1. Who we are The data controller is Hera Wellness Group LLC, 131 Continental Drive, Suite 305, Newark, DE 19713, United States, represented by Sylvain Campana, Manager. Sessions are delivered by Floriane Rebourg, wellness support practitioner. Contact for anything relating to your personal data: thebellytherapist@gmail.com — +33 7 59 61 91 95 This policy explains what data we collect, why, how long we keep it, and what your rights are. It applies to the website thebellytherapist.com and to the sessions booked through it. 2. Data we collect We only collect data you give us directly. We do not buy data and we do not collect data from third parties. Identity and contact data: surname, first name, email address, and the information you provide when booking. Health data: what you share during a session — how you feel, symptoms, medical history, personal situations. This category is subject to specific rules, set out in section 3 below. Payment data: processed directly by Stripe. We never have access to your full bank details. Booking data: date, time, session type, attendance. Browsing data: cookies and identifiers collected through our audience measurement and advertising tools, subject to your consent (see section 8). 3. Health data Some of what you share during a session — how you feel, symptoms, medical history, personal circumstances — constitutes health data within the meaning of Article 9 of the GDPR. This data receives specific protection. Legal basis: your explicit consent, obtained before the session, and that consent alone. Booking a session does not by itself constitute consent to process this data. Purpose: to tailor the support offered to you. Nothing else. Sessions are not recorded, whether audio or video, unless you give prior written consent, which you may withdraw at any time. Notes: notes are taken on a digital tablet during or after a session, and stored in a dedicated, access-restricted Google Drive space. They are pseudonymised: each file is identified by a code rather than your full name. They are kept for 12 months from the last session, then deleted, unless a new session is booked in the meantime. No sharing: this data is never sold, rented, shared or transferred to third parties, and is never used for marketing or advertising purposes. Withdrawal: you may withdraw your consent or ask for this data to be deleted at any time, with no effect on the support already provided. Confidentiality. The practitioner is not bound by professional secrecy in the sense that applies to healthcare professionals. She undertakes contractually to keep everything discussed during a session strictly confidential. 4. Purposes and legal bases Purpose Legal basis Managing bookings and sessions Performance of the contract — Art. 6.1.b Processing health data shared during a session Explicit consent — Art. 9.2.a Billing and payment via Stripe Performance of the contract and legal obligation — Art. 6.1.b and 6.1.c Sending emails and marketing communications Consent — Art. 6.1.a, withdrawable at any time Audience measurement and advertising Consent — Art. 6.1.a Handling requests and complaints Legitimate interest — Art. 6.1.f Your data is not used for any purpose other than those listed above, and is never sold to third parties. Consent to receive marketing communications is separate from booking a session, and is obtained through a double opt-in: you confirm your subscription by clicking a link sent to your email address. Refusing has no effect on your ability to book. Advertising audiences never rely on health data. No information shared during a session, and no health-related characteristic, is ever used to build, target or exclude an advertising audience. 5. Processors and tools We use the following providers, who process data on our behalf under a contract that complies with Article 28 of the GDPR: Onepage GmbH (Germany) — website creation and hosting, and the cookie consent banner. Calendly (United States) — appointment booking. Stripe (United States / Ireland) — secure payment processing. Omnisend (Lithuania / United States) — emails, customer relationship management and marketing campaigns. Google (United States / Ireland) — Google Workspace (Drive) for storing session notes, Google Meet for some sessions, and Google Analytics and Google Ads for audience measurement and advertising, the latter two only after you consent. Zoom Communications (United States) — videoconferencing for some sessions. Meta Platforms Ireland (Ireland) — advertising tracking through the Meta pixel, only after you consent. Sessions take place on Zoom or Google Meet, depending on the session type, and are not recorded. 6. Transfers outside the European Union Hera Wellness Group LLC is established in the United States. When you contact us or book a session, your data is collected directly by us in the United States: this is not a transfer within the meaning of Chapter V of the GDPR, but a direct collection by a controller subject to the GDPR under Article 3.2. Where our providers are located outside the European Union, transfers are governed by: the standard contractual clauses of the European Commission, and/or the provider's certification under the EU-U.S. Data Privacy Framework, where applicable. You may obtain a copy of the safeguards in place by writing to thebellytherapist@gmail.com. 7. How long we keep your data Booking and session data: for the duration of the contractual relationship, then 3 years for evidentiary purposes. Session notes (health data): 12 months from the last session, then deleted, unless a new session is booked in the meantime. Billing data: 10 years, under applicable accounting obligations. Marketing data: until you withdraw your consent, or after 3 years of inactivity. Cookies: 13 months maximum. Your consent choice is kept for 6 months. 