Politique de confidentialité

1. Qui sommes-nous ?

Le service Savilys (« de la recette à la vente ») est un logiciel de gestion en ligne (SaaS) destiné aux savonneries artisanales et aux professionnels du cosmétique. Les sites savilys.com (vitrine) et app.savilys.com (application) sont édités par :

Éditeur : Amélie Arsac, entrepreneur individuel (EI), exploitant sous le nom commercial « Savilys »
Adresse : 207 cours du temple, 07800 Saint-Laurent-du-Pape, France
SIREN : 104920160
TVA : franchise en base — mention « TVA non applicable, art. 293 B du CGI » (disposition recodifiée à l'art. L. 223-3 du CIBS à compter du 1er septembre 2026, l'ancienne mention restant admise à titre transitoire) — néant
Contact données personnelles : contact@savilys.com

La présente politique décrit la manière dont les données à caractère personnel sont traitées dans le cadre du service, conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi « Informatique et Libertés ».

Cette politique de confidentialité est distincte des Mentions légales (identification de l'éditeur et de l'hébergeur), des Conditions Générales de Vente et d'Utilisation (CGV/CGU) et de l'Accord de sous-traitance (DPA) annexé aux CGU.

2. Les deux rôles de Savilys

Le RGPD distingue le responsable de traitement (qui détermine les finalités et les moyens d'un traitement) et le sous-traitant (qui traite les données pour le compte d'un autre, sur ses instructions). Selon les données concernées, Savilys endosse l'un ou l'autre de ces rôles :

(A) Savilys est RESPONSABLE DE TRAITEMENT

Pour les données relatives au compte de l'abonné lui-même : identification de l'utilisateur, gestion de l'abonnement, facturation, sécurité et support. Savilys en détermine les finalités et les moyens. La présente politique de confidentialité s'applique intégralement à ces traitements.

(B) Savilys est SOUS-TRAITANT

Pour toutes les données que l'abonné saisit lui-même dans l'application sur ses propres tiers : ses clients (particuliers, professionnels, prospects), ses commandes, ses fournisseurs, ses revendeurs (dépôt-vente) et les signalements de cosmétovigilance. Pour ces données, c'est l'abonné (la savonnerie) qui est responsable de traitement ; Savilys agit uniquement pour son compte et sur ses instructions documentées.

Le cadre juridique de ce second rôle (objet, durée, obligations de sécurité, notification des violations, sous-traitants ultérieurs, sort des données, données de santé de cosmétovigilance) est défini dans l'Accord de sous-traitance (art. 28 RGPD) figurant en annexe des CGU, auquel la présente politique renvoie. Savilys n'utilise jamais ces données pour ses propres finalités.

Les sections 3 à 8 ci-après décrivent principalement les traitements pour lesquels Savilys est responsable (rôle A).

