Politique de Confidentialité

La présente politique de confidentialité décrit la manière dont les données personnelles sont collectées et traitées dans le cadre de l'utilisation de la plateforme FIGA, qui comprend le site internet, l'application mobile destinée aux clients et l'application mobile destinée aux professionnels.

Elle est établie conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi française n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »).

Préambule – Définitions

Pour les besoins de la présente politique, les termes ci-dessous ont la signification suivante :

• FIGA : désigne la plateforme technologique globale, regroupant le site internet, les applications mobiles, la base de données et les services associés, ainsi que le nom commercial sous lequel ces services sont exploités.
• L'Éditeur : désigne FIGADERE Lucas, entrepreneur individuel exerçant sous le nom commercial FIGA, responsable du traitement au sens du RGPD.
• L'Application Client : désigne l'application mobile destinée aux clients souhaitant rechercher des établissements et prendre rendez-vous.
• L'Application Professionnelle : désigne l'application mobile destinée aux professionnels pour gérer leur établissement, leur agenda, leur équipe et leur activité.
• Le Site : désigne le site internet accessible depuis un navigateur web.
• Utilisateur : désigne toute personne utilisant FIGA, qu'il s'agisse d'un Professionnel, d'un Client ou d'un Collaborateur.
• Professionnel : désigne la personne qui utilise FIGA pour exercer et gérer son activité professionnelle.
• Client : désigne la personne qui dispose d'un compte sur l'Application Client.
• Client final : désigne toute personne dont les données sont traitées à l'occasion d'un rendez-vous auprès d'un Professionnel, qu'elle dispose ou non d'un compte (notamment la réservation en tant qu'invité, sans création de compte).
• Collaborateur : désigne un membre de l'équipe d'un Professionnel disposant d'un accès limité à l'Application Professionnelle.
• Données personnelles : désigne toute information se rapportant à une personne physique identifiée ou identifiable.

Article 1 – Responsable du traitement

Les données personnelles sont traitées par :

FIGADERE Lucas
Entrepreneur individuel
Nom commercial : FIGA
Adresse : 65 rue du Lotissement Garouyas, 30150 Sauveterre
Adresse électronique de contact : figa.solutions.fr@gmail.com

Ci-après « FIGA » ou « l'Éditeur ». Compte tenu de sa nature et de sa taille, l'Éditeur n'est pas tenu de désigner un délégué à la protection des données ; toute question relative à la protection des données peut être adressée directement à l'adresse électronique de contact mentionnée ci-dessus.

Article 2 – Champ d'application

La présente politique s'applique :

• au Site internet de FIGA ;
• à l'Application Client ;
• à l'Application Professionnelle.

L'utilisation de l'un quelconque de ces services implique la prise de connaissance de la présente politique. Elle complète les Conditions Générales d'Utilisation, la Politique de Cookies et les Mentions légales de FIGA.

Article 3 – Rôles au sens du RGPD

Selon les traitements concernés, FIGA intervient à deux titres distincts :

• En tant que responsable de traitement : pour les données liées à la création et à la gestion des comptes Utilisateurs, aux abonnements professionnels, au fonctionnement, à la sécurité et à l'amélioration de la plateforme.
• En tant que sous-traitant : pour les données des Clients finaux traitées pour le compte des Professionnels dans le cadre de la gestion de leurs rendez-vous et de leur clientèle. Dans ce cas, le Professionnel est le responsable de traitement de ces données et en détermine les finalités ; FIGA agit sur ses instructions et met à sa disposition l'outil technique permettant ce traitement. Les conditions de cette sous-traitance sont fixées par l'Accord de sous-traitance, annexé aux Conditions Générales de Vente.

Article 4 – Absence de profilage et de prospection

FIGA s'engage sur un principe fondamental : aucune donnée de compte, de rendez-vous ou de paiement n'est collectée ou utilisée à des fins de profilage commercial ou de prospection. La seule exception est la mesure des conversions publicitaires décrite à l'article 9.4, limitée aux comptes professionnels et subordonnée à votre consentement préalable.

L'ensemble des données traitées le sont exclusivement pour :

• permettre le fonctionnement des fonctionnalités de la plateforme ;
• assurer la sécurité et la stabilité du service ;
• respecter les obligations légales de l'Éditeur.

En conséquence, FIGA :

• n'utilise aucun traceur de ciblage marketing, à la seule exception de la mesure des conversions de ses campagnes publicitaires Google, Meta et TikTok sur le site vitrine, décrite à l'article 9.4 et subordonnée à votre consentement préalable ;
• ne réalise aucun profilage destiné à analyser ou prédire vos comportements à des fins commerciales ;
• n'envoie pas de communications de prospection commerciale sur la base des données collectées ;
• ne vend, ne loue et ne cède aucune donnée personnelle à des tiers à des fins commerciales ou publicitaires ; la transmission à Google, Meta et TikTok décrite à l'article 9.4, limitée à la mesure des conversions et subordonnée au consentement, ne constitue ni une vente ni une cession.

Les statistiques d'activité mises à la disposition du Professionnel (notamment la répartition par sexe ou par tranche d'âge de sa clientèle, sous forme agrégée) ne constituent pas un profilage publicitaire ou prédictif au sens du présent article : elles servent uniquement à la gestion de l'activité du Professionnel et ne sont jamais utilisées à des fins de ciblage, de prospection ou de prédiction comportementale.

Article 5 – Données traitées

Les données ci-dessous correspondent aux informations effectivement traitées par FIGA. Elles sont présentées par périmètre. Hormis l'adresse électronique et le mot de passe nécessaires à la création d'un compte, ainsi que les informations indispensables à une réservation, la communication des autres informations est facultative.

