1. Responsable du traitement et DPO
Le responsable du traitement est la société INOVA DIGI-TECH (SAS), RCS Nancy 918 907 809, SIRET 918 907 809 00027, TVA FR26 918 907 809, siège social : Bâtiment D1, 16 Rue de la Côte, 54000 Nancy, France, éditrice de la plateforme Bellisy.
Pour toute question relative à vos données, vous pouvez contacter notre délégué à la protection des données (DPO) à l’adresse dpo@bellisy.fr ou par courrier postal à l’adresse du siège social, mention « à l’attention du DPO ».
2. Champ d’application et rôles
Bellisy est une plateforme SaaS qui fournit aux professionnels de la beauté un réceptionniste virtuel fondé sur l’intelligence artificielle, la prise de rendez-vous, la gestion de la clientèle et une place de marché (Marketplace) permettant aux clients finaux de découvrir et réserver des prestations.
- Pour les comptes professionnels (salons, praticiens) : Bellisy est responsable de traitement.
- Pour les données des clients finaux saisies par un salon dans son espace : Bellisy est sous-traitant, le salon étant responsable de traitement (un DPA encadre cette relation).
- Pour les clients finaux qui réservent via la Marketplace Bellisy : Bellisy et le salon sont responsables conjoints au sens de l’article 26 du RGPD, chacun pour les finalités qui le concernent.
3. Catégories de données traitées
Le tableau ci-dessous détaille les catégories de données, des exemples et la durée de conservation associée :
| Catégorie | Exemples | Conservation |
|---|---|---|
| Identification | Nom, prénom, e-mail, téléphone | Durée du compte + 3 ans |
| Compte & salon | Identifiants, rôle, nom du salon, adresse | Durée du compte |
| Rendez-vous | Date, prestation, historique, préférences | Durée du compte salon |
| Échanges IA | Messages avec le réceptionniste IA | Jusqu’à 24 mois |
| Photos | Photos avant/après (si activées par le salon) | Durée du compte salon |
| Données de santé (art. 9) | Allergies, contre-indications | Durée du compte salon |
| Facturation | Montants, factures, moyen de paiement (token) | 10 ans (obligation légale) |
| Données techniques | Logs, adresse IP, type d’appareil | 12 mois maximum |
| Consentement cookies | Preuve de consentement, horodatage | 6 mois |
4. Données de santé et données biométriques
Catégories particulières (art. 9 RGPD). Certaines prestations esthétiques (maquillage permanent, soins) peuvent conduire un praticien à enregistrer des allergies ou contre-indications. Si le salon active la fonction photos avant/après et que celles-ci permettent d’identifier un visage, elles peuvent constituer des données biométriques.
- Le traitement repose sur le consentement explicite recueilli par le professionnel auprès du client final.
- Ces données sont chiffrées, à accès restreint, jamais utilisées pour la publicité ni transmises à des tiers non autorisés.
- Elles ne sont jamais utilisées pour entraîner des modèles d’IA et sont exclues de tout profilage.
- Bellisy n’exige jamais de photos de visage : leur usage est une option contrôlée par le salon et le client.
5. Bases légales du traitement
- Exécution du contrat (art. 6.1.b) : création de compte, fourniture du service, gestion des rendez-vous.
- Consentement (art. 6.1.a et 9.2.a) : cookies non essentiels, données de santé, communications marketing.
- Intérêt légitime (art. 6.1.f) : sécurité, prévention de la fraude, amélioration du service.
- Obligation légale (art. 6.1.c) : facturation, comptabilité, lutte anti-blanchiment.
6. Décision automatisée et profilage
Le réceptionniste IA traite automatiquement des messages pour proposer des créneaux, répondre aux questions courantes et confirmer des rendez-vous. Ce traitement ne produit pas d’effet juridique ni de conséquence significative au sens de l’article 22 du RGPD : aucune décision purement automatisée (refus de service, tarification individualisée) n’est prise sans possibilité d’intervention humaine du salon.
7. Sous-traitants, API et destinataires
Bellisy s’appuie sur des prestataires soigneusement sélectionnés, agissant comme sous-traitants au sens de l’article 28 du RGPD. Chacun est lié par un contrat de traitement et des garanties appropriées. La liste à jour est tenue dans le DPA :
| Prestataire | Rôle | Localisation |
|---|---|---|
| OVH | Hébergement, infrastructure | Union européenne |
| Stripe | Paiements par carte | UE / USA (CCT) |
| PayPal | Paiements | UE / USA (CCT) |
| WhatsApp Business (Meta) | Messagerie du réceptionniste IA | UE / USA (CCT) |
| Instagram (Meta) | Messagerie, formulaires de contact | UE / USA (CCT) |
| Fournisseur de modèle IA | Génération des réponses IA | UE / USA (CCT) |
| Service e-mail transactionnel | Confirmations, rappels | Union européenne |
| Outil d’analyse d’audience | Statistiques (avec consentement) | Union européenne |
Bellisy ne vend jamais de données personnelles et ne les partage pas à des fins publicitaires de tiers. Les intégrations Meta (WhatsApp, Instagram) sont utilisées uniquement pour acheminer les messages entre le client final et le salon.
