Politique de confidentialité
Dernière mise à jour : 9 octobre 2026
Cette politique explique quelles données personnelles nous traitons lorsque vous visitez la boutique VAYA, passez commande ou vous inscrivez à nos offres, pourquoi, avec qui elles sont partagées, combien de temps elles sont conservées et comment exercer vos droits (règlement général sur la protection des données, « RGPD », et loi Informatique et Libertés).
1. Responsable du traitement
Le responsable du traitement est le vendeur qui exploite la boutique. Pour toute question relative à vos données, écrivez à vaya@orrashop.com. Aucun délégué à la protection des données n’a été désigné.
2. Données traitées
- Commande : nom, adresse e-mail, adresse de livraison et numéro de téléphone (saisis sur la page de paiement), offre commandée, montant, numéro de commande, éventuel code de réduction, acceptation des CGV, numéro de suivi du colis et historique des e-mails liés à la commande ;
- Inscription aux offres (facultative) : adresse e-mail, date, texte et version du consentement donné, et l’offre consultée au moment de l’inscription ;
- Échanges avec le service client : contenu de vos messages et nos réponses.
Données bancaires : elles sont saisies exclusivement sur la page de paiement sécurisée de notre prestataire Stripe ; elles ne transitent jamais par nos serveurs et nous n’y avons pas accès. Nous ne créons pas de compte client.
3. Finalités et bases légales
- Conclusion, paiement, expédition et suivi de la commande, e-mails de confirmation et d’expédition, service client, gestion de la rétractation et des garanties légales — base légale : l’exécution du contrat de vente (article 6, 1. b) du RGPD) ;
- Envoi d’offres et d’actualités VAYA par e-mail — base légale : votre consentement (article 6, 1. a) du RGPD), que vous pouvez retirer à tout moment ;
- Comptabilité et facturation — base légale : le respect de nos obligations légales (article 6, 1. c) du RGPD) ;
- Prévention de la fraude au paiement, sécurité du site, gestion des réclamations et des litiges — base légale : notre intérêt légitime à protéger la boutique et à défendre nos droits (article 6, 1. f) du RGPD).
4. Caractère obligatoire des données
Les données demandées sur la page de paiement (adresse e-mail, nom, adresse de livraison, numéro de téléphone) sont nécessaires à la conclusion et à l’exécution de votre commande : sans elles, la commande ne peut pas être passée. Le numéro de téléphone sert à la remise du colis par le transporteur. L’inscription aux offres est facultative et n’a aucune incidence sur une commande.
5. Destinataires
Vos données ne sont ni vendues ni louées. Elles ne sont communiquées qu’aux destinataires suivants, pour ce qui les concerne :
- Stripe Payments Europe, Limited (Irlande) — paiement sécurisé et prévention de la fraude. Stripe peut transférer certaines données à sa société mère aux États-Unis ; ces transferts sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) et par les clauses contractuelles types de la Commission européenne. Stripe agit en partie comme responsable de traitement distinct, selon sa propre politique de confidentialité.
- Brevo (France) — envoi des e-mails liés à votre commande et, si vous vous êtes inscrit, gestion de la liste des personnes ayant accepté de recevoir nos offres.
- Notre hébergeur — hébergement du serveur sur lequel sont enregistrées les commandes.
- AliExpress, place de marché exploitée par Alibaba.com Singapore E-Commerce Pte Ltd (Singapour), et le vendeur, situé en Chine, auprès duquel nous passons votre commande et qui expédie le colis, ainsi que les transporteurs chargés de l’acheminement et de la remise : votre nom, votre adresse de livraison et votre numéro de téléphone, et uniquement ces données. Ni Singapour ni la Chine ne bénéficient d’une décision d’adéquation de la Commission européenne : ce transfert est nécessaire à l’exécution du contrat de vente conclu avec vous et à la livraison que vous avez demandée (article 49, 1. b) du RGPD).
