Politique de confidentialité

Le site expertepilation.fr est édité par WELINK TECH, SASU au capital social de 1 000 €, dont le siège social est situé 6 rue des Bateliers, 92110 Clichy, immatriculée sous le numéro SIREN 984 800 136 (SIRET 984 800 136 00017).

WELINK TECH est responsable du traitement au sens de l'article 4.7 du RGPD pour les traitements décrits ci-dessous.

Contact protection des données : notre formulaire de contact — objet « RGPD ». Un référent est joignable à l'adresse donnees@expertepilation.fr. WELINK TECH n'exerce aucune activité médicale, n'emploie aucun praticien et ne réalise aucun acte.

• Identité et contact : nom, numéro de téléphone, adresse email si vous la communiquez, code postal ou commune.
• Votre demande : zones corporelles concernées, type de peau et de poil tel que vous le décrivez, préférence technologique, échéance souhaitée, pour la greffe : stade de calvitie déclaré, âge, technique envisagée, destination souhaitée.
• Preuves de consentement : texte exact accepté, date et heure, page d'origine, canal utilisé.
• Échanges : messages échangés avec vous par WhatsApp ou par email au sujet de votre demande, journaux techniques associés (horodatage d'envoi, de remise et de lecture).
• Photographies : uniquement si vous en transmettez volontairement dans le cadre d'une demande de greffe capillaire, et uniquement après votre accord spécifique. Voir le point 5 : elles ne sont pas conservées par la plateforme.
• Mesure d'audience : statistiques de visite agrégées, sans identification directe.

Nous ne collectons ni identifiant de santé (NIR), ni dossier médical, ni résultat d'examen, ni information sur une pathologie.

Chaque finalité repose sur une base légale identifiée à l'article 6 du RGPD, et, pour les données de santé, sur une exception de l'article 9.2 :

• Transmettre votre demande au centre partenaire de votre secteur, vous recontacter et vous adresser votre estimation : votre consentement (art. 6.1.a), recueilli séparément pour l'appel téléphonique et pour la messagerie WhatsApp. Les informations relatives à votre peau et à vos poils, qui peuvent révéler un état de santé, reposent sur votre consentement explicite (art. 9.2.a), recueilli par une case dédiée.
• Transmettre vos photographies au praticien qui étudie votre dossier : votre consentement explicite (art. 9.2.a), demandé après celui de l'appel, et révocable à tout moment.
• Vérifier que la demande est réelle et à jour : si vous y avez consenti, une confirmation peut être demandée par message ; cette opération a pour seul objet de ne pas transmettre à un professionnel de santé la demande d'une personne qui ne l'a pas formulée, et repose sur notre intérêt légitime (art. 6.1.f) à garantir la qualité du service.
• Rémunération des partenaires, comptabilité et preuve des obligations légales : exécution du contrat (art. 6.1.b) et respect de nos obligations légales (art. 6.1.c).
• Mesure d'audience et sécurité : intérêt légitime à améliorer le service et à le protéger (art. 6.1.f).

Aucune décision automatisée produisant des effets juridiques n'est prise à votre égard. Le classement des demandes sert uniquement à attribuer le dossier au professionnel compétent.

Les informations décrivant votre zone corporelle, votre type de peau ou de poil, ainsi que les photographies que vous transmettez, peuvent relever des données concernant la santé (art. 9 RGPD). Elles bénéficient à ce titre d'une protection renforcée : elles ne sont ni utilisées à d'autres fins, ni revendues, ni exploitées à des fins publicitaires ou de profilage.

Votre demande n'est jamais transmise à plusieurs prestataires simultanément : elle est attribuée à un seul partenaire, qui en devient destinataire pour son seul usage.

Les données de santé ne sont jamais sorties de l'Union européenne par nos soins, et ne sont jamais déposées sur un support non maîtrisé (tableur partagé, messagerie de groupe, export libre).

La plateforme ne conserve aucune photographie. Quand vous en envoyez une par WhatsApp après avoir donné votre accord, elle est transmise au partenaire chargé de votre dossier par la messagerie Meta, sans être enregistrée sur nos serveurs : nous journalisons seulement le fait qu'une image a été reçue, jamais son contenu.

