RGPD

Politique de confidentialité

La présente politique décrit les traitements de données personnelles réalisés dans le cadre du site hanae.paris et de l'application mobile Hanaé (ensemble, le « Service »), conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.

Responsable de traitement

Théophile Marchand-Arvier, entrepreneur individuel (EI) exerçant sous le nom commercial Hanaé (ci-après « Hanaé ») · SIREN 882 790 363 · 68 chemin de la Grande Roche, 74170 Saint-Gervais-les-Bains, France · e-mail : bonjour@hanae.paris · téléphone : 07 81 90 24 15.

Données des clients

Nous collectons les données nécessaires au Service :

Compte et commande : adresse e-mail, prénom, nom, numéro de téléphone, historique des commandes et, en cas de connexion avec Apple ou Google, l'identifiant transmis par ce service.
Livraison : nom, adresse et téléphone du destinataire, instructions de livraison, message de la carte.
Paiement : aucune donnée bancaire n'est stockée par Hanaé. Les paiements, abonnements et pourboires sont traités par Stripe, qui transmet à Hanaé le statut et le montant des paiements.
Abonnement : bouquet, taille, fréquence, jour et adresse de livraison, statut de l'abonnement.
Preuve de livraison : photographie prise par le coursier à la remise du bouquet, avec l'heure de remise. Certaines de ces photos, recadrées sur le bouquet sans personne, adresse ni numéro de porte visibles, peuvent être publiées sur le site comme exemples de nos livraisons (et sont alors conservées tant qu'elles le sont) ; vous pouvez vous y opposer en écrivant à bonjour@hanae.paris.
Échanges : messages et pièces jointes échangés avec le service client ou avec le coursier pendant la livraison, réclamations.
Avis : note, commentaire éventuel et date. Les avis accompagnés d'un commentaire sont publiés sur le site avec le prénom de leur auteur (voir les CGU).
Parrainage et codes promotionnels : code de parrainage, codes utilisés, lien entre parrain et filleul, récompenses attribuées. Le prénom du parrain est affiché sur sa page publique de parrainage et dans l'aperçu du lien qu'il partage.
Données techniques : adresse IP (sécurité et limitation du nombre de requêtes), localisation approximative déduite de l'adresse IP (ville, région, pays) pour la mesure de fréquentation en temps réel, jetons de notification de l'application.
Mesure d'audience : pages vues et événements d'usage (consultation, ajout au panier, commande), langue, page d'arrivée et site de provenance, rattachés à un identifiant aléatoire et non à votre nom ou à votre adresse e-mail, via PostHog.
Mesure publicitaire (site, avec votre consentement) : lorsque vous arrivez par une annonce Google, identifiant du clic sur l'annonce, rattaché à votre commande ; au paiement, montant et référence de la commande transmis à Google Ads, sans votre nom ni vos coordonnées.

Données du destinataire

Lorsque vous faites livrer un bouquet à une autre personne, vous nous communiquez son nom, son adresse, son numéro de téléphone et votre message. Ces données sont utilisées uniquement pour préparer et effectuer la livraison et pour contacter le destinataire en cas de difficulté. Il vous appartient d'informer le destinataire de cette transmission. Ces données sont conservées aussi longtemps que la commande à laquelle elles se rattachent.

Finalités et bases légales

Exécution du contrat (art. 6-1-b RGPD) : gestion du compte, des commandes, des abonnements, de la livraison et de la preuve de livraison, paiement, service client, réclamations, parrainage et codes promotionnels, pourboires.
Obligation légale (art. 6-1-c) : conservation des pièces comptables, réponse aux demandes d'exercice des droits.
Intérêt légitime (art. 6-1-f) : sécurité du Service, prévention de la fraude et des abus, publication des avis clients, e-mails à nos clients avant leurs prochaines occasions (voir ci-dessous), recrutement et gestion des partenaires (voir ci-dessous).
Consentement (art. 6-1-a) : mesure d'audience, mesure publicitaire, dépôt de cookies non essentiels, autres communications marketing. Le consentement peut être retiré à tout moment.

