Politique de confidentialité

Responsable du traitement

My Bubble Beauty (Souade El Fellaoui, BCE 0723.549.229), Palokestraat 146, 1700 Dilbeek, Belgique - mybubble9600@gmail.com - 0484.118.395.

Visite du site et hébergement

Pour afficher les pages et protéger le service, notre serveur traite l'adresse IP des visiteurs. Le site et la base de données, qui contient votre compte et vos rendez-vous, sont hébergés sur un serveur loué à OVHcloud, dans son centre de données de Beauharnois (Québec, Canada). Nous administrons nous-mêmes ce serveur. Ces données techniques ne servent pas à vous identifier, et le serveur web ne tient aucun journal des pages visitées.

Le Canada fait l'objet d'une décision d'adéquation de la Commission européenne (décision 2002/2/CE) : vos données y bénéficient d'un niveau de protection reconnu équivalent à celui de l'Union européenne.

Cookies et stockage local

Le site dépose trois cookies, seulement si vous vous connectez à votre compte. Ils sont strictement nécessaires au service que vous demandez et ne nécessitent donc pas de consentement : aucun bandeau ne vous est présenté.

__Host-mb_session maintient votre connexion pendant votre visite. Il contient un code aléatoire dont nous ne gardons qu'une empreinte. Il disparaît à la fermeture du navigateur ou à la déconnexion, et la session expire de toute façon après 30 minutes sans activité et au plus tard 12 heures après la connexion. Si vous cochez « Se souvenir de moi », il reste sur l'appareil 30 jours, même navigateur fermé, et la session dure aussi 30 jours.
__Host-mb_device mémorise pendant un an qu'une connexion a déjà réussi depuis ce navigateur. Il sert uniquement à la sécurité : si un tiers essaie des mots de passe en série sur votre adresse, votre propre appareil n'est pas bloqué. Il ne contient pas votre adresse e-mail en clair et ne sert à rien d'autre.
__Host-mb_oauth n'existe que pendant une connexion par Google ou Microsoft, 10 minutes au plus. Il vérifie que le retour correspond bien à la demande partie de ce navigateur, puis il est effacé.

Ces cookies ne sont lisibles que par ce site, jamais par un script, et ne servent ni à la publicité ni au suivi de votre navigation.

Deux réglages que vous choisissez sont aussi enregistrés dans votre navigateur (stockage local) : la pause des animations, sous le nom mb-motion, et le thème clair ou sombre, sous le nom mb-theme. Ils ne sont créés que si vous utilisez ces boutons. Ils servent seulement à mémoriser vos réglages, ne sont jamais transmis et peuvent être effacés à tout moment dans les réglages de votre navigateur. Ils ne nécessitent donc pas de consentement.

Entre la connexion et l'inscription, un repère auth-swap est gardé quelques secondes dans le stockage de session du navigateur pour enchaîner l'animation. Il est effacé à l'arrivée sur la page suivante.

Si vous refusez ci-dessous le comptage de vos visites, un dernier cookie, mb_nostats, garde ce choix pendant un an. Il ne contient rien d'autre.

Les cookies de connexion ne peuvent pas être refusés : sans eux, la connexion est impossible. Ils sont effacés à la déconnexion. Vous pouvez aussi supprimer à tout moment tous les cookies de ce site dans les réglages de votre navigateur.

Mesure d'audience

Nous comptons nous-mêmes les visites du site, sans cookie et sans outil tiers. Quand vous ouvrez une page publique, notre serveur calcule une empreinte à partir de votre adresse IP, de votre navigateur et d'une clé aléatoire qui change chaque jour et n'est jamais enregistrée. Seuls l'empreinte, la date et le nombre de pages vues ce jour-là sont conservés. Votre adresse IP n'est pas enregistrée et, une fois la clé du jour effacée, l'empreinte ne permet plus de vous reconnaître ni de suivre votre navigation d'un jour à l'autre. Les pages de compte et de réservation ne sont pas comptées. Ces statistiques sont conservées 13 mois, dans notre base de données, sur notre serveur OVHcloud au Canada.

