POLITIQUE DE CONFIDENTIALITÉ Boutique et Espace Soins Cosmétiques
Dernière mise à jour : 07/05/2026
Article 1 – Identité du responsable de traitement
| Raison sociale | GALÉNIC COSMETICS LABORATORY |
| Forme juridique | SAS |
| Siège social | 3 rue du Colonel Moll, 75017 Paris |
| SIRET | 889 310 108 |
| RCS | Paris |
| Délégué à la protection des données (DPO) | dpo@galenic.com |
Article 2 – Objet de la présente politique
La présente politique de confidentialité a pour objet d'informer les clients de la boutique et de l'espace soins cosmétiques de GALÉNIC COSMETICS LABORATORY sur la manière dont leurs données à caractère personnel sont collectées, traitées, conservées et protégées, conformément au Règlement Général sur la Protection des Données (RGPD – Règlement UE 2016/679) et à la loi n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés ».
Elle s'applique à l'ensemble des traitements de données personnelles réalisés dans le cadre des activités suivantes :
- Accueil et identification des clients en boutique.
- Réalisation de soins cosmétiques et de bien-être.
- Gestion de la relation client et de la fidélisation.
- Communications commerciales (avec consentement).
- Respect des obligations de cosmétovigilance (déclaration et évaluation des effets indésirables liés aux produits cosmétiques).
Article 3 – Données collectées et finalités
3.1 Fiche client boutique (Formulaire CIC)
| Données collectées | Finalité | Base légale | Durée |
|---|---|---|---|
| Nom, prénom, civilité, email, adresse postale, téléphone | Gestion de la relation client, identification, facturation | Exécution du contrat (art. 6.1.b) | Durée de la relation commerciale + 5 ans (prescription civile, art. 2224 C. civ.) ; données comptables : 10 ans (art. L.123-22 C. com.) |
| Historique des achats (produits, dates, montants) | Suivi de la relation client, gestion du SAV, preuve des transactions | Exécution du contrat (art. 6.1.b) | Durée de la relation commerciale + 5 ans |
| Date de naissance | Offres personnalisées (anniversaire), vérification de la majorité le cas échéant | Intérêt légitime (art. 6.1.f) | Durée de la relation commerciale + 3 ans |
| Pays | Envoi de correspondances, invitations à des événements | Intérêt légitime (art. 6.1.f) | Durée de la relation commerciale + 3 ans |
| Type de peau, préoccupations cutanées, routine de soin | Personnalisation des conseils et de l'expérience en boutique | Consentement (art. 6.1.a) | Jusqu'au retrait du consentement ou 3 ans d'inactivité |
| Email / téléphone (prospection) | Communications marketing, invitations à des événements exclusifs | Consentement (art. 6.1.a) | Jusqu'au retrait du consentement ou 3 ans d'inactivité |
| Historique des achats à finalité marketing | Ciblage marketing et recommandations personnalisées de produits, y compris via une segmentation | Consentement (art. 6.1.a) | Durée de la relation commerciale + 3 ans |
| (si choisi) Photographie de votre visage et génération d'une analyse automatisée de vos caractéristiques cutanées | La machine VISIA (Canfield Imaging Systems) capture une photographie de votre visage et génération d'une analyse automatisée de vos caractéristiques cutanées | Consentement (art. 6.1.a) | Jusqu'au retrait du consentement ou 3 ans d'inactivité |
3.2 Questionnaire soin cosmétique (Formulaire Spa)
| Données collectées | Finalité | Base légale | Durée |
|---|---|---|---|
| Nom, prénom, email, téléphone | Identification du client, gestion du rendez-vous | Exécution du contrat (art. 6.1.b) | Durée de la relation + 5 ans |
| Objectif du soin, préférences (pression, ambiance) | Personnalisation de l'expérience de soin | Exécution du contrat (art. 6.1.b) | Durée de la relation + 5 ans |
| Allergies, réactions cutanées, pathologies, grossesse, traitements, interventions chirurgicales, présence d'implants métalliques dans le corps | Adaptation du soin en toute sécurité, prévention des contre-indications | Consentement explicite pour données de santé (art. 9.2.a) | Durée des soins + 10 ans (prescription en matière de dommage corporel, art. 2226 C. civ. ; responsabilité produits, art. 1245-15 C. civ.) |
| Données de santé et d'identification du client en cas d'effet indésirable signalé | Déclaration de cosmétovigilance auprès de l'ANSES et évaluation de l'imputabilité par le prestataire VIGIPHARM | Obligation légale (art. 6.1.c RGPD ; art. L.5131-9 et R.5131-15 du Code de la santé publique) | 10 ans à compter du signalement (prescription en matière de responsabilité du fait des produits) |
| (si choisi) Photographie de votre visage et génération d'une analyse automatisée de vos caractéristiques cutanées | La machine VISIA (Canfield Imaging Systems) capture une photographie de votre visage et génération d'une analyse automatisée de vos caractéristiques cutanées | Consentement (art. 6.1.a) | Jusqu'au retrait du consentement ou 3 ans d'inactivité |
À l'expiration de ces délais de conservation, les données sont supprimées ou anonymisées de manière irréversible.
