Politique de confidentialité
cavelyx · Protection de vos données
Politique de confidentialité et de protection des données personnelles
Chez cavelyx, la protection des données personnelles fait partie intégrante de la relation de confiance que nous souhaitons établir avec nos clients. La présente politique explique de manière claire les informations susceptibles d'être collectées lors de l'utilisation de notre boutique en ligne, les raisons de leur traitement, leur durée de conservation et les droits dont disposent les personnes concernées.
Ce document est établi au regard du Règlement général sur la protection des données, règlement (UE) 2016/679, de la loi française Informatique et Libertés du 6 janvier 1978 modifiée, ainsi que des recommandations applicables de la Commission nationale de l'informatique et des libertés (CNIL).
Il tient également compte des exigences de transparence commerciale associées à Google Merchant Center, notamment en matière d'identification du professionnel, d'accessibilité des informations et de cohérence entre les différentes pages du site.
La présente version constitue un référentiel documentaire de conformité. Sa validation opérationnelle dépend de la vérification effective des traitements, des prestataires, des dispositifs de sécurité et des mécanismes de gestion des consentements. Aucune certification ou validation technique non réalisée n'est présumée acquise.
1. Identification du responsable du traitement et engagements fondamentaux
Responsabilité du traitement
La boutique en ligne cavelyx propose des meubles et des articles d'ameublement aux consommateurs français. Les traitements de données réalisés pour la gestion de cette activité relèvent de la responsabilité de l'entité juridique qui exploite effectivement la boutique et détermine les finalités ainsi que les moyens de traitement.
L'enseigne commerciale cavelyx ne constitue pas, à elle seule, une indication de forme juridique ou d'immatriculation. L'identité juridique complète de l'exploitant, sa forme sociale et ses références d'enregistrement doivent être accessibles dans les mentions légales du site. Les numéros RCS et SIRET ne sont applicables que lorsque l'entreprise relève des formalités françaises correspondantes.
Délégué à la protection des données et représentant européen
La désignation d'un délégué à la protection des données, également appelé DPO, est obligatoire dans les situations prévues à l'article 37 du RGPD. Lorsqu'un DPO est désigné, ses coordonnées doivent être rendues accessibles et communiquées à l'autorité de contrôle compétente.
Indépendamment de cette désignation, les consommateurs peuvent adresser leurs questions et demandes relatives aux données personnelles au service client, qui constitue le point de contact opérationnel pour ces démarches.
Lorsqu'un responsable du traitement établi hors de l'Union européenne relève de l'article 3, paragraphe 2, du RGPD, il doit examiner l'obligation de désigner un représentant dans l'Union conformément à l'article 27, sous réserve des exceptions légales. La désignation d'un tel représentant, lorsqu'elle est obligatoire, doit faire l'objet d'une information distincte et vérifiable.
Engagement de confidentialité
Cavelyx ne commercialise pas les données personnelles de ses clients auprès de courtiers en données. Les informations collectées ne doivent être utilisées que pour des finalités déterminées, explicites et légitimes.
Les données nécessaires à la gestion d'une commande peuvent être communiquées aux prestataires intervenant dans le paiement, la livraison, l'hébergement, le fonctionnement technique de la boutique ou l'assistance client, dans la limite de ce qui est nécessaire à leurs missions.
Les partenaires publicitaires ou analytiques ne peuvent recevoir des informations au moyen de traceurs soumis à consentement que lorsque les conditions légales correspondantes sont remplies.
Sécurité des informations
La protection des données repose sur des mesures techniques et organisationnelles adaptées aux risques, conformément à l'article 32 du RGPD.
Ces mesures comprennent notamment le recours à des connexions sécurisées utilisant les protocoles TLS, la limitation des droits d'accès aux personnes autorisées, la gestion des identifiants, la protection des environnements administratifs et la sensibilisation des personnes amenées à traiter des informations personnelles.
Les mesures réellement mises en œuvre doivent faire l'objet d'une vérification régulière. Aucun système informatique ne peut garantir une absence absolue de risque, mais les dispositifs de protection doivent être proportionnés à la sensibilité des données et aux menaces identifiées.
