PRÉAMBULE

La présente politique de confidentialité (la « Politique ») a pour objet d’informer, de manière claire et transparente, sur la façon dont BAAL-r / SAS AGAM (« BAAL-r », « nous ») collecte et traite vos données à caractère personnel (« Données personnelles ») dans le cadre de l’utilisation du site internet baalr.com (le « Site »).

BAAL-r met en œuvre ces traitements conformément à la réglementation en vigueur, et notamment :
– au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD),
– et à la Loi n° 78-17 du 6 janvier 1978 modifiée (Informatique et Libertés, « LIL »).

La présente Politique peut être mise à jour afin de refléter les évolutions législatives et réglementaires, les changements de nos pratiques ou toute amélioration de nos services. En cas de modification substantielle, BAAL-r en informera les personnes concernées par tout moyen approprié (bannière d’information sur le Site, email, mise à jour horodatée de la Politique, etc.).

---

ARTICLE 1 – DÉFINITIONS

Aux fins de la présente Politique, les termes ci-dessous ont la signification suivante :

• « Commande » : opération par laquelle un Utilisateur achète un ou plusieurs Produits sur le Site de BAAL-r.

• « Compte » : espace personnel créé (ou activé) par l’Utilisateur à l’issue d’une première Commande, associé à ses informations d’identification et à l’historique de ses Commandes.

• « Données personnelles » : toute information se rapportant à une personne physique identifiée ou identifiable au sens de l’art. 4.1 RGPD (ex. nom, prénom, email, adresse, données de paiement pseudonymisées, identifiants, données de navigation, etc.).

• « Personnes concernées » / « Vous » : toute personne physique dont les Données sont traitées par BAAL-r dans le cadre du Site et des Services.

• « Produits » : vêtements et sous-vêtements proposés à la vente par BAAL-r sur le Site.

• « Responsable de traitement » : la personne morale qui détermine les finalités et les moyens du Traitement (ici, SAS AGAM – BAAL-r).

• « Services » : l’ensemble des fonctionnalités mises à disposition via le Site (navigation, compte, passation/suivi de Commandes, SAV, avis, marketing…).

• « Sous-traitant » : toute entité traitant des Données pour le compte du Responsable, sur instruction de ce dernier (ex. hébergeur/plateforme e-commerce Shopify, PSP, logisticien).

• « Traitement » / « Traiter » : toute opération effectuée sur des Données (collecte, enregistrement, organisation, conservation, extraction, consultation, utilisation, communication, interconnexion, limitation, effacement, destruction) – art. 4.2 RGPD.

• « Utilisateur » : toute personne physique qui accède au Site et en utilise les Services, agissant en qualité de consommateur.

---

ARTICLE 2 – IDENTITÉ DU RESPONSABLE DU TRAITEMENT & CONTACTS

2.1 Responsable du traitement

Vos Données personnelles sont collectées et traitées par SAS AGAM (BAAL-r), qui détermine les finalités et les moyens des Traitements (art. 4.7 RGPD).
Adresse : Savignac, 12410 Salles-Curan, France
SIREN : 915 000 889 – SIRET : 915 000 889 00013 – TVA : FR67915000889

2.2 Point de contact « vie privée » / RGPD

BAAL-r n’a pas désigné de DPO au sens de l’art. 37 RGPD. Pour toute question ou exercice de droits (cf. Art. 11) :

• Email : contact@baalr.com

• Courrier : BAAL-r / SAS AGAM – RGPD, Savignac, 12410 Salles-Curan, France

Nous accusons réception et répondons dans un délai d’un (1) mois, prorogeable de deux (2) mois compte tenu de la complexité et du nombre de demandes (art. 12 RGPD). Vous serez informé(e) en cas de prorogation.

2.3 Vérification d’identité

Dans le cadre de l’exercice de vos droits, BAAL-r peut vous demander un justificatif d’identité lorsque nécessaire pour prévenir tout accès non autorisé (art. 12.6 RGPD). La copie de ce justificatif est conservée au maximum un (1) an (cf. Art. 8).

