Chez Cosme Check, nous prenons la confidentialité de tes données très au sérieux. Cette page explique de manière transparente ce que nous collectons, pourquoi, où c'est stocké et quels sont tes droits, dans le respect du Règlement Général sur la Protection des Données (RGPD).
1. Responsable du traitement
Le responsable du traitement des données est Brian-Clarky BIENDOU, éditeur de Cosme Check. Pour toute question relative à tes données personnelles, tu peux nous contacter à : contact@cosme-check.com.
2. Données collectées
2.1 Données fournies directement par toi
- Création de compte : prénom, adresse email et mot de passe (chiffré, jamais stocké en clair).
- Connexion via Google : prénom, adresse email et photo de profil transmis par Google. Aucun autre accès à ton compte Google n'est demandé.
- Listes INCI analysées : les listes d'ingrédients que tu saisis, que tu colles dans l'analyseur ou qui sont associées à un produit identifié par code-barres ou recherché dans notre catalogue sont traitées pour produire ton analyse.
- Historique d'analyses : si tu es connecté, tes analyses sont sauvegardées pour que tu puisses les retrouver plus tard.
- Photos de signalement : si tu envoies une photo pour signaler ou corriger la fiche d'un produit, cette image est conservée le temps de la modération (voir section 6).
2.2 Données collectées automatiquement
- Données techniques : type d'appareil, navigateur, adresse IP (anonymisée), pages visitées. Utilisées uniquement pour mesurer l'audience et améliorer le site, via un outil de mesure d'audience anonyme (PostHog, hébergé dans l'Union européenne). Aucun profil publicitaire n'est constitué et aucune donnée nominative (email, nom) n'est associée à ces statistiques.
- Cookies strictement nécessaires : un cookie de session chiffré pour te garder connecté. L'outil de mesure d'audience PostHog n'utilise pas de cookie : il conserve un identifiant anonyme dans le stockage local (localStorage) de ton navigateur. Aucun cookie publicitaire ou de pistage tiers.
2.3 Intelligence artificielle
Certaines fonctionnalités (analyse des listes INCI, assistant beauté, synthèses personnalisées) reposent sur des modèles d'intelligence artificielle fournis par OpenAI et Mistral AI. Pour produire ces résultats, seules les données strictement nécessaires leur sont transmises : les listes d'ingrédients (INCI) et, le cas échéant, ton profil de peau. Ces données ne servent pas à entraîner leurs modèles. Mistral AI est une société française hébergeant ses traitements principalement dans l'Union européenne ; les traitements réalisés par OpenAI impliquent un transfert hors UE, encadré par les Clauses Contractuelles Types de la Commission européenne.
3. Finalités du traitement
- Te permettre de créer un compte et te connecter.
- Analyser les listes INCI que tu nous soumets.
- Sauvegarder ton historique d'analyses et ta routine.
- Améliorer le site (mesure d'audience anonyme).
- Répondre à tes demandes par email.
4. Base légale
- Exécution du contrat : création de compte, sauvegarde de l'historique, analyses (art. 6.1.b du RGPD).
- Intérêt légitime : mesure d'audience anonyme et sécurité du site (art. 6.1.f).
- Consentement : lorsque tu choisis explicitement de te connecter avec Google (art. 6.1.a).
5. Sous-traitants et destinataires
Tes données ne sont jamais vendues ni cédées à des tiers à des fins commerciales. Elles sont uniquement traitées par les sous-traitants techniques suivants, choisis pour leur conformité RGPD :
- Supabase Inc. - Hébergement de la base de données et gestion des comptes utilisateurs. Localisation : États-Unis / Union européenne (Francfort). Politique de confidentialité.
- Vercel Inc. - Hébergement du site et analytics anonymes. Localisation : États-Unis. Politique de confidentialité.
- Google LLC - Authentification optionnelle « Se connecter avec Google ». Localisation : États-Unis / Irlande. Politique de confidentialité.
