Politique de Confidentialité
1. Responsable du traitement
Laia Institut
Adresse : 5 allée jean de la fontaine, 92000 nanterre
E-mail : contact@laiaconnect.fr
Téléphone : 06 31 10 75 31
Le site, la réservation et l’espace personnel sont fournis par LAIA Connect (laiaconnect.fr), qui agit comme sous-traitant de l’établissement (article 28 du RGPD) : vos données sont traitées uniquement sur ses instructions.
2. Données collectées
- Identité et coordonnées : nom, prénom, e-mail, téléphone
- Rendez-vous, prestations, achats, fidélité, cartes cadeaux
- Paiements : montant et statut (les données de carte sont saisies chez le prestataire de paiement, jamais par l’établissement)
- Facultatif : réponses aux questions avant la prestation, informations de santé (seulement avec votre accord explicite), avis, date d’anniversaire si vous la communiquez
3. Finalités, bases légales et durées de conservation
Prendre et gérer vos rendez-vous, vos commandes et votre compte (confirmations, rappels, modifications)
Base légale : Exécution du contrat ou mesures précontractuelles (art. 6.1.b)
Durée : Pendant la relation, puis 3 ans après votre dernier rendez-vous
Encaisser les paiements, acomptes et empreintes bancaires ; facturer
Base légale : Exécution du contrat (art. 6.1.b) et obligation légale comptable (art. 6.1.c)
Durée : 10 ans pour les factures et pièces comptables (code de commerce, art. L123-22)
Informations de santé utiles à la prestation (allergies, contre-indications, photos de suivi)
Base légale : Votre consentement explicite (art. 9.2.a), retirable à tout moment depuis votre espace
Durée : Jusqu’au retrait de votre accord, sinon comme votre compte
Vous envoyer des offres, la newsletter, des messages d’anniversaire ou de relance
Base légale : Votre consentement (art. 6.1.a et L34-5 du CPCE), ou l’intérêt légitime pour une personne déjà venue et des prestations analogues ; désinscription en un clic dans chaque message
Durée : 3 ans après votre dernier contact ; un refus est conservé pour être respecté
Publier les avis que vous déposez
Base légale : Votre consentement, au moment du dépôt (art. 6.1.a)
Durée : Jusqu’à votre demande de retrait
Sécurité du site et journaux techniques
Base légale : Intérêt légitime de l’établissement (art. 6.1.f)
Durée : 1 an
Un compte dont vous demandez la suppression est effacé après 30 jours, délai pendant lequel vous pouvez annuler. Les factures déjà émises restent conservées 10 ans (obligation légale).
4. Destinataires et sous-traitants
Vos données sont destinées à l’établissement et à son équipe. Elles ne sont jamais vendues. Elles sont transmises, pour ce qui les concerne, aux sous-traitants ci-dessous (certains seulement si l’établissement a activé le service), et aux autorités lorsque la loi l’exige.
Supabase — Supabase Inc.
Rôle : Base de données (PostgreSQL)
Données : Toutes les données du service : comptes, clients, rendez-vous, factures
Pays : Union européenne — région exacte à confirmer (les anciennes pages citaient Irlande, Paris et Francfort)
Garanties : Clauses contractuelles types du DPA Supabase (société américaine) — à confirmer
Vercel — Vercel Inc.
Rôle : Hébergement de l'application, fonctions serveur, stockage de fichiers et sauvegardes (Vercel Blob)
Données : Toutes les données qui transitent par l'application ; journaux techniques (adresses IP)
Pays : États-Unis (société et région des fonctions par défaut, à confirmer dans les réglages du projet) ; sauvegardes à Paris (cdg1)
Garanties : Data Privacy Framework ou clauses contractuelles types — à confirmer
Stripe — Stripe Payments Europe Ltd / Stripe Inc.
Rôle : Paiement des abonnements LAIA Connect, acomptes et paiements en ligne (Stripe Connect)
Données : Nom, e-mail, montant ; les données de carte sont saisies chez Stripe, jamais chez LAIA Connect
Pays : Irlande et États-Unis
Garanties : Data Privacy Framework et clauses contractuelles types — à confirmer
Brevo — Sendinblue SAS (Brevo)
Rôle : Envoi des e-mails (transactionnels et campagnes) et des SMS
Données : E-mail, téléphone, nom, contenu des messages
Pays : France (Union européenne)
Garanties : Pas de transfert hors UE annoncé — à confirmer
Twilio — Twilio Inc.
