Politique de confidentialité
Dernière mise à jour : 2026-07-12
Nous accordons une grande importance à la protection de vos données personnelles. Cette politique décrit les informations collectées, leurs usages et vos droits d’accès, de rectification, d’effacement et d’opposition conformément au RGPD.
Informations paiements
CoBeautyFlow does not store your payment data. Card and payout information is entered and stored directly with our authorised payment service provider. CoBeautyFlow only receives information strictly necessary to track transactions (e.g. payment status), never card numbers.
Principes de base
- Minimisation : collecte limitée aux besoins du service.
- Transparence : politiques publiques et accessibles.
- Sécurité & gouvernance : contrôles d’accès, journalisation, gestion des incidents.
- Respect des droits : procédures d’exercice des droits, délais, canaux dédiés.
- Partage limité : aucun partage commercial des données personnelles à des tiers.
Documents
- Procédures de notification des violations de données (articles 33 et 34 du RGPD)
- Plan de conservation des données (durées, anonymisation, sauvegardes)
- Procédures internes d’exercice des droits des personnes concernées
Catégories de données traitées
Nous collectons uniquement les données nécessaires au fonctionnement du service.
- Identité : prénom, nom, langue, fuseau horaire.
- Contact : email, téléphone, adresses postales et de facturation — collectés uniquement pour les professionnels et les utilisateurs qui réservent des RDV ou souhaitent devenir ambassadeurs.
- Adresse personnelle : collectée uniquement lorsque vous réservez un RDV à domicile (nécessaire à la bonne exécution du service).
- Réservations : services, créneaux, lieux partagés, historique et statuts.
- Paiements : références de transaction et de versement, jamais les numéros de carte.
- Usage: technical logs, preferences (notifications, language), sign-in timestamps.
- Account security: short-lived verification codes, sign-in attempt history (email concerned, success or failure, date and time, IP address), limited device and connection characteristics (terminal type, display language), records of devices you choose to trust, timestamp of the last enhanced verification.
- Liste d’attente (pré‑ouverture) : e‑mail, prénom et nom le cas échéant, profil souhaité (cliente, praticienne ou propriétaire d’établissement), message optionnel, langue d’interface, source d’inscription, horodatage du consentement à la politique de confidentialité, adresse de connexion (lutte contre les abus).
Account access verification
To protect your account from unauthorised access, we may ask you—depending on context (new sign-in, unrecognised device, sensitive action)—to confirm your identity using a six-digit code sent to the email address linked to your account. This may apply after password sign-in or third-party account sign-in when the risk level requires it.
Data concerned
We process in particular: your account email address; verification codes (stored securely, never in plain text); date and time of requests and validations; the number of code entry attempts; an IP address for security purposes; limited device and browser characteristics (e.g. terminal type and display language); recent sign-in attempt history (success or failure); and, if you tick the option provided, registration of a trusted device for a limited period.
Purposes
These processing activities aim to secure access to your account, prevent fraud and abuse, allow you to perform sensitive operations (changing your password or email, payments or subscriptions), and, where applicable, notify you of a sign-in from a new device when you have enabled security alerts in your preferences.
Legal bases: <strong>contract performance</strong> (access and use of the service); <strong>legitimate interest</strong> (account security, fraud prevention and logging); <strong>consent</strong> for optional security alerts and for remembering a trusted device when you tick the corresponding option.
Retention periods
Unused codes expire after ten minutes. Trusted devices are kept for at most thirty days after the last successful verification. Sign-in attempt logs are kept for six months. Proof of enhanced verification for a sensitive action is valid for fifteen minutes in your browsing session, without separate storage beyond that.
Your rights
You have the rights provided under the GDPR (access, rectification, erasure, objection, restriction, portability where applicable). To exercise your rights or report suspicious access, contact the DPO (see “Roles & Contacts” section).
Liste d’attente avant ouverture des inscriptions
Lorsque les inscriptions sont fermées, vous pouvez vous inscrire sur une liste d’attente depuis la page « S’inscrire ». Cette démarche ne crée pas de compte CoBeautyFlow.
Données collectées
Nous collectons votre adresse e‑mail (obligatoire), éventuellement votre prénom et nom, votre langue d’interface, la date de consentement à la présente politique et une adresse IP technique à des fins de sécurité et de lutte contre les abus.
Finalités
Ces données servent à vous prévenir de l’ouverture des inscriptions, à vous communiquer les modalités pour créer un compte, et à produire des statistiques agrégées de lancement. Nous ne vendons pas ces données à des tiers.