8. Cookies Cookies that are strictly necessary for the site to work are set without your consent. All other cookies — audience measurement and advertising — are set only after you have given consent through the banner displayed on your first visit. The banner lets you accept, refuse or configure non-essential cookies. Refusing takes exactly the same number of clicks as accepting. You may change your choice at any time via the "Manage my cookies" link at the bottom of every page. Cookie* => See above Refusing non-essential cookies has no effect on your ability to browse the site or book a session. 9. Your rights Under the GDPR, you have the right to access, rectify, erase, restrict, object, and port your data, and the right to withdraw your consent at any time. To exercise these rights, write to thebellytherapist@gmail.com. We reply within one month of receiving your request. We may ask you for proof of identity if there is reasonable doubt as to who you are. You may also lodge a complaint with the supervisory authority of your country of residence. In France, that is the CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr. 10. Security and data breaches We implement reasonable technical and organizational measures to protect your data: encrypted connections, session notes pseudonymised and stored in an access-restricted space, access limited to the practitioner alone, and payments secured by Stripe. In the event of a personal data breach that is likely to result in a high risk to your rights, we will inform you directly and without undue delay, and will notify the CNIL within 72 hours. 11. Minors Sessions are reserved for adults. We do not knowingly collect data relating to persons under 18. If such data has been transmitted to us, please write to thebellytherapist@gmail.com and it will be deleted. 12. Automated decision-making No automated decision-making and no profiling is carried out on the basis of your data. No data protection officer has been appointed, as the organisation is not required to do so. 13. Changes This policy may be updated. The version that applies is the one published on the site at the date you consult it. You will be informed of any substantial change to the way your data is processed. 14. Language This policy is available in French and in English. In the event of any discrepancy, the French version prevails. -------------------------------------- 1. Qui nous sommes Le responsable du traitement est Hera Wellness Group LLC, 131 Continental Drive, Suite 305, Newark, DE 19713, États-Unis, représentée par Sylvain Campana, gérant. Les séances sont réalisées par Floriane Rebourg, praticienne en accompagnement bien-être. Contact pour toute question relative à vos données personnelles : thebellytherapist@gmail.com — +33 7 59 61 91 95 La présente politique explique quelles données sont collectées, pourquoi, combien de temps elles sont conservées, et quels sont vos droits. Elle s'applique au site thebellytherapist.com et aux séances réservées par son intermédiaire. 2. Données collectées Nous ne collectons que les données que vous nous transmettez directement. Nous n'achetons aucune donnée et n'en collectons auprès d'aucun tiers. Données d'identité et de contact : nom, prénom, adresse e-mail, et les informations transmises lors de la réservation. Données de santé : ce que vous partagez pendant une séance — ressentis, symptômes, antécédents, situations personnelles. Cette catégorie fait l'objet de règles spécifiques, détaillées à l'article 3. Données de paiement : traitées directement par Stripe. Nous n'avons jamais accès à vos coordonnées bancaires complètes. Données de réservation : date, horaire, type de séance, présence. Données de navigation : cookies et identifiants collectés via nos outils de mesure d'audience et de publicité, sous réserve de votre consentement (voir article 8). 3. Données de santé Une partie de ce que vous partagez en séance — ressentis, symptômes, antécédents, situations personnelles — constitue des données de santé au sens de l'article 9 du RGPD. Ces données bénéficient d'une protection spécifique. Base légale : votre consentement explicite, recueilli avant la séance, et lui seul. La réservation d'une séance ne vaut pas à elle seule consentement au traitement de ces données. Finalité : adapter l'accompagnement qui vous est proposé. Rien d'autre. Les séances ne sont pas enregistrées, ni en audio ni en vidéo, sauf accord écrit préalable de votre part, révocable à tout moment. Notes : des notes sont prises sur tablette numérique pendant ou après la séance, et conservées dans un espace Google Drive dédié à accès restreint. Elles sont pseudonymisées : chaque fichier est identifié par un code et non par votre nom complet. Elles sont conservées 12 mois à compter de la dernière séance, puis supprimées, sauf nouvelle séance réservée entre-temps. Aucun partage : ces données ne sont ni vendues, ni louées, ni communiquées à des tiers, et ne sont jamais utilisées à des fins marketing ou publicitaires. Retrait : vous pouvez retirer votre consentement ou demander la suppression de ces données à tout moment, sans effet sur l'accompagnement déjà réalisé. Confidentialité. La praticienne n'est pas soumise au secret professionnel au sens de l'article 226-13 du code pénal. Elle s'engage contractuellement à une stricte confidentialité sur l'ensemble des échanges tenus en séance. 