Politique de confidentialité
Version 1.0 — en vigueur au [à compléter : Date d’entrée en vigueur de la politique de confidentialité (LEGAL_PRIVACY_EFFECTIVE_DATE)]
La présente politique explique comment [à compléter : Dénomination sociale ou nom de l’entrepreneur individuel (LEGAL_COMPANY_NAME)] (« Metabolis », « nous ») traite vos données personnelles lorsque vous utilisez le site https://metabolis.chtara.com, achetez un programme, un e-book ou une séance, remplissez votre questionnaire, utilisez votre espace client, échangez avec votre conseillère en nutrition ou vous abonnez à notre lettre d’information. Elle est établie conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi organique espagnole n° 3/2018 du 5 décembre 2018 relative à la protection des données personnelles et à la garantie des droits numériques (« LOPDGDD »).
L’essentiel en bref
- Responsable : [à compléter : Dénomination sociale ou nom de l’entrepreneur individuel (LEGAL_COMPANY_NAME)] (NIF [à compléter : NIF (LEGAL_NIF)]), [à compléter : Voie du domicile professionnel (LEGAL_ADDRESS_STREET)], [à compléter : Code postal (LEGAL_ADDRESS_POSTAL_CODE)] [à compléter : Commune (LEGAL_ADDRESS_CITY)] ([à compléter : Province (LEGAL_ADDRESS_PROVINCE)]), Espagne ; contact : [à compléter : Adresse e-mail des demandes RGPD (LEGAL_PRIVACY_EMAIL)].
- Finalités : gérer votre compte et vos achats, vous accompagner (questionnaire, menus, séances, messagerie), vous envoyer les e-mails utiles et, si vous l’avez demandé, notre lettre d’information.
- Bases légales : le contrat ; votre consentement explicite pour les données de santé ; nos obligations légales ; notre intérêt légitime pour la sécurité du Site.
- Destinataires : notre hébergeur et nos sous-traitants (paiement, e-mails, visioconférence, maintenance), liés par contrat ; vos données ne sont jamais vendues.
- Vos droits : accès, rectification, effacement, limitation, portabilité, opposition, retrait du consentement et réclamation auprès d’une autorité de contrôle ; depuis votre espace client ou à [à compléter : Adresse e-mail des demandes RGPD (LEGAL_PRIVACY_EMAIL)].
- Calculs automatisés : vos besoins nutritionnels sont pré-calculés par des formules puis revus par votre conseillère en nutrition ; aucune décision n’est prise sur le seul fondement d’un traitement automatisé.
- Le détail figure dans les articles ci-dessous.
1. Responsable du traitement
[à compléter : Dénomination sociale ou nom de l’entrepreneur individuel (LEGAL_COMPANY_NAME)], [à compléter : Forme juridique (LEGAL_FORM)], NIF [à compléter : NIF (LEGAL_NIF)], [à compléter : Voie du domicile professionnel (LEGAL_ADDRESS_STREET)], [à compléter : Code postal (LEGAL_ADDRESS_POSTAL_CODE)] [à compléter : Commune (LEGAL_ADDRESS_CITY)] ([à compléter : Province (LEGAL_ADDRESS_PROVINCE)]), Espagne.
Contact pour toute question relative à vos données : [à compléter : Adresse e-mail des demandes RGPD (LEGAL_PRIVACY_EMAIL)] (ou par courrier à l’adresse ci-dessus).
2. Données de santé : ce qu’il faut savoir
Pour construire un accompagnement nutritionnel personnalisé, nous vous demandons des informations relatives à votre santé : pathologies déjà diagnostiquées par un médecin, traitements en cours, allergies et intolérances, mesures corporelles (poids, taille, tours), habitudes alimentaires, activité physique, sommeil, cycle, contraception, projet de grossesse, ménopause, ainsi que les informations échangées lors des séances et dans la messagerie. Ce sont des données « sensibles » au sens de l’article 9 du RGPD.
- Base légale : votre consentement explicite (article 9.2.a du RGPD), donné sur un écran dédié, par une case non pré-cochée distincte de l’acceptation des CGV et des CGU, avant de renseigner le questionnaire de santé ; il est enregistré avec sa date et la version de la présente politique. Tant qu’il n’est pas donné, le questionnaire, les menus, les mesures, le suivi et les séances restent indisponibles.
