Politique de confidentialité
Article 1 - Responsable de traitement
La SAS Corsica Beauty (siège : 2 Quartier Neuf, 20260 Calvi ; RCS Bastia 808 042 535), représentée par sa présidente Madame Tania Guglielmacci, est responsable des traitements de données à caractère personnel mis en œuvre dans le cadre du site www.corsicabeauty.com et de la relation client (ci-après le « Responsable de traitement »).
La présente politique décrit les traitements réalisés conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »), ainsi qu’aux lignes directrices et recommandations de la CNIL en vigueur.
Contact pour toute question relative aux données personnelles : corsicabeauty@gmail.com. Compte tenu de sa taille et de la nature de ses traitements, la société n’est pas tenue de désigner un délégué à la protection des données (DPO) et n’en a pas désigné.
Article 2 - Données collectées et finalités
Le Responsable de traitement collecte les catégories de données strictement nécessaires aux finalités décrites ci-dessous. Les champs obligatoires sont signalés lors de la collecte ; à défaut, la demande correspondante ne peut être traitée. Le tableau suivant récapitule les principaux traitements :
| Finalité | Données concernées | Base légale (RGPD) | Durée de conservation |
|---|---|---|---|
| Gestion du compte client | Identité, coordonnées, identifiants de connexion | Exécution du contrat / mesures précontractuelles | Durée du compte, puis 3 ans après le dernier contact |
| Gestion des commandes et livraisons | Identité, adresses, détail des commandes, transporteur | Exécution du contrat | Durée de la relation + prescriptions applicables |
| Facturation et comptabilité | Données de facturation et de paiement (hors n° de carte complet) | Obligation légale | 10 ans (obligations comptables) |
| Programme de fidélité (Zerosix) | Identité, téléphone, date de naissance, historique d’achats, points | Consentement / exécution | Durée d’adhésion, puis 3 ans après le dernier contact |
| Prospection par SMS (programme de fidélité, via Zerosix) | Numéro de téléphone | Consentement (adhésion au programme) | 3 ans après le dernier contact ou opposition |
| Assistant conversationnel WhatsApp | Contenu des échanges, coordonnées | Consentement / intérêt légitime | Pas de suppression automatique ; suppression sur demande de la personne concernée |
| Avis clients | Identité (prénom/initiale), avis, type de peau si fourni | Consentement / intérêt légitime | 3 ans |
| Formulaires de contact / SAV | Identité, coordonnées, objet de la demande | Intérêt légitime / exécution | 3 ans après le traitement de la demande |
| Statistiques et mesure d’audience (PrestaShop) | Données de navigation, identifiants techniques | Consentement (sauf exemption CNIL) | 13 mois (cookies) / 25 mois (résultats) |
| Publicité et réseaux sociaux (Meta) | Données de navigation, identifiants publicitaires | Consentement | 13 mois (cookies) |
| Clients professionnels (B2B) | Coordonnées professionnelles, données de commande | Exécution du contrat / intérêt légitime | Durée de la relation + prescriptions |
| Lutte contre la fraude | Données de commande et de paiement, justificatifs | Intérêt légitime | Durée nécessaire, puis archivage légal |
Article 3 - Bases légales
Chaque traitement repose sur l’une des bases légales prévues à l’article 6 du RGPD : l’exécution du contrat ou de mesures précontractuelles (commandes, compte, livraison) ; le respect d’une obligation légale (comptabilité, facturation) ; le consentement de la personne (prospection, cookies non essentiels, certaines fonctionnalités) ; ou l’intérêt légitime du Responsable de traitement (sécurité, prévention de la fraude, amélioration des services, prospection de clients existants sur produits analogues), sous réserve du respect des droits et libertés des personnes.
Article 4 - Destinataires et sous-traitants
Les données sont destinées aux services habilités du Responsable de traitement et, dans la limite de leurs missions, à des prestataires agissant en qualité de sous-traitants au sens de l’article 28 du RGPD, encadrés par un contrat garantissant un niveau de protection approprié. Sont notamment concernés :
la solution de fidélité et de communication Zerosix (fidélité, SMS marketing) ;
les transporteurs (La Poste / Colissimo, Delivengo) ;
les prestataires de services de paiement : Stripe, PayPal et l’établissement bancaire de la société ; pour le paiement fractionné, PayPal (paiement en 4 fois) et l’organisme de paiement fractionné partenaire du Crédit Agricole (paiement en 3 fois) ;
l’hébergeur du Site : [À COMPLÉTER : nom de l’hébergeur] ;
la solution e-commerce PrestaShop, qui assure le fonctionnement du Site ainsi que les statistiques et la mesure d’audience internes ;
la messagerie WhatsApp et sa fonctionnalité d’assistant conversationnel, éditées par Meta Platforms Ireland Limited.