Rôle : SMS et WhatsApp (envoi de secours)
Données : Téléphone, contenu des messages
Pays : États-Unis
Garanties : Data Privacy Framework ou clauses contractuelles types — à confirmer
Meta (WhatsApp Business, Instagram, Facebook) — Meta Platforms Ireland Ltd(si l'établissement l'active)
Rôle : Messages WhatsApp, publication sur Instagram et Facebook
Données : Téléphone, contenu des messages, contenus publiés, jetons d'accès
Pays : Irlande et États-Unis
Garanties : Data Privacy Framework ou clauses contractuelles types — à confirmer
Cloudinary — Cloudinary Ltd
Rôle : Stockage et redimensionnement des images (site, galerie, photos)
Données : Images téléversées, dont d'éventuelles photos de clients
Pays : à confirmer
Garanties : à confirmer
OpenAI — OpenAI(si l'établissement l'active)
Rôle : Génération de textes et d'images (publications, analyse de vidéos)
Données : Textes et images fournis par l'établissement pour la génération
Pays : États-Unis
Garanties : à confirmer
Runway — Runway AI Inc.(si l'établissement l'active)
Rôle : Génération de vidéos
Données : Textes et images fournis par l'établissement pour la génération
Pays : États-Unis
Garanties : à confirmer
Sentry — Functional Software Inc.
Rôle : Suivi des erreurs techniques
Données : Données techniques des erreurs, adresse IP, identifiant de compte
Pays : États-Unis ou UE selon le projet — à confirmer
Garanties : à confirmer
Upstash — Upstash Inc.
Rôle : Limitation du nombre de tentatives (sécurité) et verrous des tâches planifiées
Données : Adresses IP, identifiants techniques
Pays : Région à confirmer
Garanties : à confirmer
Google — Google Ireland Ltd / Google LLC(si l'établissement l'active)
Rôle : Agenda Google, avis Google, connexion avec Google, mesure d'audience (Google Analytics)
Données : Rendez-vous synchronisés, e-mail et nom (connexion), données de navigation
Pays : Irlande et États-Unis
Garanties : Data Privacy Framework ou clauses contractuelles types — à confirmer
Microsoft — Microsoft Ireland Operations Ltd(si l'établissement l'active)
Rôle : Connexion avec Microsoft, agenda Outlook
Données : E-mail et nom (connexion), rendez-vous synchronisés
Pays : Irlande et États-Unis
Garanties : Data Privacy Framework ou clauses contractuelles types — à confirmer
Mollie — Mollie B.V.(si l'établissement l'active)
Rôle : Paiement en ligne, si l'établissement le choisit
Données : Nom, e-mail, montant
Pays : Pays-Bas (Union européenne)
Garanties : Pas de transfert hors UE annoncé — à confirmer
SumUp — SumUp(si l'établissement l'active)
Rôle : Paiement en ligne et terminal, si l'établissement le choisit
Données : Nom, e-mail, montant
Pays : à confirmer
Garanties : à confirmer
PayPal — PayPal (Europe) S.à r.l. et Cie, S.C.A.(si l'établissement l'active)
Rôle : Paiement en ligne, si l'établissement le choisit
Données : Nom, e-mail, montant
Pays : Luxembourg (Union européenne)
Garanties : Transferts au sein du groupe PayPal — à confirmer
Crisp — Crisp IM SAS
Rôle : Messagerie d'assistance LAIA Connect
Données : Nom, e-mail, contenu des conversations
Pays : France (Union européenne)
Garanties : Pas de transfert hors UE annoncé — à confirmer
TikTok, LinkedIn — TikTok Technology Ltd, LinkedIn Ireland(si l'établissement l'active)
Rôle : Publication des contenus choisis par l'établissement
Données : Contenus publiés, jetons d'accès
Pays : à confirmer
Garanties : à confirmer
5. Transferts hors de l’Union européenne
Certains sous-traitants sont des sociétés américaines (voir leur pays ci-dessus). Les transferts sont encadrés, selon le prestataire, par le Data Privacy Framework UE–États-Unis ou par les clauses contractuelles types de la Commission européenne. Vous pouvez en demander une copie à l’établissement.
6. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition (y compris, à tout moment et sans motif, à la prospection) et de portabilité. Vous pouvez retirer votre consentement à tout moment, et définir des directives sur le sort de vos données après votre décès.
- Supprimer votre compte : depuis votre espace personnel (« Supprimer mon compte »), ou en écrivant à l’établissement.
- Ne plus recevoir d’offres : lien de désinscription dans chaque message, ou depuis votre espace.
- Exercer un autre droit : écrivez à contact@laiaconnect.fr. Réponse sous un mois.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr/fr/plaintes).
7. Mineurs
Avant 15 ans, la création d’un compte et les accords (offres, informations de santé) demandent aussi l’accord d’un parent ou tuteur (article 45 de la loi Informatique et Libertés).
8. Cookies et traceurs
Sans votre accord, le site n’utilise que les cookies nécessaires à son fonctionnement (connexion, panier, réservation). Si l’établissement a activé une mesure d’audience ou une publicité (Google Analytics, Pixel Meta), elles ne se chargent qu’après votre accord, donné ou retiré à tout moment par le lien « Gérer les cookies » en bas de page. La messagerie Crisp et les vidéos YouTube ou Vimeo ne se chargent que lorsque vous cliquez dessus. Les polices de caractères sont servies par le site lui-même.
9. Sécurité
Les données sont hébergées chez les sous-traitants ci-dessus et transmises de façon chiffrée (HTTPS). L’accès est réservé aux personnes habilitées de l’établissement.
Voir aussi les mentions légales et les conditions générales de vente.