Base légale : votre <strong>consentement</strong> (case à cocher sur le formulaire) pour les communications de lancement ; <strong>intérêt légitime</strong> pour la sécurité, la journalisation et la prévention des inscriptions frauduleuses.
Durée de conservation
Conservation jusqu’à 12 mois après le dernier e‑mail de lancement ou jusqu’à suppression de votre demande si vous l’exercez avant (droit à l’effacement — contact DPO ci‑dessous).
Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, d’opposition et de retrait du consentement. Pour exercer vos droits concernant la liste d’attente, contactez le DPO (voir section « Rôles & Contacts »).
Finalités et bases légales
- Fourniture du service : gestion des comptes, réservations et paiements.
- Sécurité : prévention de la fraude, journalisation, contrôle d’accès.
- Account protection: identity verification by code sent to your email when the sign-in context or requested action requires it; optional trusted-device recognition; alert when signing in from a new device if you have enabled security alerts.
- Conformité : obligations légales et comptables (facturation, TVA).
- Communication : emails transactionnels et support client.
- Liste d’attente : gestion des demandes avant ouverture des inscriptions et envoi d’informations sur le lancement (base légale : consentement pour la prise de contact marketing de lancement ; intérêt légitime pour la sécurité et la prévention des abus).
- Mesure d’audience (optionnelle) : uniquement si vous acceptez via la bannière cookies ; outil interne Ahoy (hébergement UE), IP masquée, sans revente ni profilage commercial.
Bases légales : exécution du contrat, intérêt légitime (sécurité/anti‑abus), obligation légale, consentement lorsque requis.
Services internes et sous‑traitants
- Prestataire de services de paiement : conservation des données de carte et des coordonnées bancaires nécessaires aux règlements.
- Prestataire d’hébergement : infrastructure et stockage sécurisé des contenus, hébergés dans l’Union européenne.
- Moteur de recherche interne : indexation des contenus de la Plateforme, sans transmission à des tiers.
- Journalisation interne : enregistrements techniques à des fins de sécurité, de diagnostic et de bon fonctionnement du service.
Durées de conservation (principes)
Nous appliquons un plan de conservation conforme au RGPD (minimisation) et au droit français : durées fixées par finalité, anonymisation/agrégation passée l’échéance et purge planifiée.
- Comptes : conservation pendant l’utilisation du service ; suppression sous 30 jours après demande validée ; inactivité : 24 mois puis suppression/anonymisation.
- Réservations : 5 ans après la dernière opération liée (prescription contractuelle et gestion des litiges).
- Facturation : 10 ans (obligation légale comptable – art. L123-22 Code de commerce).
- Journaux : sécurité 6 mois ; applicatifs 12 mois en version agrégée/anonymisée pour diagnostic.
- Verification codes: a few minutes until used or expired. Trusted devices: up to thirty days after the last successful verification, or earlier deletion (removing trackers from your device, closing the account). Sign-in attempts: six months. Enhanced verification: fifteen minutes during your active browsing session.
- Liste d’attente : jusqu’à l’ouverture des inscriptions puis 12 mois maximum après le dernier contact de lancement, sauf opposition ou demande de suppression anticipée.
Mesures de sécurité
- Contrôles d’accès, séparation des rôles, politique de mots de passe et sessions.
- Chiffrement des communications et des données stockées, selon leur sensibilité.
- Sauvegardes régulières et tests de restauration.
- Gestion des incidents et procédures de notification RGPD (art. 33/34).
Transferts hors UE
Par défaut, les traitements sont hébergés dans l’UE. En cas de transfert, nous utilisons des garanties appropriées (clauses types, hébergement régional).
Cookies & traceurs
We use essential cookies (session, security, including optional remembrance of a recognised sign-in device when you accept this on the verification screen), preference cookies (language/consent), and, with your consent, anonymised audience measurement. No advertising cookies. Details and durations: Cookies policy.
Rôles & Contacts
DPO : dpo@winchflow-technologies.com
Support : support@cobeauty-flow.com
Vos droits RGPD
- Droit d’accès
- Droit de rectification
- Droit à l’effacement
- Droit à la limitation du traitement
- Droit d’opposition
- Droit à la portabilité
Pour exercer vos droits, utilisez le formulaire « Contact RGPD » dans l’application ou écrivez à dpo@winchflow-technologies.com.