Politique de confidentialité

Sommaire

Site liikye.com. Dernière mise à jour : 28.10.2026.

La présente politique décrit quelles données personnelles nous collectons sur le site liikye.com, à quelles fins, à qui nous les transmettons, combien de temps nous les conservons et quels sont vos droits.

Le responsable du traitement est une société britannique, c’est pourquoi nous appliquons le droit du Royaume-Uni : UK GDPR, Data Protection Act 2018 et Privacy and Electronic Communications Regulations 2003 (PECR). À l’égard des personnes se trouvant dans l’Union européenne, nous appliquons également le règlement (UE) 2016/679 du Parlement européen et du Conseil (RGPD).

Lorsque la présente politique cite un article du RGPD, c’est la disposition correspondante du UK GDPR ou du Data Protection Act 2018 qui s’applique au Royaume-Uni.

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est LEAD PROVIDER LTD, société immatriculée en Angleterre et au pays de Galles sous le numéro 17432990, dont le siège est situé à l’adresse suivante : 60 White Horse Lane, Boston, PE21 8SZ, United Kingdom (ci-après : « nous » ou le « Responsable du traitement »).

Pour toute question relative aux données personnelles, écrivez à l’adresse [email protected] ou utilisez le formulaire de contact : https://liikye.com/fr/contactez-nous/.

Nous n’avons pas désigné de délégué à la protection des données.

Nous n’avons pas désigné de représentant dans l’Union européenne au sens de l’article 27 du RGPD. Les personnes situées dans l’Union européenne peuvent nous contacter directement, à l’adresse e-mail et via le formulaire indiqués ci-dessus.

2. Quelles données nous collectons

2.1. Données que vous fournissez

Adresse e-mail. Vous l’indiquez lors de la commande et, s’il n’existe pas encore de compte à cette adresse, nous le créons automatiquement.

Prénom et nom ou dénomination de l’entreprise, adresse, numéro d’identification fiscale ou numéro de TVA, si vous achetez en tant qu’entreprise ou si vous demandez un document de vente comportant ces données.

Numéro de téléphone, si vous l’indiquez.

Lien ou nom du compte sur le réseau social auquel se rapporte le service commandé, ainsi que les paramètres du service (par exemple le nombre d’abonnés). Pour le service de commentaires, également le texte des commentaires que vous saisissez. Nous ne demandons jamais le mot de passe de votre compte sur le réseau social et nous n’en avons pas besoin.

Contenu des demandes, réclamations et messages que vous envoyez par le système de demandes de votre compte client, par le formulaire de contact ou par e-mail, avec l’adresse depuis laquelle vous écrivez.

2.2. Données issues de la connexion via Google, Facebook ou Apple

Si vous vous connectez via Google, Facebook ou Apple, nous recevons de cette société les données décrites au chapitre 6 : identifiant du compte, adresse e-mail, prénom ou nom du profil et, de Google et Facebook, également la photo de profil.

2.3. Données techniques et données relatives à l’utilisation du site

Lorsque vous utilisez le site, nous enregistrons des données techniques : adresse IP, pays déterminé par notre prestataire de protection du trafic (Cloudflare), informations envoyées par le navigateur (type et version du navigateur, système d’exploitation, type d’appareil), identifiant de session et de panier. Lors d’une commande, nous enregistrons en outre l’ensemble de données relatives à l’appareil décrit au chapitre 7. Les statistiques de visite sont décrites au chapitre 8.

2.4. Données de transaction

Historique des commandes : date, services, montant, devise, statut d’exécution et moyen de paiement. Données des documents de vente. Le prestataire de paiement nous transmet l’identifiant et le statut de la transaction et, en cas de paiement en cryptomonnaie, l’adresse du portefeuille d’où provient le versement ainsi que l’identifiant de la transaction sur le réseau blockchain. Nous n’avons pas accès aux données de votre carte, aux codes BLIK, à vos identifiants bancaires ni aux clés de votre portefeuille.

2.5. Données de personnes qui ne sont pas nos clients

Une commande peut porter sur un compte de réseau social appartenant à une autre personne que celle qui passe la commande. Si votre compte a été indiqué dans une commande, nous traitons son nom public, le lien vers celui-ci ou vers la publication, ainsi que les données publiques du compte et de la publication décrites au point 4.4. Nous recevons ces données de la personne qui passe la commande ou des informations publiquement accessibles du réseau social. Nous les utilisons uniquement pour exécuter et régler la commande, sur la base de notre intérêt légitime (art. 6, par. 1, point f), du RGPD). Vous pouvez nous contacter et exercer les droits décrits au chapitre 14, y compris le droit d’opposition.

