Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement au sens du Règlement général sur la protection des données (RGPD) est:

Sviatoslav Karapka
Bahnstraße 36
16727 Velten
Allemagne
E-Mail: info@lushly.world
Téléphone: +49 152 0677 7974

2. Généralités sur le traitement des données

Lushly est une marketplace en ligne qui connecte les clients finaux avec des salons de beauté et de bien-être indépendants. Nous traitons les données personnelles de nos utilisateurs exclusivement dans la mesure où cela est nécessaire pour la mise à disposition d'un site web fonctionnel ainsi que de nos contenus et services.

Le traitement des données personnelles de nos utilisateurs n'a lieu régulièrement qu'avec le consentement de l'utilisateur ou pour l'exécution d'un contrat. Une exception s'applique dans les cas où l'obtention préalable d'un consentement n'est pas possible pour des raisons factuelles et où le traitement des données est autorisé par des dispositions légales.

Les bases juridiques sont l'art. 6, par. 1, let. a (consentement), let. b (exécution du contrat), let. c (obligation légale) et let. f du RGPD (intérêt légitime).

3. Quelles données nous collectons

3.1 Lors de l'inscription en tant que client

• Prénom et nom de famille
• Adresse e-mail
• Numéro de téléphone (facultatif)
• Mot de passe (enregistré chiffré avec bcrypt)
• Photo de profil (facultatif, téléchargée par l'utilisateur ou via Google/Facebook lors de la connexion OAuth)
• Préférence linguistique

3.2 Lors de l'inscription en tant que salon / professionnel

• Nom de l'entreprise, adresse, téléphone, adresse e-mail
• Description, Photos, Tarifs, Prestations, Horaires d'ouverture
• Lors de l'activation de Stripe : coordonnées bancaires et données fiscalement pertinentes — stockées exclusivement chez Stripe, pas chez nous.
• Profils des masters (Nom, photo, langues, expérience, portfolio) — définis par le gérant du salon

3.3 Lors d'une réservation

• Nom, adresse e-mail, numéro de téléphone du client
• Prestation choisie, date, heure, prix, durée
• Pour les demandes de consultation (par ex. tatouage) : Description de l'idée, dimensions/emplacement sur le corps, photos de référence le cas échéant
• Pour les paiements en ligne : aucune donnée de carte chez nous — le traitement est effectué exclusivement par Stripe (certifié PCI-DSS Niveau 1).
• Pour un abonnement Salon payant : Nom, adresse e-mail et adresse de facturation pour la comptabilité, ainsi qu'un identifiant client et d'abonnement de Stripe. Les moyens de paiement (carte, mandat SEPA) sont stockés exclusivement chez Stripe.
• Avis (1 à 5 étoiles) et commentaires après la réservation
• Messages de chat entre le client et le salon (via la fonction de messagerie interne à la plateforme)

3.4 Données collectées automatiquement (Journaux de serveur)

• Adresse IP (anonymisée après 7 jours)
• Type et version du navigateur, système d'exploitation
• Date et heure de l'accès
• URL de référence (page précédemment visitée)
• Région géographique (approximative, au niveau de la ville, basée sur l'adresse IP)
• ID de session pour les analyses internes de la plateforme (sans lien personnel)

Ces données servent à la sécurité et à l'analyse interne de la plateforme (taux de rebond, sources de trafic, performance). Une transmission à des services externes tels que Google Analytics ou Meta n'a lieu que si l'utilisateur a expressément donné son accord dans la bannière de cookies (cookies d'analyse pour Google Analytics ou cookies marketing pour le Meta-Pixel).

3.5 Données de localisation (Géolocalisation)

Avec le consentement exprès de l'utilisateur (permission du navigateur "Trouver à proximité"), la localisation approximative est utilisée pour afficher les salons aux alentours. La localisation est traitée exclusivement côté client et n'est pas stockée dans notre base de données.

