Politique de confidentialité
Dernière mise à jour : 1er octobre 2026
1. Préambule et champ d'application
La présente politique de confidentialité (la « Politique ») explique comment MALLOW SAS collecte, utilise, partage et protège les données personnelles des personnes qui utilisent ses services. Elle est établie conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée (« Loi Informatique et Libertés »).
Elle s'applique à l'ensemble des services Mallow (les « Services ») :
- l'application mobile Mallow, disponible sur l'App Store et sur Google Play (l'« Application ») ;
- le site internet accessible à l'adresse mallowapp.fr (le « Site ») ;
- la plateforme web destinée aux professionnels, accessible à l'adresse platform.mallowapp.fr (la « Plateforme »).
Définitions. Dans la présente Politique :
- « Utilisateur » désigne toute personne utilisant les Services, quel que soit son statut ;
- « Cliente » désigne l'Utilisatrice qui crée un compte pour découvrir des prothésistes et réserver des prestations ;
- « Professionnelle » désigne la prothésiste ongulaire ou professionnelle de la beauté qui crée un compte professionnel pour proposer ses prestations ;
- « Invité » désigne la personne qui consulte l'Application sans créer de compte (mode invité) ;
- « Visiteur » désigne la personne qui navigue sur le Site ;
- « Données personnelles » désigne toute information se rapportant à une personne physique identifiée ou identifiable, au sens de l'article 4 du RGPD.
Les termes employés au féminin s'entendent indifféremment au féminin et au masculin.
2. Responsable du traitement et rôle des différents acteurs
Responsable du traitement. Les traitements décrits dans la présente Politique sont mis en œuvre par :
MALLOW SAS, société par actions simplifiée immatriculée au Registre du commerce et des sociétés de Paris sous le numéro 942 904 103, dont le siège social est situé 9 rue des Colonnes, 75002 Paris (« Mallow », « nous »).
Contact pour toute question relative à vos données : contact@mallowapp.fr.
Mallow n'est pas tenue de désigner un délégué à la protection des données. Les demandes relatives aux données personnelles sont traitées par la direction de la société.
Rôle des Professionnelles. Lorsqu'une Cliente réserve une prestation, la Professionnelle reçoit les données nécessaires à la réalisation du rendez-vous (identité, coordonnées, détails de la prestation souhaitée, photos jointes, échanges via la messagerie). Pour l'utilisation qu'elle fait de ces données dans le cadre de sa propre activité, la Professionnelle agit en qualité de responsable de traitement distinct et doit respecter elle-même la réglementation applicable. Elle s'interdit notamment d'utiliser ces données à d'autres fins que la gestion de la relation avec sa cliente.
Rôle de Stripe, d'Apple et de Google. Les paiements des acomptes et des frais de service sont traités par Stripe. Les abonnements souscrits via l'App Store ou Google Play sont traités par Apple et Google. Ces sociétés agissent, pour certains traitements (vérification d'identité des Professionnelles, lutte contre la fraude, obligations bancaires et fiscales), en qualité de responsables de traitement indépendants, selon leurs propres politiques de confidentialité.
3. Données personnelles collectées
Mallow collecte uniquement les données nécessaires aux finalités décrites à l'article 4. Selon votre statut, les données suivantes peuvent être traitées.
| Catégorie | Données concernées | Personnes concernées |
|---|---|---|
| Données d'identification et de compte | Nom, prénom, nom d'utilisateur, numéro de téléphone, adresse email, mot de passe (stocké sous forme chiffrée, jamais lisible par Mallow) | Clientes, Professionnelles |
| Données professionnelles | Nom commercial, numéro SIRET (facultatif, nécessaire pour activer l'acompte), adresse ou localisation du salon, prestations proposées, tarifs, durées, disponibilités, filtres d'expertise (style, formes, longueurs, techniques, finitions) | Professionnelles |
| Contenus publiés | Photos des réalisations publiées dans le feed et sur le profil, descriptions associées | Professionnelles |
| Données de réservation | Prestation choisie, date et heure, personnalisation de la pose (couleur, technique, forme, longueur, finition), historique des réservations, annulations | Clientes, Professionnelles |
| Photos jointes à une réservation | Photo des ongles actuels et photo de la pose souhaitée | Clientes |
| Messagerie | Contenu des messages échangés entre une Cliente et une Professionnelle, date et heure d'envoi | Clientes, Professionnelles |
| Avis et notes | Note attribuée à une Professionnelle, commentaire éventuel, nom d'utilisateur de l'autrice | Clientes (autrices), Professionnelles (évaluées) |
| Données d'interaction | Publications aimées ou enregistrées, Professionnelles suivies, recherches effectuées, consultations de profils | Clientes, Invités |
| Données de paiement | Montant, date, objet de la transaction, statut du paiement, identifiants de transaction. Les numéros de carte bancaire et coordonnées bancaires sont saisis et conservés exclusivement par Stripe : Mallow n'y a jamais accès | Clientes, Professionnelles |
| Données d'abonnement | Statut de l'abonnement, date de début de l'essai, date de renouvellement, identifiant d'achat App Store ou Google Play | Professionnelles |
| Données de localisation | Position géographique de l'appareil au moment de l'utilisation, uniquement si vous l'autorisez. Elle n'est pas enregistrée | Clientes, Invités |
| Données techniques | Adresse IP, type d'appareil, système d'exploitation, version de l'Application, identifiant de notification push, journaux de connexion et rapports d'erreur | Tous les Utilisateurs et Visiteurs |
| Échanges avec Mallow | Messages adressés au support ou via le formulaire de contact | Tous |
Données sensibles. Mallow ne collecte aucune donnée sensible au sens de l'article 9 du RGPD (santé, origine, opinions, etc.). Nous vous demandons de ne pas en communiquer via la messagerie ou les photos jointes.
