Politique de confidentialité
Quelles données Soul Design collecte, pourquoi, combien de temps elles sont conservées et comment exercer vos droits.
Dernière mise à jour : 20/10/2026.
SOUL DESIGN ne collecte que les données utiles à votre demande ou à votre commande, les conserve le temps nécessaire et ne les confie qu’à des prestataires liés par contrat. Cette page explique quelles données nous traitons, pourquoi, pendant combien de temps et comment exercer vos droits.
01 — Responsable du traitement
SOUL DESIGN, SAS, 33 rue Louise Michel, Étage 3 gauche, 92300 Levallois-Perret, RCS Nanterre 937 517 746, représentée par sa Présidente, la société JOM TALENTS RECRUTEMENT LTD SARL (droit mauricien), M. Paul Guez étant la personne ayant le pouvoir de diriger, gérer ou engager à titre habituel. Contact pour toute question relative à vos données : paul@maisonsouldesign.fr.
SOUL DESIGN n’est pas tenue de désigner un délégué à la protection des données (article 37 du RGPD) : elle n’est pas un organisme public et ses activités de base ne consistent ni en un suivi régulier et systématique à grande échelle des personnes, ni en un traitement à grande échelle de données sensibles. M. Paul Guez est le référent interne pour la protection des données.
02 — Traitements, finalités, bases légales et durées
| Finalité | Base légale (art. 6 RGPD) | Données | Durée de conservation | Destinataires |
|---|---|---|---|---|
| Fonctionnement et sécurité du site (journaux techniques, prévention des abus) | Intérêt légitime : assurer la sécurité du service | Adresse IP, date et heure, pages appelées, navigateur | 6 mois, puis suppression | Équipe technique ; hébergeur (Google Cloud / Firebase) |
| Création et gestion du compte client et du compte professionnel | Exécution du contrat (conditions d’utilisation du compte) | Civilité, nom, prénom, courriel, téléphone, adresses, mot de passe haché (jamais conservé en clair), société et SIREN pour les professionnels | Jusqu’à la suppression du compte ; compte inactif depuis 2 ans supprimé après avertissement | Équipe Soul Design ; Google (Firebase Authentication, Firestore) |
| Commandes, paiement, livraison, installation, reprise du mobilier usagé, service après-vente | Exécution du contrat | Identité, coordonnées, adresse et conditions d’accès du lieu de livraison, contenu de la commande, historique, échanges SAV, photographies de défauts transmises par vous | Durée de la relation, puis archivage 5 ans (prescription, art. 2224 C. civ. et L. 110-4 C. com.) ; contrats conclus en ligne d’un montant d’au moins 120 € : 10 ans à compter de la livraison (art. L. 213-1 et D. 213-2 C. consom.) ; factures : 10 ans ; codes d’accès et digicode : supprimés 3 mois après la livraison | Équipe ; fabricants (nom et adresse de livraison seulement lorsqu’ils expédient directement) ; transporteurs et installateurs ; éco-organisme pour la reprise ; Stripe |
| Rétractation en ligne (« Renoncer au contrat ici ») | Obligation légale (art. L. 221-21 et D. 221-5 C. consom.) | Nom et prénom, courriel, numéro de commande, produits concernés, précisions éventuelles, date et heure de la déclaration, accusé de réception envoyé, empreinte non réversible de l’adresse IP (sécurité) | 5 ans après la commande (prescription) | Équipe ; Brevo (envoi de l’accusé de réception) ; Google Cloud (hébergement) |
| Paiement en ligne et prévention de la fraude au paiement | Exécution du contrat ; intérêt légitime (lutte contre la fraude) | Données de transaction ; les données de carte sont saisies et conservées exclusivement par Stripe ; le cryptogramme n’est jamais conservé | Durée de la transaction ; preuve conservée 13 mois après le débit (délai de contestation) ; durées propres à Stripe en tant que prestataire de paiement | Stripe Payments Europe Ltd (Irlande) ; banques |
