Politique de confidentialité

La présente politique explique comment « Martial Labs » Ltd., exerçant sous la marque KORENA, traite vos données à caractère personnel lorsque vous consultez korena.eu, passez une Commande, nous contactez ou utilisez autrement nos services. Elle répond aux exigences du règlement général sur la protection des données (règlement (UE) 2016/679, le « RGPD »), de la directive 2002/58/CE « vie privée et communications électroniques » et de la loi bulgare sur la protection des données à caractère personnel.

---

1. Responsable du traitement

Le responsable du traitement de vos données à caractère personnel est :

"Martial Labs" Ltd. ( Маршъл Лабс ЕООД )
UIC/ЕИК 207453941 · TVA BG207453941
8A Yordan Badev Str., 1700 Sofia, Bulgaria
Gérant : Pavel Danielov Nikolov
Contact pour la protection des données : office@korena.eu

Toute demande relative à la confidentialité ou à l’exercice des droits des personnes concernées doit être adressée à office@korena.eu.

Pour l’identification complète de l’entité exploitant KORENA, consultez les mentions légales.

2. Délégué à la protection des données

Nous n’avons pas désigné de délégué à la protection des données (DPD), car nos traitements ne remplissent aucun des critères obligatoires de l’article 37, paragraphe 1, du RGPD :

• Nous ne sommes pas une autorité publique ;
• Nos activités principales ne consistent pas à suivre régulièrement et systématiquement des personnes à grande échelle ;
• Nous ne traitons pas à grande échelle de données relevant de catégories particulières (article 9) ni de données relatives aux condamnations pénales (article 10).

Notre analyse relative à la désignation d’un DPD, datée du 30 avril 2026 et dont le prochain examen est prévu le 30 avril 2027 ou plus tôt si nécessaire, tient compte du nombre de personnes concernées, du caractère systématique et à grande échelle des traitements, des données particulières et pénales, ainsi que de notre rôle de responsable du traitement indépendant. Elle conclut qu’aucun DPD n’est requis. Un coordinateur désigné assure le suivi de la protection des données à office@korena.eu. Cette analyse peut être communiquée aux autorités de contrôle sur demande.

Nous la réexaminerons si l’ampleur ou la nature de nos traitements change sensiblement, notamment en cas de lancement du produit SaaS de conformité EUDR ou d’une fonction d’analyse ou de notation à grande échelle.

Pour toute question ou demande relative à la confidentialité, écrivez à office@korena.eu.

2.1. Application iOS KORENA Capture (outil interne de l’Opérateur)

KORENA Capture est une application de métrologie utilisée en interne par le personnel de KORENA et les opérateurs des dépôts partenaires pour mesurer et photographier les plateaux de bois feuillu destinés aux annonces. Elle fonctionne sur l’appareil de l’opérateur et ne recueille, ne conserve ni ne transmet aucune donnée à caractère personnel des visiteurs ou des acheteurs du site web. Elle n’est pas publiée sur l’App Store d’Apple et sert uniquement à mesurer et documenter les plateaux. Elle ne traite aucun identifiant d’utilisateur final ni aucune donnée de suivi. Pour en savoir plus sur le traitement des photos et mesures des plateaux, consultez le §3.6 ci-dessous, relatif aux dossiers de capture, et la politique relative à l’origine du bois.

2.2. Application KORENA Partner

L’application KORENA Partner pour iOS et Android permet au personnel des dépôts de bois et ateliers partenaires de publier des plateaux, d’en documenter l’origine et d’exécuter les commandes KORENA. Son traitement des données personnelles est décrit dans l’avis de confidentialité de l’application KORENA Partner.

3. Données traitées, finalités et bases juridiques

Cette section associe chaque catégorie de données personnelles traitées à sa finalité, à sa base juridique au titre de l’article 6 du RGPD et à sa durée de conservation.