5.1 Données communes à l'ensemble de la plateforme (compte Utilisateur)

• adresse électronique ;
• mot de passe, conservé sous une forme chiffrée et non réversible par notre prestataire d'authentification ; il n'est jamais accessible en clair par l'Éditeur ;
• en cas de connexion via Google ou via Apple : l'identifiant technique du compte et l'adresse électronique communiqués par le fournisseur, ainsi que, le cas échéant, le nom transmis, utilisés uniquement pour créer ou identifier le compte ;
• type de compte (Client, Professionnel ou Collaborateur) ;
• dates de création et de mise à jour du compte ;
• jeton de session permettant de maintenir la connexion, conservé de façon chiffrée sur l'appareil ou sous forme de cookie technique sur le Site.

5.2 Données traitées dans l'Application Client

Informations de profil renseignées par le Client (facultatives) :

• prénom et nom ;
• numéro de téléphone ;
• adresse postale, ainsi que les coordonnées géographiques correspondant à cette adresse, obtenues à partir de la Base Adresse Nationale (service public de l'État français) ;
• âge ;
• sexe ;
• le nom de proches que le Client choisit de renseigner afin de pouvoir prendre rendez-vous pour ces personnes ;
• établissements enregistrés en favoris.

Données liées à l'utilisation du service :

• rendez-vous pris : établissement concerné, prestation, professionnel ou employé, date, heure, statut du rendez-vous et, le cas échéant, adresse d'intervention pour les professionnels itinérants ;
• le cas échéant, lorsqu'un acompte en ligne est exigé par le Professionnel : montant, statut et horodatage du paiement et identifiant technique de la transaction, à l'exclusion de toute donnée bancaire (voir Article 13) ;
• avis déposés : note de 1 à 5 et commentaire éventuel ;
• position géographique : lorsque le Client l'autorise, sa position approximative est utilisée localement, sur son appareil, afin d'afficher et de classer les établissements à proximité. Cette position n'est pas transmise aux serveurs de FIGA ni conservée ;
• préférences d'affichage (thème) et préférences de rappel de rendez-vous, conservées uniquement sur l'appareil du Client ;
• jeton de notification permettant l'acheminement des notifications, lorsque celles-ci sont activées.

Les fonds de carte affichés dans l'Application s'appuient sur un service technique de fourniture de cartes ; aucune donnée permettant d'identifier le Client ne lui est transmise.

Les données traitées dans le cadre de l'Essai virtuel de coiffure par intelligence artificielle (photographie, image générée, crédits) font l'objet d'un article dédié : voir l'Article 21.

5.3 Données traitées dans l'Application Professionnelle

Données relatives au Professionnel et à son établissement :

• nom de l'établissement, description et type d'activité ;
• adresse, coordonnées géographiques et, le cas échéant, rayon de visibilité pour les établissements itinérants ;
• numéro de téléphone, adresse électronique et site web de l'établissement ;
• horaires d'ouverture ;
• photographies de l'établissement et logo ;
• prestations proposées : intitulé, description, durée, prix et catégorie ;
• le cas échéant, données de gestion des produits et des stocks de l'établissement ;
• données de gestion d'activité : ventes de prestations enregistrées, mode de règlement constaté (espèces ou carte), montants et remises éventuelles, servant au suivi de l'activité du Professionnel ;
• statistiques d'activité (par exemple nombre de rendez-vous, taux d'annulation, chiffre d'affaires), calculées à partir des données ci-dessus ;
• données d'abonnement : formule souscrite et identifiants techniques liés à l'abonnement ;
• jeton de notification permettant l'acheminement des notifications, lorsque celles-ci sont activées.

Données relatives aux employés et collaborateurs, renseignées par le Professionnel :

• prénom, nom, numéro de téléphone et adresse électronique ;
• couleur d'affichage attribuée dans l'agenda ;
• planning de travail : jours, horaires et pauses ;
• le cas échéant, rattachement à un compte Collaborateur lorsque le Professionnel invite un employé à disposer d'un accès personnel.

Données relatives aux Clients finaux de l'établissement, accessibles au Professionnel pour la gestion de sa clientèle et de ses rendez-vous :

• prénom, nom, numéro de téléphone et adresse électronique ;
• historique et détails des rendez-vous ;
• lorsque le Client final dispose d'un compte sur l'Application Client et a choisi de renseigner ces informations, des statistiques agrégées (notamment répartition par tranche d'âge ou par sexe) peuvent être présentées au Professionnel à des fins de gestion d'activité. Ces statistiques ne sont affichées qu'au-delà d'un nombre minimal de Clients, de façon à éviter l'identification d'une personne en particulier.

Ces données de Clients finaux sont traitées par FIGA en qualité de sous-traitant, pour le compte du Professionnel concerné, conformément à l'Article 3.

5.4 Données traitées via le Site internet

• réservation en tant qu'invité, sans création de compte : prénom (obligatoire), nom (facultatif), adresse électronique et numéro de téléphone, ainsi que les éléments du rendez-vous (établissement, prestation, professionnel, date et heure) ;
• connexion et inscription : adresse électronique et mot de passe, ou connexion via Google ou Apple ;
• gestion de l'abonnement professionnel : informations nécessaires à la souscription et au suivi de l'abonnement (voir Article 13) ;
• données strictement nécessaires au fonctionnement du Site (voir Article 9).

5.5 Données techniques et de sécurité

Afin de protéger la plateforme contre les utilisations abusives, automatisées ou frauduleuses, FIGA traite :

• l'adresse IP, conservée uniquement sous une forme hachée (non réversible), utilisée pour la limitation du nombre de requêtes et la prévention des abus ;
• dans le cadre du dispositif de protection contre les robots : l'adresse IP hachée, le type de navigateur ou d'appareil, des signaux techniques de la session ne permettant pas, par eux-mêmes, d'identifier la personne, et la page consultée ;
• des journaux techniques (logs) d'accès et d'erreurs nécessaires au diagnostic et à la sécurité.

Ces données sont utilisées exclusivement à des fins de sécurité, de stabilité et de prévention de la fraude. Elles ne sont jamais utilisées à des fins commerciales ou de suivi.