| Demande de projet, brief, rendez-vous et devis | Mesures précontractuelles prises à votre demande (aucune case de consentement n’est exigée ; l’information figure sous chaque formulaire) ; intérêt légitime pour la provenance de la demande | Coordonnées, nature du lieu, surfaces, plans et photographies des espaces, budget indicatif, préférences, échanges ; provenance de la visite (campagne ou site d’origine) lorsqu’elle figure dans l’adresse de la page d’arrivée ou que vous avez accepté la mesure d’audience | 3 ans à compter du dernier contact en l’absence de commande ; sinon comme les commandes | Équipe ; fabricants consultés (sans vos coordonnées, sauf accord) ; partenaires de conception mandatés sur le projet |
| Configurateur d’espace et rendus par intelligence artificielle (photo de votre pièce, plan) | Consentement (art. 6.1.a RGPD), recueilli par une case non cochée par défaut avant tout envoi ; retrait possible à tout moment | Photos et plans des espaces que vous envoyez, consignes saisies, pièces choisies, rendus générés ; adresse IP et journal technique (empreinte non réversible) | Photos et rendus : 30 jours, puis suppression automatique ; joints à une demande de projet : comme la demande ; journal technique : 1 an | Google Cloud (Vertex AI, régions Paris et Belgique de l’Union européenne) ; Black Forest Labs GmbH (Allemagne, point d’accès européen), en secours seulement. Aucun transfert hors de l’Union européenne sans votre accord exprès. Nous n’utilisons pas vos photos pour entraîner des modèles. |
| Gestion des affaires et de la relation client (outil interne « L’Atelier » : devis, achats, logistique, facturation, reporting) | Exécution du contrat ; intérêt légitime (pilotage de l’activité) ; obligation légale pour la facturation | Données d’identification et de contact, interlocuteurs professionnels, devis, commandes, factures, notes d’échanges professionnelles | Durée de la relation + 3 ans pour la gestion commerciale ; pièces comptables 10 ans | Équipe habilitée selon son rôle ; expert-comptable ; Google Cloud (hébergement) |
| Portail client (suivi d’affaire, documents, validation de plans, bons de livraison) | Exécution du contrat | Identifiants, documents du projet, validations horodatées, messages | Durée du projet + 5 ans (preuve) | Équipe ; Google Cloud |
| Application d’équipe « Soul Design Pro » : réception, livraison et installation (photos, signature du bon de livraison, réserves) | Exécution du contrat (preuve de la livraison) ; intérêt légitime (organisation des interventions) | Nom du réceptionnaire, signature manuscrite numérisée, date et heure, photographies des produits et des lieux (sans personne identifiable autant que possible), réserves ; pour les salariés : identité, interventions réalisées | Durée du projet + 5 ans ; données des salariés : durée de l’emploi + 5 ans | Équipe ; Google Cloud |
| Lettre d’information et prospection par courriel des particuliers | Consentement (art. L. 34-5 CPCE), ou intérêt légitime pour nos clients s’agissant de produits analogues, avec possibilité de refuser dès la collecte | Courriel, prénom, centres d’intérêt déclarés, statistiques d’ouverture et de clic | 3 ans après le dernier contact émanant de vous ; désinscription immédiate ; adresse conservée en liste d’opposition 3 ans | Équipe ; Brevo (Sendinblue SAS, France) |
| Prospection des professionnels (architectes, décorateurs, hôteliers, entreprises) | Intérêt légitime ; message en rapport avec la profession, information et droit d’opposition à chaque envoi (art. L. 34-5 CPCE) | Nom, fonction, société, coordonnées professionnelles, historique d’échanges | 3 ans après le dernier contact émanant du prospect | Équipe ; Brevo ; Google Workspace |