2.6. Échantillons gratuits

Si, sur le site liikye.com, vous recevez un échantillon gratuit d’un service ou achetez à sa place un pack payant pour les nouveaux clients, vous devez confirmer votre adresse e-mail au moyen d’un code à usage unique reçu par message ou en vous connectant via Google, Apple ou Facebook. S’il n’existe pas encore de compte à cette adresse, nous le créons automatiquement. Dans le registre des échantillons, nous enregistrons :

l’adresse e-mail du compte, également sous une forme normalisée pour les comparaisons (minuscules, dans Gmail sans les points ni les ajouts après le signe « + »),
le nom du compte Instagram auquel appartient la publication (le lien vers la publication lui-même est enregistré dans la commande, comme pour tout service),
un identifiant aléatoire de l’appareil issu du cookie cleafs_did (valable 400 jours) ainsi que l’adresse IP,
le mode de confirmation de l’adresse (code par e-mail, Google, Apple ou Facebook),
la date, le choix (échantillon ou pack payant), le résultat (délivré ou refusé avec le motif), le numéro de commande, le nombre de mentions J’aime de la publication avant la livraison, l’heure de fin de l’exécution et le code de réduction délivré,
le déroulement de la réception sur la page de l’échantillon (accès, clic, confirmation, commande) avec l’identifiant de session issu du cookie cleafs_probki_s (valable 24 heures).

Finalités et bases juridiques :

délivrance de l’échantillon ou du pack et vérification de votre droit à le recevoir (êtes-vous un nouveau client et n’avez-vous pas déjà reçu un échantillon de ce type) : art. 6, par. 1, point b), du RGPD, exécution du contrat,
protection contre les abus (un échantillon par personne, limite par adresse IP, détection de comptes multiples sur un même appareil ou un même compte Instagram, blocages) : art. 6, par. 1, point f), du RGPD, notre intérêt légitime,
statistiques du programme (combien d’échantillons nous avons délivrés, combien de personnes ont acheté quelque chose ensuite) : art. 6, par. 1, point f), du RGPD, notre intérêt légitime,
e-mails contenant des offres et des codes de réduction : art. 6, par. 1, point a), du RGPD, votre consentement.

Consentement marketing pour l’échantillon. Nous délivrons l’échantillon gratuit aux personnes qui acceptent de recevoir des e-mails contenant des offres et des codes de réduction et qui confirment être âgées d’au moins 16 ans. Quiconque ne souhaite pas donner son consentement peut acheter le même service au prix normal, et le pack payant pour les nouveaux clients ne nécessite pas de consentement. Nous enregistrons la preuve du consentement : son texte et sa version, l’heure, l’adresse e-mail confirmée, la source (page de l’échantillon) et l’adresse IP. Votre adresse étant déjà confirmée par le code ou par la connexion, nous n’envoyons pas de lien de confirmation distinct pour l’échantillon. Vous pouvez retirer votre consentement à tout moment au moyen du lien « se désabonner » présent dans chaque message. Le retrait du consentement ne vous prive pas de l’échantillon déjà commandé ou livré.

Destinataires. Pour vérifier que l’adresse e-mail et le compte Instagram n’ont pas déjà acheté et n’ont pas déjà reçu d’échantillon, nous transmettons à la plateforme d’exécution des commandes (point 4.2) l’adresse e-mail sous forme normalisée, le nom du compte Instagram, le lien vers la publication et l’adresse IP. La plateforme les compare aux commandes de toutes les boutiques qu’elle gère, y compris des boutiques exploitées par d’autres sociétés. La plateforme obtient les données publiques de la publication et du compte auprès d’un fournisseur externe de données sur les profils Instagram publics (point 4.4).

Durée de conservation. Nous conservons les entrées du registre des échantillons pendant toute la durée du programme d’échantillons gratuits, car sans elles il est impossible de vérifier la règle d’un échantillon par personne. À la fin du programme, nous les supprimons ou les anonymisons. Nous conservons la commande de l’échantillon comme les autres commandes (chapitre 13). Nous conservons la preuve du consentement marketing même après son retrait, jusqu’à l’expiration du délai de prescription des actions, afin de pouvoir démontrer que le consentement a été donné.

2.7. Êtes-vous obligé de fournir vos données

La fourniture de l’adresse e-mail est nécessaire pour passer une commande, et celle du lien ou du nom du compte pour l’exécuter. Vous fournissez les données du document de vente si vous souhaitez recevoir un document comportant ces données. Les autres données sont fournies à titre facultatif.

Nous ne collectons pas de catégories particulières de données (par exemple des données concernant la santé, les opinions ou l’appartenance à une organisation).

3. Finalités et bases juridiques du traitement

Exécution de la commande, gestion du compte, connexion : art. 6, par. 1, point b), du RGPD (exécution du contrat).

Établissement et conservation des documents de vente, obligations fiscales : art. 6, par. 1, point c), du RGPD (obligation légale).

Traitement des demandes, des réclamations et des contacts : art. 6, par. 1, point b), du RGPD et, lorsque la demande ne concerne pas le contrat, art. 6, par. 1, point f), du RGPD (notre intérêt légitime à répondre au message).

Sécurité du site, protection contre la fraude et les abus, y compris les données de l’appareil (chapitre 7) et la liste de blocage (point 4.10) : art. 6, par. 1, point f), du RGPD (notre intérêt légitime à nous protéger contre les pertes et les attaques).

Constatation, exercice et défense de droits en justice : art. 6, par. 1, point f), du RGPD.

Statistiques de visite (points 8.1 et 8.2) : art. 6, par. 1, point a), du RGPD (votre consentement exprimé dans le bandeau des cookies).

Mesure de la vitesse des pages (point 8.3) : art. 6, par. 1, point f), du RGPD (notre intérêt légitime à améliorer le site). Vous pouvez vous y opposer (chapitre 14).

Rappel d’une commande non payée : art. 6, par. 1, point b), du RGPD (finalisation du contrat que vous avez commencé à conclure).

