Ce document décrit le traitement des données personnelles dans l’application mobile Cuty. Il ne couvre pas les traitements propres à chaque salon en dehors de l’application.
1. Qui est responsable
L’application est éditée par SUPPDEVSYNC, société par actions simplifiée, SIREN 931 233 951, dont le siège social est situé 122 rue Amelot, 75011 Paris. Contact pour toute question relative aux données personnelles : contact@suppdevsync.com.
La responsabilité est partagée, et elle ne l’est pas au hasard.
- SuppDevSync est responsable de traitement pour votre compte, votre authentification, votre rattachement à un salon, le fonctionnement et la sécurité de l’application.
- Votre salon est responsable de traitement pour les notes de santé qu’il saisit sur vous ou que vous lui partagez — allergies, sensibilité de l’ongle — et pour le suivi de vos poses. C’est lui qui décide de les collecter, pour ses propres finalités de soin. SuppDevSync agit alors comme sous-traitant au sens de l’article 28 du RGPD : il héberge et fait fonctionner le service, sans utiliser ces données pour son propre compte. Cet engagement figure aux conditions générales que chaque salon accepte.
Pour exercer vos droits sur les notes de santé, vous pouvez vous adresser indifféremment à votre salon ou à nous : nous transmettrons.
2. Périmètre
Cette politique s’applique à l’application Cuty, sur iOS comme sur Android, et aux services qui la font fonctionner. Le présent site ne dépose aucun cookie et n’utilise aucun outil de mesure d’audience.
3. Quelles données sont traitées
| Catégorie | Données | Origine |
|---|---|---|
| Compte | adresse e-mail, nom, numéro de téléphone, photo de profil, compte Instagram (facultatif) | vous |
| Vérification | code envoyé par SMS pour confirmer votre numéro, conservé uniquement sous forme chiffrée | automatique |
| Rattachement | le salon auquel vous êtes rattachée | vous, via le code du salon |
| Réservation | date, prestation, options choisies, prix, mot libre, photo d’inspiration | vous |
| Fidélité | nombre de visites comptabilisées pour la carte de fidélité de votre salon, récompenses obtenues ou utilisées | automatique |
| Santé | allergies, sensibilité de l’ongle | vous (allergies) ou votre prothésiste |
| Préférences | forme et longueur habituelles de vos ongles | déduites de vos poses passées |
| Poses | photos de vos ongles après la pose | votre prothésiste |
| Publication | les photos de vos poses que le salon publie dans sa galerie | votre prothésiste |
| Messages | texte des SMS et des notifications qui vous sont envoyés, numéro de destination | automatique |
| Technique | jeton de notification, journaux techniques | automatique |
| Facturation (salons abonnés) | nom, adresse e-mail, adresse de facturation, numéro de TVA (facultatif, saisi au paiement), historique des paiements et factures | le salon, via Stripe |
Les allergies et la sensibilité de l’ongle sont des données concernant la santé au sens de l’article 9 du RGPD. Elles sont stockées dans une table distincte du reste du dossier, et ne sont jamais mêlées aux informations de compte. Vous pouvez noter vos allergies vous-même dans l’application : votre salon ne les voit qu’avec votre consentement.
Les données de carte bancaire sont saisies chez Stripe et ne sont jamais transmises à SuppDevSync. Nous ne voyons ni le numéro de carte, ni son cryptogramme.
4. Pourquoi, et sur quelle base
- Compte et réservation — exécution du contrat (art. 6.1.b). Sans compte, l’application ne peut pas vous rattacher à un salon ni poser un rendez-vous.
- Carte de fidélité — exécution du contrat (art. 6.1.b). Si votre salon propose une carte de fidélité, le nombre de vos visites et les récompenses obtenues ou utilisées sont traités pour la faire fonctionner.
- Données de santé — consentement explicite (art. 9.2.a). Ce consentement est enregistré, daté, et révocable à tout moment. La révocation coupe immédiatement l’accès du salon à ces informations.