4. Finalités et bases légales Finalité Base légale Gestion des réservations et des séances Exécution du contrat — art. 6.1.b Traitement des données de santé partagées en séance Consentement explicite — art. 9.2.a Facturation et paiement via Stripe Exécution du contrat et obligation légale — art. 6.1.b et 6.1.c Envoi d'e-mails et communications marketing Consentement — art. 6.1.a, révocable à tout moment Mesure d'audience et publicité Consentement — art. 6.1.a Gestion des demandes et réclamations Intérêt légitime — art. 6.1.f Vos données ne sont utilisées pour aucune finalité autre que celles décrites ci-dessus, et ne sont jamais vendues à des tiers. Le consentement aux communications marketing est distinct de la réservation d'une séance et repose sur un double opt-in : vous confirmez votre inscription en cliquant sur un lien envoyé à votre adresse e-mail. Refuser est sans effet sur votre possibilité de réserver. Les audiences publicitaires ne reposent jamais sur des données de santé. Aucune information partagée en séance, et aucune caractéristique liée à la santé, n'est utilisée pour constituer, cibler ou exclure une audience publicitaire. 5. Sous-traitants et outils utilisés Nous recourons aux prestataires suivants, qui traitent des données pour notre compte dans le cadre d'un contrat conforme à l'article 28 du RGPD : Onepage GmbH (Allemagne) — création et hébergement du site, et bandeau de consentement aux cookies. Calendly (États-Unis) — prise de rendez-vous. Stripe (États-Unis / Irlande) — traitement sécurisé des paiements. Omnisend (Lituanie / États-Unis) — envoi des e-mails, gestion de la relation client et campagnes marketing. Google (États-Unis / Irlande) — Google Workspace (Drive) pour la conservation des notes de séance, Google Meet pour certaines séances, ainsi que Google Analytics et Google Ads pour la mesure d'audience et la publicité, ces deux derniers uniquement après votre consentement. Zoom Communications (États-Unis) — visioconférence pour certaines séances. Meta Platforms Ireland (Irlande) — suivi publicitaire via le pixel Meta, uniquement après votre consentement. Les séances se déroulent sur Zoom ou Google Meet selon le type de séance, et ne sont pas enregistrées. 6. Transferts hors Union européenne Hera Wellness Group LLC est établie aux États-Unis. Lorsque vous nous écrivez ou réservez une séance, vos données sont collectées directement par nous aux États-Unis : il ne s'agit pas d'un transfert au sens du chapitre V du RGPD, mais d'une collecte directe par un responsable de traitement soumis au RGPD au titre de son article 3.2. Lorsque nos prestataires sont situés hors de l'Union européenne, les transferts sont encadrés par : les clauses contractuelles types de la Commission européenne, et/ou la certification du prestataire au titre du EU-U.S. Data Privacy Framework, lorsqu'elle est applicable. Vous pouvez obtenir une copie des garanties mises en place en écrivant à thebellytherapist@gmail.com. 7. Durée de conservation Données de réservation et de séance : durée de la relation contractuelle, puis 3 ans à des fins de preuve. Notes de séance (données de santé) : 12 mois à compter de la dernière séance, puis suppression, sauf nouvelle séance réservée entre-temps. Données de facturation : 10 ans, au titre des obligations comptables applicables. Données marketing : jusqu'au retrait de votre consentement, ou après une période d'inactivité de 3 ans. Cookies : 13 mois maximum. Votre choix de consentement est conservé 6 mois. 8. Cookies Les cookies strictement nécessaires au fonctionnement du site sont déposés sans votre consentement. Tous les autres cookies — mesure d'audience et publicité — ne sont déposés qu'après recueil de votre consentement via le bandeau affiché lors de votre première visite. Le bandeau vous permet d'accepter, de refuser ou de paramétrer les cookies non essentiels. Refuser demande exactement le même nombre de clics qu'accepter. Vous pouvez modifier votre choix à tout moment via le lien « Gérer mes cookies » présent en bas de chaque page. Cookie => Voir tableau ci-dessous Refuser les cookies non essentiels n'a aucune conséquence sur votre navigation ni sur votre possibilité de réserver une séance. 9. Vos droits Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment. Pour exercer ces droits, écrivez à thebellytherapist@gmail.com. Nous répondons dans un délai d'un mois à compter de la réception de votre demande. Un justificatif d'identité pourra vous être demandé en cas de doute raisonnable sur votre identité. Vous pouvez également introduire une réclamation auprès de l'autorité de contrôle de votre pays de résidence. En France, il s'agit de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr. 10. Sécurité et violations de données Nous mettons en œuvre des mesures techniques et organisationnelles raisonnables pour protéger vos données : connexions chiffrées, notes de séance pseudonymisées et conservées dans un espace à accès restreint, accès limité à la seule praticienne, paiements sécurisés par Stripe. En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, nous vous en informons directement et dans les meilleurs délais, et notifions la CNIL dans les 72 heures. 11. Mineurs Les séances sont réservées aux personnes majeures. Nous ne collectons pas sciemment de données concernant des personnes de moins de 18 ans. Si de telles données nous ont été transmises, écrivez à thebellytherapist@gmail.com : elles seront supprimées. 12. Décisions automatisées Aucune décision automatisée ni aucun profilage n'est mis en œuvre à partir de vos données. Aucun délégué à la protection des données n'est désigné, la structure n'y étant pas tenue. 13. Modifications La présente politique peut être mise à jour. La version applicable est celle publiée sur le site à la date de votre consultation. Vous êtes informé(e) de toute modification substantielle du traitement de vos données. 14. Langue La présente politique est disponible en français et en anglais. En cas de divergence entre les deux versions, la version française prévaut.