Messages marketing par e-mail : art. 6, par. 1, point a), du RGPD (votre consentement).

4. À qui nous transmettons les données

Nous ne transmettons les données que dans la mesure nécessaire à la finalité concernée. Nous ne vendons pas de données personnelles et ne les communiquons pas à d’autres sociétés pour leur propre publicité.

4.1. Serveur et protection du trafic

OVH (groupe OVHcloud) fournit le serveur dédié sur lequel fonctionnent le site, sa base de données et la plateforme d’exécution des commandes. Le serveur se trouve dans un centre de données à Varsovie (Pologne).

Le serveur est loué auprès d’OVH Limited (Londres, Royaume-Uni), société du groupe OVHcloud, par Aggressive Marketing Ltd (Royaume-Uni). À notre demande, elle y maintient le site et sa base de données en tant que sous-traitant agissant pour notre compte. Les sauvegardes des bases de données sont conservées sur ce serveur ainsi que sur un appareil d’Aggressive Marketing Ltd au Royaume-Uni.

Cloudflare, Inc. (États-Unis) gère le trafic vers le site : elle accélère le chargement et protège contre les attaques et les bots. À chaque visite, Cloudflare voit l’adresse IP, les en-têtes de la requête et le pays depuis lequel vous vous connectez.

4.2. Plateforme d’exécution des commandes et de traitement des demandes

Nous traitons les commandes et les demandes dans la plateforme Cleafs, exploitée par Cleafs Technologies L.L.C-FZ, Meydan Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubaï, Émirats arabes unis (licence n° 2530208.01, Meydan Free Zone Authority). La plateforme fonctionne sur le serveur décrit au point 4.1, et Cleafs Technologies y accède depuis les EAU. La plateforme reçoit : l’adresse e-mail, les prénom et nom, le numéro de téléphone et l’adresse de facturation si vous les avez fournis, le numéro et le contenu de la commande, le lien ou le nom du compte, le montant et le statut du paiement, le contenu des demandes et les données signalées à la liste de blocage. Le transfert des données vers les EAU est décrit au chapitre 5.

4.3. Fournisseurs qui exécutent le service

Le service commandé est exécuté par des fournisseurs externes de services sur les réseaux sociaux. Nous leur transmettons uniquement ce qui est nécessaire à l’exécution : le lien ou le nom du compte, le type de service et la quantité et, pour le service de commentaires, le texte des commentaires. Nous ne leur transmettons ni votre adresse e-mail, ni votre nom, ni votre adresse IP, ni vos données de paiement. Nous faisons appel à plusieurs fournisseurs de ce type, dont la liste varie selon la disponibilité des services. La plupart d’entre eux ne communiquent pas publiquement le nom de leur société ni leur pays d’établissement ; c’est pourquoi nous traitons la transmission de données à ces fournisseurs comme un transfert hors du Royaume-Uni et de l’EEE (chapitre 5). Nous vous communiquerons la liste actuelle des fournisseurs sur demande (chapitre 20).

4.4. Données des comptes et publications Instagram publics

HikerAPI (hikerapi.com) est un fournisseur externe de données sur les comptes et publications Instagram publics. La plateforme visée au point 4.2 obtient auprès de lui les données publiques du compte ou de la publication que vous indiquez dans la commande, sur la fiche d’aperçu du compte ou dans le formulaire d’échantillon gratuit : la photo de la publication, la photo de profil et le nom du compte, le nom du compte du propriétaire de la publication, le nombre de mentions J’aime ainsi que l’information indiquant si le compte est public. Ces données servent à afficher l’aperçu, à vérifier que la commande peut être exécutée et à relever les compteurs avant et pendant la livraison. HikerAPI reçoit uniquement l’adresse de la publication publique ou le nom du compte public. Nous ne lui transmettons ni votre adresse e-mail, ni votre adresse IP, ni d’autres données de votre compte. HikerAPI ne communique pas publiquement le nom de sa société ni son pays d’établissement ; c’est pourquoi nous traitons la transmission de données à ce fournisseur comme un transfert hors du Royaume-Uni et de l’EEE (chapitre 5).

4.5. Paiements

Le paiement est traité par le prestataire du moyen que vous choisissez sur la page de paiement. Nous vous redirigeons vers sa page ou sa fenêtre de paiement, et le prestataire traite les données de la carte, du BLIK et de la connexion bancaire sur ses propres serveurs. Le prestataire ne nous transmet que la confirmation de la transaction (statut, montant, identifiant et, pour une carte, éventuellement le type et les derniers chiffres).

Si le paiement par carte, Apple Pay ou un autre moyen pris en charge par Mollie est disponible sur la page de paiement et que vous l’utilisez, les données sont traitées par Mollie B.V., Amsterdam, Pays-Bas.

Si vous payez en cryptomonnaie, le paiement est traité par le logiciel BoxCoin fonctionnant sur notre serveur, sans prestataire externe. Une transaction sur le réseau blockchain est par nature publique : l’adresse du portefeuille, le montant et l’heure sont visibles par tous. Nous vérifions la réception du versement dans des explorateurs publics de la blockchain.

