Politique de confidentialité

La présente politique décrit comment NYLVA traite les données personnelles de ses utilisatrices et utilisateurs, dans le respect du Règlement (UE) 2016/679 (RGPD) et de la Loi Informatique et Libertés du 6 janvier 1978 modifiée.

1. Responsable du traitement

OCCIMAITRISE, SASU au capital de 100 €, RCS Montauban n° 993 732 312.
Siège : 39 Impasse des Pervenches, 82700 Montech, France.
Représentée par Djilali Alem, Président.
Contact : contact@nylva.fr

2. Données collectées et finalités

2.1 Données d'identification

• Adresse email et mot de passe (chiffré, jamais lisible par NYLVA)
• Prénom (facultatif)
• Finalité : création et gestion du compte utilisateur
• Base légale : exécution du contrat (art. 6.1.b RGPD)
• Conservation : jusqu'à suppression du compte, puis 1 an d'archivage technique

2.2 Profil beauté

• Teint, sous-tons, type de peau, saison chromatique
• Produits favoris (fond de teint, rouge à lèvres, correcteur déclarés)
• Historique des analyses et recommandations
• Finalité : personnalisation des analyses et recommandations
• Base légale : exécution du contrat
• Conservation : jusqu'à suppression du compte

2.3 Photos de visage et analyses biométriques

• Photos : envoyées en temps réel à notre prestataire d'analyse IA (Anthropic), traitées puis immédiatement supprimées. Aucune photo n'est stockée durablement sur les serveurs NYLVA.
• Données issues de l'analyse : codes couleur (hex), niveau de luminosité, descriptions textuelles des zones maquillées, score, conseils générés. Stockées dans votre historique.
• Miroir IA : analyse en temps réel via MediaPipe (Google), 100% locale sur votre appareil. Aucune image n'est transmise à un serveur.
• Finalité : analyse esthétique et recommandations personnalisées
• Base légale : consentement explicite de l'utilisateur (art. 9.2.a RGPD), donné lors de la première analyse via l'acceptation de l'accès caméra et l'envoi délibéré de la photo
• Conservation des résultats d'analyse : jusqu'à suppression du compte. Vous pouvez supprimer une analyse à tout moment depuis votre historique.

2.4 Données de paiement

• Les données bancaires sont collectées et traitées exclusivement par Stripe. NYLVA ne reçoit, ne stocke ni ne voit aucune donnée carte bancaire.
• NYLVA conserve uniquement l'identifiant client Stripe (cus_xxx) et l'identifiant d'abonnement (sub_xxx).
• Finalité : gestion des abonnements payants
• Base légale : exécution du contrat
• Conservation : 10 ans à des fins comptables (obligation légale)

2.5 Données techniques

• Cookies techniques d'authentification (Supabase)
• Logs de sécurité (adresse IP, user-agent, horodatage) en cas d'activité suspecte
• Finalité : fonctionnement du service, sécurité
• Base légale : intérêt légitime (art. 6.1.f RGPD)
• Conservation : 13 mois maximum (cookies), 1 an (logs)

3. Sous-traitants

NYLVA fait appel aux sous-traitants suivants, sélectionnés pour leur conformité RGPD :

• Supabase (base de données) — UE (Francfort)
• Vercel (hébergement web) — USA, encadré par les Clauses Contractuelles Types de la Commission européenne (CCT/SCC) et certification DPF (Data Privacy Framework)
• Anthropic (Claude — analyse IA) — USA, encadré par CCT/SCC. Anthropic s'engage à ne pas utiliser les données pour entraîner ses modèles dans le cadre de l'API.
• Stripe (paiement) — USA, certifié PCI-DSS et DPF
• Google MediaPipe (détection visage navigateur) — traitement 100% local, aucune donnée transmise

4. Transferts hors UE

Certains traitements impliquent des transferts vers les États-Unis (Vercel, Anthropic, Stripe). Ces transferts sont encadrés par :

• Les Clauses Contractuelles Types de la Commission européenne (décision 2021/914)
• Le Data Privacy Framework UE-USA pour les prestataires certifiés
• Des mesures techniques complémentaires (chiffrement TLS, pseudonymisation)

5. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès : connaître les données vous concernant que nous traitons
• Rectification : corriger des données inexactes
• Effacement : demander la suppression de vos données (« droit à l'oubli »)
• Opposition : refuser un traitement basé sur l'intérêt légitime
• Limitation : geler temporairement un traitement
• Portabilité : récupérer vos données dans un format réutilisable (JSON)
• Retrait du consentement : à tout moment, sans affecter la licéité passée
• Définir le sort de vos données après votre décès

Pour exercer vos droits : envoyez votre demande à contact@nylva.fr. Nous répondons sous 30 jours maximum (1 mois, prorogeable de 2 mois en cas de complexité).

Réclamation auprès de la CNIL : si vous estimez vos droits non respectés, vous pouvez déposer une plainte auprès de la CNIL — www.cnil.fr — 3 Place de Fontenoy, 75007 Paris.

6. Suppression de compte

Vous pouvez demander la suppression définitive de votre compte à tout moment via contact@nylva.fr. Cette opération est irréversible : toutes vos données (profil, historique, analyses) seront effacées sous 30 jours, à l'exception des données comptables liées aux paiements passés (conservées 10 ans pour obligation légale).

7. Cookies

NYLVA utilise uniquement des cookies techniques strictement nécessaires à l'authentification (gérés par Supabase) et à la session. Aucun cookie publicitaire, marketing ou de mesure d'audience n'est déposé. Ces cookies sont exemptés de consentement préalable conformément à la délibération CNIL n° 2020-091.

8. Sécurité

NYLVA met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données :

• Chiffrement TLS de bout en bout (HTTPS obligatoire)
• Mots de passe hachés (bcrypt, jamais en clair)
• Authentification renforcée Supabase (Row Level Security)
• Accès aux données strictement limité au responsable du traitement
• Notifications en cas de violation dans les 72h (article 33 RGPD)

9. Mineurs

NYLVA est destiné aux personnes majeures (18 ans et plus). L'inscription d'un mineur nécessite l'accord parental explicite. NYLVA ne cible pas les enfants de moins de 15 ans et ne collecte pas sciemment leurs données. Toute donnée de mineur portée à notre connaissance sera supprimée immédiatement.