Politique de confidentialité – Service Clients

POLITIQUE DE CONFIDENTIALITÉ RELATIVE À L’INTERACTION AVEC LE SERVICE CLIENTS

Établie conformément à l’art. 13 du Règlement 2016/679 (“Règlement”)

V025Omni_2026/11. Publication 09/11/2026.

1. PRÉAMBULE – QUELLES ACTIVITÉS CETTE POLITIQUE CONCERNE-T-ELLE ?
La présente politique est consacrée au traitement des données personnelles lié à la prestation du service d’assistance clients (“Service Clients”) fourni :

• via le formulaire “contactez-nous”, disponible sur le site (“Site”) ; et/ou

• par téléphone, en utilisant les coordonnées indiquées sur le Site ; et/ou

• en utilisant l’adresse e-mail info@erbolariocare.shop ou info@erbolariocare.shop ; et/ou

• via la messagerie privée des canaux sociaux de l’utilisateur, Facebook et Instagram, et via WhatsApp ; et/ou

• via le chat virtuel du Site ; et/ou

• via le formulaire disponible à la section “exercer la rétractation en ligne” et/ou “rétractation” du Site.

2. RESPONSABLE DU TRAITEMENT ET DONNÉES DU DÉLÉGUÉ À LA PROTECTION DES DONNÉES (“DPO”)
Le responsable du traitement est L’Erbolario Società Benefit s.r.l., dont le siège social est situé Viale Milano 74, 26900 Lodi, numéro de TVA et code fiscal info@erbolariocare.shop (“L’Erbolario” ou “Responsable du traitement”).
Le Responsable du traitement a désigné le délégué à la protection des données (“DPO”) conformément à l’art. 37 du Règlement, joignable à l’adresse suivante : info@erbolariocare.shop.

3. FINALITÉS DU TRAITEMENT, DONNÉES PERSONNELLES TRAITÉES, PÉRIODE DE CONSERVATION DES DONNÉES

3.1 RÉPONSE AUX DEMANDES DES UTILISATEURS

Finalité : les données personnelles sont traitées exclusivement pour répondre aux demandes des utilisateurs.

Catégories de données : pour cette finalité sont traitées les données que l’utilisateur communique par les canaux de contact choisis, comme indiqué ci-après :

• formulaire présent à la section “contactez-nous” du Site : nom, prénom, adresse e-mail et les autres données facultativement communiquées par l’utilisateur dans le formulaire (ex. commande d’achat) ;

• adresse e-mail info@erbolariocare.shop ou info@erbolariocare.shop : adresse e-mail et informations contenues dans la communication envoyée par l’utilisateur ;

• téléphone : numéro de téléphone, nom du client et les autres données nécessaires pour traiter la demande ;

• messagerie privée des canaux sociaux de l’utilisateur (Facebook et Instagram, et via WhatsApp) : nom ou pseudonyme et données facultativement communiquées dans la demande, numéro de téléphone ;

• chat virtuel : le fonctionnement du chat ne prévoit pas la saisie de données personnelles – que l’utilisateur ne devra donc pas fournir – sauf lorsque l’utilisateur demande à être contacté par l’opérateur du Service Clients et saisit son nom et son adresse e-mail, lorsque cela lui est demandé. Dans ce cas, le Service Clients traitera en outre également les données personnelles nécessaires pour traiter la demande (ex. un numéro de commande) ;

• le cas échéant : métadonnées techniques, telles que la date et l’heure de la demande.

Enfin, il est précisé que, pour fournir l’activité d’assistance aux clients, L’Erbolario ne demande pas de données appartenant à des catégories particulières (ex. données sur l’état de santé). Toutefois, il est possible que l’utilisateur, de sa propre initiative, fournisse au Service Clients (et que le Service Clients doive donc prendre en compte) des informations susceptibles de révéler l’état de santé. Cette circonstance peut se produire, par exemple, lorsque l’utilisateur demande une assistance concernant la présence d’allergènes ou la posologie de certains produits (ex. compléments alimentaires). Le traitement d’informations relatives à l’état de santé est possible après consentement explicite de la personne concernée et L’Erbolario traitera les données fournies aux seules fins de fournir l’assistance demandée.

Base juridique : la base juridique qui légitime le traitement est l’art. 6.1 b) du Règlement (exécution de mesures précontractuelles prises à la demande de la personne concernée ou exécution d’un contrat auquel la personne concernée est partie). Lorsque la demande implique le traitement de données appartenant à des catégories particulières, la base juridique est le consentement de la personne concernée, au sens de l’art. 9. 2 let. a) du Règlement. Enfin, lorsque la demande concerne l’exercice de droits que la loi attribue à l’utilisateur (ex. droits du consommateur, tels que la garantie légale de conformité), la base juridique qui légitime le traitement est l’art. 6.1 c) du Règlement (respect d’une obligation légale).