4.6. Courrier électronique

Nous envoyons les messages du site (codes de connexion, confirmations de commande, documents de vente, réponses aux demandes) via Mailgun Technologies, Inc. (groupe Sinch, États-Unis), depuis des serveurs situés dans la région de l’Union européenne. Le site conserve des copies des messages envoyés dans un journal d’envoi, afin de pouvoir vérifier qu’un message est bien parti ; conservation des copies : 90 jours.

4.7. Connexion via Google, Facebook et Apple

Si vous choisissez ce mode de connexion : Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande), Meta Platforms Ireland Limited (4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irlande) ou Apple Distribution International Limited (Irlande). Détails au chapitre 6.

4.8. Statistiques

Google Ireland Limited et Google LLC (États-Unis) fournissent le service Google Analytics 4 (chapitre 8).

4.9. Comptabilité et conseillers

Cabinet comptable : un prestataire comptable externe au Royaume-Uni, qui tient les comptes du Responsable du traitement. Il reçoit les données des documents de vente (données du client, montants, dates). En cas de litige, nos conseillers juridiques peuvent recevoir les données et, en cas de contrôle, les auditeurs.

4.10. Liste de blocage

Pour nous protéger contre la fraude, notamment contre les commandes payées avec une carte volée et les rétrofacturations infondées, nous utilisons une liste de blocage tenue dans la plateforme visée au point 4.2. Est inscrite sur la liste toute personne dont la commande s’est terminée par une rétrofacturation ou qui a été bloquée par notre service client pour abus. La liste contient les données permettant de reconnaître cette personne lors d’une nouvelle tentative d’achat : adresse e-mail (également sous forme normalisée), identifiant du compte, prénom et nom, adresse, adresse IP (vérifiée pendant 90 jours), identifiant de l’appareil, caractéristiques de la carte de paiement communiquées par le prestataire de paiement (sans le numéro complet) ainsi que lien ou nom du compte sur le réseau social.

La liste est commune aux boutiques gérées par la plateforme, y compris des boutiques d’autres responsables du traitement. Elle comprend les personnes bloquées dans les boutiques d’Aggressive Marketing Ltd (Royaume-Uni), et les données des personnes bloquées sur liikye.com sont inscrites sur la liste accessible dans ces boutiques. La base juridique est notre intérêt légitime et l’intérêt légitime de ce responsable du traitement à prévenir la fraude (art. 6, par. 1, point f), du RGPD). Le périmètre des données partagées, la finalité, la durée de conservation et les modalités de traitement de vos demandes sont définis par l’accord de partage de données conclu entre LEAD PROVIDER LTD et Aggressive Marketing Ltd.

Si vous estimez avoir été inscrit sur la liste sans raison, écrivez-nous (chapitre 20). Une personne vérifiera votre situation.

4.11. Autorités publiques

Nous transmettons des données aux autorités publiques (tribunaux, police, parquet, administration fiscale) uniquement lorsque la loi l’exige.

5. Transferts de données hors du Royaume-Uni et de l’EEE

Le Responsable du traitement est établi au Royaume-Uni. La Commission européenne a reconnu que le Royaume-Uni assure un niveau de protection adéquat des données, de sorte que le transfert des données des clients de l’Union européenne au Responsable du traitement ne nécessite pas de garanties supplémentaires. Le serveur hébergeant les données se trouve en Pologne, et le Royaume-Uni reconnaît que les États de l’EEE assurent une protection adéquate.

Les données sont transférées hors du Royaume-Uni et de l’EEE dans les cas suivants :

Émirats arabes unis, Cleafs Technologies L.L.C-FZ (point 4.2). Ni la Commission européenne ni le gouvernement du Royaume-Uni n’ont reconnu que les EAU assurent un niveau de protection adéquat des données. Garantie applicable à ce transfert : les clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914 de la Commission, module 2 : transfert de responsable du traitement à sous-traitant), accompagnées de l’addendum britannique International Data Transfer Addendum publié par l’autorité britannique de protection des données, conclues par nous avec Cleafs Technologies L.L.C-FZ.

États-Unis : Cloudflare, Inc. (point 4.1), Mailgun Technologies, Inc. (point 4.6) et Google LLC (point 4.8). Ces sociétés sont certifiées dans le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) et dans son extension britannique (UK Extension), sur lesquels repose le transfert. Lors de la connexion via Google, Facebook ou Apple, nous transmettons des données aux sociétés de ces groupes en Irlande (point 4.7) ; tout transfert ultérieur vers des sociétés des États-Unis s’effectue selon les règles de leurs propres politiques de confidentialité.

Les fournisseurs de services visés au point 4.3 et le fournisseur de données visé au point 4.4, s’ils sont établis hors du Royaume-Uni et de l’EEE. Nous leur transmettons uniquement le lien ou le nom du compte et les paramètres du service, car sans cela la commande ne peut pas être exécutée. Base du transfert : le transfert est nécessaire à l’exécution du contrat conclu avec vous (art. 49, par. 1, point b), du RGPD et art. 49, par. 1, point b), du UK GDPR). Nous n’avons pas de clauses contractuelles types avec ces fournisseurs ; c’est pourquoi nous ne leur transmettons que les données sans lesquelles la commande ne peut pas être exécutée.

Vous pouvez demander des informations sur les garanties et une copie des clauses (chapitre 20).

6. Modes de connexion

Le site permet de créer un compte et de se connecter de six manières.