Les données ne sont ni vendues ni cédées à des tiers à des fins commerciales. Elles peuvent être communiquées aux autorités administratives ou judiciaires lorsque la loi l’impose.
Article 5 - Transferts hors Union européenne
Les données sont, en principe, traitées au sein de l’Union européenne. Lorsqu’un sous-traitant est susceptible de transférer des données en dehors de l’Espace économique européen (notamment certains outils d’analyse, de messagerie ou d’IA), le Responsable de traitement s’assure de la mise en place de garanties appropriées au sens du chapitre V du RGPD (décision d’adéquation ou clauses contractuelles types de la Commission européenne). Sont notamment concernés la messagerie WhatsApp ainsi que les outils publicitaires et de réseaux sociaux de Meta Platforms Ireland Limited, et les prestataires de paiement Stripe et PayPal, susceptibles de transférer des données vers les États-Unis. Ces transferts sont encadrés par des garanties appropriées au sens du chapitre V du RGPD (clauses contractuelles types de la Commission européenne et/ou certification au titre du cadre de protection des données UE–États-Unis, dit « Data Privacy Framework »).
Article 6 - Durées de conservation
Les données sont conservées pour la durée nécessaire aux finalités poursuivies, puis archivées ou supprimées conformément aux délais indiqués à l’article 2 et aux obligations légales (notamment 10 ans pour les pièces comptables, 3 ans pour les prospects à compter du dernier contact, 13 mois pour les cookies non essentiels).
Article 7 - Droits des personnes
Conformément aux articles 15 à 22 du RGPD, toute personne dispose des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de ses données, ainsi que du droit de retirer son consentement à tout moment et de définir des directives relatives au sort de ses données après son décès.
Ces droits s’exercent auprès du Responsable de traitement à l’adresse corsicabeauty@gmail.com ou par courrier au siège social, accompagné le cas échéant d’un justificatif d’identité. Le Responsable de traitement répond dans un délai d’un (1) mois. La personne dispose également du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr).
Article 8 - Prospection commerciale
Corsica Beauty n’adresse pas de courriels commerciaux ni de newsletters à ses clients. Les seules communications électroniques à caractère commercial sont des SMS automatiques envoyés dans le cadre du programme de fidélité, lorsque le client atteint un avantage à utiliser (offre d’anniversaire, palier de 100 points), afin de l’inviter à en bénéficier. Ces SMS sont adressés dans le respect de l’article L.34-5 du Code des postes et des communications électroniques, sur la base du consentement recueilli lors de l’adhésion au programme de fidélité ; le client peut s’y opposer à tout moment (mention STOP par SMS ou demande auprès du service client). La société contacte par ailleurs ses clients par téléphone dans le cadre de la relation client.
Article 9 - Sécurité des données
Le Responsable de traitement met en œuvre les mesures techniques et organisationnelles appropriées afin de préserver la confidentialité, l’intégrité et la disponibilité des données et de prévenir tout accès non autorisé (chiffrement des paiements, gestion des habilitations, sauvegardes). En cas de violation de données susceptible d’engendrer un risque pour les droits et libertés des personnes, les notifications prévues aux articles 33 et 34 du RGPD sont effectuées.
Article 10 - Mineurs
Le Site n’est pas destiné à être utilisé par des mineurs sans l’autorisation de leurs représentants légaux. La création d’un compte et l’inscription aux communications commerciales supposent d’être majeur ou de disposer d’une telle autorisation. En France, le consentement d’un mineur au traitement de ses données dans le cadre des services de la société de l’information est valable à partir de 15 ans.
Article 11 - Cookies et mise à jour
L’utilisation de cookies et traceurs est décrite dans la Politique de gestion des cookies, accessible sur le Site. La présente politique peut être mise à jour à tout moment ; la version applicable est celle publiée sur le Site à la date de consultation.