Politique de confidentialité

Le responsable du traitement des données est :

Sourire Concept, LTD
71-75 Shelton Street, Covent Garden, WC2H 9JQ, Londres, Royaume-Uni
Numéro d’enregistrement : 16506209

Email : contact@sourireconcept.fr

Délégué à la protection des données (DPO) : contact@sourireconcept.fr — Vous pouvez le contacter pour toute question relative au traitement de vos données personnelles ou pour exercer vos droits RGPD.

Nous collectons les informations suivantes, uniquement lorsque cela est nécessaire :

• identité : nom, prénom
• coordonnées : adresse postale, email, téléphone
• informations professionnelles : société, statut
• informations liées à l’achat : historique de commande, préférences
• données techniques : adresse IP, type de navigateur, cookies
• données de conversation : le contenu de vos échanges avec l’assistante « IrissIA » et les informations que vous y communiquez volontairement (voir section 14)
• données vocales : l’enregistrement de votre voix lorsque vous utilisez le mode vocal de l’assistante, traité de manière transitoire (voir section 14.6)
• données biométriques (analyseur de peau, simulateur photo) : photos faciales ou dentaires temporaires, traitées avec votre consentement explicite (article 9 du RGPD) — voir section 8 ci-dessous

Nous ne collectons ni ne stockons vos données bancaires. Les paiements sont traités par des prestataires sécurisés (Stripe, PayPal), ou par virement bancaire et CCP / BaridiMob (Algérie Poste) selon votre pays.

Vos données sont utilisées pour les finalités suivantes :

• traitement et expédition des commandes
• gestion du service client et de l’assistance conversationnelle et vocale « IrissIA »
• envoi d’informations commerciales, offres et newsletters avec votre consentement
• amélioration du site et des services, notamment statistiques, retargeting et personnalisation
• conformité réglementaire, facturation, sécurité et conservation légale

Nous traitons vos données sur les bases suivantes :

• consentement pour les newsletters, cookies et prospections marketing
• exécution du contrat pour les commandes, paiements et livraisons
• intérêt légitime pour l’amélioration de nos services et la lutte contre la fraude
• obligation légale pour la facturation et la comptabilité

Les données personnelles sont conservées :

• données clients : 3 ans après le dernier contact ou la dernière commande
• données de facturation : 10 ans
• historique et mémoire de l’assistante conversationnelle : 90 jours glissants, puis suppression automatique (les messages sont chiffrés au repos)
• données marketing : jusqu’au retrait du consentement

Les données peuvent être transmises à des sous-traitants techniques uniquement dans le cadre des finalités définies, et jamais revendues. Les catégories de destinataires sont :

• prestataires de paiement (Stripe, PayPal)
• hébergeur, base de données et registrar (Vercel, Supabase, LWS, Render, Cloudflare)
• fournisseurs d’intelligence artificielle pour l’assistante « IrissIA » et les outils IA (voir section 14)
• prestataires d’e-mail, de mesure d’audience, de CMS et de supervision technique
• prestataires logistiques et transporteurs pour l’acheminement des commandes

Le détail nominatif de ces sous-traitants, ainsi que leur localisation et les garanties de transfert applicables, figure à la section 9. Aucun partage commercial ni revente de vos données n’est effectué.

Les fonctionnalités Analyseur de peau et Simulateur de blanchiment dentaire traitent des photos faciales ou dentaires que vous téléversez. Ces données sont considérées comme des données biométriques sensibles au sens de l’article 9.1 du RGPD.

Base légale : consentement explicite préalable (article 9.2.a RGPD). Le traitement n’est jamais lancé tant que vous n’avez pas validé la modale dédiée RGPD affichée avant tout chargement de la photo.

Finalité : exclusivement le rendu de simulation ou d’analyse demandé. Aucune utilisation publicitaire, aucune revente, aucun partage avec des tiers à des fins non liées au service demandé.

Durée de conservation : les photos sont traitées de manière éphémère. La preuve de votre consentement (horodatage + IP anonymisée par SHA-256) est conservée 5 ans à des fins d’audit CNIL conformément à l’article 7.1 du RGPD.

Sous-traitants : le traitement IA est opéré par Google (Gemini, États-Unis) et Hugging Face (France, Union européenne). Voir section 9 pour les détails.