3. Données collectées (rôle A — Savilys responsable)

Catégorie de données	Finalité	Base légale (art. 6 RGPD)	Durée de conservation
Identité de connexion : e-mail, mot de passe (stocké haché en argon2), rôle, `societe_id`, date de changement de mot de passe	Création et gestion du compte, authentification, fourniture du service	Exécution du contrat (art. 6.1.b)	Durée de l'abonnement, puis délai de réversibilité de 30 jours (art. 10 des CGU), puis suppression
Inscriptions en attente : e-mail + code de validation haché + nom de société	Vérifier l'adresse e-mail avant création du compte	Exécution de mesures précontractuelles (art. 6.1.b)	Code valable 15 min ; ligne supprimée à la confirmation ou après 5 échecs. À défaut de confirmation, la ligne peut subsister (voir §7).
Preuve d'acceptation des conditions : horodatage serveur, identifiant de version des CGU, des CGV et de la politique de confidentialité présentées, rattaché au compte (aucune adresse IP n'est collectée)	Prouver l'acceptation des conditions contractuelles et la remise de la présente politique	Exécution du contrat (art. 6.1.b)	Durée de vie du compte, supprimée avec lui (suppression définitive en cascade)
Profil de la société abonnée : raison sociale, adresse, SIREN/SIRET, n° TVA, e-mail, téléphone, IBAN/BIC, personne responsable cosmétique, données fiscales du foyer (situation familiale, nombre d'enfants, revenus pour l'estimation IR)	Fourniture du service, génération de documents, estimation fiscale/sociale	Exécution du contrat (art. 6.1.b)	Durée de l'abonnement, puis délai de réversibilité de 30 jours (art. 10 des CGU), puis suppression
Données de facturation et d'abonnement : e-mail et nom transmis à Stripe, identifiant client Stripe, statut d'abonnement, échéances, essai (7 j), sursis d'impayé (7 j)	Gestion de l'abonnement, du paiement et de la facturation	Exécution du contrat (art. 6.1.b) et obligation légale comptable (art. 6.1.c ; art. L123-22 C. com.)	Pièces comptables : 10 ans à compter de la clôture de l'exercice
Journaux techniques : e-mail journalisé lors de l'inscription, événements d'authentification (sortie standard des conteneurs)	Sécurité, prévention de la fraude, diagnostic d'incident	Intérêt légitime (art. 6.1.f)	Non maîtrisée par l'application (dépend de la configuration des logs de l'hébergement) — voir §7
Compteurs anti-abus (en mémoire) : tentatives de connexion, d'inscription, d'envoi de code, de changement de mot de passe	Limitation de débit (rate-limiting), sécurité	Intérêt légitime (art. 6.1.f)	Éphémère (en mémoire, perdu au redémarrage)
Demandes de démonstration / contact (vitrine) : prénom, nom, téléphone, e-mail, message	Répondre à la demande de contact	Mesures précontractuelles / intérêt légitime (art. 6.1.b / f)	Prospect sans suite : 3 ans à compter du dernier contact

Intérêt légitime poursuivi (art. 6.1.f) : assurer la sécurité du service, protéger les comptes contre les accès non autorisés et la fraude, et diagnostiquer les incidents techniques.

Caractère obligatoire (art. 13.2.e) : la fourniture de l'e-mail, du mot de passe et des informations de société est nécessaire à la création du compte et à l'exécution du contrat. À défaut, le service ne peut être fourni. Les données fiscales du foyer sont facultatives et n'ont d'utilité que pour les fonctions d'estimation fiscale.

Aucun traitement décrit ci-dessus ne repose sur votre consentement (art. 6.1.a) : il n'y a donc pas de « consentement à retirer ».

4. Origine des données

Les données sont collectées directement auprès de vous : lors de votre inscription, de la configuration de votre société, de votre souscription à l'abonnement, ou lorsque vous nous contactez. Savilys ne collecte aucune donnée vous concernant auprès de tiers ni de sources externes, et n'enrichit pas votre profil.

5. Destinataires et sous-traitants ultérieurs

Vos données ne sont jamais vendues ni cédées à des tiers à des fins commerciales. Elles ne sont accessibles qu'à l'éditeur et à ses sous-traitants techniques, qui agissent sur instruction et sont liés par un contrat conforme à l'article 28 du RGPD :