Les informations professionnelles et les coordonnées présentées dans cette politique doivent rester cohérentes avec les mentions légales, les conditions générales de vente et les autres informations commerciales accessibles sur la boutique.
2. Catégories de données collectées, finalités et bases juridiques
Données d'identification et de contact
Lorsqu'un client effectue une commande, crée un compte ou contacte le service client, les informations susceptibles d'être traitées comprennent son nom, son prénom, son adresse électronique, son numéro de téléphone ainsi que les renseignements nécessaires à la communication et au suivi de sa demande.
Ces données sont utilisées pour identifier les commandes, répondre aux sollicitations, transmettre les confirmations d'achat et assurer le suivi des prestations demandées.
Données de livraison et de facturation
Les informations relatives à l'adresse de livraison, à l'adresse de facturation, aux instructions nécessaires au transport et aux caractéristiques de la commande sont utilisées pour organiser la préparation et la remise des meubles.
Leur traitement repose principalement sur l'exécution du contrat, conformément à l'article 6, paragraphe 1, point b, du RGPD.
Données relatives aux transactions
Les informations de transaction peuvent comprendre le montant payé, la date de paiement, la devise, le statut de la commande, les références de transaction et les informations nécessaires à la gestion des remboursements.
Les données complètes des cartes bancaires sont destinées à être traitées par les prestataires de paiement sécurisés. Cavelyx n'a pas vocation à conserver les numéros complets de carte bancaire ou les cryptogrammes de sécurité dans ses propres fichiers clients.
Les prestataires de paiement doivent appliquer les exigences de sécurité pertinentes, notamment celles du référentiel PCI DSS lorsque celui-ci est applicable à leurs services.
Données de compte client
Lorsqu'un espace personnel est proposé, les données associées peuvent comprendre l'historique des commandes, les préférences enregistrées, les coordonnées de livraison et les informations nécessaires à l'authentification.
Les informations utilisées pour le fonctionnement du compte sont conservées pendant la durée nécessaire à sa gestion. Pour les comptes devenus inactifs, une durée de référence de 3 ans à compter du dernier contact actif ou de la dernière relation commerciale pertinente peut être retenue, sous réserve des obligations légales de conservation.
À l'expiration de cette durée, les données qui ne sont plus nécessaires doivent être supprimées ou anonymisées, sauf obligation légale ou justification particulière de conservation.
Données techniques et de navigation
Lors de la consultation du site, certaines informations techniques peuvent être traitées, notamment l'adresse IP, le type de navigateur, le système d'exploitation, les pages consultées, les événements techniques et les informations nécessaires à la sécurité des connexions.
Ces données peuvent contribuer au fonctionnement de la boutique, à la détection des incidents, à la prévention des utilisations frauduleuses et à la protection des services numériques.
Bases juridiques des traitements
1. Exécution du contrat — article 6.1.b : traitement des commandes, organisation des livraisons, suivi des achats et gestion des demandes contractuelles.
2. Obligation légale — article 6.1.c : établissement des factures, obligations comptables, fiscales et conservation des documents légalement requis.
3. Consentement — article 6.1.a : envoi de communications promotionnelles lorsque le consentement est requis, activation des traceurs publicitaires et utilisation de certaines technologies d'analyse.
4. Intérêt légitime — article 6.1.f : prévention de la fraude, sécurité du site, gestion de certains incidents et protection des systèmes, sous réserve de la mise en balance des intérêts et des droits des personnes concernées.
5. Obligations et droits liés aux réclamations : conservation des informations nécessaires à la gestion des litiges, à la défense des droits et au respect des obligations applicables.
Durées de conservation
Les documents comptables et pièces justificatives soumis aux obligations de conservation du Code de commerce peuvent être conservés pendant 10 ans, conformément à l'article L123-22.
Les données de prospection relatives aux clients peuvent être conservées pendant une durée de référence de 3 ans à compter de la fin de la relation commerciale ou du dernier contact pertinent, selon les recommandations applicables de la CNIL.
Les données techniques de sécurité et les informations relatives aux réclamations sont conservées pendant une durée proportionnée à leur finalité et aux obligations légales correspondantes.