6.1. Code à usage unique (PIN) par e-mail

Vous saisissez votre adresse e-mail et nous vous envoyons un code à usage unique. Le message est envoyé via Mailgun (point 4.6).

6.2. Mot de passe

Connexion classique avec adresse e-mail et mot de passe. Nous conservons le mot de passe uniquement sous forme d’empreinte à sens unique (bcrypt), et non en clair.

6.3. Facebook

Opérateur : Meta Platforms Ireland Limited. Lors de la première connexion, nous recevons de Facebook : le prénom, le nom public, la photo de profil, l’identifiant Facebook ainsi que l’adresse e-mail associée au compte. Nous les utilisons uniquement pour créer le compte ou le rattacher à un compte existant ayant la même adresse e-mail, pour les connexions suivantes et pour afficher le prénom et la photo dans votre compte. Nous ne publions rien en votre nom, ne lisons ni la liste de vos amis ni vos publications et n’utilisons pas les données de Facebook à des fins publicitaires. Comment dissocier votre compte Facebook et supprimer les données : https://liikye.com/fr/supprimer-donnees-facebook/.

6.4. Google

Opérateur : Google Ireland Limited. Connexion via Google Identity Services (OAuth 2.0). Nous recevons : l’adresse e-mail, le prénom et le nom public, l’identifiant Google ainsi que la photo de profil. Nous les utilisons de la même manière que les données de Facebook.

6.5. Apple

Opérateur : Apple Distribution International Limited (Irlande). Nous recevons l’identifiant du compte Apple, l’adresse e-mail (si vous choisissez « Masquer mon adresse e-mail », il s’agit d’une adresse relais d’Apple qui transfère les messages vers votre boîte de réception) ainsi que les prénom et nom, si vous les partagez lors de la première connexion. Nous les utilisons uniquement pour créer ou rattacher le compte et pour les connexions suivantes. Nous ne recevons pas le mot de passe du compte Apple.

6.6. Passkey

Connexion au moyen d’une clé cryptographique enregistrée sur votre appareil (par exemple Face ID, Touch ID ou une clé matérielle). Nous n’enregistrons que la partie publique de la clé. La partie privée ne quitte pas votre appareil, et les données biométriques restent sur l’appareil et ne nous parviennent pas.

7. Données techniques de l’appareil et protection contre les abus

Lors de la passation d’une commande, nous enregistrons un ensemble de données techniques sur l’appareil et le navigateur. Elles servent à détecter la fraude au paiement, les bots et la création de comptes multiples par une même personne. Base juridique : art. 6, par. 1, point f), du RGPD (notre intérêt légitime à nous protéger contre la fraude).

Nous enregistrons :

le type d’appareil, le modèle et le fabricant (si le navigateur les communique), le système d’exploitation et sa version, l’architecture et le nombre de cœurs du processeur, l’identifiant de la carte graphique et la quantité de mémoire déclarée par le navigateur,
le nom et la version du navigateur, l’en-tête User-Agent, la résolution et la profondeur de couleur de l’écran, la taille de la fenêtre ainsi que les signaux d’automatisation du navigateur,
le fuseau horaire, la langue du système et du navigateur, le pays déterminé par Cloudflare et l’adresse IP complète,
les paramètres de campagne (UTM), la page d’où vous venez et le temps écoulé entre l’arrivée et la commande,
les incohérences détectées, par exemple un fuseau horaire ne correspondant pas au pays de l’adresse IP.

Nous ne collectons pas de données biométriques, d’enregistrements d’écran ni le contenu saisi dans d’autres formulaires. Nous n’utilisons pas ces données à des fins publicitaires et ne les transmettons pas à d’autres sociétés. Nous les conservons avec la commande aussi longtemps que les données de la commande pour laquelle elles ont été collectées (sans délai de suppression distinct ; à votre demande, nous les supprimons plus tôt si elles ne nous sont pas nécessaires pour nous défendre contre une fraude ou une action en justice).

Journal des événements du compte. Lors d’une connexion (y compris échouée), de la création d’un compte, d’une demande de code, d’une déconnexion, d’une modification des données de connexion, d’une commande ou du paiement d’une commande, nous consignons dans un journal l’événement avec la date, la méthode de connexion, l’adresse e-mail du compte ou celle saisie, l’adresse IP, le réseau et l’opérateur du réseau déterminés à partir de l’adresse IP, la localisation approximative (pays, région, ville, code postal et fuseau horaire transmis par Cloudflare, lorsqu’il les fournit), des données sur l’appareil et le navigateur (User-Agent, langues, modèle et version du système, lorsque le navigateur les fournit), les identifiants de visite de nos statistiques (point 8.2) si vous avez donné votre consentement, ainsi qu’un identifiant aléatoire du navigateur issu du cookie cleafs_did (valable 400 jours). Le journal sert à la sécurité des comptes et du site : détecter les prises de contrôle de comptes, les tentatives de contourner des blocages et les autres abus, et éclaircir des événements contestés. Base juridique : art. 6, par. 1, point f), du RGPD (notre intérêt légitime à protéger les comptes et le site contre les abus). Les entrées sont visibles de notre service client dans la plateforme du point 4.2, qui les récupère auprès du site sur demande. Lorsque notre personnel consulte votre compte en mode aperçu pour vous aider, nous ne l’inscrivons pas dans votre journal ; seule reste une note sur la commande. Nous ne purgeons pas le journal automatiquement (conservation : chapitre 13).