- Caractère nécessaire : sans ces données, nous ne pouvons pas vous proposer un accompagnement personnalisé et sûr (par exemple respecter une allergie). Certaines questions sont facultatives.
- Qui y accède : votre conseillère en nutrition et, dans la stricte mesure nécessaire à la maintenance technique et sous obligation de confidentialité, notre prestataire technique et notre hébergeur. Ces données ne sont jamais vendues ni utilisées à des fins publicitaires ; Stripe ne reçoit que les informations nécessaires au paiement (dont le nom de l’offre achetée), jamais votre questionnaire ni vos échanges.
- Offre couple : chaque membre du couple dispose de son propre compte et donne son propre consentement. La personne qui achète l’offre invite son ou sa partenaire par e-mail (lien d’invitation valable 7 jours). Lorsque les deux comptes sont liés, chacun peut consulter en lecture les menus et plans de l’autre. Chacun peut demander à rompre ce lien à tout moment, en écrivant à [à compléter : Adresse e-mail des demandes RGPD (LEGAL_PRIVACY_EMAIL)] ou via la messagerie.
- Retrait du consentement : vous pouvez retirer votre consentement à tout moment, en un clic depuis la rubrique « Confidentialité » de votre espace client, en écrivant à [à compléter : Adresse e-mail des demandes RGPD (LEGAL_PRIVACY_EMAIL)] ou via la messagerie. Le retrait ne remet pas en cause la licéité des traitements de données déjà effectués. Il entraîne l’arrêt immédiat de l’accompagnement personnalisé, qui ne peut pas être assuré sans ces données (questionnaire, menus, mesures, suivi et séances ne sont plus accessibles), et votre conseillère en nutrition en est informée. Vos données ne sont plus utilisées pour votre suivi : elles sont conservées pendant les durées indiquées à l’article 3, puis anonymisées, sauf si vous en demandez l’effacement. Vous pouvez redonner votre consentement à tout moment. Les conséquences financières sont prévues par les Conditions générales de vente (article 10.3).
- Hébergement : vos données de santé sont hébergées chez l’hébergeur du Site indiqué à l’article 4 (localisation : [à compléter : Pays du centre de données (HOST_DATA_LOCATION)]), avec les mesures de sécurité décrites à l’article 6.
3. Finalités, bases légales et durées de conservation
Les durées ci-dessous sont des durées maximales de conservation : vos données ne sont pas conservées au-delà.
| Finalité | Données | Base légale | Durée de conservation |
|---|---|---|---|
| Création et gestion de votre compte client | identité, e-mail, téléphone, mot de passe chiffré, langue | exécution du contrat (art. 6.1.b) | durée de la relation ; un compte ouvert sans achat est conservé au plus 6 mois sans activité |
| Vente de programmes, séances et e-books ; paiement ; facturation ; remboursements | identité, e-mail, adresse de facturation si vous l’indiquez, produit, prix, statut et identifiant du paiement (jamais les numéros de carte, traités uniquement par Stripe) | exécution du contrat (6.1.b) ; obligations comptables et fiscales espagnoles (6.1.c : code de commerce, article 30 ; loi générale fiscale) | 10 ans |
| Preuve de l’acceptation des conditions et des demandes ou renoncements liés au droit de rétractation | e-mail, date et heure, version du texte accepté, commande, empreinte chiffrée de l’adresse IP ; pour une rétractation en ligne, la demande et son accusé de réception | obligation légale et intérêt légitime à conserver la preuve du contrat (6.1.c et 6.1.f ; article L. 213-1 du code de la consommation français et article 28 de la LSSI-CE) | 10 ans, y compris après l’effacement du compte |
| Accompagnement nutritionnel personnalisé : questionnaire, mesures, calculs, menus, bilans, séances, documents et photos que vous déposez | données de santé décrites à l’article 2, préférences alimentaires | consentement explicite (art. 9.2.a) ; exécution du contrat (6.1.b) | 3 ans après votre dernier contact (connexion, message, rendez-vous, paiement ou fin de programme), puis anonymisation |
| Journal des modifications de votre dossier nutritionnel | date, auteur et nature de la modification | intérêt légitime (traçabilité des calculs, 6.1.f) ; sécurité (art. 32) | même durée que le dossier auquel il se rapporte |
| Rendez-vous et séances en visioconférence, rappels | date, heure, statut, lien de la séance, notes de la conseillère en nutrition | exécution du contrat ; consentement explicite pour les notes de santé | comme le dossier de suivi (3 ans après votre dernier contact) |
| Messagerie avec votre conseillère en nutrition | contenu des messages et pièces jointes | exécution du contrat ; consentement explicite (contenu de santé) | 3 ans après leur envoi |
