L’essentiel

Vos informations servent uniquement à étudier votre projet, à organiser votre rendez-vous, à vous écrire après la séance et à respecter mes obligations légales.
Les photos de peau que vous m’envoyez servent seulement à étudier et à préparer votre projet, avec votre accord explicite, révocable à tout moment. Elles ne sont jamais publiées.
Les arrhes se règlent par virement bancaire ou par carte. Par carte, vous payez sur la page de SumUp, mon prestataire de paiement : vos données de carte ne passent jamais par ce site. Dans les deux cas, je n’enregistre que ce qui sert au suivi du paiement : montant, date, référence et, pour un virement, nom du titulaire du compte.
Ce site n’utilise aucun cookie ni traceur soumis à consentement.
Pour toute question ou pour exercer vos droits, écrivez-moi à contact@sergiodurotattoo.com.

Responsable du traitement

Ce site me sert à recevoir et à étudier vos projets de tatouage, puis à organiser vos rendez-vous. Le responsable du traitement des données que vous y confiez est :

Sergio Duro Godoy EI (Sergio Duro), entrepreneur individuel, sous le nom commercial Sergio Duro Tattoo ;
adresse postale et lieu d’exercice : studio Cœur de Vaurien, 10 rue Poincaré, 68100 Mulhouse, France ;
e-mail : contact@sergiodurotattoo.com.

Les informations légales complètes figurent dans les mentions légales.

Données collectées

Je ne collecte que ce qui est utile pour étudier votre projet, organiser votre rendez-vous et respecter mes obligations.

Votre demande de projet : prénom, nom, adresse e-mail, téléphone (facultatif), langue de nos échanges, type de tatouage, description de votre idée, emplacement, taille, noir et gris ou couleur, premier tatouage ou non, recouvrement éventuel, budget, disponibilités, remarques et, si vous le souhaitez, la façon dont vous avez connu mon travail. J’enregistre aussi la date de votre accord et votre confirmation d’avoir 18 ans ou plus.
Vos photos : images de référence et photos de l’emplacement à tatouer, 8 au maximum. Leurs métadonnées (position GPS, modèle d’appareil, date de prise de vue) sont supprimées à l’envoi.
Votre réservation : la proposition que je vous adresse (durée, nombre de séances, prix estimé), le créneau choisi, la date et la version des conditions de réservation acceptées, une éventuelle demande de commencer avant la fin du délai de rétractation, vos demandes de report ou de rétractation.
Le paiement des arrhes : pour un virement sur mon compte bancaire professionnel, j’enregistre seulement ce qui figure sur mon relevé : montant, date de réception, référence du virement et nom du titulaire du compte qui a payé. Les coordonnées bancaires du compte émetteur, que ma banque m’indique comme pour tout virement reçu, ne sont pas enregistrées sur ce site : elles ne me servent qu’à vous rembourser, si un remboursement est dû. Pour un paiement par carte, vous saisissez vos données de carte sur la page de paiement de SumUp, jamais sur ce site, et je n’y ai pas accès : le site enregistre seulement le statut du paiement (en attente, payé, échoué ou expiré), le montant, la date et les identifiants de la transaction que SumUp lui renvoie. Dans les deux cas, j’enregistre aussi le numéro de reçu et, le cas échéant, le montant et la date d’un remboursement. Si je dois vous verser une somme par virement alors que vous avez payé par carte (par exemple le double des arrhes), je vous demande par e-mail les coordonnées du compte à créditer ; elles ne sont pas non plus enregistrées sur ce site.
Notre correspondance : nos e-mails et mes notes de travail sur votre projet.
Données techniques : des journaux de sécurité (adresse IP, date et heure, page demandée), utilisés uniquement pour protéger le site contre les abus. Les statistiques de fréquentation, elles, ne contiennent ni adresse IP ni identifiant (voir « Cookies et statistiques »).

Les champs signalés comme obligatoires dans le formulaire sont nécessaires pour étudier votre demande : sans eux, je ne peux pas vous répondre. Les autres sont facultatifs. N’indiquez aucune information médicale dans le formulaire.