- Publication des photos de poses — intérêt légitime du salon à présenter son travail (art. 6.1.f). Les photos ne montrent que des mains, jamais votre visage ni votre nom. Vous disposez d’un droit d’opposition exerçable à tout moment depuis votre profil : il retire les photos déjà publiées et empêche toute nouvelle publication.
- Messages liés à vos rendez-vous — exécution du contrat. La confirmation, le refus, la modification, l’annulation et le rappel d’un rendez-vous vous parviennent par SMS, et aussi par notification si vous les avez activées. Le code qui vérifie votre numéro de téléphone arrive par SMS.
- Rappel trois semaines après une pose — intérêt légitime du salon (art. 6.1.f). Trois semaines environ après une pose, si aucun rendez-vous n’est prévu, une notification de l’application vous le signale. Elle ne part que si vous avez activé les notifications, et jamais par SMS ni par e-mail.
- Notifications — autorisation système de votre téléphone (iOS ou Android), que vous pouvez retirer à tout moment dans ses réglages.
- Abonnement des salons — exécution du contrat d’abonnement (art. 6.1.b), pour encaisser le paiement et gérer l’abonnement.
- Factures — obligation légale (art. 6.1.c) : les factures et pièces comptables sont conservées dix ans (article L123-22 du code de commerce).
- Sécurité — intérêt légitime à maintenir un service utilisable et conforme.
5. Qui y a accès
- Votre prothésiste et son salon, pour les données nécessaires à votre rendez-vous et à votre suivi.
- Supabase — hébergement de la base, du stockage et de l’authentification.
- Brevo — envoi des e-mails portant vos codes de connexion, des e-mails de facturation des salons (fin d’essai, paiement), et des SMS.
- Expo — acheminement des notifications vers votre téléphone, et distribution des mises à jour de l’application.
- Apple — service de notification APNs, pour les iPhone.
- Google — service Firebase Cloud Messaging, pour les téléphones Android.
- Stripe — paiement de l’abonnement des salons et facturation (Stripe Payments Europe Limited, Dublin, Irlande). Ne concerne pas les clientes.
Aucune donnée n’est vendue, louée, ni transmise à des fins publicitaires.
6. Où sont les données, et les transferts hors UE
La base de données et les fichiers sont hébergés dans l’Union européenne, région de Paris (eu-west-3). Brevo, société française, héberge les données qu’il traite pour nous dans l’Union européenne.
Première exception : les notifications. Leur acheminement passe par les serveurs d’Expo, situés aux États-Unis, puis par le service d’Apple sur iPhone, ou par celui de Google sur Android. Le contenu transmis se limite à ce qui s’affiche sur votre écran verrouillé.
Sur quelle base ce transfert repose. Expo et Google LLC se sont auto-certifiés auprès du département du Commerce des États-Unis au titre du cadre de protection des données UE–États-Unis (EU–U.S. Data Privacy Framework), ainsi qu’à ses extensions britannique et suisse. Ce cadre fait l’objet d’une décision d’adéquation de la Commission européenne, qui autorise le transfert sans formalité supplémentaire.
Seconde exception, pour les salons abonnés : le paiement. Stripe peut transférer des données de paiement et de facturation vers les États-Unis. Ce transfert est couvert par la certification de Stripe au même cadre de protection des données UE–États-Unis.
7. Combien de temps
Vos données sont conservées tant que votre compte existe. Sa suppression, que vous déclenchez vous-même depuis l’application, efface immédiatement votre compte, votre rattachement au salon, vos notes de santé, vos photos de poses, vos photos d’inspiration et vos données de fidélité (visites comptabilisées, récompenses).
Une exception, et elle est volontaire : les rendez-vous passés restent dans l’agenda du salon, qui en a besoin pour sa comptabilité et son historique d’activité. Ils y figurent alors sans votre nom, sans votre mot libre et sans vos photos, sous la mention « Cliente supprimée ».