| Appels commerciaux aux particuliers | Consentement préalable, libre, spécifique et révocable (art. L. 223-1 C. consom.) | Nom, téléphone, preuve et date du consentement | Durée de validité du consentement ; preuve conservée 5 ans | Équipe |
| Mesure d’audience du site | Consentement (art. 82 loi Informatique et Libertés ; art. 6.1.a RGPD) ; le site n’utilise aucun outil de mesure exempté de consentement | Provenance de la visite (campagne, site d’origine, identifiant de clic publicitaire), version A ou B d’une page de campagne, achats déjà comptés ; avec Google Analytics : identifiant de traceur, pages vues, appareil, zone géographique approximative | Stockages Soul Design (sd_attribution, sd_ab_<page>) : 90 jours au plus, effacés dès le retrait de votre accord ; traceurs Google Analytics : 13 mois au plus ; données d’audience : 14 mois | Équipe Soul Design ; Google Ireland Ltd / Google LLC (Google Analytics 4, prévu, non installé à ce jour), seulement si vous y consentez |
| Publicité et mesure des campagnes (Google Ads, Meta, Pinterest, LinkedIn) | Consentement (art. 82 loi Informatique et Libertés ; art. 6.1.a RGPD) | Identifiants de traceurs, événements de navigation et d’achat, courriel ou téléphone haché transmis lors d’une conversion, uniquement si vous avez consenti | Traceurs 13 mois maximum ; choix de consentement conservé 6 mois | Google Ireland Ltd ; Meta Platforms Ireland Ltd ; Pinterest Europe Ltd ; LinkedIn Ireland Unlimited Company — chacun responsable conjoint pour la collecte. Aucune de ces balises n’est installée à ce jour : elles ne le seront qu’après mise à jour de la politique cookies, et seulement avec votre accord. |
| Programme Trade et demande de compte professionnel (architectes, décorateurs, entreprises) | Mesures précontractuelles prises à votre demande ; intérêt légitime (vérifier la qualité professionnelle du demandeur) | Nom, fonction, société, SIREN, numéro d’inscription à l’Ordre pour les architectes, coordonnées professionnelles, références de projets, conditions convenues | 3 ans après le dernier contact en l’absence de suite ; sinon durée de la relation + 3 ans ; convention de prescription : 5 ans après son terme (preuve) | Équipe ; Google Cloud (hébergement) ; Brevo (courriels) |
| Demandes d’entretien, de reprise de mobilier (« Seconde vie ») et de coffret d’échantillons | Mesures précontractuelles prises à votre demande ; exécution du contrat | Coordonnées, adresse du lieu, inventaire et photographies du mobilier concerné, matières souhaitées, numéro de coffret | 3 ans après le dernier contact en l’absence de suite ; sinon comme les commandes | Équipe ; installateurs et tapissiers partenaires ; structures de réemploi ou de don et éco-organisme de la filière (adresse et créneau d’enlèvement seulement) ; Google Cloud |
| Étude de financement en location financière (entreprises) | Mesures précontractuelles prises à la demande de l’entreprise | Dénomination, SIREN, extrait Kbis, derniers comptes, nom, coordonnées et pièce d’identité du dirigeant, montant et durée souhaités | Durée de l’étude, puis 3 ans en l’absence de suite ; pièces justificatives supprimées de nos outils dès leur transmission à l’organisme, au plus tard 3 mois après la demande | Équipe ; organisme de financement partenaire, nommé dans l’offre de location, qui décide du financement en qualité de responsable de traitement distinct (sa propre politique de confidentialité s’applique) |
| Messages reçus par WhatsApp, par le bouton de contact du site et par les formulaires publicitaires (Google, Meta, LinkedIn) | Mesures précontractuelles prises à votre demande ; intérêt légitime (répondre à la personne qui nous écrit) | Nom, téléphone ou courriel, message, page du site d’où vous écrivez (sans ses paramètres), canal utilisé | 3 ans après le dernier contact en l’absence de suite | Équipe ; Meta Platforms Ireland Ltd (WhatsApp Business, formulaires Facebook et Instagram) ; Google Ireland Ltd et LinkedIn Ireland Unlimited Company (leurs formulaires) ; Make (Union européenne) ou Zapier (États-Unis) lorsqu’ils servent de passerelle ; Google Cloud |