Nature de la communication des données : la communication des données personnelles est facultative, c’est-à-dire qu’il n’existe aucune obligation pour la personne concernée de communiquer les données en question. Toutefois, en l’absence des données indispensables pour gérer la demande (ex. toutes les données saisies dans les champs obligatoires du formulaire de contact), il ne sera pas possible de répondre, en tout ou en partie, à la demande de l’utilisateur.
Si l’utilisateur a donné un consentement, il pourra le révoquer à tout moment, en écrivant au Service Clients, par la modalité de contact déjà utilisée ou en écrivant à info@erbolariocare.shop. La révocation du consentement ne porte pas atteinte à la légitimité du traitement effectué avant la révocation.
La communication des données est en revanche obligatoire en cas de demande d’exercice d’un droit prévu par la loi (ex. droits des consommateurs ; droits des personnes concernées, tels que régis par le Règlement, et pour lesquels voir le paragraphe 6 qui suit), dès lors que le traitement des données est nécessaire pour permettre au Responsable du traitement de satisfaire à une obligation légale ainsi qu’à l’utilisateur d’exercer les droits que la loi lui attribue. L’absence de communication des données indispensables pourrait donc empêcher ou rendre plus difficile la gestion de la demande, la titularité des droits reconnus à la personne concernée par la réglementation applicable demeurant réservée.

Période de conservation des données : les données personnelles seront conservées pour une durée maximale de 36 mois à compter de la dernière interaction avec l’utilisateur, selon la typologie de la demande effectuée. Par exemple, entrent dans le délai maximal de conservation les demandes d’exercice des droits des personnes concernées prévus par le Règlement.
En cas d’utilisation du chat virtuel, les conversations qui se terminent sans demande d’intervention d’un opérateur du Service Clients sont conservées pendant 30 jours.
Il est signalé que les demandes éventuellement reçues au moyen des canaux Facebook, Instagram ou WhatsApp de l’utilisateur et hébergées sur ces plateformes suivront les délais de conservation prévus par ces mêmes plateformes.

3.2 AMÉLIORATION DU SERVICE ET REPORTING INTERNE

Finalité : les données personnelles fournies pour demander une assistance au Service Clients pourront être traitées pour :

• améliorer l’efficacité du service d’assistance : si l’utilisateur a déjà contacté le Service Clients, ce dernier pourra associer aux données de contact initialement fournies (par ex. adresse e-mail) d’éventuelles et ultérieures données d’identification ou de contact (par ex. nom et prénom, numéro de téléphone) que l’utilisateur fournira à l’occasion de demandes ultérieures, y compris via des canaux différents. Cette association permet au Service Clients de reconnaître l’utilisateur et de gérer plus rapidement et efficacement les demandes suivantes ;

• reporting interne, c’est-à-dire pour analyser, de manière agrégée, le nombre et la typologie des demandes reçues et gérées par le Service Clients et améliorer la qualité du service offert.

Catégories de données : données d’identification, données de contact, canal de contact ; jour et heure de la demande ; catégorie de la demande (ex. produit, retour, etc.).

Base juridique : la base juridique qui légitime ce traitement est l’intérêt légitime du Responsable du traitement, au sens de l’art. 6.1 f) du Règlement.

Nature de la communication des données : pour les finalités décrites ci-dessus, L’Erbolario utilise les données personnelles initialement collectées pour améliorer le service d’assistance aux clients. Constitue en effet un intérêt légitime du Responsable du traitement :

• garantir à l’utilisateur des réponses rapides et précises à chaque interaction de celui-ci avec le Service Clients et

• comprendre le volume et la typologie des demandes parvenues au Service Clients afin d’améliorer le service.

Cet intérêt légitime est compatible avec les droits et libertés des personnes concernées qui s’adressent au Service Clients et qui s’attendent à recevoir une assistance dans des délais rapides et selon des modalités efficaces.

Période de conservation des données : les données seront conservées pendant :

• la durée maximale de 36 mois à compter de la dernière interaction avec l’utilisateur, selon la typologie de la demande effectuée. Par exemple, entrent dans le délai maximal de conservation les demandes d’exercice des droits des personnes concernées prévus par le Règlement ;

• 12 mois, en cas de reporting interne.

3.3 EXERCICE OU DÉFENSE D’UN DROIT

Finalité : L’Erbolario traitera les données des utilisateurs aux fins de la constatation, de l’exercice ou de la défense d’un droit devant toutes les instances compétentes.