E-mails avant vos prochaines occasions

Lorsque vous avez commandé chez Hanaé, nous pouvons vous écrire par e-mail pour vous proposer des produits analogues à ceux que vous avez achetés : une semaine avant la date anniversaire d'une livraison, avant la Saint-Valentin, la fête des grands-mères, la fête des mères et Noël, et un mois après votre première commande. Ces e-mails reposent sur notre intérêt légitime et sur l'article L.34-5 du Code des postes et des communications électroniques ; vous en êtes informé lors de votre commande ou, si vous avez commandé avant leur mise en place, par le premier de ces e-mails, qui vous permet de vous y opposer en un clic. Ils utilisent votre adresse e-mail, votre prénom, votre langue, la date de vos commandes et le prénom de leur destinataire. Nous vous écrivons au plus une fois tous les 14 jours, et pas si vous venez de commander.

Chaque e-mail contient un lien de désinscription qui prend effet immédiatement, en un clic. Vous pouvez aussi vous y opposer à tout moment en écrivant à bonjour@hanae.paris. Les e-mails liés à vos commandes (confirmation, livraison) ne sont pas concernés. L'historique de ces envois est conservé avec les données de votre compte.

Destinataires des données

Les données sont traitées par Hanaé. Les partenaires qui préparent et livrent les commandes sous la supervision de Hanaé reçoivent, chacun pour ce qui le concerne, les données de livraison (nom, adresse et téléphone du destinataire, instructions, message de la carte) strictement nécessaires à la préparation et à la livraison de la commande. Les données sont également traitées par les sous-traitants techniques listés ci-dessous, pour le compte de Hanaé. Hanaé ne vend ni ne loue aucune donnée personnelle.

Sous-traitants

Supabase : base de données, authentification, stockage des fichiers (dont les preuves photo) et fonctions serveur, hébergés dans l'Union européenne (Irlande).
Vercel : hébergement du site.
Stripe : paiements, abonnements et remboursements (certifié PCI-DSS).
Resend : envoi des e-mails transactionnels et des liens de connexion.
Expo : acheminement des notifications push de l'application.
Apple : connexion avec Apple et, sur iPhone, notifications et activité en direct du suivi de commande (statut, heure estimée, position du coursier et de l'adresse de livraison) via le service de notifications d'Apple.
Google : connexion avec Google, autocomplétion et géocodage des adresses et calcul des temps de trajet (Google Maps Platform).
OpenStreetMap : affichage du fond de carte du suivi de livraison (votre adresse IP est transmise au serveur de cartes).
Upstash : limitation du nombre de requêtes, à partir de l'adresse IP et, selon les cas, de l'adresse e-mail ou d'un identifiant de commande ou de compte.
PostHog : mesure d'audience, données hébergées dans l'Union européenne.
Google Ireland Limited : mesure des commandes issues de nos annonces Google Ads, sur le site et seulement avec votre consentement (voir la politique cookies).
Twilio : le cas échéant, envoi de SMS au destinataire pour l'informer de la livraison.
Sentry : le cas échéant, suivi des erreurs techniques.

Transferts hors de l'Union européenne

Certains sous-traitants (notamment Vercel, Stripe, Resend, Expo, Apple, Google, Upstash, Twilio et Sentry) sont établis aux États-Unis ou peuvent y transférer des données. Ces transferts sont encadrés par le Data Privacy Framework UE–États-Unis lorsque le sous-traitant y adhère ou, à défaut, par les clauses contractuelles types de la Commission européenne.

