Traitement des données (RGPD)

1. Qui est qui

Lorsque vous enregistrez vos clients, leurs rendez-vous et leurs paiements dans PontoAgendado, c'est votre établissement qui décide pourquoi et à quelles fins. Votre établissement est donc le responsable du traitement.

Nous conservons et traitons ces données pour votre compte, afin de vous fournir le service. Nous sommes le sous-traitant.

Ce document est accepté au moment de l'inscription et vaut contrat écrit au sens de l'article 28 du Règlement général sur la protection des données.

2. Objet, durée et finalité

L'objet est le traitement nécessaire au fonctionnement de l'agenda, de la fiche client, des prestations réalisées, de la facturation interne, des commissions et de la réservation en ligne de votre établissement.

La durée est celle de votre abonnement, augmentée de la période de conservation indiquée au point 8.

La finalité est exclusivement la fourniture du service. Nous n'utilisons pas ces données à nos propres fins, nous ne les analysons pas à des fins publicitaires et nous ne les cédons à personne.

3. Quelles données et de qui

• Personnes concernées : les clients finaux de votre établissement et les professionnels de votre équipe.
• Données des clients : nom, téléphone, adresse électronique, numéro de document lorsque vous le renseignez, historique des rendez-vous, prestations réalisées et montants payés.
• Données des professionnels : nom, coordonnées, prestations assurées, commissions et paiements.
• Champs libres : les zones de notes contiennent ce que vous y écrivez. Nous recommandons de ne pas y consigner de données de santé ni d'autres catégories particulières sans base légale.

4. Vos instructions

Nous traitons les données uniquement selon vos instructions documentées, données par l'usage normal du service et par les demandes que vous nous adressez par écrit.

Si l'une de vos instructions nous paraît contraire au RGPD, nous vous en informons avant de l'exécuter.

Si la loi nous oblige à traiter les données autrement, nous vous en informons au préalable, sauf si la loi elle-même l'interdit.

5. Confidentialité et sécurité

Les personnes qui, de notre côté, ont accès aux données sont tenues au secret, et cet accès est limité au strict nécessaire.

Les mesures de sécurité comprennent le chiffrement en transit, l'isolement entre établissements appliqué côté serveur, l'authentification par jeton, des mots de passe conservés uniquement sous forme chiffrée, la limitation des requêtes et des sauvegardes.

6. Autres sous-traitants

Vous nous autorisez, de manière générale, à recourir aux prestataires ci-dessous, tous tenus à des obligations équivalentes à celles du présent document.

• Supabase : authentification, base de données et stockage des fichiers que vous versez.
• Hetzner : serveurs de l'application, en Allemagne.
• Vercel : hébergement du site et du tableau de bord.
• Stripe : paiements de l'abonnement, sans accès aux données de vos clients.
• Resend : envoi des courriers électroniques, y compris les avis adressés à vos clients.

7. Changements dans la liste

Si nous souhaitons ajouter ou remplacer un prestataire, nous prévenons par courrier électronique au moins 30 jours à l'avance.

Si vous vous y opposez pour un motif fondé, nous cherchons une solution de remplacement. À défaut, vous pouvez résilier sans pénalité, avec remboursement de la part non utilisée de la période déjà payée.

8. Restitution et effacement

Tant que le compte est actif, vous pouvez exporter les données à tout moment depuis le tableau de bord.

À la fin de l'abonnement, nous conservons les données pendant 30 jours afin de permettre la récupération du compte, puis nous les effaçons, y compris des sauvegardes au cycle de rotation suivant.

Si vous préférez un effacement immédiat, il suffit de le demander par écrit.

9. Demandes des personnes concernées et incidents

Si l'un de vos clients nous contacte directement pour exercer ses droits, nous vous transmettons la demande et ne répondons pas en votre nom, sauf instruction de votre part.

Nous vous apportons une assistance raisonnable pour répondre à ces demandes et pour satisfaire à vos obligations de sécurité, d'analyse d'impact et de consultation préalable.

En cas de violation de données vous concernant, nous vous en informons dans les meilleurs délais, avec les éléments dont nous disposons, afin que vous puissiez respecter le délai de 72 heures auprès de l'autorité de contrôle.

10. Démonstration et audit

Nous mettons à disposition les informations nécessaires pour démontrer le respect de ces obligations.

Moyennant un préavis raisonnable et au plus une fois par an, vous pouvez demander des informations complémentaires sur les mesures de sécurité en place, sauf si un incident justifie une demande exceptionnelle.