Base légale : notre intérêt légitime à connaître la fréquentation du site (art. 6.1.f RGPD). Le comptage lui-même ne dépose et ne lit rien sur votre appareil.

Vous pouvez refuser ce comptage à tout moment dans la rubrique Cookies et stockage local. Il est aussi coupé d'office si votre navigateur envoie le signal Global Privacy Control.

Compte client

Pour réserver en ligne, vous créez un compte avec votre adresse e-mail, votre nom et un mot de passe. Vous pouvez y ajouter votre téléphone, si vous le souhaitez, pour que l'institut puisse vous joindre au sujet d'un rendez-vous. Votre nom, votre adresse e-mail et votre téléphone apparaissent avec vos rendez-vous dans l'agenda de l'institut. Vous pouvez modifier votre nom et votre téléphone dans votre compte. Nous enregistrons aussi la langue du site utilisée à l'inscription, pour vous écrire dans cette langue. Votre mot de passe n'est jamais conservé : seule une empreinte irréversible est enregistrée. Quand vous choisissez un mot de passe, il est comparé de façon anonyme à la liste publique des mots de passe divulgués (Have I Been Pwned) : seuls les 5 premiers caractères de son empreinte sont envoyés, jamais le mot de passe.

Base légale : exécution du contrat et mesures précontractuelles (art. 6.1.b RGPD).

Un compte dont l'adresse n'a pas été confirmée est supprimé après 7 jours. Un compte est supprimé automatiquement 3 ans après votre dernier rendez-vous, ou 3 ans après sa création si vous n'avez jamais réservé. Vous pouvez supprimer votre compte à tout moment depuis votre espace client : vos rendez-vous à venir sont annulés, vous avez 30 jours pour le réactiver en vous reconnectant, puis il est effacé. Vous pouvez aussi l'effacer immédiatement, ou nous écrire à mybubble9600@gmail.com (suppression faite dans un délai d'un mois). Vous pouvez télécharger vos données à tout moment depuis votre compte (fichier JSON). Le changement de l'adresse e-mail du compte se fait aussi sur demande.

Réservation en ligne

Quand vous réservez, nous enregistrons la prestation choisie, la date et l'heure, le prix, la remise éventuelle (code promo) et l'état de la réservation (confirmée ou annulée). Aucun paiement n'est demandé en ligne : le soin se règle au salon. La réservation en ligne ne vous demande aucune donnée de santé. Nous vous envoyons un e-mail quand le rendez-vous est confirmé, puis un autre s'il est annulé.

Base légale : exécution du contrat (art. 6.1.b RGPD) et, pour les pièces comptables, nos obligations légales (art. 6.1.c RGPD).

Rendez-vous par téléphone et dossier client

Lorsque vous nous contactez par téléphone, e-mail, WhatsApp ou via nos réseaux sociaux, nous utilisons vos coordonnées et l'historique de vos rendez-vous uniquement pour organiser vos soins (base légale : exécution du contrat et mesures précontractuelles, art. 6.1.b RGPD). Si vous n'avez pas de compte, l'institut peut inscrire votre rendez-vous dans son agenda en ligne avec votre nom et, si vous le donnez, votre téléphone. Ces données sont conservées au maximum 3 ans après votre dernier rendez-vous, sauf obligation légale de conservation plus longue (comptabilité).

WhatsApp, Facebook, Instagram et Snapchat sont des services tiers soumis à leur propre politique de confidentialité.

E-mails de service

Les e-mails liés à votre compte et à vos réservations (confirmation de l'adresse, avis d'inscription avec une adresse déjà enregistrée, mot de passe oublié, avis de changement de mot de passe, confirmation et annulation de rendez-vous) sont envoyés par Resend, notre prestataire d'envoi. Resend reçoit votre adresse e-mail et le contenu du message. Il est établi aux États-Unis : le transfert repose sur sa certification au Data Privacy Framework et sur les clauses contractuelles types de la Commission européenne. Nous n'envoyons aucun e-mail publicitaire.

