Politique de confidentialité

Laboratoire Heliantys s'engage à protéger votre vie privée et à traiter vos données personnelles avec la plus grande rigueur, conformément au Règlement général sur la protection des données (RGPD — Règlement UE 2016/679) et à la loi française Informatique et Libertés n° 78-17 du 6 janvier 1978 modifiée.

La présente politique décrit les traitements mis en œuvre sur le site www.laboratoire-heliantys.com, leurs finalités, leurs bases légales, leurs destinataires, leur durée de conservation, ainsi que les droits dont vous disposez et la manière de les exercer.

Le responsable du traitement des données collectées sur le site est :

• Raison sociale : SAS Laboratoire Heliantys
• Adresse : 8 rue des Prairies, 42140 Chazelles-sur-Lyon (Loire), France
• SIRET : 94204401700013
• Téléphone : +33 4 26 48 58 85

Un Délégué à la protection des données (DPO) a été désigné. Vous pouvez le contacter pour toute question relative à vos données personnelles :

• Email DPO : [email protected]
• Courrier : DPO — SAS Laboratoire Heliantys, 8 rue des Prairies, 42140 Chazelles-sur-Lyon (Loire), France

Nous collectons uniquement les données strictement nécessaires aux finalités décrites ci-dessous :

• Identification : civilité, nom, prénom, adresse email, numéro de téléphone, date de création de compte.
• Commande : adresse de livraison, adresse de facturation, références des produits commandés, montant, statut de la commande.
• Paiement : traitement effectué par notre prestataire CAWL. Aucune donnée de carte bancaire n'est stockée par Laboratoire Heliantys. Nous conservons uniquement l'identifiant de transaction et les 4 derniers chiffres du moyen de paiement à titre de preuve.
• Navigation : adresse IP et données techniques des requêtes (sécurité, journaux techniques). Aucune mesure d'audience ni publicité : voir la  politique cookies pour le détail.
• Préférences bien-être (optionnelles) : objectifs bien-être et objectif alimentaire, échanges avec l'assistant Helio. Les objectifs sont des préférences d’usage, pas des données de santé ; vous pouvez les modifier ou les supprimer à tout moment depuis votre compte.
• Intolérances et allergies (optionnelles, données de santé au sens de l'art. 9 RGPD) : enregistrées uniquement avec votre consentement explicite (voir ci-dessous).

Vos données sont traitées pour les finalités suivantes :

• Exécution du contrat : gestion des commandes, paiements, livraisons, retours, service après-vente et garanties.
• Communication marketing : envoi de la newsletter, offres commerciales et informations produits, uniquement après votre consentement.
• Personnalisation Helio : réponses et recettes de l'assistant adaptées à vos intolérances et allergies, uniquement si vous y avez consenti depuis votre profil.
• Obligations légales : conservation des factures et documents comptables, lutte contre la fraude, déclarations fiscales, droit de rétractation.
• Sécurité et amélioration du service : détection des tentatives d'intrusion, prévention de la fraude, diagnostic des incidents techniques.

Chaque traitement repose sur l'une des bases légales prévues par le RGPD :

Vos données sont accessibles aux seules personnes habilitées au sein de Laboratoire Heliantys (équipes commande, logistique, service client, comptabilité) ainsi qu'aux sous-traitants suivants, strictement nécessaires au service :

Le cabinet comptable, soumis au secret professionnel, accède aux pièces comptables (factures) pour les déclarations fiscales.