Durées de conservation

Données de compte : tant que le compte est actif, puis supprimées 3 ans après la dernière activité.
Commandes et factures : 10 ans pour les données nécessaires à la comptabilité (obligation légale) ; les données du destinataire suivent la commande.
Preuves photo de livraison : 90 jours après la livraison, puis supprimées.
Messages : un an après la clôture de la conversation ; les pièces jointes sont supprimées 180 jours après la clôture.
Avis : tant qu'ils sont publiés ; en cas de suppression du compte, l'avis est conservé sans le prénom de son auteur.
Mesure d'audience : 13 mois maximum. Les données de fréquentation en temps réel (localisation approximative) sont supprimées au bout d'une heure.
Adresses IP utilisées pour la limitation des requêtes : le temps de la fenêtre de limitation.

La suppression du compte, depuis l'espace personnel dans l'application et sur le site, efface ou anonymise les données du compte ; les données de commande nécessaires à la comptabilité sont conservées sans votre adresse e-mail ni votre téléphone.

Partenaires professionnels et coursiers

Cette section informe les professionnels et les coursiers, partenaires ou prospects, des traitements qui les concernent (articles 13 et 14 du RGPD).

Commerces prospectés : pour identifier de futurs partenaires, Hanaé collecte des données professionnelles publiques issues des fiches Google Maps des commerces de fleurs (nom du commerce, adresse, téléphone, site web, note et nombre d'avis, horaires d'ouverture). Finalité : recrutement de partenaires. Base légale : intérêt légitime. Vous pouvez vous opposer à tout moment à ce traitement en écrivant à bonjour@hanae.paris.
Partenaires de préparation : coordonnées professionnelles, commandes confiées, évaluations et notes internes sur la qualité des préparations et les incidents. Finalité : gestion de la relation partenaire. Base légale : exécution du contrat et intérêt légitime.
Coursiers : identité, coordonnées, photo, véhicule, pièces justificatives (pièce d'identité, assurance, contrat, relevé d'identité bancaire), quatre derniers chiffres de l'IBAN, courses effectuées, rémunérations, évaluations et incidents. Pendant une livraison, la position du coursier est collectée et partagée avec le client final, à partir de quelques minutes après le départ et jusqu'à la remise du bouquet. La position en direct est effacée à la fin de la livraison (au plus tard deux heures après sa dernière mise à jour) ; les positions enregistrées sont conservées 7 jours au plus. Finalité : organisation des livraisons, suivi en temps réel par le client, rémunération. Base légale : exécution du contrat, obligations légales et intérêt légitime.
Conservation : pendant la durée du partenariat puis 3 ans, sous réserve des pièces comptables conservées 10 ans ; pour les prospects n'ayant pas donné suite, 3 ans à compter du dernier contact.

Cookies et mesure d'audience

Le site utilise des cookies strictement nécessaires à son fonctionnement (session, authentification, code de parrainage) et, avec votre consentement, des outils de mesure d'audience (PostHog) et de mesure publicitaire (Google Ads). Votre choix est recueilli par un bandeau de consentement et peut être modifié à tout moment depuis le lien « Gérer les cookies » en pied de page. Dans l'application, la mesure d'audience n'est activée qu'après votre consentement, modifiable à tout moment depuis l'onglet Compte. Détail complet : politique cookies.

Sans cookie ni consentement, nous mesurons aussi de façon anonyme le parcours dans la page de commande, pour l'améliorer : étapes atteintes, erreurs affichées, abandon, pays et site de provenance. Aucun champ saisi n'est transmis et l'identifiant, tiré au hasard à chaque ouverture de la page, ne permet pas de vous reconnaître. Conservation : 13 mois. Avec votre consentement, la page de commande peut aussi être enregistrée dans PostHog (clics, mouvements, défilement), champs de saisie masqués.

Décisions automatisées

Hanaé ne prend aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative.

Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, du droit de retirer votre consentement à tout moment, sans que cela remette en cause la licéité des traitements antérieurs, ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

Pour exercer ces droits : bonjour@hanae.paris. Nous répondons dans un délai d'un mois à compter de la réception de la demande, délai qui peut être prolongé de deux mois en raison de la complexité ou du nombre de demandes ; vous en êtes alors informé. Vous pouvez introduire une réclamation auprès de la CNIL · cnil.fr.

Dernière mise à jour : octobre 2026.