Datenschutzerklärung

Die vorliegende Erklärung erläutert, wie die Montandor Andorra S.L.U. („Montandor“, „wir“) Ihre personenbezogenen Daten erhebt, verwendet, aufbewahrt und schützt, wenn Sie boutique.montandor.fr besuchen, dort eine Bestellung aufgeben oder über den Chat mit Ihrer persönlichen Beraterin in Kontakt treten. Sie ist unter Einhaltung des andorranischen Datenschutzrechts (Llei Qualificada de Protecció de Dades, LQPD), der europäischen DSGVO (EU 2016/679), sofern sich der Besucher in der Europäischen Union befindet, sowie der nationalen Datenschutzvorschriften Frankreichs, Spaniens, Portugals, Italiens, Deutschlands und der Schweiz, sofern sie Anwendung finden, verfasst.

1. Verantwortlicher für die Verarbeitung

Montandor Andorra S.L.U. mit Sitz in Av. de les Nacions Unides 40, Edifici Monday – Oficina 211, AD700 Escaldes-Engordany, Fürstentum Andorra. Für jede Frage zur Verarbeitung Ihrer Daten oder zur Ausübung Ihrer Rechte schreiben Sie an info@montandor.com oder nutzen Sie den Chat der Boutique und wählen Sie die Kategorie „Datenschutz“. Wir antworten innerhalb der von den anwendbaren Vorschriften vorgesehenen Fristen und spätestens innerhalb von dreißig (30) Tagen.

2. Daten, die wir erheben

Wir erheben vier Kategorien von Daten im strikt erforderlichen Rahmen zur Ausführung Ihrer Bestellung und zur Verwaltung der Geschäftsbeziehung:

• Konto- und Bestelldaten: Name und Vorname, Firmenbezeichnung (gegebenenfalls), Rechnungs- und Lieferadressen, E-Mail, Telefonnummer, Bestellkennungen, Kaufhistorie. Diese Daten sind für den Abschluss und die Ausführung des Kaufvertrags erforderlich.
• Zahlungsdaten: Wir speichern niemals die vollständigen Kreditkartennummern. Die Zahlung wird von unserem nach PCI-DSS Stufe 1 zertifizierten Dienstleister abgewickelt. Wir bewahren ausschließlich das Transaktions-Token, die letzten vier Ziffern der Karte, das Netzwerk (Visa, Mastercard, Amex), das Ablaufdatum und den Status der Zahlung zu Buchhaltungs- und Betrugspräventionszwecken auf.
• Lieferdaten: Lieferadresse, Türcode, Anweisungen, Sendungsverfolgungsnummer des Transportunternehmens (Chronopost, DHL Express). Diese Daten werden ausschließlich zur Ausführung der Lieferung an unser Transportunternehmen und unseren Logistikdienstleister übermittelt.
• Technische Verbindungsdaten: IP-Adresse, User-Agent, ungefähres Land, aufgerufene Seite, Zeitstempel. Diese Daten fließen zu Zwecken der Sicherheit, der Betrugsprävention und der technischen Diagnose in unsere Zugriffsprotokolle ein.

Wir erheben keinerlei sensible Daten im Sinne des Artikels 9 der DSGVO (ethnische Herkunft, politische Meinungen, Religion, Gesundheit, sexuelle Orientierung, Gewerkschaftszugehörigkeit, biometrische oder genetische Daten).

3. Zwecke und Rechtsgrundlagen

4. Aufbewahrungsfristen

• Bestell- und Rechnungsdaten: Dauer der Geschäftsbeziehung zuzüglich zehn (10) Jahre, gemäß den andorranischen und französischen Buchhaltungspflichten.
• Zahlungsdaten: dreizehn (13) Monate für das Transaktions-Token und die Betrugspräventionselemente, gemäß den Leitlinien der CNIL und den PCI-DSS-Anforderungen.
• Inaktives Kundenkonto: drei (3) Jahre nach der letzten Anmeldung, danach Löschung oder Anonymisierung (vorbehaltlich verbleibender Buchhaltungspflichten).
• Technische Zugriffsprotokolle: zwölf (12) Monate, danach automatische Löschung.
• Aggregierte Reichweitenmessung: dreizehn (13) gleitende Monate.
• Newsletter: bis zu Ihrer Abmeldung, die über den in jeder Nachricht enthaltenen Link sofort möglich ist.