2.4 Réclamations auprès de l’autorité de contrôle

Sans préjudice de tout autre recours, vous disposez du droit d’introduire une réclamation auprès de l’autorité compétente (en France : CNIL, www.cnil.fr) si vous estimez que le Traitement de vos Données constitue une violation de la réglementation applicable.

---

ARTICLE 3 – CONTEXTE DU TRAITEMENT

BAAL-r collecte et traite des Données vous concernant lors de l’utilisation des Services. Ces Données peuvent être fournies par vous, générées automatiquement lors de la navigation, ou provenir de tiers autorisés.

3.1 Origine des données

• Données que vous communiquez : création/gestion de Compte, Commande, formulaires de contact, demandes SAV/retour, dépôt d’avis, participation à jeux/enquêtes, inscription newsletter, exercice de droits RGPD.

• Données collectées automatiquement : données techniques et de navigation (IP, cookies/traceurs, logs, pages consultées, appareil, OS, navigateur), mesures d’audience.

• Données reçues de tiers :
  – PSP (ex. carte bancaire, PayPal/Klarna si proposés) : confirmations de paiement, statuts, anti-fraude ;
  – Logistique/transport : informations de livraison/suivi ;
  – Outils d’avis & emailing : gestion des avis produits et campagnes (si consentement) ;
  – Réseaux sociaux : si vous interagissez avec nos comptes/boutons de partage (selon vos réglages).

3.2 Moments de collecte

Navigation ; création/usage du Compte ; passation/suivi de Commande ; paiement ; contact SAV ; inscription newsletter ; dépôt d’avis ; jeux/enquêtes ; exercice de droits.

3.3 Caractère obligatoire

Certaines Données sont nécessaires à la fourniture des Services (ex. livraison, facturation, paiement). À défaut, nous pourrions ne pas exécuter la Commande ou répondre à votre demande. Les champs obligatoires sont indiqués lors de la collecte.

3.4 Personnes mineures

Services destinés à des personnes majeures (18+). En cas de collecte d’un mineur portée à notre connaissance, nous supprimons ces Données dès que possible, sauf consentement parental valide lorsque requis.

3.5 Exactitude et mise à jour

Vous vous engagez à fournir des informations exactes et à jour, et à nous notifier toute modification (ex. adresse).

---

ARTICLE 4 – FINALITÉS ET BASES LÉGALES

Nous ne collectons que les Données strictement nécessaires. Chaque finalité repose sur une base légale prévue par le RGPD. Le consentement peut être retiré à tout moment (cf. Art. 11).

1. Prises de contact / réclamations / SAV : réception/traitement des demandes, historique – intérêt légitime / exécution du contrat / consentement si requis.

2. Gestion des Commandes : passation/exécution du contrat, préparation/expédition, suivi, retours/avoirs/remboursements – exécution du contrat.

3. Comptes : création, authentification, historique – exécution du contrat ; options non nécessaires – consentement.

4. Paiement : traitement via PSP, 3-D Secure/SCA, anti-fraude, comptabilité – exécution du contrat / obligations légales.

5. Prospection / newsletters : envoi d’offres/actualités, gestion des abonnements, mesure de performance – consentement (opt-in) ou intérêt légitime pour clients (opt-out simple).

6. Avis produits : recueil/publication/modération – consentement ; modération – intérêt légitime.

7. Sécurité / administration / analytics : sécurité SI, maintenance, mesure d’audience, A/B tests non intrusifs – intérêt légitime ; cookies non essentiels – consentement.

8. Droits RGPD/LIL : gestion des demandes (accès, rectification, effacement, opposition, etc.) – obligation légale.

9. Obligations légales : conservation, contentieux, réponses aux autorités, fiscalité/comptabilité – obligation légale / intérêt légitime (défense en justice).