3.1. Visiteurs du Site (sans compte ni commande)

3.2. Titulaires d’un compte

3.3. Données de commande (compte ou paiement sans compte)

3.4. Assistance et communications

3.5. Marketing

3.6. Personnel des dépôts partenaires et contacts professionnels

3.7. IA, apprentissage automatique et fouille de textes et de données (TDM)

Les données personnelles des utilisateurs ne servent PAS à entraîner des modèles d’IA ou d’apprentissage automatique. KORENA n’utilise pas vos données personnelles, notamment votre nom, adresse électronique, adresses, historique de commandes ou données d’interaction, pour entraîner des systèmes d’intelligence artificielle ou d’apprentissage automatique, ni pour la fouille de textes et de données. Nous utilisons ces technologies à deux endroits. La segmentation SAM de KORENA Capture analyse les images de plateaux sur l’appareil de l’opérateur et ne traite aucune donnée personnelle. Lorsque KORENA recherche du bois pour un client professionnel, le texte des demandes d’achat envoyées aux fournisseurs et de leurs réponses est traduit automatiquement et structuré par un sous-traitant d’IA (OpenAI et, lorsqu’il est activé, DeepL). Avant tout envoi, nous supprimons les adresses électroniques, numéros de téléphone et éléments identifiant le client demandeur. Les autres coordonnées professionnelles sont traitées sur la base de notre intérêt légitime, conformément à l’article 6(1)(f) du RGPD. Vous pouvez vous opposer à toute utilisation de vos données aux fins de TDM en vertu de l’article 4 de la directive DSM. Écrivez à office@korena.eu pour exercer ce droit.

3.8. Prévention de la fraude et sécurité

Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou similaires importants (article 22 du RGPD), hormis celles que le système Stripe Radar prend dans le cadre de l’autorisation de paiement. Stripe Radar utilise une prise de décision automatisée pour évaluer le risque de paiement. Si un paiement est refusé :

• (a) Un message clair s’affiche au moment du refus ;
• (b) Vous avez droit, gratuitement, à un examen humain et à une explication. Écrivez à office@korena.eu en indiquant votre commande. Nous transmettrons la demande à Stripe et expliquerons les facteurs de risque évalués ainsi que les mesures possibles, par exemple utiliser un autre moyen de paiement ou contacter l’émetteur de votre carte ;
• (c) Nous répondrons dans un délai d’un mois calendaire.

Le traitement relevant de l’article 22 est nécessaire à l’exécution du contrat de vente conformément à l’article 22(2)(a) du RGPD. Sans lui, nous ne pouvons raisonnablement accepter de paiements en ligne.

4. Sources des données

Presque toutes les données que nous traitons sont recueillies directement auprès de vous. Il existe deux exceptions :

• Stripe nous transmet le résultat du paiement, les quatre derniers chiffres de la carte et des signaux de risque. Nous ne voyons pas le numéro complet.
• Speedy et Econt, ainsi que les autres transporteurs, nous transmettent les événements de suivi des envois.

5. Destinataires des données

Nous communiquons des données personnelles aux catégories de destinataires ci-dessous. Chacun ne traite les données que pour la fonction indiquée et est lié par des garanties contractuelles appropriées.

Nous ne vendons pas vos données personnelles et ne les communiquons pas à des réseaux publicitaires à des fins de publicité comportementale intersites.

Cette liste est mise à jour à chaque ajout, modification ou retrait d’un sous-traitant. Les changements importants sont annoncés sur le Site au moins trente (30) jours à l’avance aux abonnés et titulaires d’un compte.

6. Transferts internationaux

Certains destinataires traitent des données hors de l’Espace économique européen (EEE), notamment certaines entités de Stripe aux États-Unis, Resend et OpenAI. Pour chaque transfert, nous nous appuyons sur :

• Les clauses contractuelles types (CCT) approuvées par la Commission européenne, lorsque cela est requis ; et/ou
• Une décision d’adéquation, le cas échéant, par exemple le cadre UE–États-Unis de protection des données pour un destinataire certifié.

Pour obtenir une copie des garanties applicables à un transfert précis, écrivez à office@korena.eu.

6.1. Analyses d’impact relatives aux transferts

Lorsqu’un sous-traitant s’appuie sur les CCT de l’UE ou d’autres garanties pour un transfert vers un pays ne bénéficiant pas d’une décision d’adéquation, nous conservons ou détenons une analyse d’impact relative au transfert conformément à l’article 46 du RGPD et aux lignes directrices 01/2020 du CEPD. Ces analyses sont à la disposition des autorités de contrôle sur demande. Lorsque le transfert repose sur une certification au cadre de protection des données, nous en revérifions la validité à chaque cycle de publication et mettons à jour le §5.

