La société ROSE Vintage Lab SAS (ci-après « ROSE » ou « la Société ») attache une importance fondamentale à la protection des données à caractère personnel de ses utilisateurs. La présente Politique de Confidentialité et de Protection des Données (ci-après « la Politique ») est établie en application du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (dit « RGPD »), ainsi que de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa version consolidée en vigueur.

La Politique s'applique à l'ensemble des opérations de traitement de données à caractère personnel effectuées par ROSE dans le cadre de l'exploitation de sa plateforme numérique de commerce de luxe vintage japonais, accessible via le site web rosevintagelab.com ainsi que via les applications mobiles iOS et Android correspondantes (ci-après désignés collectivement « la Plateforme »).

Elle concerne toute personne physique amenée à interagir avec la Plateforme, qu'elle soit acheteur (particulier ou professionnel européen), vendeur (fournisseur japonais vérifié), membre du Cercle ROSE ou simple visiteur n'ayant pas procédé à la création d'un compte.

Au sens de l'article 4, paragraphe 7, du RGPD, le responsable du traitement est la personne morale qui détermine les finalités et les moyens des traitements de données à caractère personnel. Pour l'ensemble des traitements décrits dans la présente Politique, le responsable du traitement est :

ROSE a désigné un référent interne à la protection des données, joignable à l'adresse support@rosevintagelab.com, chargé de veiller à la conformité des traitements au regard du RGPD et des dispositions nationales applicables, et de constituer le point de contact pour l'exercice des droits des personnes concernées.

Conformément au principe de minimisation des données consacré par l'article 5, paragraphe 1, sous c), du RGPD, ROSE limite strictement la collecte aux données à caractère personnel adéquates, pertinentes et nécessaires au regard des finalités pour lesquelles elles sont traitées.

ROSE ne collecte aucune donnée relevant des catégories particulières visées à l'article 9 du RGPD, telles que les données relatives à la santé, aux opinions politiques, aux convictions religieuses ou philosophiques, à l'origine ethnique ou raciale, ou les données biométriques. Dans l'hypothèse où de telles données seraient communiquées de manière non sollicitée, elles feront l'objet d'une suppression immédiate.

Conformément à l'article 6 du RGPD, tout traitement de données à caractère personnel doit reposer sur une base légale. Le tableau ci-après recense l'ensemble des traitements opérés par ROSE, leur finalité déterminée et leur fondement juridique applicable.

En application du principe de limitation de la conservation prévu à l'article 5, paragraphe 1, sous e), du RGPD, les données à caractère personnel ne sont conservées que pour la durée strictement nécessaire à l'accomplissement des finalités pour lesquelles elles ont été collectées, ou pour satisfaire aux obligations légales et réglementaires en vigueur.

À l'expiration des durées de conservation applicables, les données font l'objet soit d'une suppression définitive et irréversible, soit d'une anonymisation complète à des fins statistiques, en conformité avec les lignes directrices de la Commission Nationale de l'Informatique et des Libertés.

Dans le cadre de l'exploitation de la Plateforme, ROSE fait appel à des prestataires techniques tiers qui agissent en qualité de sous-traitants au sens de l'article 4, paragraphe 8, du RGPD. Ces prestataires traitent des données à caractère personnel exclusivement sur instruction documentée de ROSE, dans le respect des obligations contractuelles formalisées par des accords de traitement des données (DPA) conformes à l'article 28 du RGPD.

ROSE ne cède, ne vend ni ne loue à aucun tiers les données personnelles de ses utilisateurs à des fins commerciales propres à ce tiers.

Toute modification de la liste des sous-traitants impliquant l'accès à de nouvelles catégories de données à caractère personnel fera l'objet d'une mise à jour de la présente Politique dans un délai de trente (30) jours.

L'activité de ROSE implique, par sa nature transfrontalière, des flux de données entre l'Union Européenne, le Japon et les États-Unis. Ces transferts sont opérés dans le strict respect des dispositions du Chapitre V du RGPD.

Les prestataires techniques de ROSE établis aux États-Unis (Supabase, Stripe, Vercel, Resend, Firebase) traitent des données dans le cadre d'un encadrement juridique adapté, constitué des instruments suivants :

• Les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne en vertu de la Décision d'exécution 2021/914 du 4 juin 2021, intégrées aux accords de traitement conclus avec chaque sous-traitant ;
• Le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework), pour les prestataires qui y sont certifiés.

Dans le cadre des relations commerciales avec les vendeurs japonais, certaines données peuvent être transmises vers le Japon selon les modalités suivantes :

• L'adresse de livraison de l'acheteur est communiquée au vendeur japonais dans la stricte mesure nécessaire à l'expédition de la commande, et à aucune autre fin ;
• Le Japon fait l'objet d'une décision d'adéquation de la Commission européenne (Décision 2019/419 du 23 janvier 2019), reconnaissant que ce pays assure un niveau de protection des données à caractère personnel essentiellement équivalent à celui garanti au sein de l'Union Européenne. Ces transferts sont en conséquence autorisés sans qu'il soit nécessaire de prévoir des garanties supplémentaires ;
• Les vendeurs japonais sont contractuellement tenus de n'utiliser les données personnelles des acheteurs qui leur sont communiquées qu'aux seules fins d'exécution de la commande et de service après-vente associé.

