Politique de confidentialité
Dernière mise à jour : 19 juillet 2026.
Cette politique décrit comment Sensations & Pilates collecte, utilise et protège vos données personnelles, conformément au Règlement Général sur la Protection des Données (RGPD, UE 2016/679) et à la Loi Informatique et Libertés.
Responsable du traitement
Le responsable du traitement est Florence Thomann, exploitant Sensations & Pilates en qualité d’auto-entrepreneur (Belfort, France).
Contact pour toute question relative à vos données : [email protected].
Données collectées
- Données d’inscription : nom, prénom, email, téléphone, adresse postale (requise pour l’adhésion et la facturation).
- Données d’adhésion (contrat d’adhésion signé en ligne lors du premier achat) : date de naissance, adresse postale, nom du signataire, ainsi que la date, l’heure et l’adresse IP au moment de la signature — conservées comme preuve du consentement (signature électronique aux conditions générales).
- Données de réservation : créneaux choisis, historique des séances (présences/absences/annulations).
- Données de paiement : traitées intégralement par Stripe. Nous ne stockons aucun numéro de carte bancaire ; nous conservons uniquement un identifiant Stripe (
customer_id) et le montant payé. - Données techniques minimales : adresse IP au moment des requêtes (rate-limiting anti-abus, conservée 60 minutes en mémoire) et type de navigateur via les en-têtes HTTP.
Finalités & base légale
- Gestion de votre compte et de vos réservations — base légale : exécution du contrat.
- Encaissement des paiements et émission des factures — base légale : obligation contractuelle et légale (article L102 B du Livre des procédures fiscales).
- Contrat d’adhésion (acceptation en ligne des conditions générales) — base légale : exécution du contrat ; l’adresse IP et l’horodatage de la signature sont conservés au titre de l’intérêt légitime à établir la preuve du consentement.
- Communication transactionnelle (confirmations, rappels, annulations, désinscription) — base légale : intérêt légitime à informer le client de l’état de ses réservations.
- Communication occasionnelle (nouveautés, créneaux libérés) — base légale : intérêt légitime, lien de désinscription présent dans chaque email.
Durée de conservation
- Compte client actif : aussi longtemps que vous restez inscrit·e.
- Compte inactif (aucune réservation depuis 3 ans) : suppression sur demande ou anonymisation automatique.
- Factures et données comptables : 10 ans (obligation légale française).
- Contrat d’adhésion signé : conservé comme preuve du consentement et pièce comptable. En cas d’anonymisation du compte, les données personnelles du contrat (nom, date de naissance, adresse, téléphone, email, IP) sont effacées ; seule la trace comptable (numéro, statut, date) est conservée.
- Journaux d’audit administrateur : 1 an (traçabilité sécurité).
Vos droits
Conformément au RGPD, vous disposez à tout moment des droits suivants sur vos données personnelles :
- Droit d’accès et de copie
- Droit de rectification
- Droit à l’effacement (« droit à l’oubli »)
- Droit à la limitation du traitement
- Droit d’opposition (notamment aux emails non transactionnels)
- Droit à la portabilité
- Droit d’introduire une réclamation auprès de la CNIL
Pour exercer ces droits, contactez-nous à [email protected] avec une copie de votre pièce d’identité. Réponse sous 30 jours maximum.
Sous-traitants & destinataires
Vos données peuvent être traitées par les sous-traitants suivants, dans le strict cadre des finalités décrites :
| Service | Rôle | Localisation |
|---|---|---|
| Stripe Payments Europe Ltd. | Traitement des paiements (PCI-DSS niveau 1) | Irlande (UE) |
| Infrastructure d’hébergement | Base de données PostgreSQL auto-hébergée (Docker), serveur d’envoi des e-mails auto-hébergé, CI/CD Phare | France (UE) |
Aucun transfert de données personnelles hors de l’Union européenne n’est réalisé : l’ensemble des sous-traitants et infrastructures listés ci-dessus sont situés dans l’UE. Les e-mails transactionnels sont envoyés depuis un serveur de messagerie auto-hébergé, sans passer par un prestataire tiers.
Cookies
Pour le détail des cookies déposés, voir notre politique cookies. Pour résumer : uniquement des cookies strictement nécessaires (session, paiement). Aucun tracker tiers.
Sécurité
- Mots de passe stockés en bcrypt (cost 12)
- Cookies de session
HttpOnly+Secure+SameSite=Strict - HTTPS strict (HSTS), CSP, X-Frame-Options DENY
- Aucun numéro de carte bancaire stocké côté serveur (intégralement géré par Stripe)
- Sauvegardes chiffrées de la base de données, accès limité au strict nécessaire
Modifications
Cette politique peut évoluer pour refléter des changements réglementaires ou techniques. La date de dernière mise à jour est affichée en haut de cette page. Pour les changements substantiels, vous serez informé·e par email.