Sous-traitant	Rôle	Pays / localisation	Données concernées	Garanties
Scaleway SAS	Hébergement (serveur, PostgreSQL, stockage des médias)	France (Paris, `fr-par-1`), UE	L'ensemble des données au repos	Traitement intégralement dans l'UE ; contrat art. 28 RGPD
Scaleway SAS (Object Storage)	Stockage des sauvegardes chiffrées	Pays-Bas (Amsterdam, `nl-ams`), UE	Copie chiffrée de la base et des médias	Sauvegardes délibérément stockées dans une région distincte du serveur (un incident majeur du site parisien ne doit pas emporter à la fois le service et ses sauvegardes) ; chiffrement de bout en bout avant l'envoi, la clé de déchiffrement n'étant détenue que par l'éditeur, hors de l'infrastructure ; traitement dans l'UE ; contrat art. 28 RGPD
Stripe Payments Europe Ltd	Paiement, facturation, portail d'abonnement	Irlande (UE) ; possibles transferts vers Stripe, Inc. (USA)	E-mail et nom de l'administrateur, identifiant `societe_id`. Aucune donnée de carte bancaire ne transite ni n'est stockée par Savilys (saisie directement sur la page hébergée Stripe, certifiée PCI-DSS)	Clauses Contractuelles Types (art. 46.2.c) et, le cas échéant, EU-US Data Privacy Framework
Scaleway (Transactional Email — TEM)	Envoi des e-mails techniques (validation, réinitialisation, alertes ; demandes de démo)	France (`fr-par`), UE	E-mail destinataire + contenu du message (code de validation ; ou prénom/nom/téléphone/e-mail/message pour une demande de démo)	Traitement dans l'UE ; contrat art. 28 RGPD
Infomaniak Network SA	Service SMTP de secours (envoi d'e-mails en repli)	Suisse	E-mail destinataire + contenu du message	Suisse : décision d'adéquation de la Commission européenne (art. 45 RGPD)
Shopify	Synchronisation des ventes et stocks — uniquement si vous activez cette intégration	Canada / États-Unis	Données de commandes/produits synchronisées selon votre paramétrage	Canada : décision d'adéquation partielle ; USA : Clauses Contractuelles Types / Data Privacy Framework
OpenAI Ireland Ltd ou Mistral AI SAS	Analyse assistée d'un fichier ou d'un document que vous déposez : reconnaissance de sa structure et proposition de correspondance avec les champs du logiciel	Irlande (UE), transferts possibles vers les États-Unis / France (UE)	Import d'un fichier : les intitulés de vos colonnes, une description de la forme de leur contenu, et des lignes d'exemple inventées. Aucune ligne de votre fichier n'est transmise. Scan d'un bon de commande : le document déposé, en entier	Contrat art. 28 RGPD ; aucune utilisation pour entraîner un modèle ; pour OpenAI, Clauses Contractuelles Types (art. 46.2.c)

Le fournisseur de certificats Let's Encrypt (via Caddy) ne reçoit que le nom de domaine, aucune donnée personnelle.

Aucun autre tiers que ceux listés ci-dessus n'est destinataire de vos données : Savilys n'utilise aucun outil de mesure d'audience, aucun traceur publicitaire, aucun réseau de diffusion de contenu (CDN) tiers.

6. Transferts hors Union européenne

Vos données sont hébergées dans l'Union européenne : le service à Paris (fr-par-1) et les sauvegardes chiffrées à Amsterdam (nl-ams), chez le même hébergeur. Aucun transfert hors UE n'a lieu de ce fait. Certains sous-traitants peuvent toutefois impliquer un transfert hors UE :

Stripe peut transférer des données vers les États-Unis (Stripe, Inc.), encadré par les Clauses Contractuelles Types de la Commission européenne (art. 46.2.c RGPD) et, le cas échéant, par la certification EU-US Data Privacy Framework ;
Shopify (Canada/États-Unis), uniquement si vous activez l'intégration, sous les mêmes garanties (adéquation partielle du Canada, Clauses Contractuelles Types / Data Privacy Framework) ;
les e-mails de secours transitant par Infomaniak (Suisse) bénéficient de la décision d'adéquation de la Commission ;
l'analyse assistée de fichiers, lorsqu'elle est confiée à OpenAI Ireland Ltd, peut impliquer un transfert vers les États-Unis (OpenAI, OpCo, LLC), encadré par les Clauses Contractuelles Types. Lorsqu'elle est confiée à Mistral AI SAS (France), aucun transfert hors Union européenne n'a lieu.

Une copie des garanties applicables peut être obtenue en écrivant à contact@savilys.com.