8. Transferts hors Union européenne
Les données sont principalement hébergées dans l’Union européenne. Lorsque certains sous-traitants (Stripe, Meta, fournisseurs d’IA) traitent des données en dehors de l’UE, les transferts sont encadrés par les clauses contractuelles types (CCT) de la Commission européenne, complétées si nécessaire par des mesures techniques supplémentaires (chiffrement, pseudonymisation).
9. Conservation, sauvegardes et journaux
- Les durées de conservation figurent dans le tableau de la section 3 et sont réexaminées régulièrement.
- Des sauvegardes chiffrées sont réalisées quotidiennement et conservées jusqu’à 30 jours pour permettre la restauration après incident.
- Les journaux de sécurité (connexions, accès, événements sensibles) sont conservés jusqu’à 12 mois à des fins de traçabilité et de détection des incidents.
- À l’expiration des durées, les données sont supprimées ou anonymisées de manière irréversible, y compris dans les sauvegardes lors de leur rotation.
10. Vos droits
- Droit d’accès : obtenir une copie de vos données.
- Droit de rectification : corriger des données inexactes.
- Droit à l’effacement (« droit à l’oubli »).
- Droit à la limitation du traitement.
- Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
- Droit d’opposition, notamment au marketing direct.
- Droit de retirer votre consentement à tout moment.
- Droit de définir des directives sur le sort de vos données après votre décès.
Pour exercer ces droits, écrivez à dpo@bellisy.fr. Nous répondons dans un délai d’un mois. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr). Si vos données ont été saisies par un salon, nous transmettons votre demande au salon responsable et vous accompagnons.
11. Procédure d’effacement
- À la clôture d’un compte, les données actives sont supprimées ou anonymisées sous 30 jours.
- Les données présentes dans les sauvegardes chiffrées sont éliminées lors du cycle de rotation (au plus tard 30 jours).
- Les données soumises à une obligation légale (factures) sont conservées de manière isolée jusqu’à l’expiration du délai légal, puis supprimées.
- Une demande d’effacement individuelle peut être adressée à tout moment à dpo@bellisy.fr.
12. Mineurs
Les comptes professionnels Bellisy sont réservés aux adultes. Lorsqu’un client final mineur prend rendez-vous, le salon est responsable de recueillir l’autorisation du titulaire de l’autorité parentale conformément au droit applicable. Bellisy ne cible pas les mineurs et ne leur propose pas de publicité.
13. Profils publics et Marketplace
Sur la Marketplace, certaines informations sont affichées publiquement : nom du salon, description, ville, photos et portfolio, prestations et tarifs indicatifs, note et avis vérifiés, ainsi que, le cas échéant, le nom et la spécialité des professionnels. Ces informations sont publiées par le salon, qui garantit disposer des consentements nécessaires, notamment pour les photos et les noms des professionnels.
Les avis sont collectés auprès de clients ayant réellement bénéficié d’une prestation (avis vérifiés) et affichés publiquement avec la date de visite. Le prénom de l’auteur peut apparaître. L’auteur d’un avis peut demander la rectification ou la suppression de ses données à dpo@bellisy.fr. Le détail figure dans la Politique des avis et la Politique des profils et de la Marketplace.
14. Cookies et traceurs
L’utilisation des cookies et traceurs est décrite en détail dans la Politique de cookies de Bellisy, conforme aux recommandations de la CNIL. Aucun cookie non essentiel n’est déposé sans votre consentement, qui peut être retiré à tout moment via le bandeau dédié.
15. Sécurité des données
Bellisy met en œuvre des mesures techniques et organisationnelles détaillées dans la Politique de sécurité : chiffrement en transit (TLS) et au repos, contrôle d’accès, authentification multifacteur, journalisation, sauvegardes et procédure de gestion des incidents avec notification à la CNIL et aux personnes concernées dans les délais légaux.
16. Modifications et contact
La présente politique peut être mise à jour pour refléter des évolutions légales ou techniques. La version en vigueur est toujours publiée sur bellisy.fr/privacy avec sa date. En cas de modification substantielle, les utilisateurs sont informés.
- Questions générales : contact@bellisy.fr
- DPO / protection des données : dpo@bellisy.fr
- Support : support@bellisy.fr