Caractère obligatoire. Les données signalées comme obligatoires lors de l'inscription ou de la réservation sont nécessaires à la fourniture des Services. À défaut, le compte ou la réservation ne pourra pas être créé. Les autres données sont facultatives.
4. Finalités et bases légales des traitements
Chaque traitement repose sur l'une des bases légales prévues à l'article 6 du RGPD.
| Finalité | Base légale |
|---|---|
| Création et gestion des comptes Clientes et Professionnelles | Exécution du contrat (conditions générales d'utilisation) |
| Affichage des profils et des publications des Professionnelles dans le feed et l'onglet Découverte, y compris en mode invité | Exécution du contrat avec les Professionnelles |
| Recherche de Professionnelles à proximité grâce à la géolocalisation | Consentement, recueilli via l'autorisation de l'appareil |
| Prise, personnalisation, modification et annulation des rendez-vous, transmission de la demande et des photos jointes à la Professionnelle | Exécution du contrat |
| Messagerie entre Cliente et Professionnelle | Exécution du contrat |
| Gestion des paiements d'acompte et des frais de service via Stripe | Exécution du contrat |
| Gestion des abonnements des Professionnelles et de la période d'essai | Exécution du contrat |
| Publication et modération des avis | Intérêt légitime de Mallow à informer les Clientes de manière fiable, et obligation légale de transparence sur les avis en ligne (article L. 111-7-2 du Code de la consommation) |
| Envoi des notifications liées au service (confirmation, rappel, message reçu) | Exécution du contrat ; consentement pour les notifications push, recueilli via l'appareil |
| Envoi d'emails et de notifications promotionnels aux Clientes | Consentement, recueilli lors de l'inscription ou dans les paramètres |
| Envoi d'informations commerciales aux Professionnelles sur des services analogues | Intérêt légitime, avec possibilité de s'y opposer à tout moment |
| Personnalisation du feed et des suggestions (Professionnelles et poses recommandées) | Intérêt légitime de Mallow à proposer un contenu pertinent |
| Support client et réponse aux demandes | Exécution du contrat ou intérêt légitime |
| Sécurité des Services, prévention de la fraude et des abus, gestion des incidents techniques | Intérêt légitime |
| Statistiques d'utilisation et amélioration des Services | Intérêt légitime ; consentement lorsque des traceurs soumis à consentement sont utilisés |
| Respect des obligations comptables, fiscales et légales, réponse aux réquisitions des autorités | Obligation légale |
| Constatation, exercice ou défense de droits en justice | Intérêt légitime |
Décisions automatisées. Le classement des contenus dans le feed et l'onglet Découverte repose sur des critères automatisés (proximité, tendances, interactions). Il ne produit aucun effet juridique à votre égard et ne vous affecte pas de manière significative au sens de l'article 22 du RGPD.
5. Destinataires des données et transferts hors de l'Union européenne
Mallow ne vend ni ne loue vos données personnelles. Elles ne sont communiquées qu'aux destinataires suivants, dans la limite de ce qui est nécessaire.
Au sein de Mallow. Seules les personnes habilitées de Mallow, soumises à une obligation de confidentialité, accèdent à vos données dans le cadre de leurs fonctions.
Autres Utilisateurs. Certaines données sont visibles par d'autres personnes, du fait même du fonctionnement des Services :
- le profil des Professionnelles (nom commercial, photos, prestations, tarifs, localisation du salon, notes et avis) est visible par toutes les Clientes et par les Invités ;
- les données d'une réservation (identité de la Cliente, coordonnées utiles, détails de la prestation, photos jointes, messages) sont visibles uniquement par la Professionnelle concernée ;
- les avis publiés sont visibles par les Clientes et les Invités, accompagnés du nom d'utilisateur de leur autrice.