Conformément aux articles 15 à 22 du RGPD, toute personne physique dont les données sont traitées par ROSE dispose des droits énumérés ci-après, qu'elle peut exercer à tout moment dans les conditions prévues par la réglementation applicable.

Pour exercer l'un des droits susmentionnés, la personne concernée adresse sa demande à ROSE par voie électronique à l'adresse support@rosevintagelab.com, en précisant ses nom, prénom et adresse électronique associée à son compte ROSE. Pour les demandes susceptibles d'affecter des données sensibles (accès, effacement ou portabilité), ROSE se réserve le droit de solliciter la production d'un justificatif d'identité.

Conformément à l'article 12, paragraphe 3, du RGPD, ROSE s'engage à apporter une réponse dans un délai d'un (1) mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois supplémentaires en cas de demandes complexes ou en nombre important, la personne concernée étant alors informée de cette prolongation et de ses motifs dans le délai d'un mois initial.

La Plateforme ROSE utilise des cookies et des traceurs dans le strict respect de la délibération de la CNIL n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives aux cookies et aux autres traceurs, et de sa recommandation du 17 septembre 2020. Un dispositif de recueil du consentement, intégré de manière non intrusive en bas d'écran, permet à l'utilisateur d'accepter ou de refuser les cookies non essentiels préalablement à tout dépôt.

L'utilisateur peut à tout moment modifier ses préférences en matière de cookies en accédant au lien « Paramètres cookies » disponible en pied de chaque page de la Plateforme, ou en configurant son navigateur conformément aux instructions du fabricant. Le refus des cookies non essentiels est sans incidence sur l'accès aux fonctionnalités principales de la Plateforme.

Conformément à l'article 32 du RGPD, ROSE met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté aux risques présentés par les traitements, eu égard à l'état des connaissances, aux coûts de mise en œuvre et à la nature, à la portée, au contexte et aux finalités des traitements.

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes physiques, ROSE s'engage à :

• Notifier la violation à la Commission Nationale de l'Informatique et des Libertés (CNIL) dans un délai de soixante-douze (72) heures après en avoir pris connaissance, conformément à l'article 33 du RGPD ;
• Informer sans délai injustifié les personnes concernées dans les cas où la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés, conformément à l'article 34 du RGPD ;
• Documenter l'ensemble des violations dans un registre interne dédié, qu'elles aient ou non donné lieu à notification, conformément à l'article 33, paragraphe 5, du RGPD.

La Plateforme ROSE est exclusivement destinée aux personnes physiques majeures. Les services proposés par ROSE, impliquant la réalisation de transactions commerciales portant sur des articles de luxe ainsi que la souscription d'abonnements payants, ne sont pas accessibles aux personnes de moins de dix-huit (18) ans.

Lors de la création d'un compte, l'utilisateur déclare sur l'honneur être âgé d'au moins dix-huit (18) ans et disposer de la pleine capacité juridique pour conclure des engagements contractuels. ROSE ne collecte sciemment aucune donnée à caractère personnel relative à des mineurs. Dans l'hypothèse où ROSE viendrait à constater qu'un utilisateur est mineur, son compte sera immédiatement suspendu et ses données personnelles supprimées sans délai.

Tout parent ou tuteur légal ayant connaissance de l'inscription d'un mineur sur la Plateforme est invité à en informer ROSE à l'adresse support@rosevintagelab.com, afin qu'il soit procédé aux mesures appropriées dans les meilleurs délais.

ROSE se réserve le droit de modifier la présente Politique à tout moment, notamment en cas de modification législative ou réglementaire, d'évolution des services proposés, d'intégration de nouveaux sous-traitants ou de toute autre modification substantielle de ses pratiques en matière de traitement des données à caractère personnel.

Toute modification substantielle de la Politique — entendue comme une modification de finalité, l'introduction d'un nouveau traitement ou l'intégration d'un nouveau sous-traitant établi hors de l'Union Européenne — sera notifiée aux utilisateurs par voie électronique au moins trente (30) jours avant sa date d'entrée en vigueur. Les modifications de portée mineure (correction d'erreurs matérielles, mise à jour des coordonnées de contact) seront reflétées par l'actualisation de la date de dernière mise à jour figurant en tête du document.

La version de la Politique en vigueur est celle accessible en permanence à l'adresse rosevintagelab.com/confidentialite. La poursuite de l'utilisation de la Plateforme au-delà de la date d'entrée en vigueur d'une nouvelle version vaut acceptation des modifications apportées. À défaut d'acceptation, l'utilisateur a la faculté de clôturer son compte avant cette date.

Pour toute question relative à la présente Politique, pour exercer l'un de ses droits en application des articles 15 à 22 du RGPD, ou pour signaler une préoccupation relative au traitement de ses données personnelles, toute personne concernée peut contacter ROSE Vintage Lab par les voies suivantes :

Afin de permettre le traitement diligent de la demande, il est recommandé à la personne concernée d'indiquer ses nom et prénom, l'adresse électronique associée à son compte ROSE, la nature du droit qu'elle souhaite exercer et, le cas échéant, les données spécifiquement concernées par sa demande. ROSE se réserve la faculté de solliciter la production d'une copie d'un document d'identité lorsque cela s'avère nécessaire à la vérification de l'identité du demandeur, notamment pour les demandes portant sur l'accès, l'effacement ou la portabilité des données.