5. Empfänger und Auftragsverarbeiter

Die erhobenen Daten werden von unserem internen Team und von einer begrenzten Anzahl technischer Auftragsverarbeiter verarbeitet, die für die Ausführung Ihrer Bestellung strikt erforderlich sind:

• Infrastruktur-Hosting: Microsoft Azure, Region West Europe. Daten in der EU gehostet.
• Zahlung: PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg), nach PCI-DSS Stufe 1 zertifizierter Zahlungsdienstleister, von der Commission de Surveillance du Secteur Financier (CSSF) als Kreditinstitut zugelassen. PayPal verarbeitet die Kreditkartendaten zur Autorisierung, Erfassung, für 3-D Secure (PSD2 SCA) und zur Betrugsprävention. Datenschutzerklärung von PayPal: paypal.com/fr/legalhub/privacy-full.
• Logistik und Versand: 3PL-Logistikdienstleister mit Sitz in Frankreich (Lager in Grisolles, 82170) und Transportunternehmen (Chronopost, DHL Express) für die Lieferung auf der letzten Meile.
• Transaktions-E-Mails: Mailgun (EU), zur Zustellung von Empfangsbestätigungen, Rechnungen und Lieferbenachrichtigungen.
• Microsoft-365-Dienste: interne geschäftliche E-Mail, Kalender, Dokumentation. Mandant Montandor.
• Berechnung der Versandtarife über mehrere Transportunternehmen: Upela (Upela SAS, Frankreich), Transportaggregator, der Chronopost, Colissimo, DPD, MondialRelay, UPS, FedEx und DHL abfragt. Daten werden im für das Angebot strikt erforderlichen Umfang übermittelt: Zielpostleitzahl, Stadt, Gewicht und Abmessungen des Pakets. In dieser Phase werden keine personenbezogenen Daten übermittelt.
• Adressvervollständigung: Google Maps Platform — Maps JavaScript API und Places API (Google Ireland Limited). Das Google-Skript wird erst ab Ihrer ersten Interaktion mit dem Feld „Lieferadresse“ geladen. Siehe policies.google.com/privacy.
• Prüfung französischer Unternehmen (SIRET / SIREN): vom französischen Staat verwaltetes Unternehmensverzeichnis über recherche-entreprises.api.gouv.fr (DataGouv, Direction interministérielle du numérique). Öffentliche INSEE/Sirene-Daten, wiederverwendet gemäß der offenen Lizenz 2.0. Für B2B-Einkäufe in Frankreich ergänzt durch die API von societe.com (Société.com SAS, Frankreich).
• Prüfung der innergemeinschaftlichen Umsatzsteuer-Identifikationsnummer: System VIES der Europäischen Kommission (GD TAXUD), gemäß der Verordnung (EU) Nr. 904/2010. Es wird ausschließlich die eingegebene Umsatzsteuer-Identifikationsnummer übermittelt.

Jeder Auftragsverarbeiter ist durch einen Datenschutzvertrag (DPA) gebunden, der die erforderlichen vertraglichen, organisatorischen und technischen Garantien vorsieht, mit Ausnahme der unter offener Lizenz wiederverwendeten öffentlichen Dienste (DataGouv, VIES), die nicht auf einem bilateralen DPA beruhen. Die aktuelle Liste ist auf Anfrage unter info@montandor.com erhältlich.