Les données ne doivent pas être conservées indéfiniment. À l'expiration des délais applicables, elles sont supprimées, anonymisées ou archivées de manière restreinte lorsque la loi l'exige.
3. Cookies, traceurs et gestion du consentement
Les cookies et autres traceurs sont des technologies susceptibles d'enregistrer ou de consulter des informations sur le terminal d'un utilisateur. Leur utilisation est encadrée notamment par l'article 82 de la loi Informatique et Libertés et par les règles du RGPD relatives au consentement.
Cookies strictement nécessaires
Certains cookies sont indispensables au fonctionnement du site ou à la fourniture d'un service expressément demandé par l'utilisateur. Ils peuvent notamment permettre de maintenir le panier, de sécuriser l'authentification, de mémoriser certains choix techniques ou d'assurer la continuité d'une session.
Ces cookies peuvent être utilisés sans consentement préalable lorsqu'ils répondent strictement aux critères légaux d'exemption.
Certaines mesures d'audience peuvent également bénéficier d'une exemption lorsqu'elles respectent l'ensemble des conditions définies par la CNIL, notamment une finalité strictement limitée à la mesure d'audience du service et des garanties suffisantes de protection des données.
Le caractère anonyme ou agrégé d'une statistique ne suffit pas, à lui seul, à dispenser automatiquement de consentement tous les traceurs utilisés pour la produire.
Cookies soumis au consentement
Les cookies destinés à la publicité personnalisée, à la mesure de certaines campagnes, à l'analyse non exemptée du comportement de navigation ou à l'intégration de fonctionnalités de réseaux sociaux nécessitent, en principe, le consentement préalable de l'utilisateur.
Aucun traceur soumis à consentement ne doit être activé avant l'expression d'un choix valable.
Modalités du consentement
Le consentement doit être libre, spécifique, éclairé et univoque. Il ne peut résulter du silence, de la simple poursuite de la navigation ou d'une case préalablement cochée.
L'interface de gestion des cookies doit permettre d'accepter ou de refuser les traceurs non essentiels avec un niveau de simplicité comparable.
Les options « Tout accepter » et « Tout refuser » doivent bénéficier d'une visibilité équivalente. L'utilisateur doit également pouvoir personnaliser ses choix par catégorie lorsque plusieurs finalités de traitement sont proposées.
Le refus des cookies non essentiels ne doit pas empêcher l'accès aux fonctionnalités ordinaires de la boutique qui ne nécessitent pas ces traceurs.
Durées de validité et conservation des choix
La durée de vie des traceurs doit être limitée à ce qui est nécessaire à leur finalité. Pour les traceurs concernés, la CNIL recommande notamment une durée maximale de 13 mois.
La conservation du choix d'accepter ou de refuser les cookies doit être adaptée au contexte. Une durée de référence de 6 mois est recommandée par la CNIL avant de solliciter à nouveau le choix de l'utilisateur.
Les informations permettant de démontrer le recueil du consentement doivent être conservées pendant une durée proportionnée à cette obligation de preuve.
Pour les dispositifs de mesure d'audience susceptibles de bénéficier d'une exemption, la CNIL recommande que les données collectées soient conservées pendant une durée maximale de 25 mois, sous réserve du respect des autres conditions applicables.
Consentement sur plusieurs appareils
Lorsqu'un utilisateur dispose d'un compte et navigue depuis plusieurs appareils, la gestion centralisée de ses préférences peut être envisagée sous réserve de respecter les conditions applicables au consentement.
La synchronisation des choix ne doit pas conduire à activer des traceurs non essentiels sur un appareil sans information appropriée ni base valable. Une attention particulière doit être accordée aux appareils partagés et aux sessions non authentifiées.
Les préférences exprimées sur un appareil ne doivent pas être contournées par un mécanisme de synchronisation qui ne respecterait pas la volonté de la personne concernée.
Modification et retrait du consentement
L'utilisateur doit pouvoir modifier ses préférences et retirer son consentement à tout moment, aussi facilement qu'il l'a donné.