7. Durées de conservation

Donnée	Durée
Compte utilisateur et profil de société	Durée de l'abonnement, puis, à la clôture, conservation pendant le délai de réversibilité de trente (30) jours prévu à l'article 10 des CGU, puis suppression définitive en cascade
Pièces comptables et de facturation	10 ans à compter de la clôture de l'exercice (art. L123-22 du Code de commerce)
Code d'inscription en attente	15 minutes, puis invalidé
Prospect (demande de démo sans suite)	3 ans à compter du dernier contact (doctrine CNIL prospection)
Journaux de connexion	Recommandation CNIL : 6 mois à 1 an — voir la réserve d'honnêteté ci-dessous
Sauvegardes chiffrées	90 jours glissants, puis destruction automatique. Cette durée permet de détecter et de corriger une perte de données qui ne se révèle qu'à l'échéance comptable suivante. C'est aussi le délai maximal au terme duquel une donnée supprimée en production a également disparu des sauvegardes (le « cycle normal de rotation » mentionné à l'article 12 des CGU)

Réserves d'honnêteté : - Inscriptions abandonnées : si une inscription est entamée (e-mail, mot de passe haché et nom de société enregistrés) mais jamais confirmée et sans atteindre 5 échecs de code, la ligne correspondante peut subsister en base en l'absence de purge automatique. Vous pouvez en demander la suppression à contact@savilys.com. - Journaux : l'application écrit certains événements (dont un e-mail à l'inscription) vers la sortie standard des conteneurs. Leur durée de conservation dépend de la configuration de journalisation de l'infrastructure et n'est pas fixée par l'application elle-même. - Résidu chez Stripe : la suppression de votre compte purge la base de Savilys, mais ne supprime pas automatiquement votre fiche client chez Stripe. Vous pouvez en demander la suppression en nous écrivant, afin que nous procédions aux démarches auprès de Stripe.

Les données que vous saisissez sur vos propres tiers, et les signalements de cosmétovigilance (rôle B), sont conservés sous votre responsabilité pour la durée que vous déterminez, et sont supprimés à la clôture de votre compte (voir l'Accord de sous-traitance).

8. Sécurité

Savilys met en œuvre des mesures techniques et organisationnelles adaptées au risque. Les mesures ci-dessous sont celles réellement en place :

Chiffrement en transit : l'ensemble des échanges est chiffré via HTTPS/TLS (Caddy, certificats Let's Encrypt automatiques).
Mots de passe : stockés uniquement sous forme hachée (argon2) ; les codes d'inscription sont également hachés en argon2. Politique de robustesse et jauge indicative à la saisie.
Isolation multi-locataires (multi-tenant) : cloisonnement des données de chaque société abonnée reposant sur une isolation au niveau de la base de données PostgreSQL (Row Level Security « fail-closed »), complétée par un contexte de locataire par requête et un filtrage applicatif par societe_id.
Cookies et jetons signés : le cookie de session est signé, HttpOnly, SameSite=Lax et Secure ; les jetons de l'API sont signés cryptographiquement.
Limitation de débit (rate-limiting) : sur la connexion, l'inscription, l'envoi de code et le changement de mot de passe, pour freiner les attaques automatisées.
En-têtes de sécurité HTTP : HSTS, X-Content-Type-Options: nosniff, Referrer-Policy, X-Frame-Options: SAMEORIGIN.
Hébergement dans l'UE (Scaleway, Paris) sur PostgreSQL.
Minimisation : aucune donnée de carte bancaire ne transite ni n'est stockée par Savilys (paiement délégué à Stripe, certifié PCI-DSS) ; aucun traceur, aucune mesure d'audience.
Sauvegardes : la base de données et les médias sont sauvegardés chaque jour, de façon automatisée. Chaque sauvegarde est chiffrée avant de quitter le serveur (chiffrement à clé publique : le serveur peut produire une sauvegarde, mais il est techniquement incapable de relire les siennes ; la clé de déchiffrement est conservée par l'éditeur hors de l'infrastructure d'hébergement). Les sauvegardes sont ensuite stockées dans une région distincte de celle du serveur (Amsterdam, UE), afin que la perte du serveur n'entraîne pas celle des sauvegardes. Rétention : 90 jours glissants, au-delà desquels chaque sauvegarde est automatiquement détruite (double mécanisme : purge par l'application, et règle d'expiration appliquée par l'hébergeur). La procédure de restauration est documentée et testée.

