Politique de confidentialité

1. Qui est responsable de vos données ?

Two Words Production, association loi 1901, adresse du siège, Saintes, est responsable du traitement des données collectées sur twprod.fr.

Contact données personnelles : contact@twprod.fr (pas de délégué à la protection des données désigné — l'association n'y est pas tenue).

2. Quelles données, pour quoi, combien de temps ?

Formulaire de contact

• Nom ou pseudonyme — Obligatoire : Oui — Finalité : Vous répondre — Base légale : Intérêt légitime (répondre à une demande) — Conservation : 12 mois après le dernier échange

• Adresse e-mail — Obligatoire : Oui — Finalité : Vous répondre — Base légale : idem — Conservation : idem

• Contenu du message — Obligatoire : Oui — Finalité : Traiter la demande — Base légale : idem — Conservation : idem

• Date et heure d'envoi, adresse IP tronquée — Obligatoire : Automatique — Finalité : Prévention du spam et des abus — Base légale : Intérêt légitime (sécurité) — Conservation : 3 mois

Commande dans la boutique

• Donnée — Obligatoire : Obligatoire — Finalité : Finalité — Base légale : Base légale — Conservation : Conservation

• Nom, prénom — Obligatoire : Oui — Finalité : Préparer et expédier la commande — Base légale : Exécution du contrat de vente — Conservation : 5 ans (garanties légales) — pièces comptables 10 ans

• Adresse postale de livraison — Obligatoire : Oui — Finalité : Expédier — Base légale : idem — Conservation : idem

• Adresse e-mail — Obligatoire : Oui — Finalité : Confirmation, suivi, facture — Base légale : idem — Conservation : idem

• Téléphone — Obligatoire : Non — Finalité : Contact par le transporteur en cas de difficulté — Base légale : idem — Conservation : idem

• Contenu de la commande, montant, date — Obligatoire : Automatique — Finalité : Exécution et comptabilité — Base légale : Contrat + obligation légale (comptabilité) — Conservation : 10 ans

• Données de paiement (carte, PayPal) — Obligatoire : Oui — Finalité : Paiement — Base légale : Contrat — Conservation : Jamais reçues ni stockées par nous : saisies directement chez Stripe

Nous ne créons pas de compte client : chaque commande est indépendante, il n'y a ni mot de passe ni historique consultable en ligne.

Panier

Le panier est conservé dans votre navigateur uniquement (stockage local), le temps de votre visite et jusqu'à ce que vous le vidiez. Aucune donnée du panier n'est transmise avant que vous cliquiez sur « Payer ».

3. Qui reçoit vos données ?

Nous ne vendons ni ne louons jamais vos données. Elles sont transmises uniquement aux prestataires nécessaires au fonctionnement du site, chacun lié par un contrat de sous-traitance (RGPD art. 28) :

• **One For All Distribution (OFAD), Saintes — éditeur d'OFAD Studio** — Rôle : Sous-traitant — Ce qu'il traite : Réception des messages du formulaire, enregistrement des commandes, envoi des e-mails de confirmation — Lieu : France — Garanties : Contrat art. 28 signé avec l'association

• **Render Services, Inc. (États-Unis) — infrastructure d'OFAD Studio** — Rôle : Sous-traitant ultérieur d'OFAD — Ce qu'il traite : Hébergement des messages et des commandes — Lieu : Serveurs dans l'UE (Francfort — à confirmer) ; société de droit américain — Garanties : DPA Render avec clauses contractuelles types

• **Obambu — hébergeur du site** — Rôle : Sous-traitant — Ce qu'il traite : Journaux de connexion du serveur web (adresse IP, pages consultées) — Lieu : pays à confirmer par écrit — Garanties : Contrat d'hébergement

• **Stripe Payments Europe, Ltd. (Dublin, Irlande)** — Rôle : Responsable de traitement pour le paiement — Ce qu'il traite : Données bancaires, identité de l'acheteur, montant — Lieu : UE, avec transferts vers Stripe, Inc. (États-Unis) encadrés par le Data Privacy Framework et des clauses contractuelles types — Garanties : Politique de confidentialité Stripe : stripe.com/fr/privacy