8. Statistiques de visite et mesure de la vitesse des pages

8.1. Google Analytics 4

Nous utilisons Google Analytics 4 pour savoir combien de visiteurs nous avons, d’où ils viennent et quelles pages ils consultent. Nous chargeons le script depuis notre serveur. Il enregistre un identifiant aléatoire du navigateur dans la mémoire du navigateur (localStorage) et les données de session dans la mémoire de session (sessionStorage), et envoie les données de visite à Google. Nous ne transmettons pas à Google votre adresse e-mail, votre nom ni votre numéro de commande.

Nous ne chargeons le script qu’après votre consentement exprimé dans le bandeau des cookies (bouton « Accepter » ou activation des statistiques dans la fenêtre des paramètres). Sans décision et après avoir choisi « Refuser », le script n’est pas chargé. Vous pouvez modifier ou retirer votre consentement à tout moment dans les paramètres des cookies (lien « Paramètres des cookies » en pied de page) ; après le retrait, nous supprimons l’identifiant du navigateur et ne chargeons plus le script. Base juridique : art. 6, par. 1, point a), du RGPD, votre consentement.

8.2. Statistiques de visite propres

Notre serveur enregistre le déroulement de la visite : pages consultées, temps passé sur la page, profondeur de défilement, clics, erreurs de page, codes de réduction utilisés et, sur la page de paiement, le fait qu’un champ a été rempli, sans son contenu. S’y ajoutent la source de l’arrivée (paramètres UTM, identifiants de clic publicitaire Google, Facebook et Microsoft, page d’où vous venez), le type d’appareil et le pays. Nous reconnaissons la visite grâce aux cookies cleafs_vid (jusqu’à 400 jours), cleafs_sid (30 minutes) et cleafs_ft. Si vous passez une commande ou êtes connecté, nous rattachons la visite à la commande et au compte, afin de savoir quelles pages et campagnes conduisent à des ventes. Nous n’enregistrons l’adresse IP que sous forme d’empreinte. Ces données ne sont pas transmises à d’autres sociétés. Nous conservons les données détaillées 90 jours et les données agrégées 36 mois. Ces statistiques ne fonctionnent qu’avec votre consentement aux statistiques exprimé dans le bandeau des cookies ; sans ce consentement, les fichiers cleafs_vid, cleafs_sid et cleafs_ft ne sont pas enregistrés et, après son retrait, nous les supprimons du navigateur. Base juridique : art. 6, par. 1, point a), du RGPD, votre consentement. Nous utilisons également les données relatives à la visite précédant une commande pour la protection contre la fraude et les abus (art. 6, par. 1, point f), du RGPD).

Statistiques du moteur de recherche des services. Lorsque vous saisissez une expression dans le moteur de recherche des services, nous enregistrons l’expression, le nombre de résultats affichés, le résultat sur lequel vous cliquez, la langue de la page, le type d’appareil et un identifiant aléatoire de la visite (dans la mémoire du navigateur), sans l’adresse IP et sans le compte. Si vous avez cliqué sur un résultat et passez une commande dans la journée, nous ajoutons à la commande le numéro du service cliqué et l’expression, afin de voir quelles recherches mènent à des ventes. Nous ne le faisons qu’avec votre consentement aux statistiques exprimé dans le bandeau des cookies ; sans ce consentement, nous n’enregistrons ni n’envoyons rien. Nous ne supprimons pas automatiquement les événements de recherche. Base juridique : art. 6, par. 1, point a), du RGPD, votre consentement.

8.3. Mesure de la vitesse des pages

Pour les personnes non connectées, nous mesurons la vitesse de chargement de la page (temps de chargement, décalages de mise en page, temps de réaction au clic). Nous enregistrons l’adresse de la page, les résultats de la mesure, la largeur de la fenêtre, le type d’appareil et de connexion ainsi que le pays. La mesure n’utilise pas de cookies, n’enregistre ni l’adresse IP ni aucun identifiant et ne permet pas d’identifier une personne précise. Les données restent sur notre serveur.

9. Cookies

Le site utilise des cookies et des technologies similaires (mémoire du navigateur) : nécessaires au fonctionnement de la boutique (session, panier, connexion, protection contre les bots de Cloudflare), mémorisant les préférences (langue, devise) et statistiques (chapitre 8). La liste complète, la durée de conservation et la manière de modifier les paramètres sont décrites dans la Politique relative aux cookies : https://liikye.com/fr/politique-cookies/.

10. Fonctionnalités disponibles sur certains sites

10.1. Portefeuille et programme de fidélité Cleafs Wallet

Si vous utilisez le portefeuille et le programme de fidélité Cleafs Wallet (la disponibilité dépend du site), nous traitons le solde du portefeuille, les versements, les points gagnés lors des achats, les badges et les rangs, les missions accomplies et les récompenses obtenues, les cartes cadeaux et les parrainages. Le rang n’a pas d’incidence sur les prix ni sur la disponibilité des services. Les points donnent uniquement droit à une réduction lors d’un achat ultérieur et à une mention du statut du client. Base juridique : art. 6, par. 1, point b), du RGPD (contrat du programme).