Les durées de conservation sont fixées en fonction des finalités :

• Commandes, factures et rétractations : 10 ans à compter de la clôture de l'exercice comptable (obligations comptable et fiscale, preuve du contrat).
• Compte client actif : jusqu'à la suppression du compte.
• Compte client inactif : suppression automatique après 3 ans sans connexion ni commande, précédée d’une relance par e-mail 30 jours avant ; une connexion pendant ce délai conserve le compte.
• Suppression du compte : depuis votre espace client, confirmée par votre mot de passe, elle est immédiate et définitive (possible une fois vos commandes livrées et leur délai de rétractation écoulé). Sont effacés : identité, adresses enregistrées, profil bien-être, listes, favoris, recettes générées, appareils, cartes enregistrées (jetons détruits chez le prestataire de paiement), inscription à la newsletter ; vos messages au service client sont vidés de leur contenu et de vos coordonnées. Sont conservés à dessein, rattachés à un compte anonyme : vos commandes et factures pendant la durée légale, avec les informations qu'elles contiennent (nom, adresses de livraison et de facturation, téléphone, e-mail de la commande) ; vos déclarations de rétractation (nom et e-mail indiqués, comme preuve) ; vos avis publiés, sans votre nom. Les sauvegardes techniques chiffrées peuvent contenir ces données jusqu'à leur rotation ; toute restauration réapplique automatiquement la suppression.
• Newsletter : jusqu'au désabonnement ; l'adresse désinscrite est conservée pour respecter votre refus.
• Profil bien-être : jusqu'à ce que vous le modifiiez ou supprimiez depuis votre profil, ou jusqu'à la suppression du compte.
• Journaux techniques : 90 jours au plus, puis purge automatique.

• Données : note, titre et texte de l’avis, date de dépôt, date de l’expérience (date de livraison de la commande concernée), rattachement à votre compte et, pour le badge « Achat vérifié », à la commande livrée ; historique de modération (décision, motif communiqué, réponse de la marque).
• Finalités : publier des avis authentiques, vérifier l’achat, modérer les avis et vous informer de la décision.
• Base légale : notre intérêt légitime à publier des avis contrôlés (art. 6.1.f RGPD), dans le respect de l’article L111-7-2 du Code de la consommation.
• Affichage : un avis publié est signé de votre prénom et de l’initiale de votre nom (« Prénom N. »), jamais de votre nom complet ni de vos coordonnées.
• Durée : l’avis reste en ligne tant que vous ne le retirez pas depuis Mon compte › Mes avis. À la suppression de votre compte, vos avis publiés sont conservés mais anonymisés : ils ne sont plus signés de votre prénom.
• Le fonctionnement détaillé des avis (contrôle, motifs de refus, tri) est décrit sur la page Comment fonctionnent nos avis.

• Données : registre de vos points (gains, points en attente et disponibles, échanges, reprises, restitutions, expirations, avec leurs dates et les commandes ou avis concernés), solde, palier, bons d’achat émis, date de naissance si vous la renseignez (points d’anniversaire), ajustements effectués par notre équipe avec leur motif.
• Finalités : calculer et tenir à jour vos points et votre palier, émettre les bons d’achat, vous prévenir avant l’expiration de vos points, prévenir les fraudes.
• Base légale : exécution des conditions du programme de fidélité (art. 6.1.b RGPD) ; prévention de la fraude (intérêt légitime, art. 6.1.f).
• Durée : le registre de vos points suit la durée de conservation du compte client ; les écritures rattachées à une commande sont conservées avec celle-ci.

• Données : code de parrainage du parrain, lien entre parrain et filleul, statut du parrainage, première commande du filleul, bon d’achat émis, résultats des contrôles anti-fraude (adresse e-mail normalisée, adresse de livraison, répétitions anormales).
• Finalités : attribuer la remise du filleul et la récompense du parrain, appliquer le plafond de récompenses, prévenir les fraudes.
• Base légale : exécution des conditions du programme de parrainage (art. 6.1.b RGPD) ; prévention de la fraude (intérêt légitime, art. 6.1.f).
• Information du parrain : le parrain ne voit de son filleul que son prénom, l’initiale de son nom et le statut du parrainage. Aucune autre donnée du filleul (adresse e-mail, adresse, commandes) ne lui est communiquée.
• Information du filleul : la page ouverte par le lien de parrainage affiche le prénom et l’initiale du nom du parrain, ainsi que l’offre du programme ; aucune autre donnée du parrain n’y figure.
• Durée : celle du compte client ; les données rattachées à une commande sont conservées avec celle-ci.