10. Transparence intérêt légitime : mise en balance disponible sur demande (cf. Art. 2).

---

ARTICLE 5 – DONNÉES COLLECTÉES

5.1 Identification & coordonnées

Civilité, nom, prénom ; email ; téléphone ; adresses de facturation/livraison ; Compte (identifiant, mot de passe haché), préférences, historique.

5.2 Données de commande & relation commerciale

Références de commande, contenus, montants, remises ; mode et statut de livraison ; retours/avoirs/remboursements ; échanges SAV et horodatages.

5.3 Données de paiement (via PSP)

Moyen de paiement utilisé ; statut de transaction, références, horodatage ; signaux anti-fraude (IP/session).
BAAL-r ne conserve pas le numéro complet de carte (PAN) ni le CVV ; ces données sont traitées uniquement par le PSP conforme (ex. PCI-DSS). Des identifiants de transaction peuvent être conservés à des fins de preuve et de lutte contre la fraude (cf. Art. 8).

5.4 Prospection & abonnements

Email, préférences, métriques d’ouverture/clics, désabonnements.

5.5 Avis produits & contenus fournis

Pseudonyme/nom, email (non publié), texte de l’avis, photo éventuelle ; « acheteur vérifié » ; éléments de modération.

5.6 Données techniques & navigation (cookies/traceurs)

IP, appareil/OS, navigateur, langue ; logs (pages vues, parcours, temps, referrer, UTM) ; cookies/identifiants. Voir Art. 9 pour les catégories, durées et choix.

5.7 Données issues de tiers

PSP, logistique, emailing/avis, réseaux sociaux (selon vos paramètres).

5.8 Données non collectées (minimisation)

Pas de collecte intentionnelle de catégories particulières de données (art. 9 RGPD : santé, opinions politiques, convictions religieuses, etc.). Merci de ne pas nous transmettre d’informations médicales ; limitez les messages SAV aux éléments nécessaires.

---

ARTICLE 6 – PRÉCISIONS SUR LES SERVICES DE PAIEMENT

6.1 PSP (prestataire de services de paiement)

Le paiement est redirigé vers un PSP (ex. carte bancaire, PayPal/Klarna si proposés). Le PSP applique ses propres conditions/politiques.

6.2 Données échangées

Montant, devise, références de commande ; identité de base (nom, email), parfois adresses ; éléments techniques de sécurité (IP, session) pour l’anti-fraude. Aucune conservation par BAAL-r des PAN/CVV.

6.3 Lutte contre fraude / LCB-FT

Le PSP mène ses propres contrôles (KYC, scoring de risque, obligations LCB-FT) sous sa responsabilité.

6.4 Qualité de responsable / sous-traitant

Pour l’encaissement : base exécution du contrat (BAAL-r responsable ; PSP sous-traitant ou responsable indépendant selon flux). Pour LCB-FT/comptabilité : responsable indépendant (PSP).

6.5 DSP2 / Authentification forte (SCA)

Le PSP peut exiger une authentification forte (3-D Secure). L’absence de SCA peut empêcher la finalisation.

6.6 Incidents et contestations

En cas de refus/chargeback/suspicion de fraude : suspension/annulation possible ; demandes d’infos complémentaires. Fondements : exécution du contrat / intérêt légitime (sécurité).

6.7 Conservation

Justificatifs/transactions : 13 mois (15 mois cartes à débit différé) à des fins de preuve ; documents comptables 10 ans (cf. Art. 8).

---

ARTICLE 7 – DESTINATAIRES DES DONNÉES

7.1 Destinataires internes (BAAL-r / SAS AGAM)

Service client/SAV ; Logistique ; Comptabilité/Finance ; Marketing/CRM ; IT/Sécurité. Accès moindre privilège et journalisation appropriée.

