Politique de confidentialité
Version de rédaction : 21 octobre 2026 — Référence : CONF-2026-10-21.
1. Identité et contact pour les données personnelles
PRO&BEAUTY, SARL, RCS Toulouse 801 458 134, SIRET 801 458 134 00039, siège social 9 avenue de la Marqueille, 31650 Saint-Orens-de-Gameville, France, exploite la Plateforme Pro&Beauty.
Pour une question ou l’exercice de vos droits : service-clients@proandbeauty.com, objet « Données personnelles / RGPD », ou courrier à l’adresse ci-dessus. Téléphone : +33 (0)9 72 57 80 15.
Ce contact assure le suivi des demandes relatives aux données ; il n’est pas présenté comme un délégué à la protection des données officiellement désigné en l’absence d’une telle désignation.
2. Champ de la politique et répartition des rôles
La politique concerne les visiteurs des sites et interfaces officielles, les professionnels titulaires d’un compte, leurs collaborateurs, les interlocuteurs des marques partenaires, prospects et personnes échangeant avec Pro&Beauty. Elle s’applique aux sites, sous-domaines et applications officielles dans la mesure où les traitements décrits y sont effectués.
Pro&Beauty agit comme responsable de traitement pour ses propres opérations, notamment la gestion des comptes, la relation commerciale, la facturation, certaines mesures de sécurité du service et ses communications.
Pour les listes de clients ou prospects, campagnes, contenus et données qu’un professionnel ou Partenaire lui confie afin d’utiliser le service, Pro&Beauty agit normalement comme sous-traitant, suivant ses instructions et l’accord de traitement des données (« DPA »). Le professionnel détermine alors la finalité, la base légale et l’information de ses destinataires. L’existence d’un abonnement professionnel ne transforme pas ses clients particuliers en destinataires B2B.
Une marque et Pro&Beauty peuvent être responsables distincts pour leurs propres opérations. Si elles déterminent ensemble les finalités et moyens essentiels d’un traitement, un accord de responsabilité conjointe adapté doit être établi et ses grandes lignes rendues accessibles. Les rôles dépendent des faits et ne sont pas déterminés par la seule appellation du contrat.
3. Origine et catégories des données
3.1 Données communiquées directement
- Identité et coordonnées professionnelles : nom, prénom, fonction, email, téléphone et adresse professionnelle.
- Informations de compte : identifiants de connexion, paramètres, habilitations, préférences et historique d’acceptation des documents contractuels.
- Informations d’entreprise : raison sociale, établissement, SIRET ou équivalent, numéro de TVA, activité et rattachement autorisé à une marque.
- Relation commerciale : demandes de démonstration, commandes, formule choisie, dates de souscription et renouvellement, factures, échanges, paiements et incidents.
- Historique d’achats réalisés dans les applications officielles : identifiant interne du compte, boutique utilisée (App Store ou Google Play), identifiants des produits, dates, statut (payé, renouvelé, remboursé) et environnement (production ou test). Cet historique sert à ouvrir l’accès acheté et à créditer les packs. Il ne comprend pas le numéro complet de carte.
- Informations de paiement nécessaires au mode utilisé : références du prestataire de paiement, statut, éventuellement informations limitées de carte, IBAN et données du mandat SEPA. Les données complètes de carte sont destinées au prestataire de paiement dans le parcours sécurisé proposé, et non à être recueillies par email ou dans le support.
- Support et communications : demandes, réponses, pièces jointes et notes nécessaires au suivi.
- Contenus volontairement fournis : logos, photos, vidéos, textes et paramètres de campagne. Ils peuvent contenir des données de personnes représentées ou citées.
Les champs obligatoires sont signalés lors de la collecte. Le refus de fournir une information nécessaire peut empêcher l’opération concernée ; une information facultative n’est pas exigée pour un service qui n’en a pas besoin. Une date de naissance ou une copie de pièce d’identité n’est pas collectée par principe pour une simple inscription professionnelle.
3.2 Données techniques et d’utilisation
Selon la fonction et les choix applicables : adresse IP, horodatages, appareil, navigateur, système, identifiants de session, erreurs, actions utiles au fonctionnement et à la sécurité, préférences d’interface et données de mesure d’audience. Les traceurs non indispensables sont régis par l’article 10.
Les connexions à des réseaux sociaux peuvent transmettre les identifiants de pages ou comptes, autorisations, jetons techniques, contenus programmés et statistiques disponibles. Le périmètre dépend des autorisations et fonctions choisies.