Article 6 – Origine et exactitude des données

Les données traitées sont, selon les cas, fournies directement par l'Utilisateur, générées par l'utilisation du service, ou obtenues auprès de Google ou Apple lors d'une connexion via ces fournisseurs.

L'Utilisateur est responsable de l'exactitude des informations qu'il communique. Lorsqu'il renseigne des données concernant une autre personne (notamment un proche, un employé ou un Client final), il déclare être autorisé à le faire et s'engage à informer la personne concernée de ce traitement et de l'existence de la présente politique.

Article 7 – Finalités et bases légales

Chaque traitement repose sur une base légale prévue par le RGPD. Les traitements et leurs bases légales sont les suivants :

7.1 Exécution d'un contrat ou de mesures précontractuelles

• création, gestion et sécurisation des comptes Utilisateurs ;
• recherche d'établissements, prise, gestion, modification et annulation de rendez-vous ;
• gestion par le Professionnel de son établissement, de son agenda, de son équipe et de son activité ;
• gestion de la souscription et du suivi de l'abonnement professionnel ;
• envoi des messages liés au service (par exemple confirmation ou annulation d'un rendez-vous).

7.2 Intérêt légitime de l'Éditeur

• sécurité de la plateforme, prévention de la fraude et lutte contre les utilisations abusives ou automatisées ;
• amélioration, stabilité et bon fonctionnement du service ;
• mesure d'audience au moyen de données agrégées et anonymes (voir Article 9) ;
• modération des avis publiés (voir Article 11) ;
• mise à la disposition du Professionnel de statistiques d'activité agrégées sur sa clientèle, aux fins de gestion de son activité (voir Article 5.3). Ces statistiques ne sont établies qu'à partir des informations que les Clients ont, le cas échéant, choisi de renseigner, et sont présentées de manière à ne pas permettre la ré-identification d'une personne.

7.3 Respect d'une obligation légale

• conservation des pièces comptables et de facturation liées aux abonnements professionnels.

7.4 Consentement

• envoi de notifications push ;
• mesure d'audience et mesure des conversions publicitaires (Google, Meta, TikTok) sur le site vitrine (voir Article 9) ;
• accès aux fonctionnalités de l'appareil soumises à autorisation (localisation, calendrier, appareil photo et photothèque – voir Article 8) ;
• renseignement, strictement facultatif, des informations de profil que l'Utilisateur choisit librement de communiquer, notamment le sexe et l'âge : ces champs ne sont pas obligatoires, leur communication résulte d'une démarche volontaire de l'Utilisateur valant consentement, et ils peuvent être supprimés à tout moment depuis le compte.

Lorsque le traitement repose sur le consentement, celui-ci peut être retiré à tout moment, sans que cela ne remette en cause la licéité du traitement effectué avant ce retrait.

Les finalités et bases légales propres à l'Essai virtuel de coiffure par intelligence artificielle sont détaillées à l'Article 21.

Article 8 – Autorisations des applications mobiles

Les applications mobiles peuvent demander l'accès à certaines fonctionnalités de l'appareil. Chaque autorisation est facultative, demandée au moment de son utilisation, et peut être refusée ou révoquée à tout moment dans les réglages de l'appareil. Aucune de ces autorisations n'est utilisée à des fins de suivi.

8.1 Application Client

• Localisation (pendant l'utilisation) : afficher les établissements à proximité et estimer la distance. La position est traitée localement sur l'appareil et n'est pas transmise à FIGA.
• Calendrier : ajouter, à la demande du Client, un rappel de rendez-vous dans son calendrier. L'opération est réalisée localement sur l'appareil.
• Appareil photo : d'une part, prendre la photographie utilisée pour l'Essai virtuel de coiffure (voir l'Article 21) ; d'autre part, lors du paiement en ligne d'un acompte, numériser une carte bancaire afin d'en faciliter la saisie. Cette seconde fonctionnalité est mise en œuvre par le prestataire de paiement ; les informations correspondantes ne sont ni transmises à FIGA, ni conservées par elle.
• Photothèque : importer une photographie existante pour un Essai virtuel et, en écriture seule, y enregistrer l'image générée lorsque le Client le demande. FIGA n'accède pas au contenu de la photothèque.
• Notifications : recevoir les rappels et informations relatifs aux rendez-vous.

8.2 Application Professionnelle

• Localisation (pendant l'utilisation) : faciliter la saisie de la position de l'établissement.
• Appareil photo et photothèque : ajouter des photographies et un logo à la fiche de l'établissement.
• Notifications : recevoir les informations relatives aux rendez-vous.

Article 9 – Cookies, traceurs et stockage local

FIGA utilise uniquement des cookies et des dispositifs de stockage strictement nécessaires au fonctionnement de la plateforme. La présente section complète la Politique de Cookies.

9.1 Cookies et stockage strictement nécessaires (Site)

• cookies de session permettant l'authentification et le maintien de la connexion de l'Utilisateur ;
• cookie technique de redirection conservant brièvement la page de destination après connexion ;
• stockage local du navigateur conservant un indicateur d'affichage de l'animation d'introduction.

Conformément à la réglementation, ces dispositifs ne nécessitent pas de consentement préalable.

9.2 Stockage local des applications mobiles

• jeton de session conservé de façon chiffrée sur l'appareil afin de maintenir la connexion ;
• préférences de l'Utilisateur (par exemple thème d'affichage et préférences de rappel) conservées uniquement sur l'appareil.

9.3 Mesure d'audience

Le Site recourt à un outil de mesure d'audience qui fonctionne sans cookie et sans conservation de l'adresse IP. Les données collectées sont agrégées et anonymes : elles ne permettent ni d'identifier l'Utilisateur, ni de le suivre d'un site à l'autre. Strictement limité à la mesure d'audience pour le compte exclusif de l'Éditeur, cet outil ne requiert pas de consentement préalable, conformément aux recommandations de la Commission nationale de l'informatique et des libertés (CNIL).