7.2 Sous-traitants (art. 28 RGPD)

• Hébergement & plateforme e-commerce : Shopify (site, base, sauvegardes) ;

• PSP (paiements, SCA, anti-fraude) ;

• Transport/Logistique (préparation, livraison, retours) ;

• Support/ticketing ; Emailing & marketing automation ; collecte/modération d’avis ; analytics & A/B testing ; sécurité applicative ; archivage & sauvegardes ; comptables/auditeurs ; conseils juridiques.
  Chaque sous-traitant est lié par contrat imposant confidentialité, sécurité et respect de nos instructions.

7.3 Responsables indépendants

PSP (pour obligations propres), réseaux sociaux (si interaction), plateformes d’avis externes (si vous publiez chez eux).

7.4 Autorités et organismes

Communication limitée au nécessaire pour satisfaire aux obligations légales (judiciaires, administratives, fiscales, CNIL, médiateurs, ODR).

7.5 Opérations de réorganisation

En cas de fusion/cession/restructuration, transmission encadrée (confidentialité/sécurité/information ultérieure si requis).

7.6 Cookies & traceurs tiers

Voir Art. 9 (mesure d’audience, marketing, social).

7.7 Données agrégées/anonymisées

Production possible de statistiques non identifiantes.

---

ARTICLE 8 – DURÉES DE CONSERVATION

BAAL-r conserve vos Données le temps nécessaire aux finalités puis supprime/anonymise, ou archive de façon restreinte (preuve). Extraits :

Sauvegardes techniques : rétention roulante limitée (≈ 30–90 jours), accès très restreint.

---

ARTICLE 9 – COOKIES ET AUTRES TRACEURS

9.1 Qu’est-ce qu’un cookie/traceur ?

Petit fichier/identifiant déposé sur votre terminal (ou mécanisme équivalent : LocalStorage, pixels, SDK…). Il permet de mémoriser vos choix, sécuriser la session, mesurer l’audience ou adapter nos contenus/offres.

9.2 Qui dépose ?

• BAAL-r : cookies « first-party » nécessaires au fonctionnement.

• Tiers : mesure d’audience, publicité, réseaux sociaux, emailing, A/B testing (leurs politiques s’appliquent).

9.3 Fondement légal

• Nécessaires : déposés sans consentement (intérêt légitime à fournir un site fonctionnel et sécurisé).

• Non essentiels (publicité ciblée/retargeting, personnalisation avancée, mesure d’audience non exemptée, sociaux) : uniquement avec votre consentement (bandeau). Retrait possible à tout moment.

9.4 Catégories & durées indicatives

• Nécessaires/techniques (session, panier, sécurité) – sans consentement – session à 12 mois ;

• Mesure d’audience exemptée (conditions CNIL) – sans consentement – cookies ≤13 mois, mesures ≤25 mois ;

• Mesure avancée / personnalisation / marketing / sociaux – avec consentement – 3 à 13 mois (cookies) / ≤25 mois (mesures).

9.5 Outils possibles

Analytics/performance ; A/B testing non intrusif ; pixels publicitaires ; emailing ; intégrations sociales. Certains peuvent impliquer des transferts hors UE (cf. Art. 10).

9.6 Vos choix

À l’arrivée : bandeau de consentement (tout accepter, tout refuser, paramétrer).
À tout moment : lien « Paramétrer mes cookies » en pied de page.
Navigateurs/mobile : réglages possibles (le blocage total peut dégrader certaines fonctions).

9.7 Do Not Track (DNT)

Pris en compte lorsqu’outils compatibles ; utilisez aussi notre gestionnaire de préférences.

9.8 Transparence & mises à jour

La liste des catégories et finalités est tenue à jour dans le gestionnaire de consentement. Cette section peut évoluer.

---

ARTICLE 10 – TRANSFERTS DE DONNÉES HORS UE/EEE

10.1 Principe

Nous privilégions un traitement au sein de l’UE/EEE. Toutefois, certains prestataires (ex. Shopify, CDN, emailing, analytics, support, PSP) peuvent impliquer des transferts ou accès depuis des pays tiers.

