Informations légales
Politique de confidentialité
Dernière mise à jour :
Cette page explique quelles données sont traitées quand vous visitez le site et réservez un rendez-vous, pourquoi, combien de temps elles sont conservées et comment exercer vos droits. Elle applique le Règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés.
En bref
- Seules les informations utiles à votre rendez-vous sont demandées.
- Aucune donnée bancaire ne passe par le site : l’acompte se paie sur une page SumUp.
- Aucun cookie sur le site public. Les statistiques de visite sont anonymes et vous pouvez les refuser.
- Aucune publicité, aucune prospection, aucune vente de données.
- Les données sont supprimées ou anonymisées automatiquement, selon les durées indiquées plus bas.
1. Responsable du traitement
Le responsable du traitement est (), qui exerce sous le nom commercial .
- Adresse :
- E-mail :
- Instagram : message privé à @allysonnailss
2. Données collectées
Lors d’une réservation
- Vos coordonnées : prénom et nom, numéro de téléphone, pseudo Instagram (facultatif).
- Le moyen choisi pour recevoir la confirmation de votre rendez-vous : SMS ou WhatsApp.
- Première visite : oui ou non.
- Votre message (facultatif).
- Jusqu’à six photos facultatives : vos ongles actuels et vos inspirations.
- Les détails de la prestation : technique, état des ongles, pose précédente, nombre d’ongles cassés, options et créneau choisi.
Les photos sont recompressées dans votre navigateur avant l’envoi. Cette opération supprime leurs métadonnées, comme la position GPS. Elles servent uniquement à préparer votre prestation.
Dans le message, n’indiquez que ce qui est utile à votre rendez-vous.
Avec la demande, le site enregistre aussi une empreinte non réversible de votre adresse IP (calculée avec une clé secrète) : elle sert seulement à limiter les abus, par exemple trop de demandes depuis la même connexion. Elle est effacée en même temps que vos coordonnées.
Lors du paiement de l’acompte
Le site enregistre le statut de l’acompte, la référence de la réservation, le code de transaction SumUp et le montant. Il ne reçoit aucune donnée bancaire.
Le paiement se fait sur une page hébergée par SumUp. Pour ce paiement, SumUp agit en responsable de traitement indépendant, selon sa propre politique de confidentialité.
Messages liés à votre rendez-vous
Vous recevez, par le moyen choisi, un seul message lié à votre réservation : la confirmation envoyée dès le paiement de l’acompte, avec la date, l’heure et l’adresse du rendez-vous. Si vous vous inscrivez sur la liste d’attente, vous êtes aussi prévenue quand une place se libère. Le site garde une trace de ces envois : type de message, date, statut, destinataire masqué (par exemple 061…78) et texte du message.
Liste d’attente
Si vous vous inscrivez sur la liste d’attente d’un jour complet, le site enregistre votre prénom, votre téléphone, le jour souhaité et une empreinte de votre adresse IP (contre les abus), pour vous prévenir si une place se libère. L’inscription est supprimée une fois le jour passé.
Fiche technique
Pour préparer vos prochaines poses, la prestataire peut noter vos préférences (couleurs, forme, longueur), des remarques et des photos avant/après. Vos éventuelles allergies ou sensibilités ne sont notées qu’avec votre accord explicite, car il s’agit d’informations de santé. Vous pouvez retirer cet accord à tout moment : elles sont alors effacées.
Carte cadeau et carte de fidélité
Pour une carte cadeau, la prestataire note le montant, le code de la carte, et si vous le souhaitez le prénom de la personne qui la reçoit, celui de la personne qui l’offre et un petit message. Pour une carte de fidélité, elle note votre nom, votre téléphone, le code de la carte et le nombre de tampons. Ces informations servent uniquement à faire fonctionner les cartes.
Pour la sécurité du site
Lors d’une demande de réservation, d’un paiement, d’une connexion au portail, d’un incident ou d’un abus, le site enregistre dans un journal de sécurité :
- votre adresse IP et une empreinte de celle-ci, calculée avec une clé secrète (HMAC) ;
- le type d’appareil et de navigateur (par exemple « Safari sur iPhone ») ;
- le type d’évènement et la page concernée.
Ce journal n’est consulté que par la prestataire, pour repérer les tentatives de fraude ou d’intrusion. Il est effacé au bout de 6 mois. Vos réservations, elles, ne gardent que l’empreinte de l’adresse IP.
En cas d’abus, l’accès peut être bloqué automatiquement et temporairement, pendant 24 heures.