9.4 Mesure des conversions publicitaires

FIGA fait la promotion de son offre professionnelle via Google Ads, Meta (Facebook, Instagram) et TikTok. Sur le seul site vitrine, et uniquement si l'Utilisateur a accepté la finalité « Mesure publicitaire » de la bannière de consentement, des outils de mesure fournis par Google, Meta et TikTok sont utilisés afin d'évaluer l'efficacité de ces campagnes. Ce consentement est conservé 6 mois et peut être retiré à tout moment via le lien « Gérer mes cookies » présent en bas de chaque page.

Google. La balise de Google ne dépose de cookies de mesure de conversion (préfixés _gcl_, 90 jours maximum) qu'après acceptation. En cas de refus, ou tant que l'Utilisateur n'a pas répondu à la bannière, elle fonctionne en mode « consentement refusé » : elle ne dépose ni ne lit aucun cookie et ne transmet à Google qu'une mesure anonyme, dépourvue de tout identifiant publicitaire. En cas d'acceptation et de souscription d'un abonnement, l'adresse e-mail du souscripteur est transmise sous forme de condensat irréversible, aux seules fins de mesure de la conversion.

Meta. Meta Platforms Ireland Limited est destinataire des données de mesure des conversions des campagnes diffusées sur Facebook et Instagram. Le pixel Meta n'est chargé qu'après acceptation ; sans cet accord, aucune donnée n'est transmise à Meta. Il n'est jamais présent sur les pages des commerces ni sur les pages de prise de rendez-vous, et il est désactivé pour les comptes clients et collaborateurs. Les finalités sont exclusivement la mesure des conversions (consultation des pages de présentation et de la page d'abonnement, création d'un compte professionnel, début de l'essai gratuit, premier paiement de l'abonnement et son montant) et l'optimisation de la diffusion des annonces de FIGA auprès de professionnels. Les données transmises sont : les identifiants publicitaires des cookies _fbp et _fbc (90 jours maximum), l'adresse IP, le type de navigateur, l'adresse de la page et, pour un compte professionnel connecté, l'adresse e-mail et l'identifiant technique du compte sous forme de condensat SHA-256 irréversible. Une partie de ces événements est transmise par les serveurs de FIGA (API Conversions de Meta), aux mêmes conditions. Pour permettre la mesure du premier paiement, qui intervient à l'issue de l'essai gratuit, FIGA conserve ces identifiants techniques, sans accès possible depuis les applications, pendant 6 mois au maximum après leur dernière mise à jour ; ils sont effacés immédiatement en cas de retrait du consentement ou de suppression du compte. Meta agit en qualité de responsable conjoint de traitement avec FIGA pour la collecte et la transmission de ces données, puis de responsable de traitement pour leur traitement ultérieur, selon sa propre politique de confidentialité. Meta Platforms, Inc. a adhéré au EU-U.S. Data Privacy Framework, qui encadre les éventuels transferts vers les États-Unis.

TikTok. TikTok Technology Limited (Irlande) est destinataire des données de mesure des conversions des campagnes diffusées sur TikTok, dans des conditions identiques à celles décrites ci-dessus pour Meta : pixel chargé uniquement après acceptation, jamais présent sur les pages des commerces ni sur les pages de prise de rendez-vous, désactivé pour les comptes clients et collaborateurs, mêmes événements, mêmes données (identifiants des cookies _ttp et de l'identifiant de clic TikTok, adresse IP, type de navigateur, adresse de la page et, pour un compte professionnel connecté, adresse e-mail et identifiant technique du compte sous forme de condensat SHA-256 irréversible), même durée de conservation chez FIGA et même effacement en cas de retrait du consentement ou de suppression du compte. Les fonctions de collecte automatique du pixel TikTok (contenu des pages, clics, lecture des formulaires) sont désactivées. TikTok agit en qualité de responsable conjoint de traitement avec FIGA pour la collecte et la transmission de ces données, puis de responsable de traitement pour leur traitement ultérieur, selon sa propre politique de confidentialité. Selon TikTok, ces données peuvent être stockées ou consultées depuis des pays situés hors de l'Espace économique européen, notamment les États-Unis, Singapour, la Malaisie et la Chine ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne.

Les applications FIGA Pro et FIGA Client n'intègrent aucun dispositif de cette nature. Aucune donnée de rendez-vous, de client des commerces, de carte bancaire ni aucune adresse e-mail ou numéro de téléphone en clair n'est transmis à Google, à Meta ou à TikTok. Le détail de ces traitements figure dans la politique de cookies.

Article 10 – Notifications push

Avec l'accord de l'Utilisateur, FIGA peut envoyer des notifications relatives au service, en particulier les informations et rappels de rendez-vous. À cette fin, un jeton de notification propre à l'appareil est enregistré. Ce jeton est supprimé lors de la déconnexion. Les notifications peuvent être désactivées à tout moment dans les réglages de l'appareil.

Article 11 – Modération des avis et traitements automatisés

Les avis déposés par les Clients font l'objet d'une modération automatisée destinée à écarter les contenus inappropriés (notamment propos injurieux ou abusifs). À cette fin, le texte de l'avis est transmis à un prestataire d'intelligence artificielle établi dans l'Union européenne.

Les photographies transmises pour un Essai virtuel font également l'objet de filtres de sécurité automatisés, destinés à écarter les contenus interdits (notamment nudité et images de mineurs). Un refus n'emporte aucune appréciation sur la personne photographiée et le crédit est restitué ; un réexamen par une personne physique peut être demandé (voir l'Article 21).

FIGA met également en œuvre un dispositif automatisé de protection contre les robots et les utilisations abusives, susceptible de restreindre temporairement l'accès d'une session présentant des signaux techniques anormaux.