Les factures des salons abonnés sont conservées dix ans, même après la suppression du compte, parce que la loi l’exige (article L123-22 du code de commerce). La fiche client tenue par Stripe — nom, adresse e-mail — est également conservée par Stripe, selon ses propres obligations légales.
Nous n’annonçons aucune autre durée, parce qu’aucune purge automatique n’est appliquée aujourd’hui. Écrire ici un délai que le système ne tiendrait pas serait un engagement faux. Le jour où une purge sera mise en place, sa durée sera publiée sur cette page avant d’entrer en vigueur.
Ce que l’on peut ajouter : la trace d’un consentement retiré est conservée après le retrait, car la preuve de la révocation compte autant que celle de l’accord.
8. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment — sans que cela remette en cause ce qui a été fait avant le retrait. Vous pouvez également laisser des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).
Pour les exercer : contact@suppdevsync.com. Réponse sous un mois.
La suppression de votre compte ne demande aucune démarche auprès de nous et se fait dans l’application : onglet Profil, tout en bas, « Supprimer mon compte » côté cliente ; onglet Salon côté professionnel. Deux confirmations vous sont demandées, l’effet est immédiat.
9. Sécurité
L’accès aux données est contrôlé ligne par ligne dans la base, de sorte qu’une utilisatrice ne peut lire que ce qui la concerne, et un salon que ce qui concerne ses propres clientes. Les photos d’inspiration, les photos de poses et les photos de profil sont stockées dans des espaces privés, accessibles uniquement par des liens temporaires signés. Seules les photos que votre salon a publiées dans sa galerie sont accessibles publiquement, et vous pouvez vous y opposer à tout moment depuis votre profil.
Lorsqu’un salon synchronise un agenda externe, seules les plages horaires occupées sont importées — jamais le titre des événements, qui pourrait porter le nom d’une autre cliente.
10. Mineurs
La création d’un compte est réservée aux personnes majeures. En dessous de 18 ans, le rendez-vous se prend directement auprès du salon, par téléphone ou sur place, sans compte dans l’application : le salon sait enregistrer un rendez-vous sans que la cliente ait à s’inscrire. Aucune fonctionnalité n’est perdue, c’est la prothésiste qui saisit le rendez-vous.
Si nous apprenons qu’un compte a été créé par une personne mineure, il est supprimé.
11. Cookies
Ce site ne dépose aucun cookie et aucun traceur. Il n’utilise aucun outil de mesure d’audience, et les polices de caractères sont servies depuis ce serveur.
L’espace pro (/pro), réservé aux salons, enregistre dans le navigateur
(stockage local) la session de connexion : c’est strictement nécessaire pour
rester connectée, et elle est effacée à la déconnexion. Le temps d’un passage
par la page de paiement, il garde aussi l’identifiant du salon concerné, effacé
au retour. L’espace pro échange avec nos serveurs Supabase pour fonctionner.
Le paiement a lieu sur les pages de Stripe, qui appliquent leur propre politique de confidentialité et de cookies.
Les e-mails de facturation envoyés aux salons (rappels de fin d’essai, fermeture des réservations, paiement refusé) contiennent un pixel de mesure et des liens de suivi, posés par Brevo : ils indiquent si l’e-mail a été ouvert et si son lien a été suivi, pour vérifier que ces messages importants sont bien reçus. Ils ne servent à aucune publicité. Vous pouvez les bloquer en désactivant l’affichage automatique des images dans votre messagerie, ou nous demander de ne plus suivre vos e-mails à support@cutyapp.fr. Les e-mails portant vos codes de connexion n’en contiennent pas.
L’application mobile ne contient aucun traceur publicitaire.
12. Réclamation
Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.
13. Modifications
Toute évolution de ce document sera publiée sur cette page, avec sa date d’entrée en vigueur.