Catégories de données traitées : données fournies en relation avec les finalités décrites aux paragraphes 3.1 et 3.2.

Base juridique : la base juridique qui légitime le traitement est l’intérêt légitime du responsable du traitement, au sens de l’art. 6, par. 1, let. f) du Règlement. Constitue un intérêt légitime du responsable du traitement le fait de recourir à des voies de recours pour démontrer avoir correctement répondu aux demandes des utilisateurs (également sur la base des dispositions du Code de la consommation et du Code civil, outre le Règlement) et avoir satisfait aux obligations imposées par la loi. Cet intérêt trouve son fondement dans le droit à la défense, constitutionnellement protégé, et peut être considéré comme prévalant sur les droits et libertés fondamentaux de la personne concernée, compte tenu également de ses attentes raisonnables. L’utilisateur a en tout état de cause le droit de s’opposer, à tout moment et pour des motifs liés à sa situation personnelle, au traitement des données personnelles effectué aux finalités indiquées ci-dessus (à savoir la défense d’un droit ou des fins de justice), en contactant L’Erbolario aux coordonnées indiquées au paragraphe 6 qui suit.

Nature de la communication des données : pour la finalité en question, sont traitées des données initialement collectées pour d’autres finalités (décrites aux paragraphes 3.1 – 3.2). Le traitement ultérieur de ces données est permis car fondé sur l’intérêt légitime du Responsable du traitement, étant donné que la finalité en question est compatible avec les finalités initiales de la collecte, qui comprennent la nécessité pour le Responsable du traitement d’exercer ses droits contractuels et ceux prévus par la loi. En cas d’exercice du droit d’opposition, L’Erbolario s’abstiendra de traiter ultérieurement les données personnelles des utilisateurs pour cette finalité, sauf s’il démontre l’existence de motifs légitimes impérieux qui prévalent sur les intérêts, droits et libertés de la personne concernée.

Période de conservation des données : les données personnelles seront conservées pendant la période nécessaire à la constatation, à l’exercice ou à la défense des droits du Responsable du traitement ou de tiers, compte tenu des délais de prescription applicables et de l’éventuelle durée des procédures judiciaires ou administratives.

4. DESTINATAIRES DES DONNÉES PERSONNELLES

Les données personnelles décrites au paragraphe 3 qui précède pourront être communiquées à des tiers, qui fournissent des services au profit du Responsable du traitement et sont spécialement désignés par ce dernier au sens de l’art. 28 du Règlement, ainsi qu’aux employés et/ou collaborateurs du Responsable du traitement, dûment autorisés et instruits, au sens de l’art. 29 du Règlement. Une liste des catégories de destinataires est fournie ci-après :

• sociétés ou consultants chargés de l’installation et/ou de la fourniture et, de manière générale, de la gestion des matériels et logiciels utilisés par L’Erbolario pour les activités décrites dans la présente politique. Entrent notamment dans cette catégorie Zendesk Inc., fournisseur de la plateforme utilisée pour la gestion des demandes adressées au Service Clients, et Shopify International Ltd., fournisseur de la plateforme technologique qui héberge le Site, lesquels traitent les données personnelles pour le compte de L’Erbolario, en qualité de sous-traitants au sens de l’art. 28 du Règlement, dans le cadre des services respectivement fournis ;

• sujets qui fournissent des services de logistique et de transport, chargés de la livraison des produits achetés sur le Site ;

• personnes physiques et/ou morales (cabinets de conseil juridique, administratif et fiscal), lorsque la communication s’avère nécessaire ou fonctionnelle au correct accomplissement des obligations contractuelles, ainsi que des obligations découlant de la loi ou en cas de constatation, d’exercice ou de défense d’un droit.

Enfin, les données personnelles peuvent également être traitées par des sujets agissant en qualité de responsables autonomes du traitement, tels que :

• aux fins liées à l’exercice des activités de nature organisationnelle, administrative, financière et comptable, les données personnelles pourront être communiquées à L’Erbolario Holding s.r.l., société mère et contrôlante de L’Erbolario Società Benefit s.r.l. et, aux mêmes fins, également aux autres sociétés du groupe, en qualité de responsables autonomes du traitement, en raison de l’intérêt légitime des responsables à la circulation des informations au sein du même groupe d’entreprises, tel que défini par l’art. 4.19 du Règlement;

• Shopify International Ltd., dont le siège est en Irlande, titulaire de la plateforme technologique qui héberge le Site, peut traiter certaines données personnelles des utilisateurs en qualité de responsable autonome du traitement, parmi lesquelles des données d’identification et des données relatives aux dispositifs utilisés et aux interactions avec le Site, pour ses propres finalités (ex. sécurité). Pour plus d’informations sur les traitements effectués par Shopify en qualité de responsable autonome, il est possible de consulter sa politique de confidentialité. Pour exercer les droits prévus par le Règlement à l’égard de Shopify, l’utilisateur peut utiliser les outils mis à disposition sur la page Contrôles de confidentialité.