Article 4 – Données de santé – Protection renforcée
Certaines données collectées via le questionnaire de soin relèvent de la catégorie des « données de santé » au sens de l'article 9 du RGPD (allergies, pathologies, grossesse, traitements médicaux, interventions chirurgicales, présence d'implants métalliques dans le corps). Ces données bénéficient d'une protection renforcée :
- Elles ne sont collectées qu'avec votre consentement explicite, recueilli par une case à cocher dédiée sur le formulaire de soin.
- Elles sont utilisées exclusivement pour adapter le soin à votre profil physiologique et prévenir tout risque lié à une contre-indication.
- Elles sont accessibles uniquement au personnel habilité du centre (praticien(ne)s réalisant le soin, responsable d'institut).
- Elles ne sont jamais communiquées à des tiers à des fins commerciales.
- Elles sont conservées de manière sécurisée (formulaires papier sous clé à la boutique).
- En cas d'effet indésirable (rougeurs, irritations, réactions cutanées, etc.) survenant à la suite de l'utilisation de nos produits ou de la réalisation d'un soin, GALÉNIC COSMETICS LABORATORY est tenue par une obligation légale de cosmétovigilance (articles L.5131-9 et R.5131-15 du Code de la santé publique). Dans ce cadre, vos données de santé et d'identification pourront être transmises à notre prestataire de cosmétovigilance, VIGIPHARM, aux fins d'évaluation de l'imputabilité du produit concerné, et le cas échéant à l'Agence Nationale de Sécurité du Médicament (ANSES). Ce traitement est fondé sur l'obligation légale (art. 6.1.c du RGPD) et ne requiert pas votre consentement préalable.
Vous pouvez retirer votre consentement à tout moment en contactant notre DPO. Le retrait du consentement ne remet pas en cause la licéité du traitement fondé sur le consentement donné avant son retrait. Toutefois, en l'absence de consentement au traitement de vos données de santé, nous ne serons pas en mesure de réaliser le soin dans des conditions de sécurité optimales. Toutefois, si un signalement de cosmétovigilance est en cours, les données nécessaires au traitement de ce signalement seront conservées sur le fondement de l'obligation légale, indépendamment du retrait de votre consentement.
Article 5 – Destinataires des données
Vos données personnelles sont accessibles aux catégories de destinataires suivantes :
Données courantes :
- Le personnel habilité du centre : praticien(ne)s, responsable d'institut, personnel d'accueil (pour les données d'identification uniquement).
- Shopify International Limited (Irlande), agissant en qualité de sous-traitant au sens de l'article 28 du RGPD pour l'hébergement et la gestion des données d'identification et de l'historique d'achats. Shopify est lié par un Data Processing Addendum conforme au RGPD (https://www.shopify.com/legal/dpa). Shopify n'a pas accès aux données de santé.
- Le personnel habilité du centre : praticien(ne)s, responsable d'institut.
- Vigipharm, prestataire de cosmétovigilance, destinataire des données de santé et d'identification exclusivement en cas de signalement d'un effet indésirable, dans le cadre de l'obligation légale de cosmétovigilance. Vigipharm agit en qualité de sous-traitant au sens de l'article 28 du RGPD et est soumis à des obligations de confidentialité.
- Les autorités compétentes (ANSES pour la cosmétovigilance, autorités judiciaires sur réquisition).
- Canfield, accès aux données uniquement dans le cadre d'actions de maintenance de la machine Visia.
- Accès restreint aux données par mot de passe et authentification individuelle.
- Stockage des formulaires papier dans un local fermé à clé à accès limité.
- Sensibilisation et formation du personnel à la protection des données.
- Obligation de confidentialité professionnelle de l'ensemble du personnel.
- Hébergement des données numériques chez Shopify, prestataire certifié SOC 2 Type II et PCI DSS niveau 1, avec chiffrement des données en transit et au repos, contrôle d'accès strict et sauvegardes redondantes.