Finalités et bases légales

Étudier votre demande, vous répondre et vous adresser une proposition — base légale : mesures précontractuelles prises à votre demande (art. 6.1.b du RGPD).
Utiliser les photos de l’emplacement à tatouer — base légale : votre consentement explicite (art. 9.2.a du RGPD), car une photo de peau peut révéler des informations de santé.
Réserver et gérer votre rendez-vous (créneau, paiement et remboursement des arrhes, confirmation, rappel quelques jours avant, report, rétractation) — base légale : exécution du contrat (art. 6.1.b du RGPD).
Tenir ma comptabilité et conserver les pièces justificatives — base légale : obligation légale (art. 6.1.c du RGPD).
Conserver la preuve de l’acceptation des conditions de réservation et des rétractations — base légale : intérêt légitime à pouvoir démontrer le respect de mes obligations et à défendre mes droits (art. 6.1.f du RGPD).
Sécuriser le site et bloquer le spam — base légale : intérêt légitime (art. 6.1.f du RGPD).
Mesurer la fréquentation du site, sans cookie, pour savoir quelles pages sont utiles — base légale : intérêt légitime (art. 6.1.f du RGPD).
Vous écrire après votre séance, pour savoir comment se passe la cicatrisation et, le cas échéant, vous informer de prestations similaires — base légale : intérêt légitime (art. 6.1.f du RGPD), dans le cadre prévu pour les clients par l’article L34-5 du Code des postes et des communications électroniques. Chacun de ces e-mails contient un lien pour ne plus en recevoir.

Lorsqu’un traitement repose sur mon intérêt légitime, vous disposez d’un droit d’opposition (voir « Vos droits »).

Aucune décision automatisée : je lis et j’étudie chaque demande moi-même. Ni l’acceptation d’un projet ni son prix ne sont décidés par un algorithme.

Vos données ne servent à aucune autre fin.

Photos de peau : un consentement explicite

Une photo de l’emplacement à tatouer montre votre peau : elle peut laisser voir une cicatrice, une particularité cutanée ou une autre information liée à votre santé. C’est pourquoi le formulaire vous demande un accord explicite : « J’accepte que les informations et les photos fournies soient utilisées uniquement pour traiter ma demande de tatouage. Les photos de peau pouvant révéler des données de santé, je peux retirer mon accord à tout moment : elles seront alors supprimées. »

Cadrez uniquement l’emplacement, sans votre visage, et n’ajoutez aucune information médicale.
Ces photos servent seulement à étudier et à préparer votre projet. Elles ne sont jamais publiées.
Vous pouvez retirer votre accord à tout moment en m’écrivant à contact@sergiodurotattoo.com : les photos sont alors supprimées. Ce retrait ne remet pas en cause l’usage qui en a été fait auparavant. Sans photos, en revanche, je ne pourrai peut-être plus étudier ni préparer votre projet.
Une photo de votre tatouage terminé n’apparaîtra sur ce site ou sur mes réseaux qu’avec votre accord écrit, donné séparément et lui aussi révocable.

Destinataires et prestataires

Je suis le seul à utiliser vos données : je ne les vends pas, je ne les loue pas et je ne les cède à personne. Pour faire fonctionner le site, je fais appel à quelques prestataires techniques qui les traitent pour mon compte, selon mes instructions (sous-traitants au sens de l’article 28 du RGPD) :

Cloudflare (Cloudflare, Inc., États-Unis) : hébergement du site, base de données, stockage des photos et acheminement des e-mails adressés à contact@sergiodurotattoo.com. Les données de vos demandes et vos photos sont stockées dans l’Union européenne.
Resend (États-Unis) : envoi des e-mails automatiques (accusé de réception, proposition, confirmation, rappel) et de la notification que je reçois pour chaque nouvelle demande (sans vos photos ni le texte de votre projet, qui restent sur le site).
Google (messagerie Gmail) : la boîte de réception où arrivent ces notifications et vos messages, et d’où je vous réponds.

Banques. Les arrhes payées par virement arrivent sur mon compte bancaire professionnel. Votre banque et la mienne traitent les données du virement (nom du titulaire, coordonnées bancaires, montant, libellé) en tant que responsables de traitement distincts, pour exécuter le virement et respecter leurs propres obligations légales, notamment en matière de lutte contre la fraude et le blanchiment. Je ne communique à ma banque aucune autre donnée vous concernant.

