Politique de confidentialité

Le responsable du traitement des données à caractère personnel collectées via OpenSkinDiag Pro est OpenSkinDiag, entreprise individuelle (EI) représentée par M. A. LY, immatriculée sous le numéro SIREN 537 431 629, dont l'établissement principal est situé 25 rue Pille Bourse, 33310 Lormont, joignable à l'adresse [email protected] (ci-après « nous »).

La présente politique s'applique à deux catégories de personnes concernées :

• les Utilisatrices professionnelles (instituts, esthéticiennes) qui créent un compte sur la Plateforme ;
• la clientèle des Utilisatrices, dont les données (anamnèse, mesures, photos) sont saisies par l'Utilisatrice dans le cadre de l'établissement d'un diagnostic. Vis-à-vis de ces données, l'Utilisatrice agit en qualité de responsable de traitement pour la relation avec sa propre clientèle, et nous intervenons en qualité de sous-traitant au sens du RGPD pour l'hébergement et le traitement technique de ces données pour son compte.

Concernant l'Utilisatrice (compte professionnel) :

• identité et coordonnées (nom, prénom, e-mail, téléphone) ;
• informations relatives à l'institut (raison sociale, adresse, le cas échéant SIRET) ;
• données de facturation et de paiement (traitées par notre prestataire de paiement) ;
• données de connexion et d'usage de la Plateforme.

Concernant la clientèle de l'Utilisatrice, saisies via l'outil de diagnostic :

• identité et coordonnées de la personne ;
• réponses au questionnaire d'anamnèse (habitudes de vie, antécédents, traitements médicaux en cours ou passés susceptibles d'affecter la peau) ;
• photographies de la peau ;
• mesures cutanées (hydratation, sébum, et autres mesures issues d'appareils compatibles).

Ces données relatives à la clientèle incluent des informations relatives à la santé au sens de l'article 9 du RGPD (données dites « sensibles »), dans la mesure où elles portent sur des traitements médicaux ou l'état de la peau en lien avec la santé.

• Gestion du compte et fourniture du service (exécution du contrat conclu avec l'Utilisatrice — les CGV) ;
• Établissement des diagnostics cosmétiques pour le compte de l'Utilisatrice (exécution des instructions du responsable de traitement, sur la base du consentement explicite recueilli par l'Utilisatrice auprès de la personne concernée pour le traitement de données de santé, conformément à l'article 9.2.a du RGPD) ;
• Gestion des abonnements et de la facturation (exécution du contrat, obligations légales et comptables) ;
• Assistance à la rédaction du diagnostic par un outil d'aide automatisée (intérêt légitime à améliorer la qualité et la rapidité du diagnostic rendu à l'Utilisatrice — voir article 6 sur les sous-traitants) ;
• Référencement de l'institut dans l'annuaire OpenSkinDiag (exécution du contrat / intérêt légitime commercial de l'Utilisatrice, avec possibilité de retrait) ;
• Amélioration du service, sécurité et prévention de la fraude (intérêt légitime) ;
• Communications commerciales (consentement, avec possibilité de désinscription à tout moment).

Les diagnostics et recommandations produits par la Plateforme relèvent d'un usage cosmétique et non médical (voir les CGV). Néanmoins, dans la mesure où les données d'anamnèse et les photographies peuvent constituer des données de santé, nous appliquons des mesures renforcées : minimisation des données collectées au strict nécessaire au diagnostic, chiffrement des données au repos et en transit, accès restreint au personnel habilité, et journalisation des accès. L'Utilisatrice est responsable du recueil du consentement explicite de la personne concernée préalablement à toute saisie de telles données sur la Plateforme.

Les données sont accessibles à nos équipes habilitées et communiquées, dans la limite de leurs missions respectives, aux sous-traitants suivants :

• Hébergement de l'application et des bases de données : Railway Corporation (hébergement) et Supabase (base de données et authentification) ;
• Paiement : Stripe, pour le traitement des abonnements et paiements en ligne ;
• Envoi d'e-mails transactionnels : Resend, pour l'envoi des rapports de diagnostic et notifications de compte ;
• Assistant de rédaction et d'analyse : un ou plusieurs modèles d'intelligence artificielle, par exemple ceux d'OpenAI (ChatGPT), de Google (Gemini) ou d'Anthropic (Claude), ou d'autres fournisseurs (liste non exhaustive), choisis selon la tâche et la disponibilité du service. Ces prestataires sont utilisés via leurs offres API professionnelles, dans le cadre desquelles les données transmises ne sont pas utilisées pour l'entraînement de leurs modèles.
• Mesure d'audience du site : Umami, sans cookie ni donnée à caractère personnel identifiante (voir article 11).

