Accord de traitement des données

Le présent Accord de traitement des données (l'« ATD ») fait partie intégrante des Conditions générales d'utilisation de yAppointment (les « Conditions »). Il est conclu entre le client professionnel qui utilise yAppointment (le « Responsable du traitement ») et LohiSoft s. r. o. (le « Sous-traitant », « nous ») : • Komenskeho 317/135, 943 01 Štúrovo, République slovaque ; • numéro d'immatriculation (IČO) 53253914 ; • numéro d'identification fiscale SK2121316725 ; • e-mail : info@yappointment.com. En acceptant les Conditions, le Responsable du traitement accepte également le présent ATD. Le présent ATD s'applique chaque fois que le Sous-traitant traite des données à caractère personnel pour le compte du Responsable du traitement dans le cadre de la fourniture de la plateforme yAppointment (le « Service »). Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens qui leur est donné dans le règlement (UE) 2016/679 (« RGPD »).

1.1 Pour les données à caractère personnel que le Responsable du traitement ou ses clients finaux saisissent dans le Service (les « Données personnelles du client »), le Responsable du traitement est le responsable du traitement et le Sous-traitant est son sous-traitant. Il s'agit par exemple des fiches clients, des réservations, des factures, des données de fidélité et des avis. 1.2 Pour les données dont le Sous-traitant a besoin pour exercer sa propre activité, le Sous-traitant agit en tant que responsable du traitement indépendant conformément à sa Politique de confidentialité (https://yappointment.com/privacy). Il s'agit par exemple des données de compte et de facturation du Responsable du traitement, des statistiques du site commercial et de la prévention de la fraude. Le présent ATD ne couvre pas ce traitement. 1.3 Le Responsable du traitement est responsable de la licéité du traitement qu'il ordonne. Cela comprend le fait de disposer d'une base juridique, d'informer ses clients finaux et d'obtenir tout consentement nécessaire, par exemple pour les SMS marketing.

2.1 Objet : l'hébergement et le traitement des Données personnelles du client afin de fournir le Service. 2.2 Durée : la durée des Conditions, puis jusqu'à l'effacement des données conformément à la section 11. 2.3 Nature du traitement : • collecte via les pages de réservation, le portail client, le widget et l'API ; • conservation, organisation, consultation et affichage ; • transmission par e-mail, SMS et notification push ; • génération de factures et de rapports ; • fonctionnalités optionnelles assistées par l'IA ; • exportation et effacement. 2.4 Finalité : fournir le Service tel que décrit dans les Conditions et tel que configuré par le Responsable du traitement. Cela couvre la planification des rendez-vous, la gestion de la clientèle, les communications, les paiements, la facturation, la fidélité, les avis et les fonctions de gestion d'entreprise associées. 2.5 L'annexe I énumère les catégories de personnes concernées et de données à caractère personnel.

3.1 Le Sous-traitant ne traite les Données personnelles du client que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts vers des pays tiers. Les Conditions, le présent ATD ainsi que l'utilisation et la configuration du Service par le Responsable du traitement constituent ces instructions. 3.2 Le Sous-traitant peut également traiter les Données personnelles du client lorsque le droit de l'Union ou le droit de l'État membre l'y oblige. Dans ce cas, il en informe le Responsable du traitement avant le traitement, sauf si le droit concerné l'interdit. 3.3 Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction constitue une violation du RGPD ou d'autres dispositions relatives à la protection des données.

Le Sous-traitant veille à ce que les personnes autorisées à traiter les Données personnelles du client soient soumises à une obligation de confidentialité, contractuelle ou légale. L'accès est limité aux personnes qui en ont besoin pour fournir, assister ou sécuriser le Service.

5.1 Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées conformément à l'article 32 du RGPD, telles que décrites à l'annexe II. Ces mesures tiennent compte : • de l'état des connaissances ; • des coûts de mise en œuvre ; • de la nature, de la portée, du contexte et des finalités du traitement. 5.2 Le Sous-traitant peut mettre à jour ces mesures, à condition que le niveau global de protection ne diminue pas.