| Signature électronique des devis | Exécution du contrat et mesures précontractuelles | Nom, courriel, téléphone (code de vérification), devis signé, dossier de preuve de la signature | Durée du contrat + 5 ans ; 10 ans pour un contrat conclu en ligne avec un particulier d’un montant d’au moins 120 € (art. L. 213-1 C. consom.) | Équipe ; Youtrust (produit de signature : Yousign, France), lorsque la signature électronique est activée |
| Rédaction assistée et analyse des demandes par l’intelligence artificielle (outils de l’équipe) | Intérêt légitime (préparer plus vite une réponse, un devis ou une implantation, toujours relus par l’équipe) | Contenu des demandes, notes de projet, listes de pièces ; jamais vos coordonnées complètes lorsque ce n’est pas nécessaire | Pas de conservation par les fournisseurs au-delà du traitement ; journal technique : 1 an | Google Cloud Vertex AI (modèles Gemini de Google et Claude d’Anthropic, servis par Google dans l’Union européenne) ; OpenAI Ireland Ltd en repli pour du texte seulement, jamais pour une photo ou un plan |
| Alertes internes de l’équipe (messagerie Telegram) | Intérêt légitime (traiter rapidement une demande) | Par défaut, aucune donnée permettant de vous identifier : type d’événement, canal, ville ou arrondissement, nature et surface du projet, lien vers notre outil interne | Sans objet par défaut (aucune donnée personnelle) | Équipe ; Telegram (messagerie de l’équipe) |
| Gestion des demandes d’exercice des droits | Obligation légale (art. 12 à 22 RGPD) | Identité, demande, réponse ; pièce d’identité seulement en cas de doute raisonnable, supprimée après vérification | Durée du traitement de la demande, puis 5 ans à titre de preuve | Référent données |
| Comptabilité et obligations fiscales (dont facturation électronique) | Obligation légale | Factures, paiements, identité et SIREN des clients professionnels | 10 ans (art. L. 123-22 C. com.) | Expert-comptable ; plateforme agréée de facturation électronique ; administration fiscale |
Les champs obligatoires des formulaires sont signalés par un astérisque ; sans eux, nous ne pouvons pas traiter votre demande. Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard. Le site ne s’adresse pas aux mineurs de moins de 15 ans.
Lorsque nous ne recueillons pas les données auprès de vous, elles proviennent des formulaires publicitaires que vous avez remplis (Meta, Google, LinkedIn) ou de sources professionnelles publiques (site de votre société, annuaires, registre du commerce) (article 14 du RGPD).
03 — Prestataires et transferts hors de l’Union européenne
Nos prestataires agissent en qualité de sous-traitants, sur nos instructions et dans le cadre d’un contrat conforme à l’article 28 du RGPD :
- Hébergement et outils de l’équipe : Google Cloud et Firebase (hébergement du site, bases de données, authentification, stockage de fichiers), Google Workspace (messagerie, documents et agenda des rendez-vous), OVHcloud (bureau d’enregistrement du nom de domaine).
- Protection des formulaires : Google reCAPTCHA Enterprise via Firebase App Check (contre les envois automatisés, sans usage publicitaire).
- Intelligence artificielle : Google Cloud Vertex AI (rendus et analyse de plans du configurateur, rédaction assistée ; modèles Gemini de Google et Claude d’Anthropic, servis par Google dans l’Union européenne), Black Forest Labs GmbH (Allemagne, rendus du configurateur en secours), OpenAI Ireland Ltd (texte en repli, jamais une photo ni un plan).