Limites que nous préférons documenter honnêtement : - La politique de sécurité du contenu (CSP) est actuellement en mode observation (non bloquante). - Une session déjà ouverte n'est pas automatiquement révoquée lors d'un changement de mot de passe (amélioration prévue) ; il est recommandé de fermer les sessions actives après un changement. - Le rate-limiting est tenu en mémoire d'un seul processus (non partagé, réinitialisé au redémarrage). - Aucun chiffrement au repos propre à l'application n'est mis en œuvre sur la base de production elle-même au-delà des dispositifs éventuels de l'infrastructure d'hébergement. Les sauvegardes, elles, sont chiffrées par l'application avant leur envoi (voir ci-dessus).

En cas de violation de données vous concernant, Savilys, en qualité de responsable de traitement (rôle A), notifie la CNIL dans les 72 heures lorsque la violation est susceptible d'engendrer un risque, et informe les personnes concernées en cas de risque élevé (art. 33 et 34 RGPD).

9. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez, sur les données dont Savilys est responsable, des droits suivants :

droit d'accès (art. 15) ;
droit de rectification (art. 16) ;
droit à l'effacement (art. 17) ;
droit à la limitation du traitement (art. 18) ;
droit à la portabilité de vos données, pour les traitements fondés sur le contrat (art. 20) ;
droit d'opposition, pour les traitements fondés sur l'intérêt légitime (art. 21).

Vous pouvez exercer ces droits en écrivant à contact@savilys.com. Une preuve d'identité pourra être demandée en cas de doute raisonnable. Nous répondons dans un délai d'un mois (prolongeable de deux mois pour les demandes complexes).

Si votre demande porte sur des données saisies par une savonnerie abonnée sur vous en tant que client, fournisseur ou dans le cadre d'un signalement de cosmétovigilance, Savilys n'est que sous-traitant : nous transmettrons votre demande à la savonnerie concernée (responsable de traitement) et n'y répondrons pas de notre propre initiative.

Réclamation : vous pouvez introduire une réclamation auprès de la CNIL :

Commission Nationale de l'Informatique et des Libertés (CNIL) 3 place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07 www.cnil.fr

10. Cookies

Savilys n'utilise aucun cookie de mesure d'audience, de publicité ou de suivi. Le service dépose un unique cookie de session, signé et strictement nécessaire au fonctionnement de l'authentification (il vous maintient connecté à votre espace).

Ce cookie relève de l'exemption de consentement prévue pour les traceurs strictement nécessaires à la fourniture d'un service expressément demandé par l'utilisateur (position de la CNIL sur les cookies et autres traceurs). En conséquence, aucun bandeau de consentement n'est affiché : afficher un bandeau « Accepter/Refuser » laisserait croire à tort à la présence de traceurs, alors qu'il n'en existe aucun. La présente information vaut information préalable.

Ce cookie est conservé pour la durée de la session (au maximum 7 jours). Vous pouvez le supprimer via les réglages de votre navigateur, mais vous ne pourrez alors plus rester connecté.

11. Délégué à la protection des données (DPO)

Aucun délégué à la protection des données n'a été désigné. Cette désignation n'est pas obligatoire au sens de l'article 37 du RGPD : Savilys n'exerce pas, à titre d'activité de base, un suivi régulier et systématique à grande échelle, ni un traitement à grande échelle de données sensibles. Pour toute question relative à vos données, écrivez à contact@savilys.com.

12. Décision automatisée

Savilys ne prend aucune décision produisant des effets juridiques ou vous affectant de manière significative sur le seul fondement d'un traitement automatisé, au sens de l'article 22 du RGPD. Aucun profilage n'est réalisé.

13. Modifications de la présente politique

La présente politique peut être mise à jour pour tenir compte d'évolutions légales, techniques ou du service. En cas de modification substantielle, vous en serez informé par un moyen approprié (notification dans l'application ou par e-mail) avant son entrée en vigueur, conformément au principe de transparence (art. 12 RGPD). La date de dernière mise à jour figure ci-dessous.

Dernière mise à jour : 6 août 2026