Ces dispositifs reposent sur des critères techniques et de contenu, et non sur l'analyse de la personnalité ou des comportements à des fins commerciales. L'Utilisateur qui estimerait être concerné par une décision automatisée peut la contester et demander un réexamen en contactant l'Éditeur à l'adresse de contact indiquée à l'Article 1.

Article 12 – Destinataires et sous-traitants

Les données ne sont accessibles qu'aux personnes et prestataires strictement nécessaires à la fourniture du service. FIGA fait appel à des sous-traitants techniques, qui n'agissent que sur instruction et pour les seules finalités décrites dans la présente politique :

• Hébergement, base de données et authentification : prestataire assurant l'hébergement des données, la gestion de la base de données et l'authentification des comptes, au sein de l'Union européenne ;
• Paiement de l'abonnement professionnel souscrit sur le Site : prestataire de paiement sécurisé (voir Article 13) ;
• Envoi des messages liés au service : prestataire d'envoi des courriers électroniques transactionnels (par exemple confirmation ou annulation de rendez-vous) ;
• Hébergement du Site et mesure d'audience : prestataire d'hébergement et de diffusion du Site internet ;
• Acheminement des notifications : prestataire technique permettant la distribution des notifications push ;
• Fonds de carte : prestataire technique de fourniture des fonds de carte affichés dans l'Application Client (cartographie OpenStreetMap / OpenMapTiles), sans transmission de données permettant d'identifier le Client ;
• Stabilité technique et diagnostic des incidents : prestataire de remontée des erreurs et des incidents techniques (rapport d'anomalie), configuré de manière anonyme afin de ne transmettre aucune donnée permettant d'identifier l'Utilisateur (ni adresse électronique, ni adresse IP) ;
• Protection contre les abus : prestataire technique assurant la limitation du nombre de requêtes et la prévention des utilisations automatisées ou frauduleuses (voir Article 5.5) ;
• Connexion et distribution des applications : Google et Apple, pour la connexion via leurs services et la distribution des applications sur leurs magasins respectifs ;
• Modération des avis : prestataire d'intelligence artificielle établi dans l'Union européenne (voir Article 11) ;
• Essai virtuel de coiffure : Google, au moyen du service Gemini API, qui exécute le modèle d'intelligence artificielle générant l'image (voir Article 21) ;
• Achat de crédits d'essai virtuel : Apple et Google, au titre de leurs magasins d'applications, qui traitent le paiement, la facturation et les demandes de remboursement en qualité de responsables de traitement distincts, selon leurs propres politiques ;
• Abonnement professionnel souscrit sur iPhone ou iPad : Apple, au titre de l'App Store, qui traite le paiement, la facturation, le renouvellement et les demandes de remboursement en qualité de responsable de traitement distinct, selon ses propres politiques (voir Article 13.1) ;
• Recherche d'adresses : la Base Adresse Nationale, service public de l'État français, interrogée pour faciliter la saisie d'une adresse.

En dehors de ces sous-traitants, et uniquement sur le site vitrine si l'Utilisateur a accepté la finalité « Mesure publicitaire » de la bannière de consentement, Google Ireland Limited, Meta Platforms Ireland Limited et TikTok Technology Limited reçoivent les données de mesure des conversions publicitaires décrites à l'article 9.4. Pour cette seule finalité, ils agissent en qualité de responsables de traitement conjoints et non de sous-traitants.

Par ailleurs, dans le cadre de la prise de rendez-vous, les données nécessaires sont communiquées au Professionnel concerné, qui en est le responsable de traitement. Les informations publiques d'un établissement sont, quant à elles, visibles par les Clients.

Les données peuvent enfin être communiquées aux autorités administratives ou judiciaires lorsque la loi l'exige. En dehors de ces cas, aucune donnée personnelle n'est vendue, louée ou cédée à des tiers.

Article 13 – Paiements et facturation

Trois types de paiement en ligne peuvent intervenir sur la plateforme : l'abonnement professionnel, traité par le prestataire de paiement sécurisé Stripe lorsqu'il est souscrit sur le Site, ou par l'App Store lorsqu'il est souscrit dans l'Application Professionnelle sur iPhone ou iPad ; l'acompte de réservation, traité par Stripe ; et l'achat de crédits d'essai virtuel, traité par les magasins d'applications. Dans tous les cas, FIGA ne collecte ni ne conserve aucune donnée bancaire sensible (numéro de carte, cryptogramme) : ces données sont saisies directement auprès du prestataire de paiement ou du magasin.

13.1 Abonnement professionnel

L'abonnement souscrit par les Professionnels donne lieu à un paiement en ligne. FIGA conserve uniquement les informations nécessaires au suivi de l'abonnement et à l'établissement des justificatifs comptables.

Lorsque l'abonnement est souscrit sur l'App Store, le paiement, la facturation, le renouvellement et les demandes de remboursement sont traités par Apple, en qualité de responsable de traitement distinct, selon ses propres conditions. Pour rattacher l'achat au bon compte, l'Application Professionnelle transmet à Apple un identifiant technique du compte FIGA, qui ne contient ni nom ni adresse électronique. FIGA reçoit d'Apple, et vérifie auprès d'elle, les informations nécessaires au suivi de l'abonnement : identifiants techniques de la transaction et de l'abonnement, formule, dates de début et d'échéance, statut, renouvellement automatique, montant payé et, le cas échéant, remboursement. FIGA conserve également le journal des notifications envoyées par Apple au sujet de l'abonnement (voir Article 15).

13.2 Acompte versé par le Client lors d'une réservation

Lorsqu'un Professionnel a activé cette option, la validation d'une réservation peut être subordonnée au versement en ligne d'un acompte. Cet acompte est encaissé, via le prestataire de paiement, directement sur le compte du Professionnel concerné, seul bénéficiaire des sommes versées. FIGA n'encaisse, ne détient ni ne perçoit ces fonds, et ne conserve que les informations strictement nécessaires au suivi de la réservation (montant, statut et horodatage du paiement, identifiant technique de la transaction), à l'exclusion de toute donnée bancaire. Les modalités juridiques de cet acompte sont précisées dans les Conditions Générales de Vente.

