Dernière mise à jour : 2 octobre 2026
1. Responsable du traitement
Le responsable du traitement des données personnelles collectées sur xaviers.photo est :
Xavier Schällebaum — artiste-auteur photographe
SIRET 437 694 375 00027
5 rue du Général Delanne, 92200 Neuilly-sur-Seine, France
Email : contact@xaviers.photo
2. Données collectées
Le site xaviers.photo collecte les données suivantes :
| Type de données | Source | Finalité | Durée |
|---|---|---|---|
| Nom, prénom, adresse, téléphone, email | Formulaire de commande | Exécution de la commande, livraison, facturation | 10 ans (obligation comptable) ; commandes non abouties (paniers, paiements échoués ou annulés) : 1 an |
| Email seul | Formulaire newsletter | Envoi d’informations sur les nouvelles éditions | Jusqu’à désinscription |
| Email, message | Formulaire de contact | Réponse aux demandes | 3 ans après dernier contact |
| Données de compte (identifiant, prénom, nom, adresses, historique de commandes et documents) | Création du compte (commande ou inscription) | Gestion de l’espace personnel : suivi des commandes, certificats d’authenticité, factures, bons | Durée de vie du compte ; suppression sur demande ; compte inactif (ni connexion ni commande) supprimé ou anonymisé après 3 ans, après information |
| Données de navigation agrégées | Mesure d’audience Plausible (sans cookie) | Statistiques de fréquentation anonymes | Agrégées — aucune donnée individuelle conservée |
| Pages vues, œuvres consultées et leur prix, montant des commandes, adresse IP, identifiant de navigateur | Pixel Meta — chargé seulement après acceptation de la catégorie « Marketing & réseaux sociaux » | Mesure de l’efficacité des publicités Facebook et Instagram, constitution d’audiences publicitaires | 90 jours côté navigateur ; au-delà, conservation par Meta selon sa propre politique |
| Données de paiement | Stripe (sous-traitant) | Sécurisation des paiements | Aucune donnée bancaire stockée par le Vendeur |
| Numéro de téléphone, contenu des échanges WhatsApp | WhatsApp Business (contact à votre initiative) | Réponse à vos questions, conseil personnalisé | 3 ans après le dernier contact |
| Nom, e-mail, créneau et sujet du rendez-vous | Réservation d’un rendez-vous visio (Calendly) | Organisation et rappel du rendez-vous | 3 ans après le dernier contact |
| Flux de la caméra de votre appareil (réalité augmentée) | Widget ArtPlacer, à votre initiative | Aperçu de l’œuvre à l’échelle chez vous | Aucune image conservée par xaviers.photo |
| Adresse IP, journaux de connexion et de sécurité | Navigation sur le site, tentatives de connexion | Sécurité du site, prévention des fraudes et des intrusions | 30 jours (événements) ; 1 an au plus (connexions) |
Espace personnel — La création d’un compte (lors d’une commande ou d’une inscription) ouvre un espace personnel sécurisé donnant accès au suivi des commandes, aux certificats d’authenticité, aux factures et aux bons de commande et de réception. Le compte est activé au moyen d’un e-mail de confirmation envoyé à l’adresse indiquée. Les données du compte sont conservées tant que le compte est actif ; vous pouvez demander sa suppression à tout moment en écrivant à contact@xaviers.photo.
3. Bases légales
- Exécution du contrat : pour les commandes de tirages et la gestion de l’espace personnel, y compris les e-mails transactionnels de commande et d’activation (art. 6.1.b RGPD)
- Consentement : pour la newsletter et les cookies non strictement nécessaires (art. 6.1.a RGPD)
- Intérêt légitime : pour la sécurité du site et la prévention des fraudes (art. 6.1.f RGPD)
- Obligation légale : pour la conservation des factures et données comptables (art. 6.1.c RGPD)
4. Destinataires des données
Les données sont traitées par l’Artiste, ses sous-traitants et, pour certains services, des responsables de traitement distincts :
- Infomaniak (hébergeur, Suisse) — accord de traitement des données intégré à ses conditions générales
- Stripe (paiement, Irlande/USA) — Data Privacy Framework UE-USA
- DHL (livraison des œuvres) — nom, adresse, téléphone et e-mail du destinataire, strictement nécessaires à la livraison ; DHL traite ces données pour son propre compte en qualité de transporteur ; pour une livraison hors Union européenne, l’adresse est transmise dans le pays de destination
- PICTO Paris (atelier d’impression) — uniquement les fichiers de production, pas les données client
- Brevo (lettre d’information, France) — adresse e-mail et date d’inscription, strictement nécessaires à l’envoi
- Cloudflare (Turnstile — protection anti-robots du formulaire de création de compte, USA) — adresse IP et signaux techniques du navigateur, sans cookie publicitaire
