Politique de confidentialité
Dernière mise à jour : 1er novembre 2026
1. Responsable du traitement
ELOHI, société par actions simplifiée, est responsable des traitements de données personnelles décrits dans cette politique, pour le site elohi.fitness, l'espace client qu'il porte, les emails qui en partent, et la gestion du studio, clientes et personnel.
Identification
- Dénomination
- ELOHI SAS
- RCS
- 922 246 962 RCS Paris
- Siège social
- Bureau 326
- 59 rue de Ponthieu
- 75008 Paris
- Contact données personnelles
- direction@elohi.fr
2. Données collectées
Seules les données que la personne saisit, et celles que le service produit en la servant, sont collectées. Aucune donnée n'est achetée ni croisée avec une source extérieure. Par parcours :
Par parcours
- Liste d'attente, sur la page d'accueil
- Prénom, nom, adresse email, numéro de téléphone, et la langue du formulaire. Les quatre champs sont obligatoires : sans eux, l'inscription n'est pas enregistrée.
- Le texte du consentement affiché sous le bouton, sa version et la date du clic.
- Une fiche cliente est créée à l'inscription avec ces coordonnées, pour préparer la première réservation.
- Compte et première connexion
- L'adresse email de connexion. Prénom, nom et téléphone, saisis à la première connexion.
- L'adresse postale et la date de naissance sont saisies au studio seulement, jamais en ligne.
- La langue d'affichage, le choix des rappels de séance et celui des communications commerciales.
- Réservations
- La séance, la machine, la date de réservation, l'annulation éventuelle, la présence ou l'absence.
- Le prénom et le nom d'une personne invitée, saisis par la cliente qui l'invite.
- Achats
- Le produit, le montant, le mode de paiement, la date, et la référence du paiement chez le service de paiement.
- Aucun numéro de carte bancaire n'est reçu ni conservé par Elohi.
- Connexion
- Un lien de connexion est envoyé à l'adresse email. Avec la connexion par compte Google, l'identité de ce compte est reçue du service d'authentification.
- Statistiques de fréquentation
- Sans cookie : la page vue, la page d'origine, le pays, la région et la ville, le type d'appareil, le navigateur et le système, rattachés à une empreinte de la requête jetée après 24 heures.
- Avec Google Analytics, après acceptation seulement : les pages vues et l'activité de la visite (première visite, début et durée de session), rattachées à un identifiant de navigateur posé par un cookie, ainsi que l'adresse IP de la connexion, que Google dit ne pas enregistrer. L'adresse envoyée ne porte ni paramètre ni fragment.
- Protection du formulaire
- Une empreinte de l'adresse IP, hachée avec une clé secrète et la tranche de dix minutes en cours, limite les envois répétés. Elle ne permet pas de retrouver l'adresse, et s'efface au premier envoi qui suit la tranche.
- Journaux techniques
- L'hébergeur tient des journaux de requêtes, adresse IP comprise, pour la sécurité et le fonctionnement du service.
3. Finalités et bases légales
Pourquoi, et sur quel fondement
- Liste d'attente et newsletter
- Prévenir de l'ouverture du studio, envoyer ses actualités, préparer la première réservation.
- Base légale : le consentement, retiré à tout moment par le lien de chaque email.
- Compte, réservations, achats
- Ouvrir et tenir le compte, réserver, encaisser, rappeler une séance.
- Base légale : l'exécution du contrat.
- Facturation
- Tenir la comptabilité et conserver les pièces.
- Base légale : l'obligation légale.
- Statistiques sans cookie
- Connaître la fréquentation du site, en agrégat, sans identifier personne.
- Base légale : l'intérêt légitime. Opposition par email, à l'adresse ci-dessous.
- Google Analytics
- Mesurer la fréquentation du site avec des cookies.
- Base légale : le consentement, donné par « Accepter » sur la barre cookies et retiré par « Gérer les cookies ».
4. Destinataires et sous-traitants
Les données sont transmises aux seuls prestataires qui servent le site, pour ce que chacun fait, et ne sont jamais vendues. Chaque transfert hors de l'Union européenne repose sur le Data Privacy Framework ou sur les clauses contractuelles types de la Commission européenne, selon le prestataire.
Sous-traitants
- Vercel Inc., États-Unis
- Hébergement du site et exécution du code, à Paris. Statistiques de fréquentation sans cookie.
- Certifié Data Privacy Framework ; clauses contractuelles types dans son accord de traitement.
- Supabase Pte. Ltd, Singapour
- Base de données et connexion, par lien ou par compte Google. Les données sont hébergées à Paris, chez Amazon Web Services.
- Clauses contractuelles types.
- Resend (Plus Five Five, Inc.), États-Unis
- Envoi des emails, depuis l'Union européenne. Le contenu et les journaux d'envoi sont conservés aux États-Unis pendant 30 jours.
- Certifié Data Privacy Framework ; clauses contractuelles types.
- Stripe Payments Europe, Limited, Irlande
- Paiement en ligne, abonnements et factures, pour le compte d'Elohi. Stripe reçoit l'adresse email, le montant et la référence du produit ; le numéro de carte et ce qui est saisi sur sa page de paiement lui sont confiés directement et n'atteignent jamais Elohi.
- Pour la prévention de la fraude et ses obligations réglementaires, Stripe agit comme responsable de traitement autonome, selon sa propre politique de confidentialité. Stripe, Inc., États-Unis, est certifiée Data Privacy Framework.
- Google Ireland Limited, Irlande, et Google LLC, États-Unis
- Google Analytics, après acceptation seulement. La connexion par compte Google, quand la personne la choisit.
- Google LLC est certifiée Data Privacy Framework.
5. Durées de conservation
Combien de temps
- Liste d'attente et newsletter
- Jusqu'à la désinscription, ou trois ans après l'inscription sans aucune réservation ni contact avec le studio.
- Compte cliente
- La durée de la relation, puis trois ans après le dernier contact. Ensuite, suppression ou anonymisation : les ventes et les séances passées restent, sans le nom.
- Ventes et factures
- Dix ans, obligation comptable.
- Carte bancaire
- Jamais conservée par Elohi. Le service de paiement la garde selon ses propres règles.
- Personnel
- Cinq ans après le départ.
- Journaux de connexion
- Un an.
- Google Analytics
- Quatorze mois.
6. Droits
Toute personne dispose, sur les données qui la concernent, d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition, d'un droit à la portabilité, du droit de retirer son consentement à tout moment, et du droit de donner des directives sur le sort de ses données après son décès.
Ces droits s'exercent par email à l'adresse direction@elohi.fr. Une réponse est apportée sous un mois. Une réclamation peut être adressée à la CNIL, www.cnil.fr.
8. Données de santé
Aucune donnée de santé n'est collectée. Les formulaires du site et de l'espace client ne demandent ni antécédent, ni blessure, ni traitement, et aucune information de cette nature ne doit être communiquée au studio par ces formulaires ni par un champ de texte libre.
9. Mineurs
Les services d'Elohi sont réservés aux personnes majeures. Aucune donnée n'est sciemment collectée auprès d'une personne mineure.
10. Sécurité
Les données transitent chiffrées (HTTPS) et sont hébergées chez des prestataires certifiés Data Privacy Framework ou liés par des clauses contractuelles types, nommés dans « Destinataires et sous-traitants ». L'accès au back-office est réservé à l'équipe du studio, identifiée par un lien de connexion personnel, et chaque modification d'une fiche est journalisée. Aucun mot de passe n'est stocké : la connexion passe par un lien envoyé par email ou par un compte Google.