Application Alexandrie
Politique de confidentialité
Dernière mise à jour : 26 juin 2026
1. Qui sommes-nous ?
La présente politique de confidentialité décrit la manière dont la société ALEXANDRIE, société par actions simplifiée au capital de 1 000 €, immatriculée au RCS de Paris sous le numéro 984 147 389, dont le siège social est situé 67 rue de la Fontaine au Roi, Étage 2 Escalier A, 75011 Paris (ci-après « Alexandrie » ou « nous »), collecte et traite les données personnelles dans le cadre :
- du site internet et de l’application accessibles à l’adresse alexandrie.app (ci-après le « Service ») ;
- de ses relations commerciales et précontractuelles (demandes de contact, démonstrations, prospection).
Alexandrie est responsable du traitement des données décrites dans la présente politique.
Contact : Jordan Munoz — jordan@alexandrie.app
Alexandrie n’a pas désigné de délégué à la protection des données (DPO), cette désignation n’étant pas obligatoire au regard de la nature de ses traitements. Toute question relative aux données personnelles peut être adressée au contact ci-dessus.
2. Périmètre : ce que le Service traite — et ne traite pas
Alexandrie est un outil de gestion professionnel (back-office) à destination de librairies indépendantes. Par conception :
- aucune donnée personnelle des clients finaux des librairies (acheteurs en boutique ou en ligne) ne transite par le Service ni n’y est enregistrée — y compris dans le cadre de l’intégration avec Shopify, qui porte exclusivement sur le catalogue, les stocks et les commandes fournisseurs ;
- aucune donnée personnelle relative aux employés des librairies n’est enregistrée par le Service.
Les données relatives aux librairies clientes sont des données d’entreprise, pour l’essentiel publiques (dénomination, adresse, SIRET, numéro de TVA). Les seules données personnelles traitées par Alexandrie pour son propre compte sont celles décrites à l’article 3 ci-dessous, pour lesquelles Alexandrie agit en qualité de responsable du traitement.
Exception — gestion des dépôts-ventes. Lorsqu’une librairie accepte des livres en dépôt de la part d’un particulier, elle peut enregistrer dans le Service le nom du déposant et son adresse email, utilisée pour l’envoi périodique d’états des ventes. Pour ces données, la librairie est responsable du traitement et Alexandrie agit en qualité de sous-traitant, dans les conditions prévues par les Conditions Générales d’Abonnement et d’Utilisation (CGAU). Alexandrie n’utilise ces données pour aucune autre finalité que la fourniture du Service à la librairie. Les déposants souhaitant exercer leurs droits sur ces données sont invités à s’adresser directement à la librairie auprès de laquelle ils ont effectué leur dépôt.
3. Quelles données collectons-nous ?
3.1 Données de compte
Lors de la création d’un compte : adresse email de connexion et identifiants associés. Lorsque cet email permet d’identifier une personne physique (ex. prenom@librairie.fr), il constitue une donnée personnelle au sens du RGPD, même en contexte professionnel. Les autres informations rattachées au compte (dénomination, adresse, SIRET de la librairie) sont des données d’entreprise.
3.2 Données de facturation
Dénomination sociale, adresse de facturation, SIREN/SIRET, numéro de TVA intracommunautaire, coordonnées bancaires (IBAN en cas de prélèvement SEPA), historique de facturation. Les données de carte bancaire sont collectées et traitées directement par notre prestataire de paiement et ne transitent pas par nos serveurs. Lorsque le client est une entreprise individuelle, ces données d’entreprise se confondent avec celles de la personne physique exploitante et sont traitées comme des données personnelles.
3.3 Données de contact et de prospection
Lorsque vous nous contactez (email, formulaire, demande de démonstration) : nom, prénom, email, téléphone le cas échéant, nom de la librairie, contenu des échanges.
3.4 Données techniques et de connexion
Journaux de connexion (logs), adresse IP, horodatage, type de navigateur, pages consultées, événements applicatifs. Ces données servent à la sécurité, au diagnostic des incidents et à l’amélioration du Service.
3.5 Données de support
Contenu des demandes d’assistance et des échanges avec notre support.
Nous ne collectons aucune donnée dite « sensible » au sens de l’article 9 du RGPD.
4. Pourquoi et sur quelle base légale ?
| Finalité | Données concernées | Base légale |
|---|---|---|
| Création et gestion du compte, fourniture du Service | Données de compte, données techniques | Exécution du contrat (CGAU) |
| Facturation et gestion des paiements | Données de facturation | Exécution du contrat et obligations légales (comptables et fiscales) |
| Support et assistance | Données de compte, données de support | Exécution du contrat |
| Sécurité du Service, prévention de la fraude et des abus | Données techniques et de connexion | Intérêt légitime (sécurité de nos systèmes) |
| Amélioration du Service, statistiques d’usage | Données techniques agrégées | Intérêt légitime (développement de notre activité) |
| Réponse aux demandes de contact, prospection B2B | Données de contact et de prospection | Intérêt légitime (développement commercial auprès de professionnels) |
| Envoi d’informations sur le Service (nouveautés, évolutions) | Email professionnel | Intérêt légitime ; vous pouvez vous y opposer à tout moment via le lien de désinscription |
| Respect de nos obligations légales | Selon obligation | Obligation légale |
Nous ne prenons aucune décision automatisée produisant des effets juridiques à votre égard, et nous ne vendons ni ne louons vos données à des tiers.