• Données : historique d’utilisation des codes promo (code, commande, date, remise accordée, statut : réservé, utilisé ou libéré) ; adresse e-mail normalisée (alias et variantes d’écriture neutralisés), y compris pour une commande sans compte ; compteurs de tentatives de saisie par adresse IP et par compte.
• Finalités : appliquer les remises, faire respecter la limite d’utilisation par client et les conditions « première commande », prévenir les abus (essais répétés de codes, contournement des limites).
• Base légale : exécution du contrat de vente (art. 6.1.b RGPD) ; prévention des abus (intérêt légitime, art. 6.1.f).
• Durée : l’historique d’utilisation est conservé avec la commande concernée ; les compteurs de tentatives ne sont conservés que le temps de la fenêtre de limitation.

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès : obtenir une copie des données vous concernant.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de vos données.
• Droit d'opposition : vous opposer à un traitement fondé sur l'intérêt légitime ou la prospection.
• Droit à la limitation : demander la suspension temporaire d'un traitement.
• Droit à la portabilité : récupérer vos données dans un format structuré.
• Droit de retirer votre consentement à tout moment pour les traitements fondés dessus.
• Droit de définir des directives relatives au sort de vos données après votre décès.

Pour exercer vos droits, écrivez à [email protected] en joignant une copie d'une pièce d'identité (recto uniquement, masquez les informations non nécessaires). Nous vous répondons sous 1 mois, délai pouvant être prorogé de 2 mois pour les demandes complexes.

Nous mettons en œuvre les mesures techniques et organisationnelles appropriées pour garantir la confidentialité, l'intégrité et la disponibilité de vos données :

• Chiffrement TLS (HTTPS) sur l'ensemble du site et des APIs.
• Hachage des mots de passe avec bcrypt / argon2id et sel unique.
• Contrôle d'accès strict aux bases de données, journalisation des accès sensibles.
• Sauvegardes quotidiennes chiffrées et restaurées régulièrement à des fins de test.
• Audits de sécurité réguliers et veille sur les vulnérabilités (CVE).
• Sensibilisation et formation continue des collaborateurs à la sécurité et au RGPD.

En cas de violation de données présentant un risque pour vos droits et libertés, nous informons la CNIL dans un délai de 72 heures et, si nécessaire, les personnes concernées dans les meilleurs délais.

Certains sous-traitants sont établis hors de l'Union européenne ou peuvent y traiter des données :

• Cloudflare, Inc. — États-Unis (réseau mondial).
• Resend, Inc. — États-Unis.
• Fournisseurs d’IA de l’assistant Helio et du générateur de recettes : Google (API Gemini), OpenRouter, Inc. et Novita AI, selon le modèle configuré — États-Unis (et pays du modèle choisi via OpenRouter).
• Expo (650 Industries, Inc.) — États-Unis.

Ces transferts sont encadrés par les Clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 et, le cas échéant, par la certification du destinataire au Data Privacy Framework UE–États-Unis. Vous pouvez en obtenir une copie auprès du DPO.

Le site n'est pas destiné aux personnes âgées de moins de 16 ans. La création d'un compte et le traitement de données personnelles de mineurs ne sont possibles qu'avec l'autorisation préalable du titulaire de l'autorité parentale. Si vous estimez qu'un mineur nous a transmis des données sans autorisation, contactez le DPO à [email protected] afin que nous procédions à leur suppression.

La présente politique peut évoluer afin de refléter les changements réglementaires, techniques ou organisationnels. Les modifications substantielles sont notifiées par email aux titulaires d'un compte actif au moins 30 jours avant leur entrée en vigueur.

La version applicable est toujours indiquée en haut de cette page, avec sa date de mise à jour et son numéro de version. Un historique des versions antérieures est disponible sur demande auprès du DPO.

Pour toute question relative à la présente politique :

• Email : [email protected]
• Courrier : DPO — SAS Laboratoire Heliantys, 8 rue des Prairies, 42140 Chazelles-sur-Lyon (Loire), France
• Formulaire en ligne : /contact