SumUp, pour les paiements par carte. Si vous choisissez de payer par carte, le paiement est traité par SumUp Limited, établissement de monnaie électronique agréé par la Banque centrale d’Irlande (licence C195030), Block 8, Harcourt Centre, Charlotte Way, Dublin 2, D02 K580, Irlande. Vous saisissez vos données de carte (numéro, date d’expiration, cryptogramme, nom du titulaire) directement sur la page de paiement de SumUp. SumUp traite ces données et celles de la transaction en tant que responsable de traitement distinct, pour exécuter et sécuriser le paiement, prévenir la fraude et respecter ses propres obligations légales, notamment en matière de lutte contre le blanchiment : sa politique de confidentialité s’applique à ces traitements, et vous pouvez exercer vos droits auprès d’elle à l’adresse dpo@sumup.com. Pour créer le paiement, ce site transmet seulement à SumUp le montant, la devise, une référence technique et un libellé générique, sans votre nom ni votre adresse e-mail ; en retour, il reçoit le statut du paiement et les identifiants de la transaction. Les remboursements sur carte passent également par SumUp.

Si la loi l’exige, certaines données peuvent être communiquées aux autorités habilitées, par exemple à l’administration fiscale.

Transferts hors de l’Union européenne

Cloudflare, Resend et Google sont des entreprises américaines ou appartiennent à des groupes américains. Même lorsque les données sont stockées dans l’Union européenne, un accès depuis les États-Unis ne peut pas être exclu, et les e-mails envoyés par le site transitent par les serveurs de Resend aux États-Unis. Ces transferts sont encadrés :

par la décision d’adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (Data Privacy Framework), pour les entreprises certifiées ;
par les clauses contractuelles types adoptées par la Commission européenne, prévues dans les contrats de ces prestataires.

SumUp indique conserver les données de ses activités européennes dans l’Espace économique européen. Elle peut toutefois les communiquer à des sociétés de son groupe, à des intervenants de la chaîne de paiement ou à ses propres prestataires situés hors de l’Espace économique européen, notamment au Royaume-Uni, en s’engageant à ne le faire qu’avec des garanties appropriées, en particulier contractuelles. Ces transferts relèvent de sa responsabilité et sont décrits dans sa politique de confidentialité.

Sur simple demande à contact@sergiodurotattoo.com, je vous indique les garanties applicables à chaque prestataire.

Durées de conservation

Demande qui n’aboutit pas à un rendez-vous : photos supprimées 3 mois après la clôture de la demande ; autres données supprimées 12 mois après notre dernier échange.
Données des clients (coordonnées, projet, rendez-vous, échanges) : 3 ans après le dernier rendez-vous.
Photos de votre projet : 12 mois après la dernière séance, sauf accord écrit distinct pour le portfolio.
Pièces comptables (reçus, enregistrements des paiements reçus, par virement ou par carte, et des remboursements) : 10 ans, comme l’impose l’article L123-22 du Code de commerce. SumUp conserve ses propres enregistrements de transaction selon les durées indiquées dans sa politique de confidentialité.
Preuves d’acceptation des conditions de réservation et accusés de réception des rétractations : 5 ans.
Journaux de sécurité : 6 à 12 mois.
Statistiques de fréquentation anonymes : 25 mois au maximum.
Sauvegardes techniques de la base de données (hébergées dans l’Union européenne) : effacées au bout de 35 jours ; les données supprimées en disparaissent donc dans ce délai.

À l’échéance, les données sont supprimées ou rendues anonymes : automatiquement pour celles qu’enregistre le site, et selon les mêmes durées pour les e-mails conservés dans ma messagerie. Si vous retirez votre accord pour les photos, elles sont supprimées sans attendre.

Sécurité

Stockage privé : vos photos ne sont jamais accessibles publiquement, et je suis le seul à pouvoir les consulter.
Chiffrement : toutes les communications avec le site sont chiffrées (HTTPS).
Accès restreint : l’espace d’administration m’est réservé et protégé par un contrôle d’accès qui vérifie mon identité.
Liens personnels : le lien de réservation que je vous envoie vous est propre et n’est valable que 14 jours.
Suppression automatique : les données enregistrées par le site sont effacées à la fin des durées indiquées ci-dessus, sans intervention manuelle.