Le retrait du consentement ne remet pas en cause la licéité des traitements effectués avant ce retrait. Les mécanismes de gestion des cookies doivent être accessibles depuis une rubrique identifiable du site et refléter les choix réellement appliqués aux traceurs.
4. Droits des personnes concernées et modalités d'exercice
Conformément au RGPD et à la législation française applicable, les personnes concernées disposent de plusieurs droits sur leurs données personnelles. Ces droits peuvent être exercés dans les conditions et limites prévues par les textes.
1. Droit d'accès : obtenir la confirmation qu'un traitement de données personnelles est effectué et accéder aux informations correspondantes.
2. Droit de rectification : demander la correction de données inexactes ou la mise à jour d'informations incomplètes.
3. Droit à l'effacement : solliciter la suppression de données lorsque les conditions légales sont réunies, notamment lorsqu'elles ne sont plus nécessaires à leur finalité.
4. Droit à la limitation du traitement : demander la suspension temporaire de certaines opérations de traitement dans les situations prévues par le RGPD.
5. Droit à la portabilité : recevoir les données concernées dans un format structuré, couramment utilisé et lisible par machine, lorsque les conditions légales de ce droit sont remplies.
6. Droit d'opposition : s'opposer à certains traitements fondés sur l'intérêt légitime et, à tout moment, aux traitements réalisés à des fins de prospection commerciale.
7. Droit de retirer son consentement : revenir sur un consentement précédemment donné, sans remettre en cause la licéité des opérations antérieures.
8. Directives relatives aux données après le décès : définir, dans les conditions prévues par le droit français, des directives concernant la conservation, l'effacement et la communication des données personnelles après son décès.
Exercice des droits
Toute personne souhaitant exercer ses droits peut adresser une demande écrite au service client de cavelyx, en précisant la nature de sa demande et les informations permettant d'identifier les données concernées.
Lorsque des doutes raisonnables existent quant à l'identité du demandeur, des informations complémentaires strictement nécessaires à sa vérification peuvent être sollicitées.
Conformément à l'article 12 du RGPD, une réponse doit être apportée dans un délai d'1 mois à compter de la réception de la demande. Ce délai peut être prolongé de 2 mois supplémentaires lorsque la complexité ou le nombre de demandes le justifie. Le demandeur est informé de cette prolongation et de ses motifs dans le délai initial.
L'exercice des droits est en principe gratuit. Des frais raisonnables peuvent uniquement être appliqués dans les situations exceptionnelles prévues par le RGPD, notamment en présence de demandes manifestement infondées ou excessives.
Réclamation auprès de la CNIL
Si une personne estime que ses données ne sont pas traitées conformément à la réglementation ou qu'une demande n'a pas reçu une réponse satisfaisante, elle peut saisir la Commission nationale de l'informatique et des libertés.
Commission nationale de l'informatique et des libertés (CNIL)
3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France.
Les réclamations peuvent être déposées en ligne sur le site officiel de la CNIL, dans la rubrique consacrée aux plaintes.
Le recours à la CNIL n'empêche pas la personne concernée d'exercer les autres voies de recours prévues par la loi.
5. Gestion des violations de données, transferts et suivi de conformité
Détection et gestion des incidents
Une violation de données personnelles peut résulter notamment d'un accès non autorisé, d'une divulgation accidentelle, d'une perte de disponibilité ou d'une altération des informations.
En présence d'un incident, le responsable du traitement doit en évaluer la nature, l'étendue, les conséquences possibles et les mesures nécessaires pour en limiter les effets.
Notification à l'autorité de contrôle
Conformément à l'article 33 du RGPD, lorsqu'une violation de données personnelles est susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, elle doit être notifiée à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, dans les 72 heures suivant le moment où le responsable du traitement en a pris connaissance.
Lorsqu'une notification intervient après ce délai, les raisons du retard doivent être précisées. Les violations et les mesures prises doivent faire l'objet d'une documentation appropriée.
Information des personnes concernées
Conformément à l'article 34 du RGPD, lorsqu'une violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, celles-ci doivent en être informées dans les meilleurs délais, sauf lorsque les exceptions légales sont applicables.