Vos droits : retrait du consentement à tout moment via contact@sourireconcept.fr. Le retrait est effectif immédiatement.

Certains de nos sous-traitants techniques sont établis hors Union européenne et hors Royaume-Uni. Tous les transferts internationaux sont encadrés conformément au chapitre V du RGPD et du UK GDPR : décision d’adéquation, EU-US / UK Data Privacy Framework, ou clauses contractuelles types (SCC) de la Commission européenne. La liste à jour peut être obtenue auprès de notre DPO. Par finalité :

Paiement : Stripe Inc. (États-Unis, EU-US Data Privacy Framework + SCC) et PayPal (Europe) S.à r.l. & Cie, S.C.A. (Luxembourg, UE). Le virement bancaire et le paiement CCP / BaridiMob (Algérie Poste) ne transitent par aucune API tierce : vous communiquez directement la référence de paiement.

Hébergement et infrastructure : Vercel Inc. (États-Unis, DPF + SCC) pour l’hébergement applicatif, Render Inc. (États-Unis, SCC) pour certaines fonctions temps réel et vocales, LWS / Ligne Web Services (France, UE) pour l’enregistrement du nom de domaine, le DNS et l’hébergement e-mail, et Cloudflare Inc. (États-Unis, SCC) pour la protection anti-robots (Turnstile) et la diffusion de contenu.

Base de données : Supabase Inc. — base opérée en région UE (Stockholm, eu-north-1), pas de transfert hors UE pour les données de production.

Intelligence artificielle conversationnelle et recommandations : Hugging Face (France, UE) est le fournisseur principal des modèles. En repli, selon la disponibilité, peuvent intervenir NVIDIA, Groq, Google (Gemini), OpenAI, OpenRouter, xAI et Perplexity (États-Unis, DPF et/ou SCC). DeepInfra Inc. (États-Unis, SCC) peut être utilisé pour la vectorisation de texte. Voir section 14.

Analyse et génération d’images (simulateur, analyseur de peau) : Google (États-Unis) et Hugging Face (France). Voir section 8.

Interactions vocales (reconnaissance et synthèse) : Groq (États-Unis) et, le cas échéant, ElevenLabs (États-Unis) et Google (États-Unis). Voir section 14.6.

Envoi d’e-mails : LWS (France, UE) et, le cas échéant, Resend Inc. ou Twilio SendGrid (États-Unis, DPF et/ou SCC).

Mesure d’audience et publicité (soumises à votre consentement) : Google (États-Unis), Microsoft Clarity (États-Unis), Meta Platforms (États-Unis) et TikTok / ByteDance (Chine). Voir section 13.

Gestion de contenu (CMS) : Sanity Inc. (États-Unis, DPF + SCC).

Logistique et expédition : Easyship et nos transporteurs partenaires (le cas échéant hors UE) pour l’acheminement des commandes (nom et adresse de livraison).

Connexion via un réseau social (optionnelle) : Google et Meta (États-Unis), uniquement si vous choisissez ce mode de connexion.

Contenus vidéo de formation : YouTube / Google et Vimeo (États-Unis), pour la lecture des vidéos pédagogiques.

Supervision technique : Sentry (Allemagne — eu.sentry.io, hébergé dans l’UE).

Vous pouvez nous contacter à contact@sourireconcept.fr pour obtenir une copie des garanties contractuelles applicables.

Conformément au RGPD, vous disposez des droits suivants :

• droit d’accès à vos données
• droit de rectification ou d’effacement
• droit à la limitation ou à l’opposition du traitement
• droit à la portabilité des données
• droit de retrait de votre consentement à tout moment
• droit d’introduire une réclamation auprès de la CNIL.

Vous pouvez exercer vos droits à tout moment en nous contactant :

• par email à l’adresse : contact@sourireconcept.fr
• via notre formulaire de contact dédié : /contact
• par courrier postal à notre siège social mentionné à l’article 2.