4. Finalité et base juridique du traitement

5. Transmission à des tiers (sous-traitants)

Nous ne transmettons les données que dans les cas suivants et sur la base de contrats de sous-traitance (contrats de traitement des données) correspondants, conformément à l'Art. 28 du RGPD.:

• IONOS SE (Montabaur, Deutschland) — Hébergement de la plateforme. Les serveurs sont situés en Allemagne. Conforme au RGPD.
• Stripe Payments Europe, Ltd. (Dublin, Irland) — Traitement des paiements. Certifié PCI-DSS Niveau 1, conforme au RGPD. Stripe Protection des données
• Salon réservataire — reçoit le nom, les coordonnées et les détails de la réservation pour l'exécution du contrat. Les salons sont des responsables de traitement indépendants au sens du RGPD.
• Google Ireland Limited (Gemini API) — Traductions automatiques des textes d'interface utilisateur et des descriptions de salon. Seuls les contenus publics (par exemple, les descriptions de salon) sont transmis, et non les données personnelles des clients finaux. Confidentialité Google
• Groq, Inc. (USA) — Insights IA pour les propriétaires de salons. Seules des statistiques agrégées et anonymisées sont transmises. Les clauses contractuelles types conformément à l'Art. 46 du RGPD garantissent la protection des données.
• Meta Platforms Ireland Limited (Meta Pixel) — uniquement après consentement explicite dans la bannière de cookies. Utilisé exclusivement pour les campagnes marketing. Confidentialité Meta
• Google Ireland Limited (Google Analytics 4) — uniquement après consentement explicite dans la bannière de cookies (cookies d'analyse). Sert à l'analyse anonymisée de la portée et de l'utilisation ; les adresses IP sont raccourcies/anonymisées. Transfert de données vers les États-Unis sur la base du cadre de protection des données UE-États-Unis et/ou des clauses contractuelles types de l'UE. Confidentialité Google
• Fournisseur SMTP (fournisseur WP Mail SMTP) — Envoi d'e-mails transactionnels (confirmations de réservation, rappels, réinitialisation de mot de passe).
• n8n (self-hosted, EU) — Workflows d'automatisation. Serveurs dans l'UE.

Aucune autre transmission à des tiers n'a lieu. En particulier, nous ne vendons pas de données.

5a. Utilisation de l'IA (Intelligence Artificielle)

Nous utilisons l'intelligence artificielle (IA) dans deux domaines :

1. Traductions : Pour la mise à disposition multilingue de nos contenus, nous utilisons le système d'IA Google Gemini (Google Ireland Limited). Les traductions de contenus non-allemands peuvent être générées automatiquement ; la version originale allemande fait toujours foi.

2. Chat d'assistance IA : Notre chat d'assistance (dans le Messenger et sur la page d'aide) est pris en charge par un assistant IA (chatbot). Au début du chat, il te sera clairement indiqué que tu communiques avec un système d'IA (Art. 50 Règlement IA). Pour une aide personnelle, tu peux nous contacter à tout moment à info@lushly.world.

Base juridique : Art. 6, par. 1, let. b RGPD (exécution du contrat) et let. f RGPD (intérêt légitime à un support efficace et à une mise à disposition multilingue).

5b. Marché des annonces (Emplois & Locaux)

Dans notre section annonces (« Emplois & Espaces »), les utilisateurs enregistrés peuvent publier leurs propres annonces (par ex. offres d'emploi, location d'espaces et de postes de travail) et répondre aux annonces des autres. Les données suivantes sont traitées :

Créer une annonce : Titre, description, catégorie, lieu, prix ainsi que les coordonnées que vous avez fournies (e-mail et/ou numéro de téléphone) et les images téléchargées facultativement. Ces informations sont – à l'exception des coordonnées – visibles publiquement. Votre e-mail de contact n'est pas directement affiché aux personnes intéressées, mais est uniquement utilisé pour transmettre les demandes.

Répondre à une annonce : Lorsque vous répondez à une annonce via le formulaire de contact, votre nom, votre adresse e-mail et votre message sont transmis par e-mail à l'annonceur afin qu'il puisse vous répondre. Les coordonnées des deux parties restent masquées sur la plateforme.

Liste de favoris : Lorsque vous ajoutez des annonces à vos favoris, nous enregistrons les identifiants d'annonce correspondants dans votre compte utilisateur afin que vous puissiez les retrouver plus tard.