- 17TRACK — service indépendant de suivi de colis, sollicité uniquement si vous cliquez sur le lien de suivi de l’e-mail d’expédition ou utilisez notre page « Suivre mon colis » : seul le numéro de suivi lui est alors transmis, par votre navigateur. Sa propre politique de confidentialité s’applique.
- Le cas échéant, notre expert-comptable et les administrations habilitées (administration fiscale, autorités judiciaires), dans le cadre de nos obligations légales.
6. Durées de conservation
Une purge automatique, exécutée chaque semaine, applique les durées suivantes :
| Données | Durée | À l’issue |
|---|---|---|
| Commande non finalisée (paiement abandonné ou refusé) et tentative de paiement | 60 jours après sa création | suppression |
| Numéro de téléphone et adresse de livraison d’une commande payée | 3 ans après le paiement (durée de la garantie légale de conformité, plus une marge pour traiter les réclamations) | effacement |
| Nom et adresse e-mail d’une commande payée | 5 ans après le paiement (délai de prescription des actions liées au contrat) | effacement |
| Inscription aux offres (e-mail et preuve du consentement) | jusqu’à votre désinscription, et au plus tard 3 ans après votre dernier consentement | suppression |
| Inscription aux offres après désinscription | 30 jours après la désinscription | suppression |
| Journaux techniques des notifications de paiement traitées (identifiant et type d’événement, sans donnée personnelle) | 90 jours | suppression |
Les informations de commande qui subsistent après ces effacements (numéro, contenu, montant et statut, sans nom ni coordonnées) sont conservées 10 ans au titre de nos obligations comptables ; elles ne sont pas concernées par la purge automatique et sont supprimées ou archivées manuellement à l’issue de ce délai. Une notification de paiement en échec reste conservée jusqu’à son traitement manuel.
Les journaux techniques du serveur web (adresse IP, page demandée, date) sont conservés pour une durée courte, à des fins de sécurité. Stripe et Brevo conservent les données qu’ils traitent selon leurs propres obligations.
7. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement et de portabilité de vos données, ainsi que d’un droit d’opposition, notamment à la prospection commerciale, à tout moment et sans justification. Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment. Vous pouvez également définir des directives relatives à la conservation, à l’effacement et à la communication de vos données après votre décès (article 85 de la loi Informatique et Libertés).
Pour exercer ces droits, écrivez-nous à vaya@orrashop.com. Nous répondons dans un délai d’un mois. Une preuve d’identité ne peut être demandée qu’en cas de doute raisonnable sur votre identité.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) : www.cnil.fr.
8. Offres et actualités par e-mail
La fenêtre « code de bienvenue » vous propose de recevoir nos offres par e-mail. L’inscription n’est possible qu’avec votre consentement explicite (case à cocher, décochée par défaut). Vous pouvez vous désinscrire à tout moment grâce au lien présent dans chaque e-mail, ou en nous écrivant ; votre désinscription n’affecte pas les e-mails liés à une commande.
9. Cookies et stockage local
Le site n’utilise aucun cookie ni traceur publicitaire ou de mesure d’audience. Il utilise uniquement le stockage local de votre navigateur, à des fins strictement fonctionnelles qui ne nécessitent pas de consentement : mémoriser que vous avez fermé la fenêtre d’inscription aux offres (pendant 7 jours) ou que vous vous êtes déjà inscrit, ne pas vous la représenter pendant la même visite, et éviter de compter deux fois la même confirmation de commande. Ces informations restent dans votre navigateur et ne nous sont pas transmises.
La page de paiement est hébergée par Stripe, qui y utilise ses propres cookies, nécessaires à la sécurité du paiement et à la prévention de la fraude.
10. Sécurité
Les échanges avec le site sont chiffrés (HTTPS). Les données de commande sont stockées sur un serveur à accès restreint, sauvegardé chaque jour (sauvegardes conservées 30 jours). Le paiement est intégralement opéré par Stripe, certifié PCI-DSS.