Pendant votre visite
Des statistiques de visite anonymes sont mesurées, sans cookie. Elles sont détaillées à la section 4.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Gérer votre rendez-vous et votre acompte (réservation, validation, préparation de la prestation, échanges avec vous) | Exécution du contrat ou mesures précontractuelles prises à votre demande (art. 6.1.b RGPD) |
| Respecter les obligations comptables | Obligation légale (art. 6.1.c RGPD) |
| Assurer la sécurité du site et prévenir la fraude et les abus | Intérêt légitime (art. 6.1.f RGPD) : protéger le site et le planning des réservations |
| Vous envoyer la confirmation de votre rendez-vous, et vous prévenir si une place se libère (liste d’attente) | Exécution du contrat ou mesures précontractuelles prises à votre demande (art. 6.1.b RGPD) |
| Noter vos allergies ou sensibilités dans votre fiche technique | Votre consentement explicite (art. 9.2.a RGPD), retirable à tout moment |
| Bloquer les robots sur les formulaires (Cloudflare Turnstile) | Intérêt légitime (art. 6.1.f RGPD) : protéger le planning contre les abus |
| Mesurer l’audience du site de façon anonyme | Intérêt légitime (art. 6.1.f RGPD) : comprendre l’usage du site pour l’améliorer |
Vos données ne servent à aucune prospection ni publicité. Elles ne sont jamais vendues. Aucune décision produisant des effets juridiques à votre égard n’est prise sur le seul fondement d’un traitement automatisé. Le seul mécanisme automatique est le blocage temporaire (24 heures) en cas d’abus, décrit à la section 2.
4. Statistiques de visite
Le site utilise sa propre mesure d’audience, interne et anonyme. Elle fonctionne sans cookie et sans outil tiers.
Données collectées :
- un identifiant aléatoire, stocké dans votre navigateur (
localStorage) ; - la profondeur de défilement, les sections vues et le temps passé ;
- les éléments du site restés à l’écran (prestations, réalisations, offres) et le temps passé dessus ;
- les boutons et liens du site touchés, désignés par leur texte (jamais ce que vous écrivez dans les champs du formulaire) ;
- les étapes de la réservation atteintes ;
- l’ordre de ces actions pendant la visite (parcours), relié seulement à l’identifiant aléatoire ;
- la source de la visite (site d’origine ou paramètres utm) ;
- le type d’appareil et la largeur d’écran ;
- si le site est ouvert depuis une icône sur l’écran d’accueil, et s’il est affiché en mode sombre.
Aucune adresse IP n’est collectée pour ces statistiques. Elles ne sont jamais recoupées avec votre identité ni avec vos réservations, et ne servent qu’à améliorer le site (ce qui est consulté, où les visiteuses hésitent).
Le site respecte les signaux « Do Not Track » et « Global Privacy Control » envoyés par votre navigateur.
Base légale. Intérêt légitime. Cette mesure d’audience est exemptée de consentement au sens de l’article 82 de la loi Informatique et Libertés et des lignes directrices de la CNIL sur les cookies et autres traceurs. Vous pouvez néanmoins vous y opposer à tout moment, avec le bouton ci-dessous.
Votre choix est enregistré sur cet appareil et dans ce navigateur. Si vous effacez les données du site ou changez d’appareil, il faudra le renouveler.
5. Stockage dans votre navigateur
Le site public ne dépose aucun cookie. Il enregistre seulement quelques informations dans le stockage local de votre navigateur :
| Nom | Type | Rôle | Durée |
|---|---|---|---|
an_bookings | localStorage | Références et jeton d’accès à vos réservations | Effacé 30 jours après le rendez-vous |
an_vid | localStorage | Identifiant aléatoire de mesure d’audience | Renouvelé tous les 13 mois |
an_optout | localStorage | Votre refus des statistiques de visite | Jusqu’à ce que vous réactiviez les statistiques ou effaciez les données du site |
an_sid | sessionStorage | Visite en cours | Effacé à la fermeture de l’onglet |
an_src | sessionStorage | Origine de la visite (site d’origine ou paramètres utm) | Effacé à la fermeture de l’onglet |
an_state | sessionStorage | Mesures de la visite en cours (défilement, sections vues), pour ne pas les compter deux fois | Effacé à la fermeture de l’onglet |
Vous pouvez effacer ces informations à tout moment dans les réglages de votre navigateur. Si vous effacez an_bookings, vous ne retrouverez plus vos réservations depuis cet appareil.
Le portail d’administration, réservé à la propriétaire du site, utilise un cookie de session strictement nécessaire à sa connexion. Il ne concerne pas les clientes.
6. Destinataires et prestataires
Seule la prestataire accède à vos données de réservation, depuis son portail d’administration.