6.1 Autorisation générale. Le Responsable du traitement accorde au Sous-traitant une autorisation écrite générale de recruter des sous-traitants ultérieurs. Les sous-traitants ultérieurs utilisés à la date du présent ATD sont énumérés à l'annexe III et à l'adresse https://yappointment.com/dpa#annexIII. 6.2 Notification et opposition. 1. Le Sous-traitant informe le Responsable du traitement au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Il envoie la notification par e-mail au titulaire du compte et met à jour la liste publique. 2. Dans ce délai, le Responsable du traitement peut s'y opposer pour des motifs raisonnables liés à la protection des données en écrivant à info@yappointment.com. 3. Les parties examineront l'opposition de bonne foi. 4. Si elles ne parviennent pas à la résoudre, le Responsable du traitement peut résilier la partie du Service concernée avant que le changement ne prenne effet. Le Sous-traitant rembourse, au prorata, les frais payés d'avance pour la période postérieure à la résiliation. 6.3 Répercussion des obligations. Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat écrit, des obligations en matière de protection des données substantiellement identiques à celles du présent ATD. Le Sous-traitant demeure responsable envers le Responsable du traitement de l'exécution par ses sous-traitants ultérieurs de leurs obligations. 6.4 Services choisis par le Responsable du traitement. Certaines intégrations sont sélectionnées, connectées et souscrites directement par le Responsable du traitement. Ces prestataires ne sont pas des sous-traitants ultérieurs du Sous-traitant. Il s'agit notamment : • des logiciels de facturation ou de comptabilité ; • du propre serveur de messagerie du Responsable du traitement ; • de l'application SMS Gateway fonctionnant sur le propre téléphone du Responsable du traitement ; • du propre compte du Responsable du traitement auprès d'un prestataire de paiement. En connectant l'un d'eux, le Responsable du traitement donne instruction au Sous-traitant de lui transmettre les données pertinentes.

7.1 Compte tenu de la nature du traitement, le Sous-traitant aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées au titre du chapitre III du RGPD. Dans le Service : • le Responsable du traitement peut consulter, rectifier et supprimer les fiches clients ; • le Responsable du traitement peut exporter les données de son entreprise ; • les clients finaux disposant d'un compte sur le portail peuvent exporter et supprimer leurs propres données. 7.2 Si le Sous-traitant reçoit directement d'une personne concernée une demande relative aux Données personnelles du client, il la transmet au Responsable du traitement dans les meilleurs délais. Il n'y répond pas lui-même, sauf autorisation du Responsable du traitement.

Le Sous-traitant fournit une assistance raisonnable au Responsable du traitement pour le respect de ses obligations au titre des articles 32 à 36 du RGPD : sécurité, notification des violations, analyses d'impact relatives à la protection des données et consultation préalable. Cette assistance tient compte de la nature du traitement et des informations dont dispose le Sous-traitant.

9.1 Les serveurs du Service sont hébergés dans l'Union européenne. 9.2 Certains sous-traitants ultérieurs sont situés en dehors de l'EEE, ou peuvent accéder aux données depuis l'extérieur de celui-ci (voir l'annexe III). Pour de tels transferts, le Sous-traitant s'appuie sur l'un des éléments suivants : • une décision d'adéquation de la Commission européenne, y compris le cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework) pour les destinataires certifiés ; • les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission, module 3 (de sous-traitant à sous-traitant) ; • un autre mécanisme de transfert prévu au chapitre V du RGPD. Le Sous-traitant applique également des mesures supplémentaires lorsqu'elles sont nécessaires.

10.1 Le Sous-traitant notifie au Responsable du traitement toute violation de données à caractère personnel affectant les Données personnelles du client dans les meilleurs délais, et en tout état de cause dans les 48 heures après en avoir pris connaissance. La notification est adressée à l'adresse e-mail du titulaire du compte. 10.2 La notification comprend, dans la mesure où les informations sont alors disponibles : • la nature de la violation ; • les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés ; • les conséquences probables ; • les mesures prises ou proposées ; • un point de contact. Les informations qui ne sont pas encore disponibles sont communiquées de manière échelonnée, sans autre retard indu. 10.3 Le Sous-traitant prend des mesures raisonnables pour contenir la violation et y remédier, et la documente. La notification aux autorités de contrôle et la communication aux personnes concernées restent de la responsabilité du Responsable du traitement. Le Sous-traitant l'assiste comme décrit à la section 8.