Recherches enregistrées et notifications : Vous pouvez enregistrer des critères de recherche (par exemple, catégorie, lieu, mot-clé). Nous enregistrons ces critères dans votre compte et vous envoyons une notification par e-mail dès qu'une nouvelle annonce correspond à votre recherche enregistrée. Vous pouvez arrêter ces notifications à tout moment en supprimant la recherche enregistrée dans votre compte.

Statistiques de consultation : Pour afficher le nombre de consultations d'une annonce, nous stockons temporairement une valeur pseudonymisée (hachée) de votre adresse IP afin d'éviter les comptages multiples. Aucune identification de personnes individuelles n'est effectuée.

Signalements : Si vous signalez une annonce, nous traitons la raison indiquée et une note facultative afin d'examiner l'annonce.

Base légale : Art. 6, al. 1, let. b du DSGVO (exécution des fonctions que vous avez demandées) ainsi que let. f du DSGVO (intérêt légitime à un marché d'annonces fonctionnel et sans abus). Les notifications relatives aux recherches enregistrées sont basées sur la let. b et votre utilisation de cette fonction, révocable à tout moment.

Visibilité de vos informations: Le titre, la description, la catégorie, le lieu, le prix et les images d'une annonce sont publiquement visibles et peuvent être indexés par les moteurs de recherche. Votre adresse e-mail et votre numéro de téléphone ne sont PAS affichés publiquement — ils servent exclusivement à l'envoi de notifications. La prise de contact s'effectue via la messagerie interne.

Après expiration: Les annonces expirées sont retirées de l'aperçu et de la recherche, mais restent dans votre compte jusqu'à ce que vous les supprimiez. Si vous supprimez une annonce, nous en retirons le contenu et les images. Les conversations déjà menées ne sont pas affectées, afin que les deux parties conservent l'historique.

Signalements: Si vous signalez une annonce, nous enregistrons le signalement avec la date et l'heure et — si vous êtes connecté(e) — votre identifiant utilisateur. C'est nécessaire pour détecter les signalements multiples et pour assurer la traçabilité du processus. Base juridique : Article 6, paragraphe 1, lettre c du RGPD en relation avec l'article 16 du Règlement (UE) 2022/2065 ainsi que l'article 6, paragraphe 1, lettre f du RGPD. Durée de conservation : douze mois.

5c. Assistant Telegram

Les salons et les professionnel·le·s peuvent connecter volontairement leur compte à notre assistant Telegram pour recevoir et répondre directement aux demandes de réservation. La connexion est facultative et peut être révoquée à tout moment — dans le compte sous « Assistant Telegram » ou avec la commande /stop dans le chat.

Sont traitées à cette occasion : l'identifiant de chat Telegram, le nom d'affichage qui y est enregistré, la langue choisie ainsi que le contenu des notifications (rendez-vous, prestation, nom abrégé du/de la client·e, messages du chat). Les noms complets, numéros de téléphone et adresses e-mail ne sont délibérément pas transmis à Telegram.

Transmission vers un pays tiers: Le fournisseur est Telegram FZ-LLC, Dubaï, Émirats arabes unis. Il n'existe pas de décision d'adéquation de la Commission européenne pour les EAU. La transmission a lieu sur la base de votre consentement explicite conformément à l'article 49, paragraphe 1, lettre a du RGPD, que vous donnez en connectant le compte. Sans connexion, aucune transmission n'a lieu.

Historique client·e dans l'assistant: Lors de l'affichage d'une réservation, le salon peut consulter l'historique de ce/cette client·e dans son propre salon : nombre de visites, date de la dernière visite, prestations utilisées, notes personnelles du salon ainsi que les non-présentations. Il s'agit de données que le salon gère de toute façon — elles sont simplement présentées différemment.

Base juridique : Article 6, paragraphe 1, lettre a du RGPD (consentement) pour la transmission à Telegram, Article 6, paragraphe 1, lettre b du RGPD pour l'affichage de l'historique. Durée de conservation : jusqu'à la déconnexion.

5d. Protection contre les accès non autorisés

Pour protéger les comptes, nous enregistrons les tentatives de connexion échouées avec l'adresse IP, l'heure et le nom d'utilisateur utilisé. Si les tentatives échouées se multiplient depuis une zone réseau, celle-ci est temporairement bloquée — de manière progressive, d'une heure à sept jours.