- Paiement, comptabilité : Stripe (paiement), Qonto (banque, facturation et facture électronique, plateforme agréée, France).
- Échanges avec vous : Brevo (envoi des courriels, France), Youtrust (produit de signature électronique Yousign, devis, France, prévu), Meta Platforms Ireland Ltd (WhatsApp Business et formulaires publicitaires, si vous nous contactez par ces canaux), Zernio (publication et messages de nos réseaux sociaux, prévu), Make (Union européenne) et Zapier (États-Unis), passerelles entre les formulaires publicitaires et nos outils, s’ils sont utilisés.
- Alertes internes : Telegram (messagerie de l’équipe), qui ne reçoit par défaut aucune donnée permettant de vous identifier.
- Maintenance : WEBAMMS (maintenance technique du site et des outils, France), qui n’accède aux données que pour cette maintenance.
Les bases de données sont hébergées dans l’Union européenne, région europe-west9 (Paris). Les fabricants, transporteurs, installateurs, l’éco-organisme de la filière et, pour une location financière, l’organisme de financement partenaire reçoivent les seules données utiles en qualité de responsables de traitement distincts.
Certains prestataires, ainsi que les régies publicitaires lorsque leurs balises seront installées, appartiennent à des groupes établis aux États-Unis (Google LLC, Stripe Inc., Meta Platforms Inc., Pinterest Inc., LinkedIn Corporation, OpenAI, Zapier Inc.) et peuvent accéder aux données depuis ce pays. Ces transferts reposent sur la décision d’adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis, pour les sociétés certifiées, et à défaut sur les clauses contractuelles types de la Commission (article 46 du RGPD), complétées de mesures de sécurité (chiffrement en transit et au repos).
Telegram est exploitée depuis un pays qui ne bénéficie pas d’une décision d’adéquation. C’est pourquoi nos alertes Telegram ne contiennent, par défaut, aucune donnée personnelle. Si nous décidions d’y faire figurer votre prénom et l’initiale de votre nom, nous mettrions d’abord cette page à jour et encadrerions ce transfert conformément aux articles 44 à 49 du RGPD.
04 — Sécurité
Les accès à nos outils sont nominatifs, protégés par authentification forte pour l’équipe et limités selon les rôles ; les échanges sont chiffrés (HTTPS) ; les bases font l’objet de sauvegardes régulières ; les règles d’accès aux bases de données empêchent un client de consulter les données d’un autre. En cas de violation de données présentant un risque pour vos droits, nous la notifions à la CNIL dans les 72 heures et, si le risque est élevé, nous vous en informons (articles 33 et 34 du RGPD).
05 — Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition au traitement de vos données, en particulier d’un droit d’opposition sans motif à la prospection commerciale. Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans remettre en cause la licéité du traitement antérieur. Vous pouvez également définir des directives relatives au sort de vos données après votre décès (article 85 de la loi du 6 janvier 1978).
Pour exercer vos droits, écrivez à paul@maisonsouldesign.fr ou à SOUL DESIGN, 33 rue Louise Michel, Étage 3 gauche, 92300 Levallois-Perret. Nous répondons dans un délai d’un mois, prolongeable de deux mois en cas de demande complexe ; nous vous en informerions alors dans le premier mois. Chaque courriel commercial comporte un lien de désinscription.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
06 — Cookies et traceurs
L’utilisation de cookies et autres traceurs, et la façon de modifier vos choix, sont détaillées dans notre politique cookies. Les traceurs de mesure d’audience et de publicité, y compris les stockages de Soul Design qui retiennent la provenance de votre visite ou la version d’une page de campagne, ne sont déposés qu’avec votre accord.
07 — Évolution de cette politique
Nous pouvons faire évoluer la présente politique, notamment lors de l’ajout d’un outil ou d’un service. La date de mise à jour figure en tête de page ; en cas de changement important, nous vous en informons par courriel ou par un message sur le site.