Privacybeleid

Dit beleid legt uit hoe Montandor Andorra S.L.U. („Montandor”, „wij”) uw persoonsgegevens verzamelt, gebruikt, bewaart en beschermt wanneer u boutique.montandor.fr bezoekt, er een bestelling plaatst of via de chat met uw toegewijde adviseuse communiceert. Het is opgesteld met inachtneming van het Andorrese gegevensbeschermingsrecht (Llei Qualificada de Protecció de Dades, LQPD), van de Europese AVG (EU 2016/679) wanneer de bezoeker zich in de Europese Unie bevindt, en van de nationale gegevensbeschermingsregels van Frankrijk, Spanje, Portugal, Italië, Duitsland en Zwitserland wanneer deze van toepassing zijn.

1. Verwerkingsverantwoordelijke

Montandor Andorra S.L.U., met statutaire zetel te Av. de les Nacions Unides 40, Edifici Monday – Oficina 211, AD700 Escaldes-Engordany, Vorstendom Andorra. Voor iedere vraag over de verwerking van uw gegevens of om uw rechten uit te oefenen, schrijft u naar info@montandor.com of gebruikt u de chat van de webshop met selectie van de categorie „Privacy”. Wij antwoorden binnen de door de toepasselijke regelgeving voorziene termijnen en uiterlijk binnen dertig (30) dagen.

2. Gegevens die wij verzamelen

Wij verzamelen vier categorieën gegevens, strikt voor zover noodzakelijk voor de uitvoering van uw bestelling en het beheer van de commerciële relatie:

• Account- en bestelgegevens: naam en voornaam, bedrijfsnaam (in voorkomend geval), factuur- en leveringsadressen, e-mail, telefoonnummer, bestel-ID's, aankoopgeschiedenis. Deze gegevens zijn noodzakelijk voor de sluiting en de uitvoering van de koopovereenkomst.
• Betalingsgegevens: wij slaan nooit de volledige bankkaartnummers op. De betaling wordt verwerkt door onze PCI-DSS niveau 1-gecertificeerde dienstverlener. Wij bewaren uitsluitend het transactietoken, de laatste vier cijfers van de kaart, het netwerk (Visa, Mastercard, Amex), de vervaldatum en de status van de betaling, voor boekhoudkundige en fraudebestrijdingsdoeleinden.
• Leveringsgegevens: leveringsadres, deurcode, instructies, trackingnummer van de vervoerder (Chronopost, DHL Express). Deze gegevens worden uitsluitend voor de uitvoering van de levering aan onze vervoerder en onze logistieke dienstverlener doorgegeven.
• Technische verbindingsgegevens: IP-adres, user-agent, bij benadering land, geraadpleegde pagina, tijdstempel. Deze gegevens voeden onze toegangslogboeken voor beveiligings-, fraudepreventie- en technische diagnosedoeleinden.

Wij verzamelen geen enkel gevoelig gegeven in de zin van artikel 9 van de AVG (etnische afkomst, politieke opvattingen, religie, gezondheid, seksuele geaardheid, lidmaatschap van een vakbond, biometrische of genetische gegevens).

3. Doeleinden en rechtsgronden

4. Bewaartermijnen

• Bestel- en factuurgegevens: duur van de commerciële relatie plus tien (10) jaar, overeenkomstig de Andorrese en Franse boekhoudkundige verplichtingen.
• Betalingsgegevens: dertien (13) maanden voor het transactietoken en de fraudebestrijdingselementen, overeenkomstig de richtsnoeren van de CNIL en de PCI-DSS-vereisten.
• Inactief klantaccount: drie (3) jaar na de laatste aanmelding, vervolgens verwijdering of anonimisering (behoudens resterende boekhoudkundige verplichtingen).
• Technische toegangslogboeken: twaalf (12) maanden, vervolgens automatische verwijdering.
• Geaggregeerde publieksmeting: dertien (13) voortschrijdende maanden.
• Nieuwsbrief: tot uw uitschrijving, onmiddellijk via de link in elk bericht.

5. Ontvangers en verwerkers

De verzamelde gegevens worden verwerkt door ons interne team en door een beperkt aantal technische verwerkers die strikt noodzakelijk zijn voor de uitvoering van uw bestelling:

• Infrastructuurhosting: Microsoft Azure, regio West Europe. Gegevens gehost binnen de EU.
• Betaling: PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg), PCI-DSS niveau 1-gecertificeerde betaaldienstverlener, erkend als kredietinstelling door de Commission de Surveillance du Secteur Financier (CSSF). PayPal verwerkt de bankkaartgegevens voor de autorisatie, de afwikkeling, de 3-D Secure (PSD2 SCA) en de fraudepreventie. Privacybeleid van PayPal: paypal.com/fr/legalhub/privacy-full.
• Logistiek en verzending: 3PL-logistieke dienstverlener gevestigd in Frankrijk (magazijn te Grisolles, 82170) en vervoerders (Chronopost, DHL Express) voor de levering van de laatste kilometer.
• Transactionele e-mail: Mailgun (EU), voor het bezorgen van ontvangstbevestigingen, facturen en leveringsmeldingen.
• Microsoft 365-diensten: interne professionele e-mail, agenda's, documentatie. Tenant Montandor.
• Berekening van de verzendtarieven met meerdere vervoerders: Upela (Upela SAS, Frankrijk), vervoerdersaggregator die Chronopost, Colissimo, DPD, MondialRelay, UPS, FedEx en DHL bevraagt. Gegevens die strikt noodzakelijk zijn voor de offerte worden doorgegeven: postcode van bestemming, plaats, gewicht en afmetingen van het pakket. In dit stadium worden geen persoonsgegevens verzonden.
• Adres-autoaanvulling: Google Maps Platform — Maps JavaScript API en Places API (Google Ireland Limited). Het Google-script wordt pas vanaf uw eerste interactie met het veld „leveringsadres” geladen. Zie policies.google.com/privacy.
• Verificatie van Franse onderneming (SIRET / SIREN): ondernemingsregister beheerd door de Franse Staat via recherche-entreprises.api.gouv.fr (DataGouv, Direction interministérielle du numérique). Openbare INSEE/Sirene-gegevens hergebruikt overeenkomstig de open licentie 2.0. Voor B2B-aankopen in Frankrijk aangevuld met de API van societe.com (Société.com SAS, Frankrijk).
• Verificatie van het intracommunautaire btw-nummer: VIES-systeem van de Europese Commissie (DG TAXUD), overeenkomstig verordening (EU) nr. 904/2010. Uitsluitend het ingevoerde btw-nummer wordt doorgegeven.

Iedere verwerker is gebonden door een verwerkersovereenkomst (DPA) die voorziet in de vereiste contractuele, organisatorische en technische waarborgen, met uitzondering van de onder open licentie hergebruikte openbare diensten (DataGouv, VIES) die niet op een bilaterale DPA berusten. De actuele lijst is op verzoek beschikbaar via info@montandor.com.

6. Doorgiften buiten de Europese Unie

De verzamelde gegevens worden opgeslagen en verwerkt binnen de Europese Economische Ruimte (Microsoft Azure West Europe, logistiek magazijn in Frankrijk). Voor interne administratieve verrichtingen kan een doorgifte naar het Vorstendom Andorra plaatsvinden — Andorra geniet een adequaatheidsbesluit van de Europese Commissie (2010/625/EU), dat een beschermingsniveau garandeert dat als gelijkwaardig wordt beschouwd. Geen enkele doorgifte naar een derde land zonder adequaatheidsbesluit vindt plaats zonder modelcontractbepalingen of gelijkwaardige waarborgen.

7. Beveiliging

Wij treffen de redelijkerwijs noodzakelijke technische en organisatorische maatregelen om uw gegevens te beschermen: end-to-end TLS 1.3-versleuteling, getokeniseerde betaling (PCI-DSS niveau 1), strikte toegangscontrole tot de interne systemen, logboekregistratie van de toegang, sterke authenticatie (MFA) voor beheerdersaccounts, dagelijkse versleutelde back-ups, scheiding van de productie- en testomgevingen, periodieke beveiligingsaudits. In geval van een inbreuk die een risico voor uw rechten en vrijheden kan inhouden, stellen wij de bevoegde toezichthoudende autoriteit binnen 72 uur in kennis en, indien het risico hoog is, informeren wij u rechtstreeks.

8. Geautomatiseerde besluitvorming en profilering

Er wordt geen enkel besluit dat rechtsgevolgen heeft of de bezoeker in aanzienlijke mate treft, genomen door een volledig geautomatiseerde verwerking. Wij passen automatische fraudebestrijdingsregels toe op de betalingstransacties (adresverificatie, detectie van verdacht gedrag); ieder besluit tot blokkering of annulering van een bestelling kan worden aangevochten door te schrijven naar info@montandor.com en geeft aanleiding tot een menselijke beoordeling door een lid van ons team.

9. Uw rechten

Overeenkomstig de AVG en de Andorrese LQPD beschikt u over de volgende rechten met betrekking tot de u betreffende gegevens:

• Recht op inzage in uw gegevens.
• Recht op rectificatie in geval van onjuistheid.
• Recht op wissing („recht om vergeten te worden”) onder de bij wet voorziene voorwaarden.
• Recht op beperking van de verwerking.
• Recht op overdraagbaarheid van uw gegevens naar een andere verantwoordelijke.
• Recht van bezwaar tegen de op het gerechtvaardigd belang gebaseerde verwerking.
• Recht om uw toestemming in te trekken op elk moment voor de op toestemming gebaseerde verwerkingen (bijvoorbeeld de nieuwsbrief).
• Recht om instructies na overlijden vast te stellen.
• Recht om een klacht in te dienen bij het Andorrese gegevensbeschermingsagentschap (APDA), bij de CNIL in Frankrijk of bij uw lokale toezichthoudende autoriteit in de EU.

Om uw rechten uit te oefenen, schrijft u naar info@montandor.com of gebruikt u de chat van de webshop met selectie van „Privacy”. Een redelijk identiteitsbewijs kan worden gevraagd om identiteitsfraude te voorkomen.

10. Wijzigingen van dit beleid

Dit beleid kan worden gewijzigd. De datum van de laatste bijwerking staat boven aan de pagina vermeld. De substantiële wijzigingen (verandering van verwerkingsverantwoordelijke, van doeleinden, toevoeging van een nieuwe belangrijke verwerker) zullen gedurende dertig (30) dagen worden gemarkeerd in een speciale informatiebanner.