Ce blocage est une mesure automatisée, mais n'a pas d'effet juridique au sens de l'Art. 22 du RGPD : seul l'accès au masque de connexion est concerné, et non un contrat existant. Les blocages expirent automatiquement et peuvent être levés immédiatement sur demande.

Base juridique : Art. 6 par. 1 point f du RGPD. Notre intérêt légitime réside dans la protection des comptes de nos utilisateurs contre toute prise de contrôle. Durée de conservation : 90 jours.

5e. Confirmation par e-mail, liste de favoris et liste d'attente

Confirmation par e-mail: Après l'inscription, nous envoyons un lien de confirmation. Un jeton à usage unique sous forme cryptée ainsi que l'heure d'envoi sont enregistrés. Sans confirmation, il n'est pas possible de publier des annonces. Base juridique : Art. 6 par. 1 points b et f du RGPD.

Notifications concernant les annonces mises en favoris: Si tu ajoutes une annonce à tes favoris, nous enregistrons son identifiant et l'heure. Cela génère deux types de messages : une notification si le prix ou le statut de l'annonce change, ainsi qu'un rappel unique après deux jours, si tu n'as pas encore contacté la personne proposant le service. Les deux peuvent être désactivés sous Compte → E-mails. Base juridique : Art. 6 par. 1 point f du RGPD.

Liste d'attente: Si un rendez-vous est déjà pris, tu peux t'inscrire sur la liste d'attente. Sont enregistrés la date souhaitée, les coordonnées et un jeton à usage unique pour le lien de confirmation. Suppression après 30 jours ou en cas d'annulation. Base juridique : Art. 6 par. 1 point b du RGPD.

5f. Vérification des images téléchargées

Chaque image téléchargée est vérifiée automatiquement : pour les métadonnées indiquant une génération par IA (C2PA, IPTC), pour les composants de programme intégrés pour la protection contre les logiciels malveillants, ainsi que pour la correspondance avec des images d'IA déjà connues.

À cette fin, nous calculons à partir de l'image une courte valeur numérique qui décrit sa structure de luminosité générale. L'image ne peut pas être reconstituée à partir de cette valeur ; elle sert uniquement à la comparaison. Aucune reconnaissance faciale ou identification de personnes n'a lieu.

Base juridique : Art. 6 par. 1 point c du RGPD (obligation de marquage selon l'Art. 50 du Règlement IA) ainsi que l'Art. 6 par. 1 point f du RGPD (sécurité de nos systèmes).

6. Cookies et technologies similaires

Nous utilisons exclusivement des cookies techniquement nécessaires (sessions de connexion, sécurité, statut de consentement aux cookies, sélection de la langue). Ces cookies sont nécessaires au fonctionnement de la plateforme et sont déposés conformément à l'article 25 alinéa 2 du TDDDG sans consentement.

Les cookies marketing (Meta Pixel) ne sont déposés qu'après consentement explicite via notre bandeau de cookies. Le consentement peut être révoqué à tout moment.

Pour l'analyse propre à la plateforme, nous stockons également des données anonymisées dans notre propre base de données (first-party).

Google Analytics 4. Avec votre consentement explicite (cookies d'analyse dans la bannière de cookies), nous utilisons Google Analytics 4 (fournisseur : Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande). Google Analytics utilise des cookies pour évaluer l'utilisation du site web — par exemple les pages vues, la durée de la visite, les appareils utilisés et l'origine géographique approximative. Les adresses IP sont traitées de manière anonyme ou raccourcie. Des données peuvent être transmises aux serveurs de Google – y compris aux États-Unis ; la transmission s'effectue sur la base du cadre de confidentialité des données UE-États-Unis et/ou des clauses contractuelles types de l'UE conformément à l'Art. 46 du RGPD. La base juridique est votre consentement conformément à l'Art. 6, paragraphe 1, lettre a du RGPD. Vous pouvez révoquer votre consentement à tout moment avec effet pour l'avenir via les paramètres des cookies. Politique de confidentialité de Google