| Notifications et rappels (espace client et e-mail) | type de notification, date, lecture | exécution du contrat | 1 an après leur création |
| Livraison des e-books | e-mail, e-book acheté, liens de téléchargement, date des téléchargements | exécution du contrat (6.1.b) | liens valables 30 jours ; achat conservé 10 ans ; liens et traces de téléchargement effacés avec vos données sur demande d’effacement |
| Lettre d’information et guides gratuits | nom, e-mail, guide choisi, date et version du consentement ou du retrait | envoi du guide demandé : mesure prise à votre demande (6.1.b) ; lettre d’information, case facultative : consentement (6.1.a ; article 21 de la LSSI-CE et, pour les destinataires en France, article L. 34-5 du code des postes et des communications électroniques) ; pour nos clientes et clients, intérêt légitime à présenter des offres analogues, sauf opposition | guide demandé sans inscription : adresse utilisée pour l’envoi, non conservée ensuite ; lettre d’information : jusqu’au désabonnement (lien de désinscription en un clic dans chaque e-mail, ou retrait depuis la rubrique « Confidentialité » de l’espace client) |
| Formulaire de contact | nom, e-mail, message | intérêt légitime à répondre à vos demandes (6.1.f) | le temps de traiter votre demande et d’en assurer le suivi |
| Exercice de vos droits (export, effacement, retrait du consentement) | identité, demande, réponse, fichier d’export | obligation légale (6.1.c) | fichier d’export disponible 30 jours puis supprimé ; demande conservée le temps nécessaire pour en justifier |
| Sécurité du Site, prévention de la fraude et des abus | adresse IP, journaux de connexion et d’accès, jetons de sécurité, anti-robot | intérêt légitime (6.1.f) ; sécurité (art. 32) | [à compléter : durée de conservation des journaux techniques (config/privacy.php, retention_days)] |
Lorsque vos données doivent être effacées ou rectifiées, celles dont la conservation reste nécessaire pour répondre d’éventuelles responsabilités sont bloquées (article 32 de la LOPDGDD) : elles ne sont plus utilisées et ne sont accessibles qu’aux autorités et juridictions, pendant les délais de prescription, puis supprimées.
4. Destinataires et sous-traitants
Vos données sont destinées à [à compléter : Dénomination sociale ou nom de l’entrepreneur individuel (LEGAL_COMPANY_NAME)] et à votre conseillère en nutrition. Elles peuvent être communiquées, dans la limite de ce qui est nécessaire, à :
| Destinataire | Rôle | Données concernées | Localisation et garanties |
|---|---|---|---|
| [à compléter : Nom de l’hébergeur (HOST_NAME)] | hébergement du Site et des bases de données | toutes les données du Site | [à compléter : Pays du centre de données (HOST_DATA_LOCATION)] |
| [à compléter : Fournisseur du stockage des sauvegardes (HOST_BACKUP_PROVIDER)] | stockage chiffré des sauvegardes | toutes les données du Site (chiffrées) | [à compléter : Localisation des sauvegardes (HOST_BACKUP_LOCATION)] |
| Stripe Payments Europe, Ltd. (Irlande) et ses affiliés | paiement en ligne sécurisé, remboursements, lutte contre la fraude | identité, e-mail, montant ; données de carte saisies directement chez Stripe | Union européenne ; transferts possibles vers les États-Unis encadrés par le Data Privacy Framework ou des clauses contractuelles types. Stripe agit aussi comme responsable de traitement pour ses propres obligations (lutte contre la fraude et le blanchiment). |
| [à compléter : Fournisseur d’envoi des e-mails (SMTP_PROVIDER)] | envoi des e-mails (confirmations, rappels, notifications, lettre d’information) | e-mail, nom, contenu des e-mails | [à compléter : Localisation du fournisseur d’e-mails (SMTP_LOCATION)] |
| [à compléter : Outil de visioconférence (VISIO_PROVIDER)] | séances en visioconférence | image, voix, nom affiché, données techniques de connexion | [à compléter : Localisation des serveurs de visioconférence (VISIO_LOCATION)] ; aucun enregistrement des séances |
| BunnyWay d.o.o. (fonts.bunny.net) | polices de caractères | adresse IP, navigateur | Slovénie (Union européenne) |
| [à compléter : Prestataire technique ayant accès au serveur (LEGAL_TECH_PROVIDER)] | développement et maintenance technique du Site | accès ponctuel aux données, limité aux besoins de la maintenance, sous obligation de confidentialité | contrat conforme à l’article 28 du RGPD |
| Conseil fiscal et comptable (gestoría), avocat, administrations, juridictions | obligations légales, défense de nos droits | données de facturation ; données strictement nécessaires | Espagne ; France le cas échéant |
Nous ne vendons ni ne louons vos données. Nos sous-traitants agissent sur nos instructions, dans le cadre de contrats conformes à l’article 28 du RGPD.