Nous n'écrivons donc pas de donnée de santé sur notre infrastructure. Cette conception est volontaire : l'hébergement de données de santé pour le compte d'autrui relève, en France, de l'article L1111-8 du Code de la santé publique et suppose un hébergeur certifié HDS. Ne pas héberger supprime le risque, au lieu de le déplacer.

Vous pouvez à tout moment nous demander de n'accepter aucune image : dans ce cas, vous transmettez vos photos directement au centre, qui les reçoit dans sa propre messagerie et sous sa propre responsabilité. Vous conservez le droit de demander la suppression des images reçues par le partenaire, directement auprès de lui ou par notre intermédiaire.

• Le centre ou cabinet partenaire qui prend en charge votre demande, et lui seul. Aucun autre partenaire ne reçoit vos coordonnées. Les partenaires qui traitent des demandes relevant d'un cadre médical sont vérifiés avant activation.
• Nos sous-traitants techniques, qui agissent sur nos instructions écrites : Vercel Inc. (hébergement des pages), Supabase Inc. (base de données et authentification), Meta Platforms Ireland Ltd (messagerie WhatsApp Business), Stripe Payments Europe Ltd (paiements des partenaires), Resend Inc. (emails transactionnels).
• Nos conseils (expert-comptable, conseil juridique), soumis au secret professionnel.
• Les autorités, si la loi nous y oblige.

Nous ne vendons ni ne louons vos données. Nous ne les partageons pas avec des courtiers en données ni avec des régies publicitaires.

Certains sous-traitants sont établis hors de l'Union européenne ou font appel à des sous-traitants ultérieurs hors UE (notamment aux États-Unis). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, complétées, le cas échéant, par des mesures techniques telles que le chiffrement en transit et en repos et une limitation stricte des accès. La description exacte des transferts et des garanties figure dans notre registre des traitements, tenu à la disposition de la CNIL.

Aucune donnée de santé n'est transférée hors UE par nos soins (point 4), ni communiquée à une entité non soumise au RGPD.

Ces durées sont appliquées automatiquement par notre purge planifiée ; elles ne sont pas théoriques :

• Demande non aboutie (vous n'êtes pas recontacté, ou vous ne donnez pas suite) : suppression 90 joursaprès la dernière interaction.
• Demande aboutie (mise en relation effectuée) : 36 mois après la dernière interaction, durée nécessaire à la gestion des contestations liées à la rémunération du partenaire.
• Preuve de consentement (texte, date, canal) : 5 ans, durée de la prescription civile, pour pouvoir démontrer que votre accord a bien été recueilli.
• Photographies : aucune conservation par la plateforme (point 5).
• Journaux techniques et de sécurité : 13 mois.
• Pièces comptables et factures : 10 ans, conformément à l'article L123-22 du Code de commerce. Ces documents ne contiennent aucune donnée de santé.

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci. Le retrait entraîne l'arrêt immédiat de toute transmission et de tout contact.

Pour exercer ces droits, écrivez-nous via notre formulaire de contact avec l'objet « RGPD » : nous répondons dans un délai maximum d'un mois. Une pièce justificative d'identité ne peut être demandée qu'en cas de doute raisonnable sur votre identité.

Vous pouvez également introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07) ou de toute autorité de contrôle de votre lieu de résidence.

Le site n'utilise que les cookies strictement nécessaires à son fonctionnement, ainsi qu'une mesure d'audience agrégée et anonymisée. Aucun cookie publicitaire ou de reciblage n'est déposé sans votre consentement, recueilli par le bandeau prévu à cet effet, et révocable à tout moment.

Accès aux données restreints aux personnes habilitées, authentification renforcée de l'interface d'administration, cloisonnement par partenaire (aucun partenaire n'accède aux données des autres), chiffrement des flux, journalisation des accès sensibles, purge automatique et procédure de notification en cas de violation de données transmise à la CNIL dans les 72 heures si les conditions de l'article 33 du RGPD sont réunies.