : elle est conservée comme clé d'un compteur qui expire de lui-même au bout d'une minute ou d'une heure ;
• le journal d'accès de notre serveur, qui enregistre pour chaque requête l'heure, la méthode, le chemin de la page sans ses paramètres, le résultat, la taille, le navigateur et l'adresse de la connexion ;
• les erreurs du serveur : le type, le fichier et la ligne de code, le chemin et un message dans lequel sont masqués les adresses électroniques, numéros de téléphone, DNI et NIE, IBAN et numéros de carte, de même que dans ce que le serveur écrit dans son journal. Les données que vous avez envoyées et vos en-têtes ne sont pas conservés.

À quelles fins : pour que le site fonctionne, pour freiner les attaques et les abus, et pour corriger les pannes.
Sur quel fondement : l'intérêt légitime à assurer la sécurité du réseau et du service (art. 6.1.f RGPD et considérant 49).

8. Si vous nous écrivez

Si vous nous écrivez par courrier électronique ou nous appelez, nous traitons ce que vous nous dites et vos coordonnées pour vous répondre. La messagerie de xpoly.es est hébergée par notre fournisseur de messagerie, Hostalia (voir ci-dessous), et nous supprimons les messages lorsqu'ils ne sont plus nécessaires pour vous répondre. Fondement : votre demande et, s'il s'agit d'une réservation ou d'un achat, le contrat (art. 6.1.b RGPD).

Ce que nous ne faisons pas

• Nous ne vendons ni ne cédons vos données à quiconque à des fins publicitaires.
• Nous ne réalisons pas de profils vous concernant à des fins publicitaires et ne personnalisons pas les prix au moyen de décisions automatisées.
• Le site ne permet encore ni d'acheter, ni de payer, et rien n'est expédié. Lorsque ce sera possible, cette politique sera mise à jour au préalable, avec l'identité de qui encaisse et de qui transporte les colis.
• Nous ne conservons ni votre historique de navigation ni vos recherches.
• Nous ne demandons pas votre âge lors de la création du compte (voir la clause relative aux mineurs dans les conditions d'utilisation).
• Il n'existe pas encore de club de membres avec points, d'inscriptions aux tournois, de vente de billets ni d'avis par WhatsApp. Lorsqu'ils arriveront, cette politique sera mise à jour au préalable et nous vous en informerons.

Qui d'autre a accès à vos données

Uniquement les fournisseurs dont nous avons besoin pour vous fournir le service, liés par un contrat de sous-traitance, et l'Agencia Tributaria (administration fiscale espagnole), avec les factures de ce que vous achetez en boutique, parce que la loi l'exige.

Google ne figure pas dans le tableau, car il ne travaille pas pour nous et nous ne lui transmettons pas vos données : si vous choisissez de vous connecter avec Google, vous vous connectez à votre compte Google sur son site, et Google nous confirme votre identité avec les données de la section 1. Ce que Google fait de votre compte est expliqué dans sa propre politique de confidentialité.

Transferts hors de l'Union européenne

• Cloudflare, Inc. est établie aux États-Unis. Les transferts reposent sur le cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework ; décision d'adéquation de la Commission du 10 juillet 2023), auquel Cloudflare est certifiée, et sur les clauses contractuelles types de la Commission, conformément à son contrat de traitement des données (version 6.4, du 3 avril 2026), qui fait partie des conditions auxquelles nous avons souscrit le service : https://www.cloudflare.com/cloudflare-customer-dpa/.

Combien de temps nous conservons vos données

Les sauvegardes conservent les mêmes données que la base pendant 24 mois au maximum, chiffrées. Elles ne servent qu'à rétablir le service en cas de panne et, s'il faut un jour en restaurer une, ce qui a été supprimé après ne réapparaît pas : chaque suppression est consignée — ce qui a été supprimé et quand, jamais la donnée elle-même — et elle est appliquée de nouveau aux données restaurées.

Bloquer signifie que les données sont mises à part et ne sont plus utilisées à aucune fin, sauf pour être mises à la disposition des juges, des procureurs ou de l'Administration s'ils les demandent pendant le délai légal ; elles sont ensuite supprimées.

Vos droits

Vous pouvez nous demander, à tout moment et gratuitement :

• d'accéder à vos données et de savoir ce que nous en faisons ;
• de les rectifier (vous pouvez corriger presque tout vous-même dans « Votre compte ») ;
• de les effacer ;
• de vous opposer à leur utilisation, ou de demander que nous en limitions l'utilisation ;
• de les récupérer dans un format lisible par machine (portabilité).

Vous en exercez trois vous-même, dans « Votre compte », sans écrire à personne :

• accéder à vos données et les récupérer : « Télécharger mes données » vous fournit un fichier (JSON, qui s'ouvre avec n'importe quel éditeur de texte) contenant votre compte, votre fiche, votre vérification et son historique. Pour chaque étape de l'historique, il indique si c'est vous, un membre de notre personnel ou le système qui l'a effectuée ; pas quel membre du personnel, car il s'agit d'une donnée le concernant ;
• les effacer : « Supprimer mon compte », avec votre mot de passe (si vous vous connectez uniquement avec Google, définissez-en d'abord un dans « Votre compte »). Est supprimé immédiatement ce qui est indiqué dans combien de temps nous conservons vos données, et vous ne pourrez plus vous connecter. L'opération est irréversible.

Pour le reste — rectifier ce que vous ne pouvez pas rectifier vous-même, vous opposer ou demander la limitation de l'utilisation —, ou si vous préférez que nous le fassions pour vous, écrivez-nous à [email protected] depuis l'adresse électronique de votre compte ou venez dans une boutique ; si nous ne pouvons pas nous assurer qu'il s'agit bien de vous, nous vous demanderons de justifier votre identité. Nous vous répondons dans un délai d'un mois au maximum.

Si vous estimez que nous n'avons pas traité correctement vos données, vous pouvez introduire une réclamation auprès de l'Agencia Española de Protección de Datos (Agence espagnole de protection des données), sur https://www.aepd.es ou sur son site électronique officiel, https://sedeagpd.gob.es.

Mineurs

Les mineurs de moins de 14 ans ne peuvent pas avoir de compte propre : il est créé et utilisé par leur père, leur mère ou leur tuteur. Entre 14 et 17 ans, il est possible d'acheter et de réserver avec la connaissance et l'autorisation des parents. Les règles complètes figurent dans les conditions d'utilisation.

Comment nous protégeons vos données

Les mots de passe sont conservés chiffrés de manière à ne pas pouvoir être lus ; la session est conservée dans des cookies que le code de la page ne peut pas lire ; les tentatives de connexion sont limitées ; le serveur n'a aucun port ouvert sur internet et n'est accessible qu'au travers de Cloudflare ; les clés des services externes sont conservées chiffrées ; et les journaux ne conservent pas vos données. Chaque nuit, une sauvegarde chiffrée est réalisée et conservée dans l'Union européenne, et chaque mois nous testons sa restauration pour nous assurer qu'elle fonctionne.

Modifications

Si nous modifions cette politique, nous l'indiquerons sur le site avec sa date et, si la modification concerne ce que nous faisons de vos données, nous vous en informerons au préalable. Chaque compte enregistre la version qu'il a acceptée.

Version : 2026-10-30.