- Par email : dpo@galenic.com
- Par courrier : GALÉNIC COSMETICS LABORATORY – DPO – 3 rue du Colonel Moll, 75017 Paris
- En ligne : www.cnil.fr
- Par courrier : CNIL – 3 Place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07
Données de santé et biométriques (uniquement pour la machine VISIA si choisie) :
Aucune donnée personnelle n'est vendue, louée ou cédée à des tiers à des fins commerciales.
Article 6 – Transferts de données hors Union européenne
Dans le cadre de ses activités, GALÉNIC COSMETICS LABORATORY fait appel à des prestataires techniques qui peuvent impliquer des transferts de données personnelles hors de l'Union européenne. Aucune donnée de santé n'est concernée par ces transferts ; celles-ci sont conservées exclusivement sur support papier en boutique.
Shopify International Limited (Irlande) — Les données d'identification et l'historique d'achats collectés via le formulaire CIC sont hébergés par Shopify International Limited, basée en Irlande. Dans le cadre de la fourniture de ses services, Shopify peut transférer ces données vers le Canada (Shopify Inc.), pays bénéficiant d'une décision d'adéquation de la Commission européenne (décision 2002/2/CE, renouvelée le 15 janvier 2024). Des transferts vers des sous-traitants ultérieurs de Shopify situés aux États-Unis et à Singapour peuvent également intervenir, encadrés par les clauses contractuelles types (SCCs) approuvées par la Commission européenne. Le détail des sous-traitants de Shopify est disponible à l'adresse : https://help.shopify.com/en/manual/privacy-and-security/privacy/subprocessors.
Article 7 – Sécurité des données
GALÉNIC COSMETICS LABORATORY met en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité et la confidentialité de vos données personnelles, et notamment :
Article 8 – Vos droits
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants :
| Droit | Description |
|---|---|
| Droit d'accès (art. 15) | Obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie. |
| Droit de rectification (art. 16) | Faire corriger des données inexactes ou incomplètes. |
| Droit à l'effacement (art. 17) | Demander la suppression de vos données, sous réserve des obligations légales de conservation. |
| Droit à la limitation (art. 18) | Demander le gel temporaire du traitement de vos données. |
| Droit à la portabilité (art. 20) | Récupérer vos données dans un format structuré et lisible par machine. |
| Droit d'opposition (art. 21) | Vous opposer au traitement de vos données pour des motifs légitimes, ou à tout moment pour la prospection commerciale. |
| Retrait du consentement | Retirer à tout moment votre consentement, sans remettre en cause la licéité du traitement effectué avant ce retrait. |
| Directives post-mortem | Définir des directives relatives au sort de vos données après votre décès (art. 85 loi Informatique et Libertés). |
Comment exercer vos droits ?
Vous pouvez exercer l'ensemble de ces droits en contactant notre Délégué à la Protection des Données :
Une réponse vous sera adressée dans un délai d'un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois en cas de complexité ou de nombre élevé de demandes.
Une pièce d'identité pourra vous être demandée en cas de doute raisonnable sur votre identité.
Article 9 – Réclamation auprès de la CNIL
Si, après nous avoir contactés, vous estimez que vos droits en matière de protection des données ne sont pas respectés, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
Article 10 – Décision automatisée et profilage
GALÉNIC COSMETICS LABORATORY ne met en œuvre aucune décision entièrement automatisée ni aucun profilage au sens de l'article 22 du RGPD dans le cadre des traitements décrits dans la présente politique.
GALÉNIC COSMETICS LABORATORY peut utiliser des techniques de segmentation basées sur les préférences et l'historique d'achats pour personnaliser ses communications commerciales. Ce traitement ne produit pas d'effets juridiques ni d'effets significatifs similaires sur les personnes concernées. Vous pouvez vous opposer à ce profilage à tout moment en contactant le DPO à : dpo@galenic.com
Article 11 – Confidentialité
L'ensemble du personnel de GALÉNIC COSMETICS LABORATORY est soumis à une obligation de confidentialité professionnelle. Les données collectées dans le cadre des questionnaires de soin sont traitées de manière strictement confidentielle.
Important : notre centre propose des soins cosmétiques et de bien-être non médicaux. Le personnel est tenu à une obligation de confidentialité contractuelle.
Article 12 – Modification de la politique
La présente politique de confidentialité peut être mise à jour à tout moment afin de refléter les évolutions législatives, réglementaires ou de nos pratiques. En cas de modification substantielle, nous vous en informerons par tout moyen approprié. La date de dernière mise à jour figure en en-tête de ce document.