Politique de confidentialité
Mise à jour : 29 octobre 2026. Cette politique explique l’utilisation de vos données pour la visite du site, l’utilisation de l’application mobile Smak pour iPhone et Android (l’« application »), votre compte, vos commandes et la livraison. Le responsable de traitement est INTELLEX SAS (Smak), 932 652 282 RCS Paris, 60 rue François Iᵉʳ, 75008 Paris, France. Pour toute question ou demande relative à vos données : contact@thesmak.com.
1. Données traitées et provenance
Vous nous communiquez votre nom, courriel, téléphone, adresse, panier et, si vous le souhaitez, vos consignes d’accès et de livraison. Si vous créez un compte, nous traitons aussi vos identifiants et adresses enregistrées ; le mot de passe est conservé sous forme de condensat, et non en clair. Les champs obligatoires sont nécessaires pour créer le compte ou exécuter la commande. Sans ces données, le service concerné ne peut être fourni. N’inscrivez pas de données sensibles dans les commentaires.
Nous conservons les articles, montants, statuts et références de commande, paiement et remboursement, la date et la version des conditions acceptées, ainsi que vos demandes et réclamations. Revolut, le magasin et les services de livraison (Uber Direct et, le cas échéant, Stuart) transmettent les informations nécessaires au suivi du paiement, de la préparation et de la livraison. Les demandes de rétractation comprennent les noms, courriel, numéro de commande, éventuel commentaire et horodatage.
La navigation produit des données techniques : adresse IP, navigateur, requêtes et erreurs. Le panier et le choix de zone peuvent être mémorisés dans votre navigateur. Smak ne stocke ni le numéro complet de carte ni le cryptogramme : ces données sont recueillies par le prestataire de paiement.
Application mobile. Lorsque vous commandez dans l’application, elle envoie à nos serveurs les mêmes données que le site (coordonnées, adresse, panier, consignes de livraison), ainsi que le système de votre téléphone (iOS ou Android) et la version de l’application, enregistrés avec la commande afin d’en identifier l’origine et de traiter les anomalies. Pour fonctionner et vous éviter de tout ressaisir, l’application enregistre sur votre téléphone : la langue choisie, votre code postal de livraison et le magasin correspondant, l’identifiant de votre panier, vos coordonnées de commande (nom, courriel, téléphone, adresse, code d’accès, consigne au coursier) pour préremplir la commande suivante, et la liste des commandes passées dans l’application (numéro, date, montant). Pour chaque commande, un jeton d’accès à sa page est conservé dans l’espace sécurisé du téléphone (Trousseau iOS ou Keystore Android) ; il cesse de fonctionner 30 jours après la commande. Tant qu’un paiement n’est pas terminé, l’application garde aussi dans cet espace sécurisé un enregistrement du paiement en cours (identifiants du panier et du paiement, adresse de la page de paiement), afin de retrouver votre commande si vous quittez l’application avant la fin du paiement. Ces données restent sur votre téléphone ; INTELLEX n’y accède pas à distance.
Notifications. Si, au moment du paiement, vous activez l’option « Me prévenir de l’avancement de la commande » et autorisez les notifications dans votre téléphone, l’application obtient auprès d’Expo un jeton de notification, propre à votre téléphone et à l’application, et l’enregistre avec votre commande et son panier. Il permet d’envoyer, pour cette commande seulement, des notifications indiquant que le magasin a confirmé la commande, que le coursier est en route, que la commande est livrée ou qu’elle est annulée. Chaque notification ne mentionne que le numéro de commande et l’événement, sans montant ni contenu du panier. Si vous n’activez pas l’option ou refusez l’autorisation, aucun jeton n’est enregistré et la commande se passe normalement.
2. Finalités et bases légales
- Compte, panier, calcul de livraison, paiement, préparation, livraison et assistance liée à l’achat : mesures précontractuelles ou exécution du contrat (article 6, paragraphe 1, b du RGPD).
- Facturation, obligations comptables, preuve contractuelle, traitement des droits légaux et réponses aux autorités : obligations légales (article 6, paragraphe 1, c).
- Sécurité, prévention des abus, correction des erreurs et défense des droits : intérêts légitimes d’INTELLEX, en tenant compte de vos droits (article 6, paragraphe 1, f).
- Une éventuelle prospection soumise à consentement ou l’ajout de traceurs non nécessaires requiert un consentement distinct (article 6, paragraphe 1, a), retirable à tout moment. L’acceptation des conditions de vente n’est pas un consentement à la publicité.
- Notifications de l’application sur l’avancement de votre commande : votre consentement (article 6, paragraphe 1, a), donné en activant l’option dans l’application et en autorisant les notifications dans votre téléphone, retirable à tout moment dans les réglages du téléphone ; la commande reste possible sans notifications.