Il est rappelé que, si l’utilisateur choisit de contacter le Service Clients via des plateformes de réseaux sociaux ou des services de messagerie de tiers, les gestionnaires de ceux-ci pourront traiter ses données personnelles également pour leurs propres finalités, selon ce qui est prévu par leurs politiques de confidentialité respectives. Le traitement effectué par L’Erbolario pour la gestion et la réponse à la demande est en revanche régi par la présente politique.

La liste des destinataires des données personnelles est disponible auprès du Responsable du traitement.

5. TRANSFERT DES DONNÉES VERS DES PAYS TIERS

Les données personnelles sont traitées au moyen d’outils informatiques dont L’Erbolario est licenciée ou, en tout état de cause, en vertu d’un contrat spécifique. Les fournisseurs de ces outils et/ou des services fournis par l’intermédiaire du Site ont leur siège dans l’Union européenne. Toutefois, la gestion et/ou la maintenance des outils informatiques et/ou la fourniture de certains services peuvent nécessiter le transfert des données personnelles également en dehors de l’Union européenne. Dans ce cas, le transfert aura lieu selon l’une des modalités prévues par la loi en vigueur, notamment : (i) l’existence d’une décision d’adéquation de la Commission européenne ou (ii) la sélection de sujets adhérant à des programmes internationaux pour la libre circulation des données (ex. EU-US Data Privacy Framework), au sens de l’art. 45, par. 3 du Règlement, ou (iii) l’adoption de clauses contractuelles approuvées par la Commission européenne (dites “Clauses Contractuelles Standard”), au sens de l’art. 46 du Règlement.

De plus amples informations sont disponibles, sur demande, auprès du Responsable du traitement.

6. DROITS DE LA PERSONNE CONCERNÉE

La personne concernée peut exercer, à tout moment, les droits prévus aux articles 15 – 22 du Règlement. En particulier, la personne concernée a le droit de :

• demander l’accès à ses données personnelles, la rectification ou l’effacement de celles-ci, la limitation du traitement dans les cas prévus par l’art. 18 du Règlement ;

• obtenir dans un format structuré, couramment utilisé et lisible par dispositif automatique les données la concernant dans les cas prévus par l’art. 20 du Règlement (dite droit à la portabilité) ;

• révoquer le consentement éventuellement donné, au sens de l’art. 7 du Règlement ;

• formuler une demande d’opposition au traitement des données, au sens de l’art. 21 du Règlement, dans laquelle il convient de mettre en évidence les raisons qui justifient l’opposition : le Responsable du traitement se réserve d’évaluer la demande, qui ne serait pas acceptée en cas d’existence de motifs légitimes impérieux pour procéder au traitement prévalant sur les intérêts, droits et libertés de la personne concernée ou pour la constatation, l’exercice ou la défense d’un droit en justice.

Les demandes d’exercice des droits énumérés ci-dessus doivent être adressées au Responsable du traitement selon l’une des modalités décrites ci-après (ou selon les autres modalités prévues dans la présente politique) :

• à l’adresse e-mail info@erbolariocare.shop ou

• en contactant le service clients au moyen du formulaire prévu à cet effet présent sur le Site ;

• par courrier postal, aux coordonnées indiquées au paragraphe 2.

Les demandes d’exercice des droits de la personne concernée peuvent également être adressées au Délégué à la protection des données (“DPO”) à l’adresse : info@erbolariocare.shop.

Le Responsable du traitement répondra à la demande de la personne concernée sans retard injustifié et, en tout état de cause, dans un délai d’un mois à compter de la réception de cette demande. Ce délai peut être prorogé de deux mois, si nécessaire, compte tenu de la complexité et du nombre des demandes, après communication à la personne concernée de la prorogation et des motifs qui la justifient.
Le droit de la personne concernée d’introduire une réclamation auprès de l’Autorité de contrôle pour la protection des données personnelles, au sens de l’art. 77 du Règlement, ou de former un recours juridictionnel, au sens de l’art. 79 du Règlement, demeure réservé, si elle estime que le traitement de ses données est contraire à ce qui est prévu par le Règlement ou par la réglementation en vigueur.