Des prestataires techniques traitent certaines données pour son compte, en tant que sous-traitants :
- Vercel Inc. (États-Unis) : hébergement du site. Il traite techniquement les requêtes envoyées au site pour afficher les pages.
- Supabase Pte. Ltd. (Singapour) : base de données, hébergée dans l’Union européenne (Dublin, Irlande).
- Brevo (Sendinblue SAS, France) et/ou Twilio Inc. (États-Unis) : envoi des SMS et messages WhatsApp liés à votre rendez-vous. WhatsApp est un service de Meta Platforms.
- Cloudflare Inc. (États-Unis) : vérification anti-robot invisible (Turnstile) sur les formulaires. Cloudflare reçoit des informations techniques sur votre navigateur, sans cookie publicitaire.
SumUp Limited (Irlande) traite le paiement de l’acompte en tant que responsable de traitement indépendant. En cas d’annulation remboursable, le remboursement passe par SumUp.
Les notifications internes envoyées à la prestataire (par exemple sur Discord ou Slack) ne contiennent aucune donnée personnelle.
Si vous écrivez par Instagram, vos messages sont aussi traités par Meta selon sa propre politique de confidentialité.
Vos données peuvent enfin être communiquées à une autorité légalement habilitée, si la loi l’exige.
7. Transferts hors de l’Union européenne
- Vercel est une société américaine. Les transferts vers les États-Unis sont encadrés par le EU-US Data Privacy Framework, auquel Vercel déclare adhérer, et/ou par les clauses contractuelles types de la Commission européenne.
- Twilio et Cloudflare sont des sociétés américaines : les transferts sont encadrés par le EU-US Data Privacy Framework et/ou les clauses contractuelles types. Brevo héberge ses données dans l’Union européenne.
- Supabase : la base de données est hébergée dans l’Union européenne. Supabase est un groupe international, avec des sociétés à Singapour et aux États-Unis. Un accès depuis l’extérieur de l’Union (support, maintenance) reste possible. Il est encadré par les clauses contractuelles types de la Commission européenne.
Vous pouvez obtenir des informations sur ces garanties en écrivant à .
8. Durées de conservation
Ces durées sont appliquées automatiquement, chaque nuit.
| Données | Durée |
|---|---|
| Photos envoyées lors de la réservation | Supprimées 30 jours après la date du rendez-vous |
| Demandes jamais payées | Anonymisées 30 jours après la date prévue |
| Données des clientes | Anonymisées 3 ans après le rendez-vous |
| Traces comptables (référence, montant, date, sans identité) | Supprimées 10 ans après le rendez-vous |
| Statistiques de visite | 13 mois |
| Journal de sécurité | 6 mois |
| Journal des messages envoyés | 6 mois |
| Liste d’attente | Supprimée le lendemain du jour demandé |
| Fiche technique (préférences, allergies, photos avant/après) | 3 ans après sa dernière mise à jour |
| Carte de fidélité | 3 ans après le dernier tampon |
| Carte cadeau (prénoms et message) | Effacés 1 an après la fin de validité ; le montant et le code restent pour la comptabilité |
| Compteurs anti-abus | 24 heures |
9. Sécurité
Des mesures adaptées protègent vos données :
- échanges chiffrés (HTTPS) ;
- accès aux données réservé à la prestataire, par un portail protégé ;
- adresse IP enregistrée seulement dans le journal de sécurité, effacé au bout de 6 mois ;
- métadonnées des photos supprimées avant l’envoi ;
- suppression et anonymisation automatiques selon les durées ci-dessus.
L’accès à vos réservations depuis votre appareil repose sur un jeton personnel. Ne le partagez pas.
10. Vos droits
Vous disposez des droits suivants sur vos données :
- droit d’accès ;
- droit de rectification ;
- droit à l’effacement ;
- droit à la limitation du traitement ;
- droit d’opposition, notamment aux traitements fondés sur l’intérêt légitime ;
- droit à la portabilité ;
- droit de définir des directives sur le sort de vos données après votre décès.
Pour les exercer, écrivez à ou envoyez un message privé Instagram à @allysonnailss. Une réponse vous est apportée dans un délai d’un mois. Ce délai peut être prolongé de deux mois si la demande est complexe ; vous en êtes alors informée. En cas de doute raisonnable sur votre identité, un justificatif peut vous être demandé.
Certaines données ne peuvent pas être effacées tant que la loi impose de les garder, comme les traces comptables.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL) : 3 place de Fontenoy, 75007 Paris — www.cnil.fr.
11. Modifications
Cette politique peut évoluer, par exemple si le fonctionnement du site change. La date de dernière mise à jour figure en haut de la page.
Voir aussi : mentions légales et conditions générales de vente.