Politique de confidentialité
Mise à jour : 29 septembre 2026
1. Qui est responsable de vos données ?
Le responsable du traitement est la société SWEET AND SODA (nom commercial World Food Group), SAS immatriculée sous le SIREN 994 831 162, dont le siège social est 12 rue Boris Vian, 95310 Saint-Ouen-l'Aumône — voir les mentions légales. Pour toute question relative à vos données personnelles : contact@wfoodgroup.com.
2. Les données traitées
Le site ne comporte ni outil de mesure d'audience (Google Analytics ou équivalent), ni traceur publicitaire. Les seules données traitées sont celles nécessaires au catalogue, aux comptes clients et aux demandes d'approvisionnement :
| Données | Finalité | Base légale | Conservation |
|---|---|---|---|
| Compte client : raison sociale, numéro d'immatriculation, numéro de TVA (ou identifiant fiscal), adresse et pays de la société, nom du contact, téléphone, e-mail, mot de passe ; types de produits qui vous intéressent et nombre de conteneurs que vous pensez commander par an | Créer et gérer votre espace professionnel, vérifier que votre société est une entreprise avant de valider votre compte, vous identifier avant l'envoi d'une demande | Mesures précontractuelles prises à votre demande (art. 6.1.b RGPD) | Tant que le compte est actif, puis au plus 3 ans après votre dernière activité, sauf demande de suppression plus tôt |
| Justificatifs que vous déposez dans votre espace : extrait Kbis (ou équivalent dans votre pays), justificatif de numéro de TVA, et tout document que vous choisissez d'ajouter | Vérifier l'existence et l'activité de votre société avant de valider votre compte | Mesures précontractuelles prises à votre demande (art. 6.1.b RGPD) et intérêt légitime à ne vendre qu'à des professionnels (art. 6.1.f RGPD) | Tant que le compte est actif, puis au plus 3 ans après votre dernière activité ; supprimés avec votre compte si vous en faites la demande |
| Demandes d'approvisionnement : produits, quantités, conteneur, mode de chargement, type et fréquence de commande, date et statut | Traiter et suivre vos demandes | Mesures précontractuelles (art. 6.1.b RGPD) | Durée de la relation commerciale ; les pièces comptables liées à une vente sont conservées 10 ans (art. L123-22 du Code de commerce) |
| Préférences (langue, thème), sélection de produits en cours, jeton de session | Faire fonctionner le site et garder votre session ouverte | Intérêt légitime à fournir le service demandé | Sur votre appareil uniquement, voir la politique de cookies |
Votre mot de passe n'est jamais lisible par notre équipe : il est stocké sous forme chiffrée (hachée) par le service d'authentification.
3. Quand vous nous écrivez via WhatsApp ou par e-mail
Le bouton « Demande d'approvisionnement » compose un message et l'ouvre dans WhatsApp ; les liens « WhatsApp » du site ouvrent directement une conversation. À partir de ce moment, la conversation (votre numéro de téléphone, les messages échangés) est traitée par WhatsApp (WhatsApp Ireland Limited pour les utilisateurs européens) selon sa propre politique de confidentialité (nouvelle fenêtre).
La même demande peut aussi partir par e-mail : le site ouvre alors votre propre messagerie avec un message pré-rempli adressé à contact@wfoodgroup.com, et rien n'est envoyé tant que vous ne l'avez pas validé vous-même. Nous recevons votre adresse e-mail et le contenu du message, dans une boîte de réception hébergée par OVH SAS en France. Il en va de même lorsque vous nous écrivez directement à cette adresse.
Dans les deux cas, nous conservons les informations nécessaires pour donner suite à votre demande commerciale pendant la durée de la relation commerciale.
4. Qui a accès à vos données ?
Vos données sont destinées à l'équipe commerciale de SWEET AND SODA (World Food Group). Dans l'espace d'administration, seul un compte administrateur habilité peut consulter les comptes clients et les demandes ; chaque client ne voit que ses propres informations. Les justificatifs sont rangés dans un espace de stockage privé : seuls vous et un administrateur habilité pouvez les ouvrir, au moyen d'un lien valable deux minutes. Les données ne sont ni vendues, ni louées, ni partagées à des fins publicitaires.
Prestataires techniques (sous-traitants) :
- Supabase Pte. Ltd. (Singapour) — base de données et authentification des comptes, hébergées dans l'Union européenne (région Paris) ;
- OVH SAS (Roubaix, France) — hébergement des pages du site, qui peut enregistrer des journaux techniques de connexion (adresse IP) à des fins de sécurité, et de la boîte de réception contact@wfoodgroup.com.
- Cloudflare, Inc. (États-Unis) — vérification anti-robot (Turnstile) sur les formulaires de connexion et d'inscription : elle analyse des signaux techniques (adresse IP, empreinte TLS, navigateur) uniquement pour distinguer un humain d'un robot, sans profilage ni publicité.
Si d'autres outils internes venaient à être utilisés pour suivre les demandes (tableur, logiciel de gestion commerciale), cette politique serait mise à jour.
5. Transferts hors de l'Union européenne
Les données de la base sont stockées dans l'Union européenne. Supabase étant une société de droit singapourien, un accès technique par ce prestataire depuis l'extérieur de l'Union reste possible : il est encadré par les clauses contractuelles types de la Commission européenne, intégrées à son accord de traitement des données. Les pages du site et la boîte de réception sont hébergées en France par OVH. WhatsApp (groupe Meta) peut également transférer des données hors de l'Union dans le cadre de son propre traitement (voir sa politique de confidentialité). Cloudflare, qui fournit la vérification anti-robot, est une société américaine certifiée au Data Privacy Framework UE–États-Unis, que la Commission européenne reconnaît comme offrant un niveau de protection adéquat.
6. Sécurité
Les échanges avec le site sont chiffrés (HTTPS). Les mots de passe ne sont jamais conservés en clair : le service d'authentification n'en garde qu'une empreinte (hachage bcrypt), et ils doivent compter au moins 12 caractères mêlant minuscules, majuscules, chiffres et symboles. Les tentatives de connexion sont limitées (pause de 15 minutes après 5 échecs, et limitation par adresse IP côté serveur), et nos messages ne révèlent jamais si une adresse e-mail possède un compte. Une session se ferme à la fermeture de l'onglet, après 30 minutes d'inactivité et au plus tard 8 heures après la connexion. Enfin, l'accès aux données est restreint par des règles de sécurité appliquées directement dans la base : un visiteur non connecté ne voit que le catalogue public, un client ne voit que son propre compte et ses propres justificatifs.
7. Vos droits
Conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :
- droit d'accès, de rectification et d'effacement (y compris la suppression de votre compte) ;
- droit à la limitation et à l'opposition du traitement ;
- droit à la portabilité des données que vous nous avez fournies ;
- droit de définir des directives relatives au sort de vos données après votre décès ;
- droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr (nouvelle fenêtre)) ou de l'autorité de contrôle de votre pays de résidence.
Pour exercer ces droits, écrivez à contact@wfoodgroup.com depuis l'adresse de votre compte ; une réponse vous sera apportée dans un délai d'un mois.