- OpenAI, L.L.C. - Analyses INCI, assistant beauté et génération de résumés (transfert hors UE encadré par les Clauses Contractuelles Types). Localisation : États-Unis. Politique de confidentialité.
- Mistral AI SAS - Traitement par intelligence artificielle des analyses INCI et de l'assistant (société française, hébergement principalement dans l'Union européenne). Localisation : Union européenne (France). Politique de confidentialité.
- Stripe, Inc. - Gestion des paiements et abonnements (aucune donnée bancaire complète ne transite ni n'est stockée par nos serveurs ; transfert hors UE encadré par les Clauses Contractuelles Types). Localisation : États-Unis. Politique de confidentialité.
- PostHog Inc. - Mesure d'audience anonyme (statistiques de fréquentation sans cookie publicitaire ni identifiant nominatif), hébergée dans l'Union européenne (eu.i.posthog.com). Localisation : Union européenne. Politique de confidentialité.
- Brevo (Sendinblue SAS) - Gestion des contacts inscrits pour les communications de service liées au compte, et envoi de newsletters / emails marketing uniquement aux utilisateurs ayant donné leur consentement explicite (opt-in). Localisation : Union européenne (France). Politique de confidentialité.
Certains de ces sous-traitants sont situés hors de l'Union européenne (notamment aux États-Unis). Dans ces cas, des garanties appropriées (clauses contractuelles types de la Commission européenne) sont mises en place.
6. Durée de conservation
- Compte utilisateur : tant que ton compte est actif, puis supprimé sur demande ou après 3 ans d'inactivité.
- Photos de signalement : les images envoyées pour signaler ou corriger la fiche d'un produit sont conservées le temps nécessaire à leur modération, puis supprimées.
- Logs techniques : 30 jours maximum.
7. Tes droits
Conformément au RGPD, tu disposes des droits suivants :
- Droit d'accès : obtenir une copie de tes données.
- Droit de rectification : corriger des données inexactes.
- Droit à l'effacement : demander la suppression de ton compte et de toutes tes données.
- Droit à la portabilité : récupérer tes analyses dans un format réutilisable.
- Droit d'opposition : t'opposer au traitement pour motifs légitimes.
- Droit de retirer ton consentement à tout moment, sans effet rétroactif.
Pour exercer ces droits, écris-nous à contact@cosme-check.com. Tu peux également déposer une réclamation auprès de la CNIL (cnil.fr).
8. Sécurité
Les mots de passe sont chiffrés (hash bcrypt côté Supabase Auth), les échanges entre ton navigateur et nos serveurs sont chiffrés via HTTPS (TLS 1.2 minimum), et l'accès aux bases de données est restreint via des politiques de sécurité au niveau des lignes (Row Level Security).
9. Cookies et mesure d'audience
Cosme Check utilise uniquement des cookies strictement nécessaires au fonctionnement du site (session de connexion). Aucun cookie publicitaire ni de pistage tiers n'est déposé sur ton appareil.
Pour mesurer sa fréquentation, le site utilise un outil de mesure d'audience anonyme (PostHog) : pas de session replay, pas de suivi comportemental croisé entre sites, pas de profil publicitaire, et un identifiant technique anonyme stocké dans le stockage local (localStorage) de ton navigateur plutôt que dans un cookie. Ce traitement repose sur notre intérêt légitime (art. 6.1.f du RGPD) à mesurer l'audience de manière anonyme. Configuré ainsi, cet outil relève de la mesure d'audience exemptée de consentement : aucune bannière de consentement n'est requise dans cette configuration.
10. Mineurs
Cosme Check n'est pas destiné aux enfants de moins de 15 ans. Si tu es mineur, demande l'accord de tes parents avant de créer un compte.
11. Modifications
Cette politique peut être mise à jour pour refléter des évolutions techniques ou légales. La date de dernière mise à jour est indiquée en haut de la page. En cas de changement significatif, nous t'informerons par email si tu disposes d'un compte.