Politique de Confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles est Cabinet de Nico (nutrition).

2. Données collectées

Nous collectons les données suivantes :

• Nom et prénom, date de naissance, profession, situation familiale
• Adresse email, numéro de téléphone (optionnel), adresse postale
• Mode de paiement choisi (espèces, virement bancaire, ou paiement en ligne Stripe)
• Photo de profil (facultative) : uniquement si vous choisissez d'en ajouter une depuis « Mon compte ». Elle est recadrée, réduite et enregistrée sans ses métadonnées (date, appareil, localisation).
• Informations d'accompagnement que vous choisissez de donner : habitudes de vie et alimentaires, aliments que vous ne voulez pas retrouver dans vos repas (sans en préciser la raison), façon de manger, objectifs personnels.
• Repères de progression, si vous les notez : poids, taille et tours (taille, hanches…).
• Carnet, si vous le tenez : repas, eau, activité, heures de sommeil, ressenti du jour et commentaires.
• Comptes rendus de vos rendez-vous, plans alimentaires, tâches données et historique des séances.

Aucune donnée médicale n'est demandée ni conservée : ni pathologie, ni traitement, ni antécédent, ni diagnostic, ni résultat d'analyse. Cet espace n'est pas un dossier médical : pour toute question de santé, adressez-vous à votre médecin.

Accord exprès, par précaution : le poids, le ressenti et le carnet pourraient, selon l'interprétation, toucher à la santé. Ils ne sont donc enregistrés qu'avec votre accord exprès (RGPD art. 9.2.a), recueilli et tracé (date, version du texte), que vous pouvez retirer à tout moment depuis votre espace ou en contactant votre praticien.

3. Finalités du traitement

Vos données sont utilisées pour :

• Gestion de votre compte utilisateur
• Affichage de votre photo de profil, si vous en ajoutez une : elle est visible uniquement par vous et par Cabinet de Nico, jamais par les autres clients ni publiquement
• Traitement de vos réservations
• Envoi de confirmations et rappels
• L'accompagnement que vous avez choisi (bien-être, alimentation, mouvement), sans finalité médicale
• Communication relative aux séances
• Messagerie : échanges écrits avec Cabinet de Nico dans votre espace (discussion privée et, le cas échéant, groupes dont vous êtes membre ; vos messages de groupe sont lus par les autres membres du groupe), avec les photos, vidéos ou documents que vous choisissez de joindre. La messagerie n'est pas destinée aux informations médicales sensibles : évitez d'y en communiquer.

4. Base légale

Le traitement est fondé sur :

• L'exécution du contrat (réservation) — RGPD art. 6.1.b
• Votre consentement pour la photo de profil, que vous ajoutez librement et pouvez supprimer à tout moment depuis « Mon compte » — RGPD art. 6.1.a
• L'exécution du contrat pour la messagerie (suivi de votre accompagnement) — RGPD art. 6.1.b
• Votre accord exprès, demandé par précaution, pour le poids, le ressenti et le carnet — RGPD art. 6.1.a et 9.2.a
• Nos obligations légales (comptables et fiscales)

5. Durée de conservation

• Compte client : pendant la durée de la relation contractuelle, puis 3 ans après votre dernière activité (recommandation CNIL)
• Factures et pièces comptables : 10 ans (article L123-22 du Code de commerce)
• Réservations confirmées : liées à la facture, conservées 10 ans
• Réservations annulées : 3 ans
• Informations d'accompagnement, repères de progression, carnet et comptes rendus : pendant l'accompagnement, puis 3 ans après votre dernière activité ; supprimés plus tôt si vous retirez votre accord ou supprimez votre compte
• Messages échangés : pendant la durée de la relation, puis supprimés avec votre compte (au plus tard 3 ans après votre dernière activité). Vous pouvez supprimer à tout moment vos propres messages. Photos, vidéos et documents joints : supprimés automatiquement 30 jours après leur envoi.
• Photo de profil : jusqu'à ce que vous la supprimiez ou la remplaciez, et au plus tard jusqu'à la suppression de votre compte
• Logs de connexion : 1 an (article L34-1 du CPCE et décret n° 2021-1362)
• Messages de support : 3 ans après dernière interaction
• Preuve du consentement : durée du traitement + 5 ans

6. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants :

• Droit d'accès à vos données
• Droit de rectification via votre profil
• Droit à l'effacement (suppression du compte depuis votre profil)
• Droit à la limitation du traitement
• Droit à la portabilité : téléchargez l'intégralité de vos données au format JSON depuis votre profil > « Télécharger mes données »
• Droit d'opposition

Pour exercer vos droits, contactez-nous.

7. Destinataires des données et sous-traitants

Vos données sont traitées par les sous-traitants suivants, avec lesquels nous avons signé un accord de sous-traitance (DPA) conforme à l'article 28 du RGPD :

• La plateforme « Otium-Forge » — sous-traitant technique au sens de l'article 28 du RGPD (hébergement et exploitation du site). Les coordonnées légales complètes de son éditeur figurent dans les mentions légales d'Otium Forge.
• Render Services, Inc. — hébergeur web et base de données, données stockées en région UE (Francfort, Allemagne)
• Cloudflare R2 — stockage des images et fichiers (logo, photos, photos de profil — ces dernières dans un espace privé, sans adresse publique), données stockées en région UE.

8. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données (article 32 RGPD) :

• Chiffrement des mots de passe (algorithme bcrypt)
• Connexions HTTPS forcées (TLS) avec en-têtes HSTS
• Protection CSRF sur tous les formulaires
• Politique de sécurité de contenu (CSP) restrictive
• Limitation de débit sur les tentatives de connexion
• Isolation stricte des données entre praticiens (multi-tenant)
• Sauvegardes automatiques quotidiennes de la base de données

9. Référent protection des données

Pour toute question relative au traitement de vos données, vous pouvez contacter le référent protection des données à l'adresse : contact@otium-forge.fr

Point de contact dédié aux questions de protection des données. En l'absence d'obligation légale de désignation, aucun délégué à la protection des données (DPO) au sens de l'article 37 du RGPD n'a été formellement désigné.

10. Réclamation

Vous avez le droit d'introduire une réclamation auprès de la CNIL si vous estimez que vos droits ne sont pas respectés : www.cnil.fr