L'information doit présenter de manière compréhensible la nature de l'incident, ses conséquences probables, les mesures adoptées et les recommandations utiles pour limiter les risques.
Prestataires et transferts internationaux
Le fonctionnement d'une boutique en ligne peut nécessiter le recours à des prestataires techniques, à des services de paiement, à des transporteurs et à des outils d'assistance.
Lorsque ces prestataires agissent en qualité de sous-traitants, leurs interventions doivent être encadrées conformément à l'article 28 du RGPD, notamment par des obligations contractuelles adaptées.
Certains traitements peuvent impliquer un accès à des données depuis un pays situé hors de l'Espace économique européen. Dans ce cas, les transferts doivent reposer sur un mécanisme légal approprié, tel qu'une décision d'adéquation ou des garanties conformes au chapitre V du RGPD, accompagnées, lorsque cela est nécessaire, de mesures complémentaires.
La localisation des prestataires, les catégories de destinataires et les garanties de transfert doivent correspondre aux services effectivement utilisés par la boutique.
Actualisation de la politique
La présente politique a été mise à jour le 9 octobre 2026.
Elle peut être modifiée pour tenir compte de l'évolution des services proposés, des traitements réalisés, des prestataires utilisés ou des obligations légales.
En cas de modification importante susceptible d'affecter les droits des personnes ou les conditions de traitement de leurs données, une information appropriée est communiquée sur le site ou par courrier électronique lorsque cela est nécessaire.
Lorsqu'un nouveau traitement nécessite un consentement spécifique, la seule mise à jour de cette politique ne saurait remplacer le recueil préalable de ce consentement.
Contrôles de conformité et conclusion documentaire
La revue de conformité de la présente politique repose sur les points de contrôle suivants :
1. Vérification de l'identité du responsable du traitement et de la cohérence des coordonnées professionnelles avec les autres pages du site.
2. Vérification de l'existence et du fonctionnement d'un dispositif de gestion des cookies permettant un refus aussi simple que l'acceptation.
3. Vérification de l'absence de déclenchement prématuré des traceurs soumis à consentement.
4. Vérification de la traçabilité des choix de consentement et de la possibilité de les modifier ou de les retirer.
5. Vérification de l'accessibilité du contenu de la politique sans exécution obligatoire de JavaScript.
6. Vérification des bases juridiques, des durées de conservation et des catégories de destinataires des données.
7. Vérification des modalités d'exercice des droits, des procédures de réponse et des mécanismes de gestion des violations de données.
8. Vérification des obligations relatives au DPO et au représentant dans l'Union européenne, lorsque les conditions légales de désignation sont réunies.
Conclusion de la revue
La présente politique constitue une base de transparence destinée à informer les consommateurs français sur le traitement de leurs données personnelles.
La clôture de l'audit de conformité nécessite la confirmation des mesures techniques effectivement déployées, des responsabilités juridiques, des prestataires et des dispositifs de consentement. La publication de cette politique ne constitue pas une attestation de contrôle technique indépendant ni une certification délivrée par une autorité de protection des données.
Vos données, vos choix
Vous pouvez demander l'accès à vos données, leur rectification, leur suppression lorsque les conditions légales sont réunies, ou vous opposer aux traitements concernés.
Vous pouvez également retirer votre consentement aux communications commerciales et aux traceurs non essentiels à tout moment.
Toute demande relative à la confidentialité peut être adressée au service client en utilisant les coordonnées indiquées ci-dessous.
Coordonnées et demandes relatives aux données personnelles
Enseigne commerciale : cavelyx
Site internet : https://cavelyx.com
Contact pour les demandes relatives aux données personnelles : frontdeskhelpjknmhgbyu@cavelyx.com
Téléphone : +1 (401) 236-6401
Adresse administrative communiquée : 50 Lower College Road, unité, Kingston, Rhode Island (RI), 02881, États-Unis.
Horaires du service client : du lundi au vendredi, de 9 h 00 à 18 h 00. Les délais de réponse peuvent être plus longs les week-ends et les jours fériés.
cavelyx · Une relation fondée sur la confiance
Confidentialité · Transparence · Protection des données · Respect de vos droits