7. Vos droits

Le RGPD vous accorde les droits suivants, que vous pouvez exercer gratuitement en écrivant à office@korena.eu :

• Accès (article 15) : savoir si nous traitons des données vous concernant et en recevoir une copie dans un format structuré, couramment utilisé et lisible par machine (CSV ou JSON). Cette copie est gratuite. Si votre demande est manifestement infondée ou excessive, nous pouvons facturer des frais administratifs raisonnables. La remise se fait par courriel sécurisé ou lien de téléchargement chiffré.
• Rectification (article 16) : correction des données inexactes.
• Effacement (article 17) : suppression des données, sous réserve de nos obligations légales de conservation. Les exceptions comprennent : (a) factures et données de TVA conservées 10 ans ; (b) courriels d’assistance et photos de litige conservés jusqu’à la résolution, puis 2 ans ; (c) données de compte conservées 12 mois après sa fermeture sauf dossier en cours ; (d) adresses IP et journaux d’accès conservés 90 jours sauf incident de sécurité.
• Limitation (article 18) : limitation du traitement dans les cas prévus.
• Portabilité (article 20) : réception des données personnelles que vous nous avez fournies, comme le nom, l’adresse électronique, les adresses et le type de moyen de paiement, dans un format structuré, couramment utilisé et lisible par machine. Ce droit concerne les traitements fondés sur le contrat ou le consentement. Il n’inclut ni les données dérivées, comme les mesures d’interaction ou de plateau calculées par nous, ni les données traitées au titre d’une obligation légale, comme les factures.
• Opposition (article 21) : opposition aux traitements fondés sur l’intérêt légitime, notamment la prospection directe, pour laquelle ce droit est absolu.
• Retrait du consentement (article 7(3)) : à tout moment, sans remettre en cause la licéité du traitement antérieur.
• Droit de ne pas faire l’objet d’une décision automatisée (article 22) : voir le §3.8 concernant Stripe Radar et le droit à un examen humain.

Nous répondons dans un délai d’un mois calendaire à compter de la réception, pouvant être prolongé de deux mois pour les demandes complexes ou nombreuses, après vous en avoir informé. Si les données dont nous disposons ne permettent pas de vous identifier, nous pouvons demander des informations supplémentaires avant de donner suite.

Vous pouvez aussi introduire une réclamation auprès de l’autorité de contrôle :

Commission for Personal Data Protection (Комисия за защита на личните данни) Tsvetan Lazarov Blvd. 2, Sofia 1592, Bulgaria cpdp.bg · kzld@cpdp.bg

Si votre résidence habituelle se trouve dans un autre État membre de l’UE, vous pouvez aussi saisir l’autorité de protection des données de ce pays.

8. Sécurité

Nous appliquons des mesures techniques et organisationnelles appropriées, notamment le chiffrement en transit (TLS), le chiffrement au repos dans notre base de données, des contrôles d’accès, des journaux d’audit, la séparation des fonctions et le principe du moindre privilège. Stripe conserve les données complètes des cartes de paiement hors de nos systèmes et est certifié PCI-DSS. Malgré des mesures raisonnables, aucun système n’est parfaitement sûr.

En cas de violation de données personnelles, nous :

• (i) Informerons la Commission for Personal Data Protection (CPDP) sans retard injustifié et dans les 72 heures suivant sa découverte lorsque l’article 33 du RGPD l’exige ;
• (ii) Vous informerons directement sans retard injustifié, généralement dans les 7 jours suivant sa découverte, si la violation est susceptible d’engendrer un risque élevé pour vos droits et libertés, conformément à l’article 34 du RGPD ;
• (iii) Indiquerons dans cette notification la nature et les conséquences probables de la violation, les mesures prises ou proposées et notre point de contact (office@korena.eu).

9. Enfants

Le Site ne s’adresse pas aux enfants de moins de 14 ans et nous ne traitons pas sciemment leurs données personnelles sans consentement parental ou tutélaire. KORENA est une place de marché de bois feuillu haut de gamme destinée aux professionnels et amateurs adultes. Elle n’est ni conçue ni commercialisée pour les mineurs. Si vous pensez qu’un enfant de moins de 14 ans nous a fourni des données personnelles, écrivez à office@korena.eu afin que nous les supprimions.

10. Modifications de la présente politique

Nous pouvons modifier cette politique. Les changements importants sont annoncés par courriel aux titulaires d’un compte et aux abonnés, et publiés sur le Site au moins trente (30) jours avant leur entrée en vigueur, sauf si la loi impose une application plus rapide.

La date figurant au bas de la présente politique correspond à la version en vigueur.

11. Langues

La présente politique est rédigée en anglais, qui constitue la source de référence. Des traductions peuvent être proposées sur le Site. Lorsque la loi l’exige, notamment pour les personnes concernées résidant en Bulgarie, la version bulgare fait foi.

---

Dernière mise à jour : 16 septembre 2026 · Dernier examen : 30 avril 2026 · Prochain examen : 30 avril 2027 (ou plus tôt si nécessaire).