11.1 Pendant la durée des Conditions, le Responsable du traitement peut à tout moment exporter les données de son entreprise depuis le Service. 11.2 Après la fin des Conditions, le Responsable du traitement dispose de 30 jours pour exporter ses données. Le Sous-traitant informe le titulaire du compte par e-mail que ce délai a commencé et de la date à laquelle l'effacement aura lieu. 11.3 À l'expiration du délai de 30 jours, le Sous-traitant efface automatiquement les Données personnelles du client de ses systèmes de production : • les fichiers stockés pour le Responsable du traitement sont supprimés ; • les données relatives aux clients et au personnel du Responsable du traitement sont supprimées ; • lorsqu'un enregistrement doit lui-même être conservé en vertu de la section 11.4, les données à caractère personnel qu'il contient sont anonymisées à la place. 11.4 Conservé au titre des obligations légales de conservation : • les factures et autres pièces comptables ; • le journal de caisse ; • les enregistrements d'inaltérabilité exigés par la législation fiscale, tels que NF525. Le Sous-traitant ne les conserve que pendant la durée légale et ne les utilise à aucune autre fin. 11.5 Effacement anticipé. Le Responsable du traitement peut demander l'effacement avant la fin du délai, au moyen de la fonction de suppression en libre-service du compte ou en écrivant à info@yappointment.com. L'effacement commence alors après un délai de réflexion de 72 heures, pendant lequel la demande peut être annulée. 11.6 Sauvegardes. Les sauvegardes suivent la rotation gérée des sauvegardes du fournisseur de base de données. Les copies de données effacées figurant dans les sauvegardes ne sont restaurées à aucune fin et expirent avec cette rotation.

12.1 Le Sous-traitant met à la disposition du Responsable du traitement les informations nécessaires pour démontrer le respect de l'article 28 du RGPD. Sur demande, cela comprend une description de ses mesures de sécurité et sa liste actuelle de sous-traitants ultérieurs. 12.2 Si ces informations ne suffisent pas, le Responsable du traitement peut auditer le respect du présent ATD par le Sous-traitant. L'audit est réalisé par le Responsable du traitement ou par un auditeur indépendant tenu à la confidentialité, dans les conditions suivantes : • au maximum une fois par période de 12 mois ; • aux frais du Responsable du traitement ; • moyennant un préavis écrit d'au moins 30 jours. 12.3 Les audits sont réalisés principalement sous forme d'examens documentaires, sur la base de questionnaires et des informations visées à la section 12.1. Les audits sur site n'ont lieu que : • lorsqu'une autorité de contrôle l'exige ; ou • après une violation de données à caractère personnel affectant les données du Responsable du traitement. Ils se déroulent pendant les heures ouvrables normales, sans perturber le Service et sans compromettre les données des autres clients ni la sécurité du Sous-traitant. 12.4 Les sous-traitants ultérieurs sont audités au moyen de leurs propres certifications et rapports, lorsqu'ils sont disponibles.

La responsabilité de chaque partie au titre ou en lien avec le présent ATD est soumise à la section « Limitation de responsabilité » des Conditions. Cette section limite la responsabilité totale au montant payé au cours des 12 mois précédant la réclamation. Cela ne limite ni la responsabilité de l'une ou l'autre partie envers les personnes concernées au titre de l'article 82 du RGPD, ni toute responsabilité qui ne peut être limitée par la loi.

14.1 En cas de contradiction entre le présent ATD et les Conditions, le présent ATD prévaut en ce qui concerne le traitement des Données personnelles du client. Lorsque les clauses contractuelles types s'appliquent, elles prévalent sur les deux. 14.2 Le Sous-traitant peut mettre à jour le présent ATD pour tenir compte de modifications de la législation, du Service ou des sous-traitants ultérieurs. Il respecte les règles de notification des Conditions (30 jours pour les modifications substantielles) et de la section 6.2. Une mise à jour ne réduit pas la protection accordée aux Données personnelles du client. 14.3 Le présent ATD est régi par le droit de la République slovaque. Les juridictions compétentes de la République slovaque sont compétentes, comme prévu dans les Conditions.