Prestataires techniques (sous-traitants). Mallow fait appel aux prestataires suivants, qui traitent les données uniquement sur instruction de Mallow, dans le cadre d'un contrat conforme à l'article 28 du RGPD :
| Prestataire | Service fourni | Localisation |
|---|---|---|
| Supabase Pte. Ltd. | Base de données, authentification, stockage des photos | Société établie à Singapour |
| Vercel, Inc. | Hébergement de la Plateforme web | États-Unis, avec infrastructure mondiale |
| Hostinger International Ltd. | Nom de domaine et hébergement du Site | Union européenne (Chypre) |
| Google (Firebase) | Notifications push | Union européenne et États-Unis |
| Resend, Inc. | Envoi des emails automatiques (confirmation, réinitialisation du mot de passe, notifications) | États-Unis |
| RevenueCat, Inc. | Gestion des abonnements souscrits dans l'Application | États-Unis |
| Formspree, Inc. | Réception et transmission des messages envoyés via le formulaire de contact du Site | États-Unis |
Responsables de traitement indépendants. Stripe (Stripe Payments Europe, Ltd., Irlande) pour les paiements, Apple (Apple Distribution International Ltd., Irlande) et Google (Google Ireland Ltd.) pour la distribution de l'Application et les achats intégrés. Ces sociétés traitent les données selon leurs propres politiques de confidentialité.
Autres destinataires. Les autorités administratives ou judiciaires, sur réquisition légale ; les conseils de Mallow (avocats, expert-comptable), tenus au secret professionnel ; en cas de fusion, de cession ou de restructuration de Mallow, le repreneur, qui sera tenu de respecter la présente Politique.
Transferts hors de l'Union européenne. Certains prestataires sont établis hors de l'Union européenne, notamment aux États-Unis et à Singapour, ce qui peut entraîner un transfert ou un accès à vos données depuis ces pays. Ces transferts sont encadrés :
- par la décision d'adéquation de la Commission européenne du 10 juillet 2023 (Data Privacy Framework UE–États-Unis), lorsque le prestataire est certifié ;
- à défaut, par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914 du 4 juin 2021), complétées si nécessaire par des mesures de sécurité supplémentaires.
Vous pouvez obtenir une copie des garanties applicables en écrivant à contact@mallowapp.fr.
6. Durées de conservation
Vos données sont conservées pendant la durée strictement nécessaire à chaque finalité, puis supprimées ou anonymisées. Certaines peuvent être archivées plus longtemps, avec un accès restreint, pour respecter une obligation légale ou se défendre en justice.
| Données | Durée de conservation |
|---|---|
| Données de compte | Pendant toute la durée d'utilisation du compte. Sans activité pendant 3 ans, le compte est supprimé, après un email de préavis |
| Données de compte après suppression demandée | Suppression sous 30 jours, sauf données devant être archivées (voir ci-dessous) |
| Photos jointes à une réservation | Supprimées après la réalisation du rendez-vous |
| Messagerie | Pendant la durée nécessaire au suivi du rendez-vous, puis suppression |
| Historique des réservations | Pendant la durée du compte, puis archivage pendant 5 ans à des fins de preuve (article 2224 du Code civil) |
| Photos et contenus publiés par les Professionnelles | Jusqu'à leur suppression par la Professionnelle ou la suppression de son compte |
| Avis et notes | Pendant la durée de vie du profil de la Professionnelle évaluée |
| Données de transaction | 13 mois après le paiement, pour la gestion des contestations, puis archivage dans le cadre des pièces comptables |
| Factures et pièces comptables | 10 ans à compter de la clôture de l'exercice (article L. 123-22 du Code de commerce) |
| Données de prospection | 3 ans après le dernier contact émanant de la personne, ou jusqu'à son désabonnement |
| Données de localisation | Non conservées : utilisées uniquement au moment de la recherche |
| Journaux techniques et de sécurité | 12 mois maximum |
| Cookies et traceurs soumis à consentement | 13 mois maximum ; le choix de la personne est conservé 6 mois |
| Échanges avec le support | 3 ans après le dernier échange |
| Justificatif d'identité fourni pour exercer un droit | Supprimé dès la réponse apportée, sauf contestation |
7. Autorisations, prospection, cookies, mineurs et sécurité
Autorisations de l'appareil. L'Application peut vous demander l'accès aux fonctions suivantes. Chaque accès est facultatif et peut être retiré à tout moment dans les réglages de votre téléphone :
- Localisation : pour afficher les Professionnelles proches de vous. Votre position est utilisée au moment de la recherche et n'est pas enregistrée ;
- Appareil photo et galerie : pour publier des réalisations (Professionnelles) ou joindre une photo à une réservation (Clientes). Seules les photos que vous choisissez sont transmises ;
- Notifications : pour vous informer de vos réservations, de vos messages et, si vous l'avez accepté, de nos actualités.