7. Durée de conservation

• Compte client : jusqu'à sa suppression par l'utilisateur
• Données de réservation : 10 ans (obligation légale de conservation fiscale conformément au § 147 AO)
• Avis : permanents, jusqu'à ce que l'utilisateur les supprime (pseudonymisation possible)
• Sessions d'analyse : 12 mois
• Journaux du serveur : 30 jours
• Adresses IP : 7 jours, puis anonymisation
• Messages de chat : jusqu'à la suppression du compte
• Consentement au marketing par e-mail : jusqu'à révocation

8. Vos droits en tant que personne concernée

En tant que personne concernée, vous avez le droit à tout moment de:

• Droit d'accès (Art. 15 DSGVO) — quelles données nous traitons vous concernant
• Rectification (Art. 16 DSGVO) — Correction de données erronées
• Suppression (Art. 17 DSGVO) — Droit à l'oubli
• Restriction du traitement (Art. 18 DSGVO)
• Portabilité des données (Art. 20 DSGVO) — Données dans un format lisible par machine
• Opposition (Art. 21 DSGVO) — contre le traitement fondé sur un intérêt légitime
• Retrait du consentement (Art. 7 Abs. 3 DSGVO) — avec effet pour l'avenir

La suppression du compte est possible à tout moment via: Mein Konto → Paramètres
Pour toute demande concernant les droits à la protection des données, veuillez nous contacter par e-mail à: info@lushly.world

9. Droit de recours auprès d'une autorité de contrôle

Vous avez le droit, conformément à l'Art. 77 du RGPD, de déposer une plainte auprès d'une autorité de contrôle de la protection des données, notamment dans l'État membre de votre résidence habituelle, de votre lieu de travail ou du lieu de l'infraction présumée.

Notre contact est:
La Déléguée à la protection des données et au droit d'accès aux dossiers du Brandebourg
Stahnsdorfer Damm 77
14532 Kleinmachnow
Téléphone: +49 33203 356-0
https://www.lda.brandenburg.de/

10. Sécurité des données

Nous utilisons le chiffrement SSL/TLS (HTTPS) pour toutes les transmissions de données. Les mots de passe sont hachés avec bcrypt et jamais stockés en clair. Les données de paiement sont traitées exclusivement par Stripe (PCI-DSS Niveau 1). Les sauvegardes sont conservées de manière chiffrée.

11. Transfert vers un pays tiers

Dans la mesure où des données sont transférées vers des pays tiers, cela se fait sur l'une des bases suivantes. Vers les États-Unis — par exemple via Groq, le Meta-Pixel ou Google Analytics — sur la base des clauses contractuelles types de l'UE conformément à l'Art. 46 du RGPD et/ou d'une décision d'adéquation conformément à l'Art. 45 du RGPD (par ex. le Cadre de Confidentialité des Données UE-États-Unis). Vers les Émirats arabes unis — exclusivement via l'assistant Telegram optionnel, voir section 5c — sur la base de ton consentement explicite conformément à l'Art. 49 par. 1 point a du RGPD ; aucune décision d'adéquation n'existe pour les Émirats arabes unis. Sans connexion de l'assistant Telegram, ce transfert n'a pas lieu. Nous examinons attentivement les destinataires.

12. Décisions automatisées, profilage

Nous n'utilisons pas de processus de décision entièrement automatisés ayant des effets juridiques. Les aperçus hebdomadaires générés automatiquement pour les propriétaires de salons servent uniquement à des fins d'information et ne constituent pas une décision juridiquement contraignante.

13. Notifications push (PWA)

Lushly est une Progressive Web App (PWA). Les notifications push ne sont envoyées qu'après le consentement explicite de l'utilisateur (autorisation du navigateur). Le consentement peut être révoqué à tout moment dans les paramètres du navigateur.

14. Connexions sociales (Google / Facebook OAuth)

Lors de l'inscription via Google ou Facebook, les données suivantes nous sont transmises : Nom, adresse e-mail et photo de profil. D'autres données de votre profil Google/Facebook ne sont pas récupérées. Les politiques de confidentialité de Google et de Meta s'appliquent également.

15. Modifications de cette politique de confidentialité

Nous nous réservons le droit d'adapter occasionnellement cette politique de confidentialité afin de l'aligner sur les exigences légales actuelles ou d'y intégrer des modifications de nos services. La version la plus récente est toujours consultable sur cette page. En cas de modifications substantielles, les utilisateurs enregistrés seront informés par e-mail.