Politique de confidentialité (RGPD)

1. Responsable de traitement

SAS WORKATION — 10 Rue Pierre Bellot, 13001 Marseille — RCS Marseille 931 746 770. Contact : contact@aromatsara.fr.

WORKATION n'a pas désigné de Délégué à la Protection des Données (DPO). Toute demande relative à vos données peut être adressée à l'email ci-dessus.

2. Données collectées

Dans le cadre de votre utilisation d'AROMATSARA, nous collectons :

• Données d'identification : prénom, adresse email, mot de passe (stocké sous forme hachée)
• Données d'usage : historique de recherches, huiles consultées, favoris, messages échangés avec l'assistant Aromapedia
• Données de commande : ateliers réservés, consultations prises, guides achetés, click & collect en pharmacie
• Données de navigation : pages consultées sur le site, date de consultation, page d'origine et type d'appareil. Ces informations nous servent à comprendre le parcours des visiteurs et à améliorer le service ; elles sont automatiquement supprimées au bout de 12 mois.
• Données techniques : jetons de notifications push (si autorisées), géolocalisation (uniquement si vous l'autorisez explicitement, pour trouver une pharmacie partenaire)
• Données de paiement : traitées exclusivement par Stripe — AROMATSARA ne stocke aucune donnée de carte bancaire.

3. Données sensibles (santé)

Vos recherches par symptôme et vos échanges avec l'assistant Aromapedia peuvent être considérés comme des données de santé au sens de l'article 9 du RGPD. Leur traitement repose sur votre consentement libre, spécifique, éclairé et explicite, recueilli au moyen d'une case dédiée non précochée au moment de l'inscription, distincte de l'acceptation des CGU.

Ce consentement est révocable à tout moment depuis votre profil. Son retrait désactive immédiatement l'accès à l'assistant Aromapedia et à la recherche par symptôme, sans affecter votre compte ni les fonctionnalités générales du site.

Ces données ne sont jamais transmises à des tiers à des fins commerciales et ne servent qu'à vous fournir le service.

4. Finalités et bases légales

• Fournir le service (compte, recherches, guides, ateliers, consultations) — exécution du contrat
• Mise en relation avec les pharmacies partenaires pour le click & collect — exécution du contrat
• Traitement des paiements — exécution du contrat + obligation légale
• Statistiques anonymisées pour améliorer le service — intérêt légitime
• Données de santé / recherches symptômes — consentement explicite (art. 9 RGPD)

5. Sous-traitants et destinataires

Vos données peuvent être transmises aux prestataires suivants, strictement encadrés par contrat :

• Supabase Inc. — hébergement de la base de données (UE)
• OVH SAS (France) — hébergement du nom de domaine
• Stripe Payments Europe Ltd — traitement des paiements (Irlande)
• Google Ireland Ltd — authentification Google (optionnelle), Google Maps
• Mapbox — affichage de la carte des pharmacies
• OpenAI, LLC (États-Unis) — assistant conversationnel Aromapedia. Les échanges ne sont pas utilisés à des fins publicitaires ni d'entraînement de modèles.
• Pharmacies partenaires — uniquement les informations nécessaires à la préparation de votre commande click & collect

5 bis. Transferts hors Union européenne

Certains prestataires (notamment OpenAI, Stripe, Google) peuvent être amenés à traiter des données en dehors de l'Union européenne. Des garanties appropriées sont mises en œuvre, notamment par la signature des clauses contractuelles types approuvées par la Commission européenne (décision 2021/914), afin d'assurer un niveau de protection équivalent à celui du RGPD.

6. Durée de conservation

Vos données de compte et historique d'usage sont conservés 3 ans à compter de votre dernière connexion, puis supprimés ou anonymisés. Les données de navigation (pages consultées) sont conservées 12 mois. Les données de facturation sont conservées 10 ans conformément aux obligations comptables.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données
• Droit de rectification
• Droit à l'effacement (« droit à l'oubli »)
• Droit à la portabilité
• Droit d'opposition
• Droit à la limitation du traitement
• Droit de retirer votre consentement à tout moment

Pour exercer ces droits, écrivez à contact@aromatsara.fr. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

8. Cookies

Cookies AROMATSARA : seuls des cookies strictement nécessaires au fonctionnement du site sont déposés (session, authentification). Conformément à la doctrine de la CNIL, ces cookies ne nécessitent pas de bandeau de consentement.

Cookies tiers liés aux intégrations : certaines fonctionnalités reposent sur des prestataires (Stripe pour le paiement, Google Maps pour la carte, authentification Google si vous l'utilisez) susceptibles de déposer leurs propres cookies au moment où vous activez ces fonctionnalités. Si un outil de mesure d'audience venait à être intégré, une bannière de consentement aux cookies serait alors mise en place.

9. Sécurité

Les données sont stockées de manière chiffrée. L'accès à votre compte est protégé par mot de passe (haché côté serveur). Les paiements sont entièrement délégués à Stripe, certifié PCI-DSS niveau 1.