3.3 Données reçues d’un tiers
Nous pouvons recevoir des informations d’un collaborateur habilité du Client, d’une marque autorisée à gérer un rattachement ou une invitation, d’un prestataire de paiement et de registres ou sources professionnelles licites. L’origine est précisée lorsque l’information est fournie indirectement ; l’information requise est délivrée au plus tard dans les délais légaux, notamment lors du premier contact si celui-ci intervient avant.
Les fichiers de destinataires importés par un Client ou Partenaire restent dans le périmètre de sous-traitance du DPA. Leur importation ne nous autorise pas à les prospecter pour notre propre compte.
4. Finalités et bases légales des traitements propres de Pro&Beauty
| Finalité | Données principalement concernées | Base légale |
|---|---|---|
| Créer le compte d’un professionnel contractant et fournir les services qu’il demande | Identité professionnelle, compte, offre et paramètres | Exécution du contrat ou mesures précontractuelles demandées par la personne, lorsque celle-ci est partie au contrat. |
| Gérer les accès et échanges des représentants ou salariés d’une entreprise cliente | Identité, fonction, coordonnées, habilitations | Intérêt légitime à gérer la relation avec cette entreprise et les accès autorisés ; le salarié n’est pas artificiellement considéré comme partie personnelle au contrat. |
| Commander, facturer, suivre les paiements et tenir la comptabilité | Commande, facture, mandat et statut de paiement | Contrat selon la situation ; obligations légales comptables et fiscales pour les conservations correspondantes. |
| Vérifier un achat effectué dans l’application et ouvrir l’accès ou les crédits correspondants | Historique d’achats, identifiant interne du compte, boutique et statut | Exécution du contrat. |
| Répondre aux demandes, assurer le support et suivre la relation | Coordonnées, messages, pièces utiles, notes | Contrat pour le contractant ; intérêt légitime pour ses représentants et pour le suivi nécessaire. |
| Sécuriser nos systèmes, prévenir la fraude et gérer les incidents | Journaux limités, accès, erreurs, preuves nécessaires | Intérêt légitime à protéger le service et ses utilisateurs ; obligations légales lorsqu’elles imposent une opération. Les données sous-traitées restent encadrées par le DPA. |
| Envoyer les informations de service | Coordonnées du compte et statut | Contrat ou intérêt légitime de gestion : factures, maintenance, sécurité et modifications importantes, sans assimilation à de la publicité. |
| Prospecter des professionnels en rapport avec leur activité, lorsqu’une règle applicable le permet | Coordonnées et préférences professionnelles | Intérêt légitime, avec information et opposition simple et gratuite. |
| Envoyer des messages commerciaux ou transmettre des coordonnées lorsqu’un consentement est nécessaire | Coordonnées, choix et preuves d’accord | Consentement distinct, libre et révocable ; le contrat n’est pas utilisé comme consentement général. |
| Comprendre l’usage et améliorer le service | Données techniques limitées, statistiques | Intérêt légitime pour les statistiques réellement anonymes ou les opérations permises ; consentement pour les traceurs soumis à autorisation. Les statistiques anonymes ne doivent pas permettre la réidentification. |
| Gérer un litige, une demande d’autorité ou un signalement | Éléments strictement pertinents et dossier de demande | Intérêt légitime à établir ou défendre nos droits, ou obligation légale selon l’opération. |
Les intérêts légitimes sont appréciés en tenant compte de vos droits et attentes raisonnables. Vous pouvez demander des précisions et exercer votre opposition selon les conditions applicables.
Nous n’invoquons pas une base générique d’« intérêt vital » pour des traitements commerciaux ordinaires. Nous ne prenons pas de décision produisant des effets juridiques significatifs sur une personne exclusivement par une IA sans le cadre légal et les garanties requis. Un résumé automatique d’échange est un outil d’assistance, vérifiable par un humain.
5. Prospection, préférences et relations avec les marques
Nos communications de service nécessaires au compte sont distinguées des communications commerciales. Vous pouvez vous opposer à la prospection en utilisant le lien ou mécanisme de désinscription, vos paramètres disponibles, ou le contact indiqué à l’article 1. L’opposition à la prospection est respectée sans justification à fournir.
La prospection de professionnels doit notamment être pertinente pour leur activité et respecter les règles du canal et du pays concernés. Le consentement est recueilli lorsqu’il est requis. Nous ne déduisons pas un accord à la publicité, aux SMS ou à la prospection de marques de la seule création du compte ou acceptation des CGU.