3. Destinataires et livraison
L’équipe Smak et le personnel du magasin chargé de votre commande accèdent aux données nécessaires à sa préparation et au suivi : identité, courriel, téléphone, adresse et instructions, articles et état de la commande. Ces données ne sont pas vendues.
Avant paiement, votre adresse et votre téléphone sont transmis à Uber Direct pour calculer la livraison. Pour organiser celle-ci après paiement, Uber reçoit le nom du destinataire (ou le courriel si le nom est absent), le téléphone, l’adresse, les instructions d’accès, les noms et quantités des articles, le numéro et l’identifiant interne de commande. Le coursier peut vous appeler et utilise l’adresse et les consignes pour vous remettre le colis.
Lorsque le magasin rappelle un coursier après une tentative Uber terminée sans enlèvement du colis, la livraison peut être confiée à Stuart. Stuart reçoit alors les mêmes informations : nom du destinataire (ou courriel si le nom est absent), téléphone, adresse, instructions d’accès, noms et quantités des articles, numéro et identifiant interne de commande. Son coursier les utilise de la même manière pour vous remettre le colis.
L’adresse est aussi utilisée par le service de géocodage de la Géoplateforme de l’IGN pour vérifier la zone de livraison. Le calcul de livraison et le paiement comportent des contrôles techniques pouvant empêcher une commande ; contactez-nous en cas de difficulté.
Revolut reçoit les données nécessaires au paiement et à la prévention de la fraude : le montant, votre courriel, les articles de la commande, l’adresse et les coordonnées de livraison. Revolut, Uber et Stuart traitent aussi certaines données pour leurs propres obligations, selon leurs politiques respectives.
Notifications. Pour acheminer une notification, Expo (service de notifications utilisé par l’application) reçoit le jeton de notification, le texte de la notification (numéro de commande et événement) et l’identifiant interne de la commande, puis la transmet à Apple (Apple Push Notification service) pour un iPhone ou à Google (Firebase Cloud Messaging) pour un téléphone Android. Lors de l’obtention du jeton, l’application communique aussi à Expo l’identifiant que votre téléphone reçoit d’Apple ou de Google pour les notifications, un identifiant propre à l’installation de l’application, l’identifiant de l’application et celui du projet Expo. Expo conserve les accusés d’envoi des notifications jusqu’à 24 heures. Apple et Google traitent en outre, pour leurs propres finalités et selon leurs politiques, les données liées au téléchargement de l’application et à l’acheminement des notifications.
Suggestions d’adresse. Pendant la saisie de l’adresse, les fragments de rue que vous tapez et le code postal de livraison sont envoyés, depuis votre navigateur ou votre téléphone, au service de géocodage de la Géoplateforme de l’IGN pour proposer des adresses ; ni votre nom, ni votre téléphone, ni votre courriel ne lui sont transmis.
4. Prestataires techniques et localisation
Vercel héberge le site ; Render héberge l’application et son cache ; Neon fournit la base de données ; Resend envoie les courriels transactionnels ; Sentry traite les erreurs techniques du site et de l’application. Amazon Web Services stocke les images du catalogue, sans données de commande prévues dans ces images. Les autorités ou conseils professionnels peuvent recevoir des données lorsque leurs missions ou la loi le nécessitent.
Dans l’application, Sentry ne reçoit que des rapports d’erreurs techniques : trace de l’erreur, version de l’application, modèle et version du système du téléphone. Avant l’envoi, l’application retire des rapports les jetons, courriels, numéros de téléphone, adresses et codes d’accès, ainsi que les paramètres des adresses de requêtes réseau. Elle n’enregistre ni les sessions, ni l’écran, ni les mesures de performance, et demande à Sentry de ne pas déduire l’adresse IP de l’envoi. Expo (notifications), Apple et Google (acheminement des notifications et boutiques d’applications) sont décrits à la section 3.
Les services applicatifs principaux et la base de données sont configurés à Francfort. Cette configuration ne signifie pas que toutes les opérations sont limitées à l’Union européenne : plusieurs prestataires sont établis aux États-Unis ou utilisent des infrastructures et équipes hors de l’EEE.
Pour les transferts concernés, les garanties applicables reposent sur les clauses contractuelles types de la Commission européenne prévues par les accords de traitement et, lorsque le destinataire et le transfert sont couverts, sur une décision d’adéquation, dont le cadre UE–États-Unis pour les organismes certifiés. Vous pouvez demander les informations et une copie des garanties applicables à contact@thesmak.com.