6. Übermittlungen außerhalb der Europäischen Union

Die erhobenen Daten werden im Europäischen Wirtschaftsraum gespeichert und verarbeitet (Microsoft Azure West Europe, Logistiklager in Frankreich). Eine Übermittlung in das Fürstentum Andorra kann für interne Verwaltungsvorgänge erfolgen — Andorra genießt einen Angemessenheitsbeschluss der Europäischen Kommission (2010/625/EU), der ein als gleichwertig angesehenes Schutzniveau gewährleistet. Es findet keine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss ohne Standardvertragsklauseln oder gleichwertige Garantien statt.

7. Sicherheit

Wir setzen die zum Schutz Ihrer Daten vernünftigerweise erforderlichen technischen und organisatorischen Maßnahmen um: durchgängige TLS-1.3-Verschlüsselung, tokenisierte Zahlung (PCI-DSS Stufe 1), strenge Zugangskontrolle zu den internen Systemen, Protokollierung der Zugriffe, starke Authentifizierung (MFA) für Administratorkonten, täglich verschlüsselte Sicherungen, Trennung der Produktions- und Testumgebungen, regelmäßige Sicherheitsaudits. Im Fall einer Verletzung, die ein Risiko für Ihre Rechte und Freiheiten mit sich bringen kann, benachrichtigen wir die zuständige Aufsichtsbehörde innerhalb von 72 Stunden und informieren Sie, sofern das Risiko hoch ist, unmittelbar.

8. Automatisierte Entscheidungen und Profiling

Keine Entscheidung, die rechtliche Wirkungen entfaltet oder den Besucher erheblich beeinträchtigt, wird durch eine vollständig automatisierte Verarbeitung getroffen. Wir wenden automatische Betrugspräventionsregeln auf Zahlungstransaktionen an (Adressprüfung, Erkennung verdächtigen Verhaltens); jede Entscheidung zur Sperrung oder Stornierung einer Bestellung kann durch eine Mitteilung an info@montandor.com angefochten werden und führt zu einer Überprüfung durch einen Menschen aus unserem Team.

9. Ihre Rechte

Gemäß der DSGVO und dem andorranischen LQPD verfügen Sie über die folgenden Rechte hinsichtlich der Sie betreffenden Daten:

• Recht auf Auskunft über Ihre Daten.
• Recht auf Berichtigung im Fall einer Unrichtigkeit.
• Recht auf Löschung („Recht auf Vergessenwerden“) unter den gesetzlich vorgesehenen Voraussetzungen.
• Recht auf Einschränkung der Verarbeitung.
• Recht auf Datenübertragbarkeit Ihrer Daten an einen anderen Verantwortlichen.
• Recht auf Widerspruch gegen die auf dem berechtigten Interesse beruhende Verarbeitung.
• Recht, Ihre Einwilligung für die auf der Einwilligung beruhenden Verarbeitungen (beispielsweise Newsletter) jederzeit zu widerrufen.
• Recht, Anweisungen für den Todesfall festzulegen.
• Recht, eine Beschwerde bei der andorranischen Datenschutzbehörde (APDA), der CNIL in Frankreich oder Ihrer örtlichen Aufsichtsbehörde in der EU einzureichen.

Um Ihre Rechte auszuüben, schreiben Sie an info@montandor.com oder nutzen Sie den Chat der Boutique und wählen Sie „Datenschutz“. Zur Verhinderung von Identitätsmissbrauch kann ein angemessener Identitätsnachweis verlangt werden.

10. Änderungen dieser Erklärung

Diese Erklärung kann sich weiterentwickeln. Das Datum der letzten Aktualisierung ist am Seitenanfang angegeben. Wesentliche Änderungen (Wechsel des Verantwortlichen, der Zwecke, Hinzufügen eines neuen wichtigen Auftragsverarbeiters) werden dreißig (30) Tage lang in einem eigens dafür vorgesehenen Informationsbanner hervorgehoben.