Politique de confidentialité

1. Responsable du traitement

• OX RESEARCH LTD — Société n° 17464288 (Angleterre et pays de Galles)
• 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Royaume-Uni
• E-mail : support@oxpeptides.com
• Horaires : du lundi au vendredi de 18 h à 22 h (heure de Paris)

Cette politique s’applique à oxpeptides.com (le « Site »). Elle suit le UK GDPR et le Data Protection Act 2018, le Règlement général sur la protection des données (RGPD) pour les résidents de l’Espace économique européen et de la Suisse, et les lois des États américains sur la vie privée, dont le California Consumer Privacy Act (CCPA/CPRA) pour les résidents de Californie.

2. Données collectées

2.1 Données de commande

• Nom, adresse de livraison, adresse e-mail, numéro de téléphone s’il est fourni
• Produits commandés, montants, statut de la commande et du paiement, numéro de suivi
• Statut de l’abonnement et lien de résiliation sécurisé envoyé par e-mail

Les numéros de carte ne sont jamais vus ni conservés par nous : ils vont directement au prestataire de paiement. Nous ne recevons qu’une confirmation de paiement et, le cas échéant, les quatre derniers chiffres.

2.2 Alertes de stock

Quand vous demandez à être prévenu du retour en stock d’un produit, nous conservons votre adresse e-mail et le produit concerné, uniquement pour envoyer cette notification.

2.3 Portail d’âge et journal d’attestation

Le Site demande à chaque visiteur de confirmer qu’il a au moins 21 ans, et à chaque acheteur d’attester que l’achat est destiné à la recherche en laboratoire. Nous journalisons la date et l’heure, l’adresse IP, le navigateur, les conditions acceptées et leur version. Ce journal est notre preuve que l’attestation a été faite.

2.4 Données techniques

• Adresse IP, type de navigateur, pages visitées, horodatages (journaux serveur)
• Un cookie signé portant le jeton d’attestation, et un cookie de session pour le paiement
• Un cookie propriétaire (30 jours) qui retient par quel chemin vous êtes arrivé la première fois : les paramètres de campagne déjà présents dans le lien cliqué et la page d’arrivée. Il n’est relu qu’au moment d’une commande, pour savoir quelle campagne l’a amenée. Si vous revenez par un autre lien de campagne (un de nos e-mails ou SMS, par exemple), ce lien est gardé à côté du premier et compte pendant 7 jours, sans le remplacer. Il n’est transmis à personne.
• Une mesure d’audience interne et anonyme, tenue dans notre propre base de données, sans aucun outil extérieur : à chaque étape d’une visite (page vue, fiche produit, ajout au panier, commande, clic sur Payer, paiement), nous notons la page, la langue, le pays, le type d’appareil (téléphone ou ordinateur) et la campagne du cookie d’attribution ci-dessus. Elle ne dépose aucun cookie. Votre adresse IP n’est jamais conservée : elle est mêlée à une clé aléatoire qui change chaque jour et qui est effacée au bout de 48 heures, si bien que personne, nous compris, ne peut relier une visite à une personne ni suivre un visiteur d’un jour à l’autre. Aucun nom ni aucune adresse e-mail n’y figure. Ces chiffres servent uniquement à savoir combien de visites deviennent des commandes ; ils ne servent jamais à la publicité et ne sont transmis à personne.

3. Pourquoi nous les utilisons (bases légales)

• Exécution de votre commande — exécution du contrat.
• Portail d’âge et journal d’attestation — obligation légale et intérêt légitime à prouver que les conditions de vente ont été remplies.
• Alertes de stock — votre consentement, retirable à tout moment en répondant à l’e-mail.
• Sécurité et prévention de la fraude — intérêt légitime.
• Mesure d’audience anonyme — intérêt légitime à savoir combien de visites deviennent des commandes.

4. Sous-traitants

Les données ne sont partagées qu’avec les prestataires nécessaires au fonctionnement du Site et à la livraison :

• Vercel — hébergement du Site (États-Unis).
• Supabase — base de données des commandes, des alertes de stock et du journal d’attestation.
• Resend — e-mails transactionnels (confirmation de commande, expédition, alertes de stock, liens d’abonnement).
• Prestataire de paiement — paiements par carte (Visa, Mastercard, American Express) et Apple Pay et Google Pay.
• Logistique — notre propre expédition depuis l’Union européenne reçoit le nom, l’adresse de livraison et le contenu de la commande pour préparer et expédier le colis ; le transporteur reçoit les mêmes données pour la livraison et le suivi.

Chaque prestataire est lié par un accord de traitement des données et ne traite les données que pour la finalité ci-dessus. Nous ne vendons jamais de données personnelles.

5. Transferts internationaux

Les prestataires d’hébergement, de base de données et d’e-mail sont situés aux États-Unis ; les commandes sont préparées et expédiées depuis l’Union européenne. Les transferts reposent sur leurs garanties contractuelles (clauses contractuelles types ou équivalent).

6. Conservation

• Données de commande : 10 ans (obligations comptables et légales).
• Journal d’attestation : aussi longtemps que les commandes associées, et au moins 5 ans.
• E-mails d’alerte de stock : jusqu’à l’envoi de la notification ou au retrait du consentement, et au plus 12 mois.
• Journaux serveur : 90 jours.
• Mesure d’audience anonyme : 13 mois.

7. Vos droits

Vous pouvez demander l’accès à vos données, leur rectification, leur effacement (sous réserve des durées légales de conservation), une copie dans un format portable, et vous opposer à un traitement ou en demander la limitation. Écrivez à support@oxpeptides.com ; nous répondons sous 30 jours. Vous pouvez aussi saisir l’autorité de contrôle de votre pays de résidence. Les résidents de Californie disposent, au titre du CCPA/CPRA, du droit de savoir quelles informations personnelles nous détenons, de les faire supprimer, de les corriger et de refuser leur vente ou leur partage ; nous ne vendons ni ne partageons d’informations personnelles, et nous ne pratiquons aucune discrimination pour l’exercice de ces droits.

8. Cookies

Le Site utilise des cookies strictement nécessaires : le jeton d’attestation (2 ans), la session de paiement, les liens d’abonnement ou de suivi que vous ouvrez, un cookie de région (votre pays, choisi dans le pied de page ou déduit de votre connexion) qui fixe la devise d’affichage et la ligne de livraison, et un cookie propriétaire d’attribution (30 jours) qui retient les paramètres de campagne du lien par lequel vous êtes arrivé. Tous sont propriétaires et aucun bandeau de consentement n’est nécessaire pour eux.

Le Site utilise aussi des cookies de publicité et de mesure, uniquement avec votre accord dans l’Union européenne, l’EEE et au Royaume-Uni : un bandeau le demande avant tout dépôt, le refus tient en un clic, et le Site fonctionne à l’identique dans les deux cas. Ils servent à savoir quelle campagne a mené à une commande et proviennent de Google (Analytics, Ads) et de Meta. Votre choix est conservé dans votre navigateur et peut être modifié en effaçant les données de ce site.

9. Modifications

Cette politique peut être mise à jour ; la date en tête identifie la version en vigueur. Voir aussi les conditions générales de vente et les mentions légales.