10.2 Encadrement juridique

• Décisions d’adéquation de la Commission ;

• Clauses Contractuelles Types (CCT/SCC) (UE 2021/914), avec mesures additionnelles si nécessaire ;

• BCR lorsque disponibles ;

• Dérogations art. 49 RGPD uniquement à titre exceptionnel (consentement explicite, nécessité contractuelle, défense en justice).

10.3 Mesures supplémentaires (post-Schrems II)

Évaluations d’impact transferts (TIA), chiffrement fort en transit/au repos, pseudonymisation/minimisation, contrôle d’accès, journalisation, obligations contractuelles renforcées (confidentialité, notification, suppression/restitution).

10.4 Transparence

Informations complémentaires (garanties, catégories de destinataires) sur demande à contact@baalr.com. Certaines informations peuvent être occultées pour raisons de sécurité/secrets d’affaires.

---

ARTICLE 11 – VOS DROITS

Conformément au RGPD/LIL, vous disposez des droits suivants :

• Accès (art. 15), rectification (16), effacement (17), limitation (18) ;

• Opposition (21), notamment à la prospection (lien de désinscription dans chaque email) ;

• Portabilité (20) pour les données fournies, traitement automatisé fondé sur consentement/contrat ;

• Retrait du consentement (7) à tout moment ;

• Décision automatisée : aucune décision produisant des effets juridiques prise exclusivement de manière automatisée sans intervention humaine ;

• Directives post-mortem (art. 85 LIL).

Exercer vos droits : contact@baalr.com (précisez le droit exercé, le périmètre et une adresse de réponse).
Délais : 1 mois (prorogeable 2 mois). Justificatif d’identité possible (cf. Art. 2.3).
Demandes manifestement infondées/excessives : BAAL-r peut refuser ou exiger des frais raisonnables (motivation fournie).
Réclamation : CNIL (www.cnil.fr).

---

ARTICLE 12 – SÉCURITÉ DES DONNÉES PERSONNELLES

BAAL-r met en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD) :

12.1 Gouvernance & responsabilités

Politique de sécurité ; principes privacy by design/by default ; minimisation ; engagements de confidentialité ; sensibilisation/formation des personnels habilités.

12.2 Contrôle d’accès & authentification

Principe du moindre privilège ; journalisation ; MFA pour comptes sensibles ; mots de passe robustes (stockage haché).

12.3 Chiffrement & gestion des clés

TLS à jour en transit ; chiffrement au repos selon capacités des prestataires ; gestion contrôlée des clés.

12.4 Développement sécurisé & correctifs

Bonnes pratiques (ex. OWASP), gestion des vulnérabilités et correctifs priorisés.

12.5 Journalisation, supervision & détection

Logs d’accès/actions sensibles ; surveillance des événements anormaux ; alertes.

12.6 Sécurité physique & hébergement

Prestataires reconnus (dont Shopify), contrôles d’accès physiques, redondances, protections environnementales.

12.7 Sauvegardes, PCA/PRA

Sauvegardes périodiques ; tests de restauration ; rétentions limitées (cf. Art. 8).

12.8 Chaîne de sous-traitance

Contrats art. 28 RGPD (confidentialité, sécurité, assistance, notification d’incident, suppression/restitution, audits).

12.9 Données de paiement

Traitement via PSP conforme (ex. PCI-DSS). BAAL-r ne stocke pas PAN/CVV.

12.10 Tests, audits & amélioration

Scans de vulnérabilités ; audits prestataires clés ; plan d’amélioration continue.

12.11 Incidents & notification des violations

Procédure interne ; notification CNIL ≤72 h en cas de risque (art. 33) ; information des personnes si risque élevé (art. 34).

12.12 Responsabilités de l’Utilisateur

Mot de passe unique/robuste ; ne pas partager ses identifiants ; se déconnecter sur postes partagés ; maintenir ses systèmes à jour ; signaler toute activité suspecte.