• **PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxembourg) — si vous choisissez PayPal dans la page Stripe** — Rôle : Responsable de traitement — Ce qu'il traite : Identifiants PayPal, paiement — Lieu : UE / États-Unis — Garanties : Politique PayPal

• **La Poste ou le transporteur choisi** — Rôle : Sous-traitant — Ce qu'il traite : Nom, adresse, téléphone éventuel — Lieu : France — Garanties : Conditions du transporteur

• **Fournisseur de messagerie du domaine (Obambu)** — Rôle : Sous-traitant — Ce qu'il traite : E-mails échangés avec vous — Lieu : idem Obambu — Garanties : idem

4. Transferts hors de l'Union européenne

Le paiement fait intervenir Stripe et, le cas échéant, PayPal, dont les groupes sont établis aux États-Unis : ces transferts sont encadrés par les mécanismes prévus au chapitre V du RGPD (Data Privacy Framework, clauses contractuelles types). Les messages et les commandes sont hébergés dans l'Union européenne ; l'infrastructure étant fournie par une société américaine (Render), un accès depuis les États-Unis ne peut être totalement exclu et est encadré par des clauses contractuelles types.

5. Cookies et traceurs

Ce site ne dépose aucun cookie de mesure d'audience, de publicité ou de réseau social, et ne charge aucune police ou script depuis un serveur tiers. C'est pourquoi aucun bandeau de consentement ne vous est présenté.

Seuls existent :

• Stockage local « panier » — Type : Strictement nécessaire (exempté de consentement) — Finalité : Mémoriser les articles choisis — Durée : Jusqu'au vidage du panier

• Cookies déposés par Stripe pendant le paiement — Type : Strictement nécessaires au paiement et à la lutte contre la fraude — Finalité : Sécuriser la transaction — Durée : Selon la politique Stripe

• Cookies de la plateforme vidéo après votre clic sur une vignette — Type : Tiers, déclenchés par votre action — Finalité : Lecture de la vidéo — Durée : Selon la politique de la plateforme

Tant que vous ne cliquez pas sur une vidéo ni sur « Payer », rien n'est transmis à un tiers.

6. Vos droits

Vous pouvez à tout moment demander l'accès à vos données, leur rectification, leur effacement, la limitation du traitement, vous opposer à un traitement fondé sur notre intérêt légitime, et obtenir la portabilité des données que vous nous avez fournies.

Écrivez à contact@twprod.fr ou par courrier au siège de l'association. Nous répondons sous un mois (prolongeable de deux mois pour une demande complexe, en vous prévenant). Une pièce justificative d'identité pourra être demandée en cas de doute raisonnable.

Vous pouvez introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.

Les données nécessaires à la comptabilité (commandes, factures) ne peuvent pas être effacées avant la fin de la durée légale de conservation.

7. Sécurité

Le site est servi en HTTPS. Les messages et commandes sont stockés dans OFAD Studio, accessible uniquement par identifiant et mot de passe aux personnes habilitées de l'association et d'OFAD ; les identifiants de messagerie y sont chiffrés (AES-256-GCM). Les montants sont recalculés côté serveur et la clé de paiement Stripe n'est jamais présente dans les pages du site. Le paiement se fait sur les pages sécurisées de Stripe (conformité PCI DSS assurée par Stripe).

En cas de violation de données susceptible de créer un risque pour vous, nous vous en informerions et notifierions la CNIL dans les 72 heures (RGPD art. 33 et 34).

8. Mineurs

La boutique s'adresse aux personnes majeures ou aux mineurs autorisés par leur représentant légal. Nous ne collectons pas sciemment de données d'enfants de moins de 15 ans.

9. Modifications

Cette politique peut évoluer, notamment si un nouveau service est ajouté au site. La date de mise à jour figure en haut de page ; une modification substantielle sera signalée sur la page d'accueil pendant un mois.