Ces prestataires n'utilisent les données que pour l'exécution des prestations qui leur sont confiées et dans le cadre d'engagements contractuels de confidentialité et de sécurité conformes au RGPD (accords de sous-traitance / clauses contractuelles types).

Certains sous-traitants mentionnés à l'article 6 sont susceptibles de traiter ou stocker des données en dehors de l'Union européenne, notamment aux États-Unis. Dans ce cas, ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou tout autre mécanisme reconnu par le RGPD comme garantissant un niveau de protection adéquat (notamment OpenAI, Anthropic, Google, Stripe et Resend, sociétés américaines adhérant au cadre de clauses contractuelles types de la Commission européenne).

• Données de compte de l'Utilisatrice : pendant toute la durée de la relation contractuelle, puis archivées 10 ans à compter de la clôture de l'exercice comptable concerné, conformément aux obligations légales et comptables (article L123-22 du Code de commerce).
• Données de diagnostic de la clientèle (anamnèse, photos, mesures) : conservées pendant la durée nécessaire au suivi de la clientèle par l'Utilisatrice, sur instruction de cette dernière, puis supprimées ou anonymisées à l'issue de cette durée ou sur demande.
• Données de facturation : conservées pendant la durée légale applicable en matière comptable et fiscale.

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données contre tout accès non autorisé, perte, altération ou divulgation, notamment le chiffrement des échanges (HTTPS/TLS), le chiffrement des données sensibles au repos, la gestion des accès par rôles, et des sauvegardes régulières.

Conformément au RGPD et à la loi Informatique et Libertés, toute personne concernée dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de ses données, ainsi que du droit de définir des directives relatives au sort de ses données après son décès.

Ces droits s'exercent, selon la donnée concernée, directement auprès de l'institut qui a réalisé le diagnostic (pour les données de la personne) ou auprès de nous, à l'adresse [email protected], en joignant un justificatif d'identité. Vous disposez également du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) — www.cnil.fr.

Pour supprimer votre compte et l'ensemble de vos données, consultez notre page dédiée : Supprimer mon compte.

Le site utilise uniquement des cookies strictement nécessaires à son fonctionnement (authentification et session Supabase, sécurité, préférences d'affichage). Aucun cookie publicitaire ou de traçage tiers n'est déposé.

Nous mesurons la fréquentation du site à l'aide d'Umami, un outil d'analyse d'audience qui ne dépose aucun cookie et ne collecte aucune donnée à caractère personnel identifiante (pas d'adresse IP conservée, pas d'identifiant unique suivi d'une visite à l'autre). Conformément aux recommandations de la CNIL, cet outil et les cookies essentiels ci-dessus ne nécessitent pas de recueil de consentement préalable. Si des cookies non essentiels ou un outil de mesure moins respectueux de la vie privée venaient à être ajoutés, un bandeau de consentement conforme serait alors mis en place.

La Plateforme est réservée aux esthéticiennes agissant dans le cadre de leur activité ; elle n'est pas conçue pour être utilisée directement par des mineurs. La clientèle des Utilisatrices peut en revanche compter des personnes mineures, dans le cadre normal de l'activité esthétique.

Lorsque la personne faisant l'objet d'un diagnostic est mineure, il appartient à l'Utilisatrice, avant toute saisie de données sur la Plateforme (anamnèse, photographies, mesures cutanées), de recueillir le consentement exprès du ou des titulaires de l'autorité parentale à ce traitement, dans les mêmes conditions que pour toute prestation réalisée sur une personne mineure. L'Utilisatrice agit à cet égard en qualité de responsable de traitement vis-à-vis de sa clientèle (voir article 2) et demeure seule responsable du recueil et de la conservation de la preuve de ce consentement ; nous n'intervenons, en qualité de sous-traitant, que pour l'hébergement et le traitement technique des données ainsi saisies.

Le titulaire de l'autorité parentale peut à tout moment exercer, pour le compte du mineur, les droits mentionnés à l'article 10 (accès, rectification, effacement) auprès de l'institut concerné ou, pour les données hébergées par nos soins, à l'adresse [email protected].

À ce jour, aucun délégué à la protection des données n'a été formellement désigné. Toute question relative à la protection des données peut être adressée à [email protected].

La présente politique peut être mise à jour à tout moment, notamment pour se conformer à toute évolution réglementaire, jurisprudentielle ou technique. La date de dernière mise à jour figure en haut de cette page. En cas de modification substantielle, les Utilisatrices en seront informées par tout moyen approprié.

Pour toute question relative à la présente politique de confidentialité : [email protected].