Si vous vous inscrivez à la newsletter (lors d’une commande, lors de la réception d’un échantillon gratuit ou via le formulaire du site), nous vous l’envoyons uniquement avec votre consentement. Après une inscription via le formulaire ou lors d’une commande, nous envoyons un message contenant un lien de confirmation et ne commençons pas l’envoi sans clic. Pour l’échantillon gratuit, l’adresse est déjà confirmée par le code ou par la connexion, c’est pourquoi nous n’envoyons pas de lien distinct. Chaque message contient un lien « se désabonner » qui met immédiatement fin à l’envoi. Les messages sont envoyés via Mailgun (point 4.6).

10.3. Avis

Si vous publiez un avis sur un service, nous enregistrons son contenu, la note, la signature que vous indiquez, la date et la commande associée. Nous publions l’avis avec sa signature sur le site. Après une commande, nous pouvons vous envoyer par e-mail une demande d’avis avec un lien qui vous connecte au formulaire d’avis. Base juridique : art. 6, par. 1, point f), du RGPD (notre intérêt légitime à recueillir les avis des clients) et, pour la publication, art. 6, par. 1, point b), du RGPD (règles relatives aux avis prévues par les conditions générales).

10.4. Programme de partenariat

Si vous participez au programme de partenariat, nous traitons les données du compte partenaire, les données nécessaires aux paiements, votre lien de parrainage ainsi que le nombre et la valeur des commandes passées grâce à votre recommandation. Pour la personne arrivée via le lien d’un partenaire, nous enregistrons dans le navigateur, pendant 30 jours, les cookies affwp_ref (identifiant du partenaire), affwp_ref_visit_id (numéro de la visite) et affwp_campaign (nom de la campagne, si le lien en contient une), afin d’attribuer la commission au partenaire. Nous enregistrons l’arrivée via le lien avec l’adresse IP. Le partenaire voit dans son espace la date de l’arrivée, l’adresse de la page vers laquelle menait le lien et celle de la page d’où venait la personne recommandée et, pour les commandes issues d’une recommandation, le numéro de commande, la description, le montant de la commission et son statut. Il ne voit ni le nom, ni l’adresse e-mail, ni l’adresse IP des personnes qu’il a recommandées. Base juridique : art. 6, par. 1, point b), du RGPD (contrat du programme de partenariat) et, à l’égard du client recommandé, art. 6, par. 1, point f), du RGPD.

10.5. Liens contenant un code de réduction et campagnes

Si vous arrivez sur le site par un lien contenant un code de réduction, nous enregistrons ce code dans votre navigateur (le cookie cleafs_coupon, 7 jours) afin d’appliquer la réduction lors de l’ajout d’un service au panier. Si le lien ou une page publicitaire indique une campagne, nous enregistrons aussi son nom (le cookie cleafs_landing, 30 jours) et l’ajoutons à la commande afin de rattacher la commande à la campagne. Base juridique : art. 6, par. 1, point b), du RGPD pour l’application du code de réduction que vous demandez, et art. 6, par. 1, point f), du RGPD pour le rattachement des commandes aux campagnes (notre intérêt légitime à évaluer quelles campagnes mènent à des ventes).

11. Formulaire de contact et demandes

Les messages envoyés via le formulaire de contact et les demandes émises depuis le compte client parviennent à la plateforme visée au point 4.2, où notre service client leur répond. Nous envoyons les réponses par e-mail.

12. Profilage et décisions automatisées

Dans une mesure limitée, nous évaluons des données de manière automatisée :

nous calculons les points et les rangs du programme de fidélité sur la base du total des achats (si vous y participez),
nous comparons les données de la commande et de l’appareil avec la liste de blocage (point 4.10) et avec des signaux de risque de fraude ; en cas de correspondance, le système peut restreindre les moyens de paiement disponibles ou suspendre la commande ou la connexion.

Une inscription sur la liste de blocage est faite par une personne. Exception : lorsque le prestataire de paiement Mollie signale une rétrofacturation, le système crée automatiquement un blocage qui ne restreint que les moyens de paiement (sans blocage du compte). Si une telle restriction vous concerne, vous pouvez nous écrire, exprimer votre point de vue et demander qu’une personne examine votre situation. Nous ne profilons pas les clients à des fins publicitaires et ne différencions pas les prix sur la base d’un profilage.

13. Durée de conservation des données

Compte client et historique des commandes : jusqu’à la suppression du compte à votre demande. Nous ne supprimons pas automatiquement les comptes inactifs.

Documents de vente et données comptables : 6 ans à compter de la fin de l’exercice auquel ils se rapportent (règles du Royaume-Uni relatives à la tenue des registres des sociétés).

Demandes, réclamations et correspondance : pendant la durée de tenue du compte, sans suppression automatique ; à votre demande, nous les supprimons plus tôt, sauf si nous en avons besoin pour faire valoir ou défendre des droits en justice.

Journal des e-mails envoyés : 90 jours.

Données techniques de l’appareil liées à la commande (chapitre 7) : aussi longtemps que les données de la commande pour laquelle elles ont été collectées (sans délai de suppression distinct ; à votre demande, nous les supprimons plus tôt si elles ne nous sont pas nécessaires pour nous défendre contre une fraude ou une action en justice).

Journal des événements du compte (chapitre 7) : sans suppression automatique ; nous supprimons les entrées avec le compte ou à votre demande, et les entrées d’un compte faisant l’objet d’un blocage actif sont conservées pendant la durée du blocage.