Procédures et délais :

• Délai de réponse : Nous nous engageons à répondre à toute demande dans un délai maximum de 30 jours calendaires.
• Vérification d’identité : Pour des raisons de sécurité, nous pourrons vous demander une preuve d’identité en cas de doute raisonnable sur l’auteur de la demande.
• Gratuité : L’exercice de ces droits est gratuit, sauf en cas de demandes manifestement infondées ou excessives.
• Recours : Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (France) ou de l’ICO (Royaume-Uni).

Nous appliquons des mesures de sécurité avancées :

• chiffrement des communications en transit (protocole SSL/TLS)
• chiffrement au repos (AES-256-GCM) des conversations et de la mémoire de l’assistante « IrissIA », ainsi que des informations personnelles mémorisées
• pare-feu applicatifs et surveillance réseau continue
• politique stricte de gestion des accès et mots de passe
• sauvegardes régulières et redondantes des données
• externalisation des paiements vers des plateformes certifiées PCI-DSS

Nous utilisons différents types de cookies pour améliorer votre expérience :

Certaines fonctionnalités reposent sur des traitements d’intelligence artificielle : l’assistante conversationnelle « IrissIA » (chatbot, texte et voix), le simulateur de blanchiment, l’analyseur de peau et les recommandations de produits. Cette section précise les données concernées et vos garanties.

14.1 Assistante conversationnelle « IrissIA » (chatbot). Lorsque vous échangez avec l’assistante, nous traitons le contenu de vos messages et, le cas échéant, les informations que vous communiquez volontairement (nom, e-mail, téléphone, demande de devis). IrissIA est une assistante cosmétique non médicale : elle ne fournit aucun avis médical et oriente vers un professionnel humain pour toute question de santé ou tout litige.

14.2 Fournisseurs de modèles (sous-traitants). Le traitement du langage et des images peut faire appel à des fournisseurs de modèles tiers agissant comme sous-traitants : principalement Hugging Face, ainsi que, selon la disponibilité, NVIDIA, Groq, Google (Gemini), OpenAI, OpenRouter, xAI et Perplexity. Les données transmises se limitent au contexte nécessaire, sont traitées de façon transitoire pour produire la réponse, et ne sont pas utilisées pour entraîner les modèles de ces fournisseurs. Leur localisation et les garanties de transfert figurent à la section 9. La liste à jour des sous-traitants peut être obtenue auprès de notre DPO.

14.3 Mémoire conversationnelle et personnalisation. Pour améliorer la pertinence des réponses, l’assistante peut conserver l’historique de la conversation et certaines informations qui en sont extraites (préférences, produit recherché). Les données personnelles ainsi mémorisées sont chiffrées (AES-256-GCM) et stockées de manière sécurisée ; les représentations vectorielles utilisées pour la recherche n’exposent pas le texte en clair.

14.4 Base légale, consentement et droits. Le fait de discuter avec l’assistante repose sur notre intérêt légitime à vous renseigner et, le cas échéant, sur l’exécution de mesures précontractuelles. Lorsque vous vous identifiez volontairement (par exemple en communiquant votre e-mail ou votre téléphone), les informations utiles à votre suivi peuvent être conservées sur cette base ; pour les visiteurs anonymes, aucune mémoire personnelle n’est conservée. Vous pouvez à tout moment demander l’effacement de votre historique et de votre mémoire conversationnelle, soit en écrivant « effacer mes données » à l’assistante, soit en contactant notre DPO (contact@sourireconcept.fr). Les échanges ne font l’objet d’aucune décision entièrement automatisée produisant des effets juridiques vous concernant (article 22 du RGPD).

14.5 Images (simulateur, analyseur de peau). Les images que vous soumettez sont traitées temporairement pour fournir le service demandé, avec votre consentement explicite (donnée biométrique — voir section 8), et ne sont pas réutilisées pour l’entraînement de modèles tiers.

14.6 Interactions vocales. Si vous utilisez le mode vocal de l’assistante, votre voix (enregistrement audio) est transmise à un prestataire de reconnaissance vocale pour être convertie en texte, puis la réponse est convertie en voix par un prestataire de synthèse vocale (Groq et, le cas échéant, ElevenLabs ou Google — voir section 9). L’audio est traité de manière transitoire pour produire la réponse et n’est pas réutilisé pour entraîner des modèles tiers. Le mode vocal est facultatif et n’est activé que lorsque vous le déclenchez.