Le rattachement à une marque peut nécessiter la transmission d’informations limitées d’éligibilité ou de gestion de l’accès, dont vous êtes informé. Il ne donne pas accès à l’ensemble du compte ni aux listes de vos clients. Les statistiques communiquées à un Partenaire sont agrégées lorsque cela suffit ; une statistique individuelle identifiable n’est transmise que dans un cadre défini, nécessaire et transparent.
Une mise en relation volontaire transmet les informations que vous avez demandé de communiquer au destinataire indiqué. La transmission de coordonnées pour une prospection indépendante de partenaires suit ses propres exigences d’information et de consentement ou d’opposition. Les marques restent responsables de leurs propres traitements et fournissent leur information.
Nous ne vendons pas les fichiers de contacts importés pour le compte de nos Clients et ne les utilisons pas pour notre prospection propre.
6. Échanges, appels, visioconférences et assistance par IA
Les messages et notes utiles peuvent être centralisés dans nos outils de suivi de la relation client, avec des accès limités. Les copies et pièces jointes inutiles sont évitées.
Un appel ou une visioconférence peut être enregistré uniquement si cette opération est effectivement mise en place dans un cadre licite, nécessaire et proportionné. Les participants sont informés avant le début de l’enregistrement de sa finalité, de sa base légale, de ses destinataires et des modalités applicables à leurs droits. Lorsque le consentement est la base retenue, il est demandé expressément ; le silence et l’acceptation globale des CGV ne suffisent pas.
Un moyen d’échange sans enregistrement est proposé lorsque nécessaire. Le refus d’un enregistrement facultatif ne prive pas la personne de l’accès au support. Aucun enregistrement permanent de tous les échanges n’est justifié par cette politique.
La transcription ou le résumé par IA est annoncé lorsqu’il est utilisé ; seuls les éléments nécessaires sont adressés au fournisseur identifié, selon les garanties de confidentialité, de conservation et de transfert applicables. Le fournisseur et la fonction ne bénéficient pas d’une autorisation générale d’entraînement sur ces échanges.
7. Destinataires et accès aux données
Les données peuvent être accessibles, dans la limite de leurs missions, aux équipes et prestataires habilités de Pro&Beauty, aux fournisseurs nécessaires au service, aux banques et prestataires de paiement, aux conseils et organismes de recouvrement pour un dossier justifié, ainsi qu’aux autorités ou juridictions légalement habilitées.
Les catégories de fournisseurs comprennent l’hébergement, le stockage de fichiers et sauvegardes, l’emailing, les SMS/RCS, les fonctions d’IA, la gestion commerciale, la téléphonie, le support, la mesure d’audience et la vérification des achats effectués dans les applications officielles. La liste factuelle et les localisations figurent dans les annexes du DPA, qui distinguent les sous-traitants des services intervenant comme responsables distincts.
RevenueCat intervient comme sous-traitant pour vérifier les achats réalisés via l’App Store et Google Play et en informer Pro&Beauty. Il n’encaisse pas les paiements. Apple et Google déterminent leurs propres finalités pour l’encaissement, la facture et la lutte contre la fraude.
Selon les fonctions effectivement activées, des services tels que Stripe, les réseaux Meta ou Google et les opérateurs de communication peuvent déterminer des finalités propres pour certaines opérations. Leurs conditions et informations sont accessibles lors de la connexion ou de l’opération. Leur intervention ne rend pas publics les autres fichiers du compte.
Les marques partenaires ne reçoivent que les données relevant de leur accès autorisé ou d’une mise en relation licite. Aucun accès général à des données privées n’est accordé du seul fait du financement d’une offre.
8. Localisation et transferts internationaux
Les lieux de stockage, de sauvegarde et d’accès distant dépendent des services et contrats effectivement utilisés ; une localisation exclusivement en France ou dans l’EEE n’est pas présumée. Un accès depuis un pays tiers peut constituer un transfert même si les serveurs sont situés en Europe.
Un transfert hors EEE n’est réalisé que dans le cadre requis : décision d’adéquation valide couvrant le destinataire et l’opération, ou garanties appropriées telles que les clauses contractuelles types de la Commission européenne, avec évaluation et mesures complémentaires lorsque nécessaires. Une exception légale n’est utilisée que si ses conditions particulières sont remplies.
Un fournisseur américain n’est pas réputé couvert par une décision d’adéquation du seul fait de son pays : l’entité et le périmètre de certification doivent être vérifiés lorsque ce mécanisme est invoqué. La simple présence d’une clause de transfert dans un texte public ne remplace pas un accord effectivement conclu.