Journal de vérification des numéros de TVA : nous anonymisons l’adresse IP après 30 jours et supprimons l’entrée après 24 mois.

Statistiques de visite propres (point 8.2) : données détaillées 90 jours, données agrégées 36 mois.

Liste de blocage : pendant toute la durée du blocage, et l’adresse IP pendant 90 jours à compter de son enregistrement.

Données issues de la connexion via Google, Facebook ou Apple : jusqu’à la dissociation de ce mode de connexion ou la suppression du compte.

Newsletter et autres consentements : jusqu’au retrait du consentement, et la preuve du consentement jusqu’à l’expiration du délai de prescription des actions.

Données nécessaires à la constatation, à l’exercice ou à la défense de droits en justice : jusqu’à l’expiration du délai de prescription.

À l’expiration de ces durées, nous supprimons ou anonymisons les données, c’est-à-dire que nous les privons des éléments permettant d’identifier une personne.

14. Vos droits

Vous avez le droit :

d’accéder aux données et d’en obtenir une copie,
de faire rectifier les données inexactes ou obsolètes,
de faire effacer les données ; nous ne pouvons pas effacer une partie des données, par exemple les documents de vente, avant l’expiration de la durée exigée par la loi,
d’obtenir la limitation du traitement,
à la portabilité des données que vous nous avez fournies, dans un format lisible par machine,
de vous opposer au traitement fondé sur notre intérêt légitime, y compris aux statistiques et au profilage, et à tout moment à la prospection,
de retirer votre consentement à tout moment ; le retrait ne compromet pas la licéité du traitement effectué avant celui-ci.

Envoyez votre demande à l’adresse [email protected]. Nous répondons dans les meilleurs délais et au plus tard dans un délai d’un mois à compter de la réception de la demande. Pour les demandes complexes ou nombreuses, ce délai peut être prolongé de deux mois ; nous vous en informerons au cours du premier mois. Nous pouvons vous demander de confirmer votre identité si nous avons des doutes raisonnables sur l’identité de l’auteur de la demande.

15. Réclamations

Vous pouvez d’abord nous adresser une réclamation concernant vos données : par e-mail à l’adresse [email protected] ou via le formulaire de contact https://liikye.com/fr/contactez-nous/. Nous accuserons réception de la réclamation dans un délai de 30 jours, la traiterons dans les meilleurs délais et vous informerons de son issue.

Vous avez également le droit d’introduire une réclamation auprès d’une autorité de contrôle :

au Royaume-Uni : Information Commission (anciennement Information Commissioner’s Office, ICO), ico.org.uk,
dans l’Union européenne : l’autorité de protection des données de l’État dans lequel se trouve votre résidence habituelle ou votre lieu de travail, ou dans lequel la violation a eu lieu (liste des autorités : edpb.europa.eu).

16. Suppression du compte et des données

Pour supprimer votre compte et vos données, écrivez à l’adresse [email protected] avec l’objet « Demande de suppression des données ». Vous pouvez dissocier la connexion via Facebook, Google ou Apple dans les paramètres du compte. Instructions de suppression des données reçues de Facebook : https://liikye.com/fr/supprimer-donnees-facebook/. Nous traitons la demande dans les meilleurs délais et au plus tard dans un délai d’un mois. Les données que nous sommes tenus de conserver (documents de vente, données nécessaires à la défense de droits en justice, inscription sur la liste de blocage) ne sont conservées que dans cette mesure et jusqu’à la fin de la durée indiquée au chapitre 13.

17. Sécurité des données

Nous appliquons des mesures techniques et organisationnelles adaptées au risque :

connexion chiffrée (HTTPS) sur le site et dans la plateforme,
mots de passe uniquement sous forme d’empreinte à sens unique,
protection contre les attaques et les bots (Cloudflare, limitation du nombre de tentatives),
sauvegardes des bases de données plusieurs fois par jour,
accès aux données réservé aux personnes et prestataires qui en ont besoin,
surveillance des événements inhabituels (tentatives de connexion, trafic inhabituel),
mises à jour du logiciel du serveur, de la boutique et des extensions.

En cas de violation de données, nous la notifierons à l’autorité de contrôle compétente dans un délai de 72 heures après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les personnes, et nous informerons les personnes exposées à un risque élevé.

18. Liens avec d’autres sites

Le site liikye.com est exploité exclusivement par LEAD PROVIDER LTD. Nous ne rattachons pas votre compte à des comptes sur d’autres sites. Les exceptions sont la liste de blocage (point 4.10) et la vérification du droit à un échantillon gratuit (point 2.6), si vous en bénéficiez.

19. Modifications de la politique

Nous modifions la politique lorsque la loi, nos services ou nos prestataires changent. Nous informerons les titulaires d’un compte des modifications importantes par e-mail et par un message sur le site. La date de la dernière mise à jour figure toujours au début de la politique. Les règles d’utilisation du site sont décrites dans les conditions générales : https://liikye.com/fr/conditions/.

20. Contact

Pour toute question relative aux données personnelles : e-mail [email protected], formulaire de contact https://liikye.com/fr/contactez-nous/, adresse postale : LEAD PROVIDER LTD, 60 White Horse Lane, Boston, PE21 8SZ, United Kingdom.