- Klarna (facilité de paiement) — responsable de traitement distinct lorsque vous choisissez le paiement en plusieurs fois
- Plausible Analytics (mesure d’audience sans cookie, hébergée dans l’Union européenne)
- WhatsApp (Meta Platforms Ireland Ltd) — messagerie utilisée uniquement à votre initiative ; votre numéro et le contenu des échanges sont également traités par Meta conformément à sa propre politique de confidentialité
- Calendly LLC (prise de rendez-vous visio, États-Unis) — nom, e-mail, créneau et sujet du rendez-vous, strictement nécessaires à son organisation
- ArtPlacer NA Inc. (États-Unis) — aperçu des œuvres à l’échelle chez vous, en réalité augmentée : la fonction utilise la caméra de votre appareil, à votre initiative, dans le widget ArtPlacer ; aucune photographie de votre intérieur n’est envoyée à xaviers.photo. L’éditeur a confirmé par écrit (septembre 2026) que le flux de la caméra est traité localement par votre appareil, par le composant de réalité augmentée de son système d’exploitation : aucune image, photographie ni relevé de votre pièce n’est transmis à ArtPlacer ni à xaviers.photo. Lors de l’affichage d’une œuvre dans le widget, les serveurs d’ArtPlacer reçoivent des données techniques de connexion (adresse IP, navigateur, appareil, pays approximatif) et des événements d’usage (widget ouvert, œuvre consultée, date), qui alimentent des statistiques restituées au photographe ; les durées de conservation sont en cours de confirmation auprès de l’éditeur
- Google Ireland Ltd / Google LLC (États-Unis) — deux usages distincts : Google Drive (Google Workspace, accord de traitement des données Google Cloud), destination des sauvegardes du site (base de données quotidienne, fichiers hebdomadaires), qui contiennent les commandes et les coordonnées des clients et sont transférées par connexion chiffrée ; et reCAPTCHA (Google agit comme sous-traitant), protection anti-robots des formulaires, chargé uniquement lorsque vous interagissez avec eux
- Defiant, Inc. — Wordfence (sécurité du site, États-Unis) — adresses IP et signaux techniques des tentatives d’attaque, partagés avec son réseau de sécurité ; journaux d’événements conservés 30 jours, journaux de connexion 1 an au plus
- Meta Platforms Ireland Limited — pixel Meta (mesure publicitaire, Irlande) — pages consultées, œuvres regardées et leur prix, montant des commandes, adresse IP et identifiant de navigateur, uniquement si vous avez accepté la catégorie « Marketing & réseaux sociaux » ; pour cette collecte et sa transmission, Meta et nous-mêmes sommes responsables conjoints du traitement (article 26 du RGPD ; CJUE, 29 juillet 2019, Fashion ID, C-40/17). Ni votre nom, ni votre adresse électronique, ni votre téléphone ne lui sont transmis. Détail dans la politique de cookies
Aucune donnée n’est revendue ou transmise à des fins commerciales tierces.
5. Transferts hors UE
Certains sous-traitants (Stripe, Google, Meta — pixel publicitaire et WhatsApp, Calendly, Cloudflare, Defiant/Wordfence) peuvent transférer des données aux États-Unis. Ces transferts sont encadrés, selon le prestataire, par le Data Privacy Framework UE-USA (juillet 2023) et par les Clauses Contractuelles Types (CCT) de la Commission européenne. Meta Platforms, Inc. figure sur la liste des organisations certifiées au titre du Data Privacy Framework UE-USA tenue par le département du Commerce des États-Unis. Le widget ArtPlacer (ArtPlacer NA Inc., New York) est hébergé aux États-Unis ; son éditeur n’est pas certifié au Data Privacy Framework, et le mécanisme d’encadrement de ce transfert (certification au Data Privacy Framework ou Clauses Contractuelles Types) est en cours de confirmation auprès de lui. Dans l’attente, le widget n’est utilisé qu’à votre initiative et seules des données techniques de connexion et d’usage lui sont transmises lors de son affichage (voir la section 4). Pour une livraison hors Union européenne, le transporteur reçoit l’adresse de livraison dans le pays de destination (nécessité contractuelle).
6. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez à tout moment d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition concernant vos données personnelles.
Vous pouvez exercer ces droits par email à contact@xaviers.photo. Une réponse vous sera apportée sous un mois maximum.
Vous disposez également du droit d’introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) : www.cnil.fr — 3 place de Fontenoy, 75007 Paris.
7. Sécurité
Le site xaviers.photo est hébergé sur des serveurs sécurisés Infomaniak (Suisse), avec chiffrement HTTPS sur l’ensemble du domaine, sauvegardes régulières stockées hors site (transfert chiffré), double authentification de l’administration, et protection anti-intrusion et anti-DDoS.