Les pays, garanties et fournisseurs réellement concernés sont indiqués dans les annexes complétées du DPA. Vous pouvez demander une copie ou une description des garanties pertinentes au contact de l’article 1, avec protection proportionnée des secrets et données de tiers.
Pour les traitements auxquels la loi suisse sur la protection des données ou une autre législation locale s’applique, les garanties additionnelles nécessaires sont mises en œuvre. Le choix contractuel du droit français ne supprime pas ces protections.
9. Conservation, suppression et archivage
Les durées ci-dessous constituent la politique de conservation à appliquer. Une durée plus courte est retenue si la donnée n’est plus nécessaire ; une conservation plus longue doit reposer sur une obligation ou un dossier précisément justifié. Les archives nécessaires sont séparées des données courantes et accessibles aux seules personnes habilitées.
| Catégorie | Durée ou critère de conservation |
|---|---|
| Compte et paramètres nécessaires au service | Pendant la vie du compte ; à sa fermeture, récupération et suppression suivant le DPA pour les données confiées, et suppression des autres données actives normalement dans les trente jours suivant la fin de la période de récupération. |
| Compte gratuit durablement inactif | Réexamen après trois ans d’inactivité ; information préalable et délai normalement de trente jours avant fermeture, sauf nécessité justifiée de maintien. |
| Données confiées par un Client ou Partenaire | Durée des instructions et prestations ; récupération normalement trente jours après la fin, suppression des données actives dans les trente jours suivants, sauf règles de migration ou demande d’effacement plus rapide ; copies de sauvegarde purgées au plus tard dans les quatre-vingt-dix jours suivant la suppression active, selon le DPA. |
| Factures et pièces comptables | Dix ans à compter de la clôture de l’exercice concerné lorsque le droit français impose cette durée ; autres pièces fiscales selon leur durée légale propre. |
| Historique d’achats de l’application | Pendant la vie du compte, puis selon la preuve du contrat (normalement cinq ans). Les pièces propres à Apple ou Google suivent leurs durées. |
| Preuve d’un contrat, acceptation, mandat ou demande de résiliation | Archive des seuls éléments nécessaires pendant la relation, puis normalement cinq ans selon le point de départ et les règles de prescription applicables ; dossier isolé plus longtemps si une procédure le nécessite. Les règles propres aux mandats de paiement sont prises en compte. |
| Support courant | Deux ans après la clôture de la demande ; sélection des pièces nécessaires dans une archive contractuelle en cas de différend, sans conserver tout le support par principe. |
| Prospection propre de Pro&Beauty | Trois ans après la fin de la relation commerciale ou le dernier contact positif émanant du prospect. Un nouvel envoi de notre part ou une simple détection d’ouverture ne redémarre pas automatiquement ce délai. |
| Opposition à la prospection | Données minimales nécessaires à une liste d’exclusion, au moins trois ans puis aussi longtemps que nécessaire pour éviter une nouvelle sollicitation sur le canal concerné, avec réexamen périodique. |
| Journaux techniques et de sécurité propres | Normalement six mois ; jusqu’à douze mois pour un besoin de sécurité documenté. Une pièce liée à un incident ou litige peut être isolée pendant la durée nécessaire au dossier. Les éventuelles obligations légales spécifiques sont appliquées distinctement. |
| Enregistrements facultatifs d’appels ou réunions | Normalement quatre-vingt-dix jours ; conservation plus longue seulement si nécessaire et documentée, notamment pour un dossier litigieux. Les synthèses validées utiles à la relation suivent la durée du dossier correspondant ; les analyses de qualité seules sont limitées à un an. |
| Choix relatifs aux cookies | Mémorisation normalement de six mois, avec possibilité de modification à tout moment ; durée de chaque traceur indiquée dans son inventaire. |
La fermeture ou l’effacement ne supprime pas les pièces qu’une loi impose de conserver. Ils ne justifient pas non plus le maintien de tout un compte pendant dix ans au seul motif qu’une facture doit être archivée. Les obligations de réversibilité éventuellement applicables peuvent prolonger la seule période nécessaire de récupération, sans nouvelle prospection ni exploitation du fichier.
Une anonymisation ne remplace l’effacement que si elle est effective et empêche raisonnablement toute réidentification. Une simple pseudonymisation n’est pas une anonymisation.
10. Cookies, SDK et autres traceurs
Certains traceurs sont strictement nécessaires à la connexion, à la sécurité, au choix de consentement ou à une fonction expressément demandée. Ils peuvent être utilisés sans consentement préalable dans les limites de l’exemption applicable.