13.3 Achat de crédits d'essai virtuel

Les crédits d'essai virtuel sont achetés au moyen du système d'achat intégré de l'App Store ou de Google Play. Le paiement, la facturation et les demandes de remboursement sont traités par Apple ou Google selon leurs propres conditions. FIGA reçoit uniquement la confirmation de la transaction et conserve les informations nécessaires au suivi des crédits (identifiant technique de la transaction, forfait acheté, plateforme, horodatage), à l'exclusion de toute donnée bancaire.

Lorsqu'un magasin d'applications informe FIGA d'une demande de remboursement, les crédits de l'achat concerné encore inutilisés sont mis en attente jusqu'à sa décision et, si vous y avez consenti lors de l'achat, la part déjà utilisée lui est indiquée. Le déroulement et les données transmises sont décrits à l'article 21.

Article 14 – Hébergement et transferts hors Union européenne

Les données de la plateforme sont hébergées au sein de l'Union européenne.

Certains prestataires techniques mentionnés à l'Article 12 sont des sociétés établies en dehors de l'Union européenne, notamment aux États-Unis. Lorsqu'un transfert de données en dehors de l'Union européenne intervient à ce titre, FIGA s'assure qu'il est encadré par les garanties appropriées prévues par le RGPD, telles que les clauses contractuelles types de la Commission européenne ou l'adhésion du prestataire à un cadre de protection des données reconnu.

Tel est notamment le cas des photographies et des images générées dans le cadre de l'Essai virtuel : le prestataire d'intelligence artificielle peut les traiter ou les mettre temporairement en cache dans tout pays où il dispose d'installations, y compris aux États-Unis, dans les conditions précisées à l'Article 21.

Article 15 – Durées de conservation

Les données sont conservées pour la durée strictement nécessaire aux finalités pour lesquelles elles sont traitées :

• Données de compte : pendant la durée de la relation, puis 5 ans ;
• Données de facturation et pièces comptables : 10 ans, conformément aux obligations légales ;
• Données de rendez-vous : pendant la durée de la relation, puis 3 ans, cette durée tenant compte de leur valeur de justificatif pour le Professionnel ;
• Avis : jusqu'à la suppression du compte de leur auteur ou de l'établissement concerné ;
• Jetons de notification : jusqu'à la déconnexion ou la désactivation des notifications ;
• Journaux techniques (logs) : 12 mois au maximum ;
• Journal des notifications d'abonnement envoyées par l'App Store : 13 mois ;
• Données de mesure des conversions publicitaires conservées pour un compte professionnel (identifiants _fbp/_fbc, _ttp/ttclid, adresse IP, type de navigateur) : 6 mois au maximum après leur dernière mise à jour, effacement immédiat en cas de retrait du consentement ou de suppression du compte ; choix de consentement : 6 mois ;
• Données du dispositif de protection contre les robots (adresse IP hachée et événements associés) : 30 jours au maximum ;
• Données de l'Essai virtuel (photographie, image générée, preuve des accords recueillis) : durées détaillées à l'Article 21 ;
• Données anonymisées, ne permettant plus l'identification d'une personne : sans limitation de durée.

À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

Article 16 – Sécurité des données

FIGA met en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les données contre la perte, l'accès non autorisé ou la divulgation, notamment :

• le chiffrement des échanges (protocole HTTPS/TLS) ;
• le stockage chiffré des éléments sensibles, en particulier des jetons de session sur les appareils ;
• le chiffrement non réversible des mots de passe par le prestataire d'authentification ;
• le cloisonnement des accès aux données par des règles de sécurité limitant chaque Utilisateur à ses propres données ;
• le hachage des adresses IP et la limitation du nombre de requêtes afin de prévenir les abus ;
• une surveillance technique et des dispositifs de protection contre la fraude.

Aucun système n'étant totalement infaillible, FIGA ne peut garantir une sécurité absolue. L'Utilisateur contribue à la sécurité de ses données en préservant la confidentialité de ses identifiants et en n'y donnant accès à aucun tiers.

Article 17 – Droits des personnes concernées

Conformément au RGPD, toute personne dispose, dans les conditions prévues par la réglementation, des droits suivants :

• droit d'accès à ses données ;
• droit de rectification des données inexactes ou incomplètes ;
• droit à l'effacement de ses données ;
• droit à la limitation du traitement ;
• droit d'opposition au traitement ;
• droit à la portabilité des données qu'elle a fournies ;
• droit de retirer son consentement à tout moment, pour les traitements qui en dépendent ;
• droit de définir des directives relatives au sort de ses données après son décès.

L'Utilisateur peut retirer à tout moment, dans les réglages de l'Application, l'autorisation donnée pour l'Essai virtuel. Il peut également obtenir communication de l'identité précise des destinataires auxquels ses données ont été communiquées.

Ces droits peuvent être exercés en écrivant à l'adresse électronique de contact indiquée à l'Article 1. Une réponse est apportée dans un délai d'un mois, qui peut être prolongé en cas de demande complexe. Afin d'éviter toute divulgation indue, un justificatif d'identité peut être demandé en cas de doute raisonnable sur l'identité du demandeur.

Le Client peut demander la fermeture de son compte directement depuis l'Application Client. Le Professionnel peut demander la suppression de son compte en contactant l'Éditeur.

Lorsque la demande porte sur des données de Clients finaux traitées par FIGA pour le compte d'un Professionnel, FIGA agit en qualité de sous-traitant : la demande doit être adressée au Professionnel concerné, responsable de ce traitement. FIGA apporte alors au Professionnel l'assistance nécessaire pour permettre l'exercice de ces droits.