Sécurité et journaux

Pour protéger les comptes contre la fraude et les essais de mots de passe, nous notons les événements importants dans un journal de sécurité : connexions réussies ou refusées, inscriptions, réinitialisations et changements de mot de passe, paiements et remboursements, actions de l'administration. Selon l'événement, ces lignes contiennent l'adresse IP et le numéro interne du compte, jamais votre mot de passe. Le nombre d'essais par adresse IP et par adresse e-mail est aussi compté en mémoire, pendant 15 minutes à 1 heure. La liste de vos sessions ouvertes (navigateur et système, date de connexion, dernière activité) est visible dans votre compte, où vous pouvez déconnecter vos autres appareils.

Base légale : notre intérêt légitime à sécuriser le site et vos données (art. 6.1.f RGPD). Le journal de sécurité de l'institut, enregistré dans notre base de données, note aussi les suppressions et réactivations de compte, les exports de données et les accords pour les données de santé ; il est gardé 12 mois. Les journaux techniques de notre serveur sont gardés 14 jours, puis effacés.

Données de santé

Avant certains soins, nous vous demandons de remplir une fiche ou un questionnaire de santé (allergies, grossesse, traitements, contre-indications). Ces informations sont des données sensibles. Elles ne sont collectées qu'avec votre consentement explicite (art. 6.1.a et 9.2.a RGPD), servent uniquement à réaliser le soin en sécurité, sont accessibles aux seules personnes qui vous soignent et sont conservées 3 ans après votre dernier soin. Vous pouvez retirer votre consentement à tout moment ; certains soins ne pourront alors plus être réalisés. Fournir ces informations est facultatif, mais nécessaire pour réaliser certains soins.

Si vous donnez votre accord (case facultative lors de la réservation, ou dans votre compte), l'institut peut noter ces informations dans votre fiche client sur ce site. Seul l'institut les voit ; elles n'entrent jamais dans le journal de sécurité. Vous pouvez retirer votre accord depuis votre compte : l'institut efface alors ces informations de votre fiche.

Photos avant et après

Des photos de suivi peuvent être prises pour évaluer l'évolution d'un soin, uniquement avec votre accord. Elles ne sont jamais publiées sans votre consentement écrit et séparé, que vous pouvez retirer à tout moment. Elles sont conservées 3 ans après la fin du suivi.

Destinataires

Vos données ne sont ni vendues ni cédées. Elles ne sont communiquées qu'aux prestataires strictement nécessaires, chacun pour sa seule mission : OVHcloud (hébergement du site et de la base de données), Resend (envoi des e-mails), notre comptable, ou aux autorités lorsque la loi l'exige.

Durées de conservation

Compte dont l'adresse n'est pas confirmée : 7 jours.
Session de connexion : 30 minutes sans activité, 12 heures au plus ; 30 jours si vous cochez « Se souvenir de moi ».
Cookie d'appareil : 1 an.
Compte client : 3 ans après votre dernier rendez-vous (ou après sa création si vous n'avez jamais réservé), ou jusqu'à votre demande de suppression.
Nom et téléphone d'une personne sans compte, saisis par l'institut : 3 ans après le rendez-vous.
Compte supprimé à votre demande : 30 jours pour le réactiver, puis effacement.
Journal de sécurité de l'institut : 12 mois. Journaux techniques de l'hébergeur : de 7 à 30 jours.
Pièces comptables (paiements et remboursements) : pendant la durée imposée par la loi comptable belge.

Après la suppression d'un compte, les réservations passées ne gardent que la prestation, la date et les montants, sans votre nom ni vos coordonnées.

Liens externes

Les liens vers YouTube, Google Maps et nos réseaux sociaux ouvrent ces services, qui appliquent leurs propres règles. Aucun contenu de ces services n'est chargé sur ce site.

Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement. Écrivez-nous à mybubble9600@gmail.com. Vous pouvez supprimer votre compte et télécharger vos données vous-même depuis votre compte. Pour changer son adresse e-mail, écrivez-nous depuis l'adresse du compte. Vous pouvez aussi introduire une plainte auprès de l'Autorité de protection des données (autoriteprotectiondonnees.be).

Dernière mise à jour : 8 novembre 2026