Catégories de personnes concernées, telles que déterminées par l'utilisation du Service par le Responsable du traitement : • les clients du Responsable du traitement, ainsi que les clients potentiels qui réservent, s'inscrivent ou demandent des renseignements ; • les membres du personnel et utilisateurs du Responsable du traitement : salariés, contractants et prestataires affichés sur les pages de réservation ; • les personnes de contact des clients professionnels et fournisseurs du Responsable du traitement, lorsqu'elles sont enregistrées. Catégories de données à caractère personnel : • données d'identité et de contact : nom, adresse e-mail, numéro de téléphone, adresse postale ou de facturation, et numéro d'identification fiscale en cas de facturation ; • données de rendez-vous : réservations, prestations, horaires, lieux, personnel, notes, annulations, inscriptions sur liste d'attente, présence ; • données du compte client : compte sur le portail, préférences, langue, jetons d'appareil pour les notifications push ; • données de transaction : commandes, paiements et statut des paiements, abonnements et droits, factures, avoirs. Le prestataire de paiement traite les numéros de carte, et le Service ne les conserve pas ; • données de fidélité et de marketing : points, bons, indicateurs de consentement ; • avis et commentaires ; • données de communication : e-mails, SMS et messages de chat envoyés via le Service, ainsi que leur statut de remise ; • données techniques : adresse IP, informations sur l'appareil et le navigateur, journaux. Catégories particulières : le Service n'est pas conçu pour les catégories particulières de données au sens de l'article 9 du RGPD. Il incombe au Responsable du traitement de ne pas saisir de telles données. Lorsque son activité rend cela inévitable, par exemple pour des rendez-vous liés à la santé, le Responsable du traitement est tenu de disposer d'une base juridique et de garanties appropriées. Fréquence : continue, pendant toute la durée des Conditions.

1. Isolation des locataires. Les données de chaque entreprise sont cloisonnées par son identifiant d'entreprise. La couche d'accès aux données exige un filtre d'entreprise pour chaque requête portant sur un locataire, et l'effacement utilise le même périmètre d'entreprise. 2. Chiffrement en transit et au repos. Les points d'accès publics utilisent HTTPS avec TLS 1.2/1.3 et HSTS. La vérification des certificats TLS est activée par défaut pour les connexions sortantes. Les données au repos dans la base de données et le stockage de fichiers sont protégées par le chiffrement au repos fourni par le fournisseur d'infrastructure. 3. Chiffrement des secrets. Les éléments suivants sont stockés chiffrés en AES-256-GCM, avec des clés conservées en dehors de la base de données : • les jetons OAuth des fournisseurs de facturation connectés ; • les identifiants d'intégrations tierces, avec des clés versionnées ; • les secrets de signature des webhooks ; • les identifiants de messagerie enregistrés. Les jetons ne sont jamais écrits dans les journaux. 4. Authentification. Les mots de passe sont hachés avec Argon2id. L'authentification à deux facteurs est disponible. Le panneau d'administration interne exige une authentification à deux facteurs et une clé API distincte. 5. Contrôle d'accès. Le Responsable du traitement peut accorder à ses propres utilisateurs un accès basé sur les rôles et les autorisations. Chaque requête API est authentifiée, avec JWT pour les utilisateurs, des clés API pour les intégrations et des jetons d'appareil pour les applications mobiles. 6. Protection contre les abus. • La limitation de débit échoue en mode fermé : les requêtes sont refusées si le magasin de limitation est indisponible. • Les saisies des utilisateurs utilisées dans les motifs de recherche sont échappées. • Les URL sortantes sont validées contre la falsification de requêtes côté serveur (SSRF). 7. Minimisation et effacement des données. L'effacement s'exécute automatiquement après le délai d'exportation suivant la résiliation, et sur demande après un délai de réflexion de 72 heures. Il supprime ou anonymise toutes les données et tous les fichiers rattachés à l'entreprise, ne conserve que les enregistrements exigés par la loi et laisse une piste d'audit. L'exportation et l'effacement en libre-service sont disponibles pour les entreprises et les clients finaux. 8. Disponibilité et résilience. Plusieurs nœuds API fonctionnent derrière un répartiteur de charge avec contrôle d'état, sur un service de base de données géré. Les sauvegardes suivent la rotation gérée des sauvegardes du fournisseur de base de données. Les copies de données effacées figurant dans les sauvegardes ne sont restaurées à aucune fin et expirent avec cette rotation. 9. Mesures organisationnelles. • L'accès à la production est limité à une seule personne, le gérant du Sous-traitant. • Les déploiements sont effectués uniquement à partir de la branche principale sous contrôle de version. • Le personnel est tenu à la confidentialité.

Le Sous-traitant fait appel aux sous-traitants ultérieurs suivants. Les intégrations que le Responsable du traitement choisit et connecte lui-même ne sont pas des sous-traitants ultérieurs (section 6.4). Il s'agit notamment des logiciels de facturation ou de comptabilité, du propre serveur de messagerie du Responsable du traitement, de l'application SMS Gateway sur son propre appareil et de son propre compte auprès d'un prestataire de paiement.