Article 18 – Protection des mineurs

L'Application Client est destinée aux personnes âgées d'au moins 15 ans pour une utilisation autonome. Conformément à la loi française n° 2023-566 du 7 juillet 2023 visant à instaurer une majorité numérique, l'inscription d'un mineur de moins de 15 ans requiert le consentement d'un titulaire de l'autorité parentale.

L'Application Professionnelle est exclusivement réservée aux professionnels majeurs agissant dans le cadre de leur activité.

L'Essai virtuel de coiffure par intelligence artificielle est, quant à lui, réservé aux personnes âgées d'au moins 18 ans, et les photographies de mineurs y sont interdites (voir l'Article 21).

Article 19 – Réclamation auprès de la CNIL

Toute personne qui estime que ses droits ne sont pas respectés peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) :

CNIL – 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
www.cnil.fr

Il est toutefois recommandé de contacter au préalable l'Éditeur afin de rechercher une solution amiable.

Article 20 – Modification de la politique

FIGA peut modifier la présente politique afin de se conformer à l'évolution de la réglementation ou des services. La version applicable est celle publiée sur le Site à la date de consultation. En cas de modification substantielle, les Utilisateurs en sont informés par un moyen approprié.

Tout changement de prestataire d'intelligence artificielle pour l'Essai virtuel est annoncé dans la présente politique avant sa mise en œuvre.

Article 21 – Essai virtuel de coiffure par intelligence artificielle

21.1 Rôles

Dans l'Application Client, FIGA est responsable du traitement des données de l'Essai virtuel.

Dans l'Application Professionnelle, lorsqu'un Professionnel photographie l'un de ses clients, le Professionnel est responsable de ce traitement et FIGA agit en qualité de sous-traitant, conformément à l'Article 3. Le Professionnel informe la personne photographiée et recueille son accord ; les informations ci-dessous décrivent le traitement que FIGA réalise pour son compte.

21.2 Données traitées

• la photographie, prise avec l'appareil photo ou importée depuis la photothèque. Avant son envoi, elle est redimensionnée sur l'appareil et débarrassée de ses métadonnées, dont la localisation ;
• l'image générée (le « résultat ») ;
• les options choisies dans le catalogue (coupe, couleur, barbe) ;
• des données techniques de génération : identifiant, date et heure, statut, code d'erreur éventuel, durée, modèle utilisé et coût technique ;
• les crédits : solde et historique des mouvements (achat, utilisation, restitution, remboursement), magasin d'applications utilisé, identifiant de la transaction et forfait acheté, à l'exclusion de toute donnée bancaire ;
• la preuve des déclarations et accords : date, heure et version des textes acceptés (âge, autorisation de traitement de la photographie, accès immédiat aux crédits et perte du droit de rétractation, caractéristiques du résultat) ;
• les signalements : motif, date et éléments communiqués ;
• les demandes de remboursement transmises par le magasin d'applications : identifiant de la demande, transaction concernée, motif indiqué par le magasin, date, part des crédits de l'achat déjà utilisée à cette date, crédits mis en attente, information transmise en retour et décision finale ;
• des signaux d'intégrité de l'Application, permettant de vérifier qu'une demande provient bien de l'application officielle.

21.3 Ce que FIGA ne fait pas

• Pas de biométrie : FIGA n'utilise pas la photographie pour identifier ou authentifier une personne et ne crée ni ne conserve aucun gabarit biométrique. La photographie sert uniquement à produire le résultat.
• Pas de déduction d'informations sensibles : FIGA ne traite pas la photographie aux fins de déduire, de classifier ou d'exploiter l'origine, les convictions, l'état de santé, l'âge ou le sexe d'une personne, ni aucune autre catégorie particulière de données au sens de l'article 9 du RGPD. Le choix entre les catalogues proposés est fait par l'Utilisateur lui-même.
• Pas d'entraînement de modèles : FIGA n'utilise ni les photographies ni les résultats pour entraîner un modèle. Le prestataire d'intelligence artificielle ne les utilise pas pour améliorer ses produits ; il peut seulement les conserver pendant la durée indiquée au point 21.7 et les exploiter, y compris au moyen d'outils automatisés et d'un examen humain, afin de détecter les violations de ses règles d'utilisation.
• Pas de publicité ni de profilage : aucune utilisation à des fins publicitaires, de profilage ou de prospection, et aucune cession à des tiers.
• Pas de consultation par FIGA : FIGA ne consulte ni les photographies ni les résultats, sauf signalement, demande de la personne concernée ou obligation légale.

21.4 Finalités et bases légales

• Réaliser la génération, afficher le résultat et permettre son téléchargement : exécution du contrat (article 6.1.b du RGPD) et, par précaution, consentement explicite (article 9.2.a) pour le cas où la photographie laisserait apparaître des données sensibles ;
• Gérer les crédits, les achats, les restitutions et les remboursements : exécution du contrat (article 6.1.b) ;
• Adresser la confirmation d'achat et conserver la preuve des accords recueillis : obligation légale (article 6.1.c ; articles L. 221-13 et L. 221-28 du Code de la consommation) ;
• Filtres de sécurité, prévention des abus et de la fraude, vérification de l'intégrité de l'Application : intérêt légitime de FIGA à sécuriser le service et à protéger les personnes (article 6.1.f) ;
• Indiquer à Apple l'utilisation des crédits lors d'une demande de remboursement : consentement facultatif de l'Utilisateur (article 6.1.a) ;
• Recevoir les signalements, les traiter et informer leur auteur : obligation légale (article 6.1.c), au titre des articles 16 et 17 du Règlement (UE) 2022/2065 sur les services numériques ;
• Tenue de la comptabilité : obligation légale (article 6.1.c).