Les traceurs de publicité, de suivi intersites ou de mesure d’audience non exemptée ne sont activés qu’après consentement. Un outil d’audience n’est pas exempté par le seul nom de son fournisseur : son paramétrage et ses usages doivent satisfaire aux conditions légales.
Le gestionnaire de choix présente les finalités, responsables concernés, traceurs et durées. Il permet de tout refuser aussi simplement que de tout accepter, de choisir par finalité et de revenir sur ses choix depuis « Gérer mes cookies » ou la commande équivalente de l’application. Continuer à naviguer ne vaut pas consentement. Le refus ne bloque pas les fonctions essentielles ne dépendant pas du traceur refusé.
Les contenus tiers intégrés susceptibles de déposer des traceurs soumis à consentement sont bloqués avant autorisation, avec une solution d’accès compatible lorsque possible. Les SDK mobiles et technologies similaires suivent les mêmes principes selon les règles applicables.
L’inventaire nominatif (nom de chaque traceur, durée exacte, pays) n’est pas reproduit dans cette page. Les traceurs non indispensables ne sont déposés qu’après un choix. Le refus est proposé aussi simplement que l’acceptation, et le choix peut être modifié depuis « Gérer mes cookies » lorsque cette commande est affichée. Continuer à naviguer ne vaut pas consentement.
11. Sécurité et gestion des incidents
Nous appliquons des mesures techniques et organisationnelles adaptées aux risques : contrôle des accès, confidentialité des personnes habilitées, sécurisation des échanges, protection des identifiants, sauvegardes et restauration, suivi des incidents et gestion des vulnérabilités. Leur description précise et vérifiée figure à l’annexe de sécurité du DPA ; aucune certification ou mesure particulière non attestée n’est présumée.
Les accès au support et à l’administration sont limités à ce qui est nécessaire. Les mesures sont réexaminées selon les risques et les évolutions techniques. La sécurité ne peut être garantie de façon absolue, mais cette limite ne constitue pas une renonciation à nos obligations.
En cas de violation, les notifications aux autorités, aux personnes ou aux Clients responsables de traitement sont effectuées suivant le rôle de Pro&Beauty et les critères légaux. Pour les données confiées, l’alerte au Client suit le DPA et intervient sans retard injustifié ; elle n’attend pas systématiquement l’expiration du délai de notification du responsable à l’autorité.
12. Vos droits et modalités d’exercice
Selon les conditions applicables, vous disposez des droits d’accès, rectification, effacement, limitation, opposition et portabilité. La portabilité concerne les données et bases légales auxquelles ce droit s’applique ; elle ne se confond pas avec toutes les obligations contractuelles d’export. Vous pouvez retirer un consentement sans affecter la licéité des opérations antérieures et donner des directives relatives au sort de vos données après votre décès selon le droit français.
Votre opposition à la prospection commerciale est prise en compte sans justification. Pour d’autres traitements fondés sur un intérêt légitime, votre situation particulière est examinée suivant les règles du RGPD.
Adressez votre demande au contact de l’article 1. Un élément d’identité supplémentaire n’est demandé qu’en cas de doute raisonnable et de manière proportionnée ; la transmission systématique d’une pièce d’identité n’est pas exigée.
Nous répondons normalement dans un délai d’un mois. En cas de complexité ou de demandes nombreuses, une prolongation de deux mois peut intervenir dans les conditions légales, avec information dans le premier mois. Les demandes sont en principe gratuites ; les exceptions légales sont appliquées et motivées.
Si vos données figurent dans le fichier d’un institut, salon ou autre Client utilisant Pro&Beauty, adressez-vous en priorité à ce professionnel, qui détermine le traitement. Si vous nous contactez, nous transmettons la demande au responsable compétent et l’assistons conformément au DPA, sans décider de manière autonome de l’usage de son fichier.
Vous pouvez déposer une réclamation auprès de la CNIL, ou de l’autorité compétente de votre pays lorsque ses règles s’appliquent. En Suisse, il s’agit notamment du Préposé fédéral à la protection des données et à la transparence. Les droits de recours ne dépendent pas de l’accord de Pro&Beauty.
13. Mise à jour de la politique
Une nouvelle version identifie sa date et les changements importants. En cas d’évolution substantielle affectant les personnes, une information adaptée est délivrée avant le traitement lorsque nécessaire. Une nouvelle finalité incompatible ou un traitement soumis à consentement ne peut être autorisé par la seule publication d’une nouvelle politique.
Cette politique complète les CGU, les CGV, le DPA et les mentions légales, sans restreindre les droits impératifs des personnes.