12.13 Limites

Aucun système n’étant invulnérable, BAAL-r s’engage à faire diligence pour prévenir et traiter tout incident conformément à la réglementation.

12.14 Contact sécurité

contact@baalr.com (objet : « Sécurité – Incident potentiel »).

---

ARTICLE 13 – LIENS / SERVICES TIERS & RÉSEAUX SOCIAUX

13.1 Liens sortants & contenus embarqués

Le Site peut contenir des liens/embeds vers des services tiers (transporteurs, avis, réseaux sociaux, PSP). En interagissant, vous quittez notre environnement ou autorisez des traceurs tiers (cf. Art. 9). Ces tiers agissent sous leur propre responsabilité.

13.2 Plugins, pixels et SDK sociaux

Boutons « partager », pixels publicitaires :

• Intérêt légitime pour mesures strictement nécessaires ;

• Consentement pour marketing/retargeting et fonctionnalités non essentielles.
  Retrait à tout moment via le gestionnaire cookies.

13.3 Messageries sociales & consolidation SAV

Si vous nous contactez via un réseau social, vos messages sont traités par BAAL-r pour répondre (intérêt légitime/exécution du contrat) et par la plateforme selon sa politique. Pour les informations sensibles, privilégiez contact@baalr.com.

13.4 Connexion sociale (SSO)

Si proposée : transmission de données de profil avec votre accord, révocable ; suppression du Compte BAAL-r n’emporte pas celle du compte tiers.

13.5 Publicité & audiences personnalisées

Sous réserve de votre consentement, usage possible de pixels publicitaires/« audiences » (emails hachés) ; opt-out à tout moment (lien de désinscription / gestionnaire cookies / réglages plateforme).

13.6 Pages officielles & coresponsabilité limitée

Pour certaines pages (ex. « Insights »), la plateforme demeure responsable des traceurs ; BAAL-r ne reçoit que des statistiques agrégées. Exercice des droits possible auprès de la plateforme et/ou de BAAL-r.

13.7 Jeux-concours, parrainage, influence

Règlements précisant données et responsabilités ; transferts hors UE possibles (cf. Art. 10).

13.8 Traçabilité marketing & UTM

Mesures d’attribution (UTM) – intérêt légitime / consentement si tags marketing activés.

---

ARTICLE 14 – MODIFICATIONS DE LA POLITIQUE & ENTRÉE EN VIGUEUR

14.1 Principe d’évolution

BAAL-r peut modifier la Politique pour tenir compte :
– des évolutions légales/réglementaires (RGPD, LIL, lignes CNIL, DSP2…),
– de changements organisationnels (prestataires/outils),
– d’évolutions techniques (Site/Services),
– de l’extension des finalités/catégories de Données.

14.2 Nature des modifications & information

• Substantielles : information préalable par moyen approprié ; consentement recueilli si requis (ex. nouveaux cookies non essentiels).

• Non substantielles : entrée en vigueur à la publication.

14.3 Date d’effet

Sauf indication contraire, la Politique entre en vigueur à la publication ; pour les traitements nécessitant consentement, changements applicables après obtention du consentement.

14.4 Utilisation continue

L’usage du Site après entrée en vigueur vaut acceptation de la version mise à jour, sans préjudice de vos droits (opposition, retrait du consentement, cf. Art. 11).

14.5 Accès aux versions antérieures

Sur demande, BAAL-r peut fournir un résumé des changements matériels intervenus (certaines informations pouvant être occultées pour sécurité/secrets d’affaires).

14.6 Version, entrée en vigueur & contact

Version : 1.0 – Entrée en vigueur : 16/10/2025
Contact (questions / droits) : contact@baalr.com

14.7 Prévalence linguistique

En cas de traduction, la version française prévaut en cas de divergence d’interprétation.

---

Coordonnées utiles (rappel)

BAAL-r / SAS AGAM – Savignac, 12410 Salles-Curan, France
Contact RGPD : contact@baalr.com