Refuser une autorisation peut limiter certaines fonctionnalités, sans empêcher l'utilisation du reste des Services.
Prospection commerciale. Les Clientes ne reçoivent nos emails et notifications promotionnels que si elles y ont consenti. Les Professionnelles peuvent recevoir des informations sur des services analogues à ceux qu'elles utilisent, sauf opposition de leur part. Chaque email contient un lien de désabonnement, et les notifications peuvent être désactivées dans les paramètres de l'Application ou du téléphone.
Cookies et traceurs sur le Site. Le Site utilise uniquement des cookies strictement nécessaires à son fonctionnement, qui ne requièrent pas de consentement. Il n'utilise à ce jour aucun outil de mesure d'audience ni aucun traceur publicitaire. Si Mallow venait à en utiliser (par exemple les pixels de Meta ou de TikTok pour mesurer l'efficacité de ses publicités), ces traceurs ne seraient déposés qu'après votre consentement, recueilli via un bandeau vous permettant d'accepter ou de refuser aussi facilement, et la présente Politique serait mise à jour au préalable.
Outils intégrés à l'Application. L'Application intègre des kits de développement (SDK) de prestataires listés à l'article 5, notamment pour les notifications et la gestion des abonnements.
Mineurs. La création d'un compte Cliente est réservée aux personnes âgées d'au moins 15 ans, âge à partir duquel une personne peut consentir seule au traitement de ses données (article 45 de la Loi Informatique et Libertés). Les Clientes mineures ne reçoivent aucune communication promotionnelle. Si nous apprenons qu'un compte a été créé par une personne de moins de 15 ans, il sera supprimé. Les comptes Professionnelles sont réservés aux personnes majeures.
Sécurité. Mallow met en œuvre des mesures techniques et organisationnelles adaptées aux risques : chiffrement des communications (HTTPS/TLS), chiffrement des mots de passe, contrôle et limitation des accès aux données, séparation des environnements de production et de test, sauvegardes régulières, journalisation des accès. Les données de carte bancaire ne transitent jamais par les serveurs de Mallow. En cas de violation de données présentant un risque pour vos droits, Mallow notifiera la CNIL dans les 72 heures et vous informera dans les meilleurs délais si le risque est élevé, conformément aux articles 33 et 34 du RGPD.
8. Vos droits, suppression du compte et contact
Vos droits. Conformément aux articles 15 à 22 du RGPD et à la Loi Informatique et Libertés, vous disposez des droits suivants :
- droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie ;
- droit de rectification : faire corriger des données inexactes ou incomplètes ;
- droit à l'effacement : obtenir la suppression de vos données, sous réserve des obligations de conservation légales ;
- droit à la limitation : demander le gel temporaire de l'utilisation de vos données ;
- droit d'opposition : vous opposer à tout moment aux traitements fondés sur notre intérêt légitime, et sans justification à la prospection commerciale ;
- droit à la portabilité : recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine, ou les faire transmettre à un autre service ;
- droit de retirer votre consentement à tout moment, sans remettre en cause la licéité des traitements effectués avant ce retrait ;
- droit de définir des directives relatives au sort de vos données après votre décès (article 85 de la Loi Informatique et Libertés).
Comment exercer vos droits. Écrivez à contact@mallowapp.fr ou par courrier à MALLOW SAS, 9 rue des Colonnes, 75002 Paris. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes, auquel cas vous en serez informée. En cas de doute raisonnable sur votre identité, nous pourrons vous demander un justificatif.
Suppression du compte. Vous pouvez supprimer votre compte à tout moment, directement depuis les paramètres de l'Application. La suppression entraîne l'effacement de vos données dans les conditions prévues à l'article 6. Pour les Professionnelles, la suppression du compte ne met pas automatiquement fin à un abonnement souscrit via l'App Store ou Google Play : celui-ci doit être résilié depuis le compte Apple ou Google.
Réclamation auprès de la CNIL. Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr.
Modification de la Politique. Mallow peut faire évoluer la présente Politique, notamment pour tenir compte de nouvelles fonctionnalités ou d'évolutions réglementaires. En cas de modification importante, vous en serez informée par email ou par notification dans l'Application avant son entrée en vigueur. La date de dernière mise à jour figure en tête du document.
Contact. Pour toute question sur la présente Politique ou sur vos données : contact@mallowapp.fr.