Aucun système n’est infaillible. En cas de violation de données susceptible de présenter un risque pour vos droits, j’en informe la CNIL et, si ce risque est élevé, les personnes concernées, comme le prévoit le RGPD.

Vos droits

Vous disposez des droits suivants sur vos données :

accès : savoir quelles données je détiens sur vous et en obtenir une copie ;
rectification : faire corriger des données inexactes ou incomplètes ;
effacement : obtenir la suppression de vos données ;
limitation : demander que l’usage de vos données soit temporairement suspendu ;
opposition : vous opposer, pour des raisons tenant à votre situation particulière, aux traitements fondés sur mon intérêt légitime et, à tout moment, aux e-mails envoyés après votre séance ;
portabilité : recevoir les données que vous m’avez fournies dans un format courant et lisible par machine ;
retrait du consentement : retirer à tout moment votre accord pour les photos ;
directives post mortem : définir le sort de vos données après votre décès.

Pour les exercer, écrivez-moi à contact@sergiodurotattoo.com en précisant votre demande. En cas de doute raisonnable sur votre identité, je peux vous demander une information complémentaire. Je vous réponds dans un délai d’un mois ; si la demande est complexe, ce délai peut être prolongé de deux mois, et je vous en préviens.

Certaines données ne peuvent pas être effacées tant que la loi m’impose de les conserver, comme les pièces comptables.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL (www.cnil.fr/fr/plaintes) ou à l’autorité de protection des données de votre pays de résidence dans l’Union européenne.

Cookies et statistiques

Ce site n’utilise aucun cookie ni traceur soumis à votre consentement. C’est pourquoi aucun bandeau ne vous demande votre accord.

Statistiques sans cookie : pour savoir quelles pages sont consultées et d’où viennent les visites (Instagram, Google…), le site tient des compteurs agrégés jour par jour. Aucun cookie n’est déposé, rien n’est enregistré dans votre navigateur (sauf votre refus d’être compté, si vous le demandez ci-dessous), aucune adresse IP n’est conservée et aucun identifiant ne permet de vous reconnaître d’une visite à l’autre.
Do Not Track et Global Privacy Control : si votre navigateur envoie l’un de ces signaux, votre visite n’est pas comptabilisée.
Ne pas être compté : vous pouvez aussi refuser d’être compté avec le bouton ci-dessous. Votre choix est mémorisé dans ce navigateur, et c’est la seule information que le site y enregistre.Vos visites sont actuellement comptées, de façon anonyme.
Lutte contre le spam : le formulaire est protégé par une vérification qui s’exécute dans votre navigateur (un bref calcul automatique, appelé « preuve de travail ») et par un champ invisible destiné aux robots. Aucun cookie ni service tiers n’intervient.
Aucun contenu tiers intégré : le site utilise les polices déjà installées sur votre appareil et n’en charge aucune depuis un service tiers ; les photos du portfolio sont hébergées sur ce site ; l’itinéraire vers le studio s’ouvre par un simple lien vers Google Maps, et Instagram n’est accessible que par des liens. Ces services ne reçoivent aucune information sur votre visite tant que vous ne cliquez pas sur ces liens.
Paiement : aucun service de paiement n’est intégré aux pages de ce site. Pour un virement, vous payez depuis votre propre banque ; pour un paiement par carte, vous êtes dirigé vers la page de paiement de SumUp (checkout.sumup.com), où SumUp peut utiliser ses propres cookies, sous sa responsabilité (voir sa politique de confidentialité).

Mineurs

Le formulaire de demande et la réservation en ligne sont réservés aux personnes de 18 ans ou plus, ce que vous confirmez en cochant la case prévue. Je ne collecte pas sciemment de données concernant des mineurs : si j’apprends qu’une demande a été envoyée par une personne de moins de 18 ans, je la supprime. Un parent qui a une question à ce sujet peut m’écrire à contact@sergiodurotattoo.com.

Modifications de cette politique

Cette politique peut être modifiée, par exemple en cas de changement de prestataire ou d’évolution de la loi. La date de dernière mise à jour figure en tête de cette page. Si un changement important concerne des données déjà collectées, je vous en informe par e-mail.

Version en vigueur depuis le 13 octobre 2026.