5. Conservation
Les données restent nécessaires pendant la gestion du compte, l’exécution de la commande et le traitement de vos demandes. Ensuite, seules les données nécessaires aux obligations légales et à la preuve des droits doivent être conservées pendant le délai applicable. Les pièces comptables sont conservées dix ans (article L123-22 du Code de commerce). Les contrats électroniques d’au moins 120 € sont conservés dix ans dans les conditions des articles L213-1 et D213-1 à D213-2 du Code de la consommation ; vous pouvez nous en demander l’accès.
Pour les autres éléments contractuels et réclamations, la conservation dépend de la prescription applicable, généralement cinq ans à compter du jour où le titulaire du droit a connu ou aurait dû connaître les faits permettant de l’exercer (article 2224 du Code civil). Un litige en cours peut nécessiter une conservation jusqu’à sa clôture. Les instructions de livraison sont actuellement rattachées à la commande : elles ne font pas l’objet d’une suppression automatique immédiate.
Application. Les données enregistrées sur votre téléphone (section 1) y restent jusqu’à ce que vous les effaciez. Le jeton de notification n’est conservé avec la commande et son panier que tant que la commande n’est pas terminée : il est supprimé à la livraison, lorsque la livraison n’a pas pu avoir lieu ou à l’annulation de la commande, et dès qu’Expo indique qu’il n’est plus valable. Un jeton enregistré dans un panier qui n’aboutit pas à une commande n’est pas supprimé automatiquement ; vous pouvez en demander l’effacement à contact@thesmak.com. Expo conserve les accusés d’envoi jusqu’à 24 heures. Le numéro de commande et les autres données de la commande suivent les durées indiquées ci-dessus.
Un compte peut faire l’objet d’une demande de suppression, sous réserve des informations devant être conservées pour une obligation légale ou un litige. Les journaux techniques et erreurs sont limités à la durée nécessaire à la sécurité et au diagnostic selon les paramètres des prestataires. Les données des anciennes invitations sont effacées trente jours après expiration ou révocation.
6. Cookies, stockage dans le navigateur et application
Le cookie NEXT_LOCALE conserve la langue choisie pendant un an. La session de connexion utilise un cookie d’authentification. Le stockage local smak_cart_id et smak_region conserve le panier et la zone de livraison jusqu’à leur remplacement ou leur suppression ; ce stockage local n’a pas de date d’expiration automatique. Des cookies techniques de Revolut peuvent être utilisés pour la sécurité du paiement et la prévention de la fraude.
Ces fonctions servent au service demandé. La boutique n’active pas de traceurs publicitaires, de mesure d’audience marketing ou d’enregistrement des sessions. Si de tels traceurs sont ajoutés, votre choix préalable sera demandé lorsqu’il est requis. Vous pouvez effacer le stockage et les cookies dans votre navigateur ; cela peut réinitialiser votre panier, votre langue ou votre connexion.
L’application n’utilise ni cookie publicitaire, ni outil de mesure d’audience, ni identifiant publicitaire, ni suivi de votre activité dans d’autres applications ou sites, et ne demande pas l’autorisation de suivi prévue par Apple (« App Tracking Transparency »). Elle ne contient aucun kit de développement logiciel (SDK) publicitaire ou d’analyse d’audience. Les données enregistrées sur votre téléphone (section 1) servent uniquement à faire fonctionner l’application. La page de paiement et les pages du site ouvertes depuis l’application s’affichent dans un navigateur intégré ; les cookies éventuels sont ceux du site ou du prestataire de paiement, décrits ci-dessus.
7. Sécurité et vos droits
Les échanges avec le site et l’application utilisent HTTPS. L’accès aux commandes est réservé aux personnes qui en ont besoin. Les rapports d’erreurs sont filtrés pour limiter l’envoi de coordonnées et de contenus sensibles ; cette mesure ne remplace pas la prudence lors de la saisie de commentaires.
Dans les conditions du RGPD, vous pouvez demander accès, rectification, effacement, limitation et portabilité, vous opposer aux traitements fondés sur l’intérêt légitime et retirer un consentement sans affecter les traitements antérieurs. Vous pouvez également donner des directives sur vos données après votre décès dans les conditions de la loi française.
Écrivez à contact@thesmak.com avec suffisamment d’éléments pour identifier votre demande. Un justificatif d’identité n’est demandé qu’en cas de doute raisonnable. La réponse intervient en principe dans un mois ; une prolongation de deux mois est possible en cas de complexité ou de nombreuses demandes, avec information motivée dans le premier mois. Vous pouvez saisir la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou l’autorité compétente de votre résidence.
L’application ne permet pas de créer de compte. Pour exercer vos droits ou demander l’effacement des données liées à une commande passée dans l’application, y compris un jeton de notification, écrivez à contact@thesmak.com en indiquant le numéro de commande.