5. Transferts hors de l’Union européenne
Lorsque des données sont transférées hors de l’Espace économique européen (notamment vers les États-Unis), ce transfert est encadré par une décision d’adéquation (Data Privacy Framework pour les entreprises certifiées) ou par des clauses contractuelles types de la Commission européenne. Vous pouvez obtenir une copie de ces garanties en écrivant à [à compléter : Adresse e-mail des demandes RGPD (LEGAL_PRIVACY_EMAIL)].
6. Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles adaptées à la sensibilité des données : connexion chiffrée (HTTPS), mots de passe chiffrés, contrôle d’accès à chaque dossier, journalisation des accès et des modifications sensibles, sauvegardes chiffrées, politique de sécurité du contenu, protection anti-robot sans traceur tiers. En cas de violation de données présentant un risque, nous notifions l’Agence espagnole de protection des données (AEPD) dans les 72 heures et, si le risque est élevé, nous vous en informons.
7. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité, d’opposition (notamment, à tout moment et sans motif, à la prospection), de retrait de votre consentement à tout moment, et du droit de définir des directives relatives au sort de vos données après votre décès (article 3 de la LOPDGDD et, pour les personnes résidant en France, article 85 de la loi n° 78-17 du 6 janvier 1978).
- depuis votre espace client, rubrique « Confidentialité » : export de vos données (fichier téléchargeable pendant 30 jours), demande d’effacement, retrait du consentement à la lettre d’information et du consentement au traitement de vos données de santé ;
- par e-mail à [à compléter : Adresse e-mail des demandes RGPD (LEGAL_PRIVACY_EMAIL)] ou par courrier à [à compléter : Voie du domicile professionnel (LEGAL_ADDRESS_STREET)], [à compléter : Code postal (LEGAL_ADDRESS_POSTAL_CODE)] [à compléter : Commune (LEGAL_ADDRESS_CITY)] ([à compléter : Province (LEGAL_ADDRESS_PROVINCE)]), Espagne.
Nous répondons dans un délai d’un mois, prolongeable de deux mois en cas de demande complexe (vous en serez informé). Nous pouvons vous demander de justifier de votre identité en cas de doute raisonnable. L’effacement ne porte pas sur les données que la loi nous oblige à conserver (factures, paiements, preuve d’acceptation des conditions de vente) : elles sont conservées de façon restreinte pour la seule durée légale.
Réclamation : l’autorité de contrôle compétente pour Metabolis, établie en Espagne, est l’Agence espagnole de protection des données (AEPD), C/ Jorge Juan 6, 28001 Madrid, www.aepd.es. Vous pouvez aussi introduire une réclamation auprès de l’autorité de contrôle de l’État membre où vous résidez ou travaillez ; en France : Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.
8. Décision automatisée
Les besoins nutritionnels et les menus sont pré-calculés par des formules, puis revus et validés par votre conseillère en nutrition. Aucune décision produisant des effets juridiques ou vous affectant de manière significative n’est prise sur le seul fondement d’un traitement automatisé.
9. Mineurs
Les services sont réservés aux personnes majeures. Nous ne collectons pas sciemment de données concernant des mineurs.
10. Cookies
Les traceurs utilisés sont décrits dans la Politique cookies.
11. Modification
Nous pouvons mettre à jour la présente politique. En cas de modification substantielle, notamment de finalité, nous vous en informerons par e-mail ou dans votre espace client et, si nécessaire, recueillerons à nouveau votre consentement.