5. Qui a accès à vos données ?
Vos données sont accessibles aux seules personnes habilitées d’Alexandrie, et aux prestataires techniques suivants, agissant en qualité de sous-traitants pour notre compte :
| Prestataire | Rôle | Localisation des données |
|---|---|---|
| Neon (Neon, Inc.) | Base de données | Union européenne — AWS eu-central-1 (Francfort, Allemagne) |
| Railway (Railway Corp.) | Hébergement applicatif | Union européenne — Europe Ouest (Amsterdam, Pays-Bas) |
| Amazon Web Services (AWS) | Stockage des fichiers | Union européenne — eu-west-3 (Paris, France) |
| Postmark (AC PM LLC / ActiveCampaign) | Envoi d’emails strictement transactionnels (notifications de service, états des ventes aux déposants) | États-Unis — certifié EU-U.S. Data Privacy Framework |
| Amplitude (Amplitude, Inc.) | Mesure d’audience et analyse d’usage des sites commerciaux | [États-Unis / Union européenne selon configuration du compte] — certifié EU-U.S. Data Privacy Framework |
| Qonto (Olinda SAS) | Prestataire de paiement | Union européenne (France) |
Les données des déposants visées à l’article 2 sont traitées par les seuls prestataires d’hébergement ci-dessus (Neon, Railway, AWS) et par Postmark pour l’envoi des états des ventes.
Par ailleurs, le Service s’interface avec Dilicom (données bibliographiques) et, à la demande du client, avec Shopify. Ces échanges portent exclusivement sur des données non personnelles : catalogue, stocks, commandes fournisseurs (cf. article 2).
Vos données peuvent également être communiquées aux autorités compétentes lorsque la loi l’exige.
6. Vos données quittent-elles l’Union européenne ?
Nos données applicatives (base de données, hébergement, fichiers) sont hébergées exclusivement sur des infrastructures situées dans l’Union européenne (Francfort, Amsterdam, Paris).
Certains de nos prestataires sont des sociétés de droit américain. Deux d’entre eux traitent des données depuis les États-Unis :
- Postmark (AC PM LLC, groupe ActiveCampaign), pour l’envoi d’emails transactionnels ;
- Amplitude, pour la mesure d’audience de nos sites commerciaux.
Ces deux prestataires sont certifiés au EU-U.S. Data Privacy Framework (DPF), mécanisme reconnu par la décision d’adéquation de la Commission européenne du 10 juillet 2023, qui permet le transfert de données personnelles vers les États-Unis sans garanties supplémentaires. À titre subsidiaire, leurs contrats de traitement (DPA) intègrent les clauses contractuelles types (CCT) adoptées par la Commission européenne.
S’agissant des autres prestataires américains (Neon, Railway, AWS), les données sont hébergées en Union européenne ; un accès depuis les États-Unis ne peut toutefois être totalement exclu (notamment par la société mère), et ces situations sont encadrées par les clauses contractuelles types intégrées à leurs contrats de traitement.
7. Combien de temps conservons-nous vos données ?
| Données | Durée de conservation |
|---|---|
| Données de compte | Durée de l’abonnement, puis suppression ou anonymisation dans un délai de [60] jours après la résiliation (hors obligations légales) |
| Données de facturation | 10 ans (obligation comptable, art. L.123-22 du Code de commerce) |
| Données de prospection et de contact | 3 ans à compter du dernier contact émanant du prospect |
| Journaux de connexion (logs) | [6 à 12] mois |
| Données des déposants (dépôt-vente) | Définie par la librairie responsable du traitement ; supprimées au plus tard à la clôture du compte de la librairie, dans les conditions ci-dessus |
| Demandes d’exercice de droits | 5 ans |
À l’issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible.
8. Comment vos données sont-elles sécurisées ?
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées au regard des risques : chiffrement des communications (TLS), chiffrement des données au repos chez nos hébergeurs, contrôle des accès, cloisonnement des environnements, sauvegardes régulières, journalisation.
En cas de violation de données susceptible d’engendrer un risque pour vos droits et libertés, nous notifierons la CNIL dans les conditions prévues aux articles 33 et 34 du RGPD et, le cas échéant, les personnes concernées.
9. Quels sont vos droits ?
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :
- droit d’accès, de rectification et d’effacement ;
- droit à la limitation du traitement ;
- droit d’opposition, notamment à la prospection ;
- droit à la portabilité de vos données ;
- droit de définir des directives relatives au sort de vos données après votre décès.
Vous pouvez exercer ces droits à tout moment en écrivant à jordan@alexandrie.app. Une réponse vous sera apportée dans un délai d’un mois, prorogeable de deux mois en cas de demande complexe. Un justificatif d’identité pourra vous être demandé en cas de doute raisonnable sur votre identité.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (Commission Nationale de l’Informatique et des Libertés) — www.cnil.fr — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
10. Cookies et traceurs
Sur l’application (Service) : seuls des cookies strictement nécessaires au fonctionnement sont utilisés (authentification, session, sécurité). Ils sont exemptés de consentement.
Sur nos sites commerciaux (alexandrie.app, shop.alexandrie.app, blog.alexandrie.app) : outre les cookies strictement nécessaires, nous utilisons Amplitude, un outil de mesure d’audience et d’analyse de la navigation. Ces traceurs ne sont déposés qu’avec votre consentement, recueilli via le bandeau affiché lors de votre première visite. Vous pouvez retirer votre consentement à tout moment [via le lien « Gérer les cookies » en pied de page / PRÉCISER le mécanisme de retrait].
Les cookies soumis à consentement ont une durée de vie maximale de 13 mois ; les informations collectées par leur intermédiaire sont conservées 25 mois au plus.
11. Modification de la présente politique
Nous pouvons modifier la présente politique à tout moment, notamment pour tenir compte des évolutions du Service ou de la réglementation. La version en vigueur est celle publiée sur alexandrie.app. En cas de modification substantielle, les utilisateurs disposant d’un compte en seront informés par email ou via le Service.