Pourquoi un consentement explicite ? La base légale du traitement est le contrat : vous demandez une génération, FIGA l'exécute. Une photographie n'est pas, en elle-même, une donnée sensible (considérant 51 du RGPD), et FIGA ne la traite pas pour en déduire de telles données. Elle peut toutefois en laisser apparaître (couleur de peau, signe religieux, perte de cheveux), et la jurisprudence européenne retient une lecture large de l'article 9. Par prudence, FIGA recueille donc, en plus de cette base contractuelle, votre consentement explicite, qui est la condition prévue à l'article 9.2.a pour cette hypothèse : ces deux exigences se cumulent et ne se remplacent pas. L'Essai virtuel étant facultatif, un refus ne prive d'aucune autre fonctionnalité de la plateforme. Vous pouvez retirer ce consentement à tout moment dans les réglages de l'Application : l'Essai virtuel n'est alors plus accessible, sans que cela remette en cause les traitements déjà réalisés.

21.5 Destinataires

• Prestataire d'intelligence artificielle : Google, au moyen du service Gemini API souscrit dans son offre payante, en qualité de sous-traitant au titre de l'avenant de Google relatif au traitement des données applicable aux produits pour lesquels il agit comme sous-traitant. Il reçoit la photographie et les instructions de génération, sans nom, adresse électronique ni identifiant de compte, et renvoie le résultat ; il n'utilise ni la photographie ni le résultat pour améliorer ses produits ou entraîner ses modèles ;
• Hébergement et stockage : prestataire d'hébergement, en qualité de sous-traitant, au sein de l'Union européenne ;
• Apple et Google, en tant que magasins d'applications : paiement, facturation et remboursement des achats de crédits, en qualité de responsables de traitement distincts. Lorsque vous demandez le remboursement d'un achat et si vous y avez consenti lors de celui-ci, le magasin reçoit en outre, pour instruire votre demande, la confirmation que les crédits vous ont été délivrés, la part de cet achat déjà utilisée exprimée en pourcentage et la position de FIGA sur la demande. Ni votre photographie, ni le résultat généré, ni le détail de vos essais ne lui sont transmis ;
• Prestataire d'envoi des courriers électroniques : envoi de la confirmation d'achat ;
• Autorités administratives ou judiciaires, lorsque la loi l'exige.

Les Professionnels n'ont jamais accès aux Essais virtuels réalisés dans l'Application Client.

21.6 Transferts hors de l'Union européenne

Le service d'intelligence artificielle utilisé ne propose pas de confinement des traitements à l'Union européenne. Selon les engagements contractuels de son fournisseur, les données peuvent être traitées, conservées de manière transitoire ou mises en cache dans tout pays où celui-ci ou ses agents disposent d'installations, principalement aux États-Unis. Conformément à l'article 13.1.f du RGPD, les garanties applicables à ces transferts sont les suivantes : le fournisseur est certifié au titre de la décision d'adéquation relative au cadre de protection des données UE–États-Unis, et son avenant relatif au traitement des données prévoit en outre les clauses contractuelles types de la Commission européenne. La photographie lui est transmise sans nom, adresse électronique ni identifiant de compte.

21.7 Durées de conservation

• Photographie : supprimée des serveurs de FIGA dès la réponse du modèle, et au plus tard sous 48 heures en cas d'incident technique. Sur l'appareil : la copie temporaire est supprimée à la fermeture de l'écran de résultat ;
• Image générée : 48 heures sur les serveurs de FIGA. Si l'Utilisateur la télécharge, elle reste dans sa photothèque, sous son seul contrôle ;
• Données techniques de génération : supprimées en même temps que l'image générée ;
• Historique des crédits et des achats : pendant la durée du compte, puis 5 ans ; les pièces comptables sont conservées 10 ans ;
• Preuve des déclarations et accords : pendant la durée d'utilisation de l'Essai virtuel, puis 5 ans ;
• Demandes de remboursement : avec l'historique des crédits, pendant la durée du compte, puis 5 ans ;
• Chez le prestataire d'intelligence artificielle : celui-ci journalise les requêtes qui lui sont envoyées et les réponses qu'il produit, lesquelles contiennent la photographie et l'image générée. Ces journaux sont conservés 55 jours au maximum, aux seules fins de détecter les violations de ses règles d'utilisation, et ne servent ni à améliorer ses produits ni à entraîner ses modèles ;
• Signalements : 1 an après leur traitement, sauf contentieux.

À la fermeture du compte, les photographies et images générées encore conservées sont supprimées sans attendre ces échéances.

21.8 Sécurité

• stockage des photographies et des images générées dans des espaces privés, accessibles uniquement au moyen de liens temporaires valables une heure ;
• chiffrement des échanges (HTTPS/TLS) ;
• aucune image ni lien vers une image dans les journaux techniques et les rapports d'erreur ;
• aucun identifiant de l'Utilisateur transmis au prestataire d'intelligence artificielle ;
• vérification de l'intégrité de l'Application et limitation du nombre de requêtes ;
• suppression automatique à l'échéance, contrôlée quotidiennement.

21.9 Mineurs

L'Essai virtuel est réservé aux personnes majeures et les photographies de mineurs y sont interdites. Si FIGA apprend qu'un mineur l'a utilisé ou qu'une photographie représente un mineur, les données concernées sont supprimées.

21.10 Vos droits

Les droits décrits à l'Article 17 s'appliquent. En particulier, le retrait du consentement s'effectue à tout moment dans les réglages de l'Application. Les photographies et images générées sont supprimées automatiquement selon les durées ci-dessus ; leur suppression anticipée chez FIGA peut être demandée à l'adresse de contact indiquée à l'Article 1, la copie détenue par le prestataire d'intelligence artificielle étant supprimée au terme de la durée indiquée.

Lorsque l'Essai virtuel a été réalisé par un Professionnel, la demande est à adresser en premier lieu à ce Professionnel, responsable du traitement ; FIGA lui apporte l'assistance nécessaire.

21.11 Refus automatisé d'une photographie

Le refus d'une photographie par les filtres de sécurité est automatisé. Il ne produit aucun effet juridique : le crédit est restitué et une nouvelle tentative est possible. Un réexamen par une personne physique peut être demandé à l'adresse de contact indiquée à l'Article 1.