Politique de confidentialité

1. Responsable de traitement

Pour les données des utilisateurs professionnels du service, le responsable de traitement est ARGENTO Jordan, entrepreneur individuel, dont le siège est situé 69 route de Chamrousse, 38410 Saint-Martin-d’Uriage, France. Contact : communications@civettapp.com. Aucun délégué à la protection des données n’est désigné : l’éditeur ne relève d’aucun des cas rendant cette désignation obligatoire. Toute demande relative aux données personnelles est traitée à l’adresse de contact ci-dessus.

Pour les données des clientes saisies dans l’application par une professionnelle, celle-ci est responsable de traitement et l’éditeur agit en qualité de sous-traitant, conformément à l’article 28 du règlement général sur la protection des données.

Pour le compte que vous créez vous-même afin de prendre rendez-vous en ligne, le responsable de traitement est ARGENTO Jordan, entrepreneur individuel. Ce compte vous appartient : il vous permet de vous connecter, de retrouver vos rendez-vous et de les annuler. Le rendez-vous transmis à l’institut relève, lui, du cas précédent — l’institut en est responsable et l’éditeur agit comme sous-traitant. Les deux rôles coexistent et ne se confondent pas.

2. Données traitées

• Données de compte professionnel : nom, prénom, nom de l’institut, adresse électronique, téléphone, région, type d’activité, nombre de praticiennes.
• Données de facturation : plan souscrit, historique des factures, identifiant de client chez le prestataire de paiement. Aucune donnée de carte bancaire n’est stockée par l’éditeur.
• Données saisies par la professionnelle : fiches clientes, coordonnées, historique de prestations, notes de séance, photographies avant/après, rendez-vous, dépenses et justificatifs, dossiers de stagiaires.
• Données de compte cliente créées lors d’une prise de rendez-vous en ligne : nom, prénom, adresse électronique, numéro de téléphone. Aucune autre donnée n’est demandée sur le site, et aucun champ de saisie libre n’y est proposé.
• Données techniques : journaux de connexion et d’erreurs, nécessaires à la sécurité et au bon fonctionnement du service.

3. Finalités et bases légales

• Fourniture du service souscrit et exécution du contrat : exécution du contrat.
• Facturation, comptabilité et recouvrement : obligation légale et exécution du contrat.
• Assistance et relation client : exécution du contrat et intérêt légitime.
• Sécurité du service, prévention de la fraude et journalisation : intérêt légitime.
• Envoi d’informations sur les nouveautés du service : consentement, révocable à tout moment.
• Envoi des rappels par message court aux clientes : exécution du contrat conclu par la professionnelle avec sa cliente, sous la responsabilité de la professionnelle.
• Création du compte cliente et transmission d’une demande de rendez-vous à l’institut : exécution du contrat. Aucun consentement n’est demandé pour ces traitements, car le service ne peut pas être rendu sans eux.
• Confirmation de l’adresse électronique d’un compte cliente : exécution du contrat et intérêt légitime, afin de s’assurer que le compte appartient bien à la personne indiquée avant de le rattacher à une fiche existante chez un institut.
• Amélioration du service et statistiques d’usage du secteur : intérêt légitime. Ces analyses portent sur des données d’activité dont l’identité directe a été effacée, jamais sur des personnes identifiées, et ne donnent lieu à aucune décision individuelle ni à aucune diffusion à des tiers.

4. Durées de conservation

• Données de compte professionnel : pendant la durée de l’abonnement. Après une demande de suppression, le compte reste réactivable trente jours, puis votre identité est effacée — nom, prénom, adresse électronique, téléphone — sans copie conservée.
• Sauvegardes : suppression au plus tard six mois après la fin de l’abonnement.
• Factures et pièces comptables : dix ans, conformément aux obligations légales.
• Journaux techniques et de connexion : douze mois.
• Preuve des consentements recueillis à l’inscription : trois ans après la fin de la relation, durée pendant laquelle ils peuvent nous être opposés.
• Données de prospection et inscription à la lettre d’information : trois ans à compter du dernier contact, ou jusqu’au retrait du consentement.
• Données d’activité de l’institut — rendez-vous, fiches clientes, formations, dépenses : elles relèvent de la professionnelle, qui en fixe les durées. Elles sont conservées après la fermeture de son compte, pour la durée des obligations comptables et à des fins de statistiques d’usage, l’identité directe du compte ayant été effacée. Une professionnelle peut en demander l’effacement à l’adresse de contact, dans les limites de ces obligations légales.
• Compte cliente créé pour la prise de rendez-vous en ligne : tant que le compte existe. Il est supprimable à tout moment depuis l’application Civetta ou sur demande à l’adresse de contact, et sa suppression est immédiate.
• Jetons de confirmation d’adresse électronique : sept jours, puis suppression, qu’ils aient été utilisés ou non.

5. Destinataires et sous-traitants

• Hébergement des données : OVH SAS, 2 rue Kellermann, 59100 Roubaix, France, RCS Lille Métropole 424 761 419 00045, téléphone 1007, centres de données situés en France.
• Traitement des paiements d’abonnement et des acomptes : Stripe Payments Europe, Ltd., Irlande.
• Envoi des messages courts de rappel : Brevo (Sendinblue SAS), France.
• Envoi des courriers électroniques transactionnels : Brevo (Sendinblue SAS), France.
• Notifications sur les téléphones : Google Ireland Limited (Firebase Cloud Messaging).
• Complétion des adresses postales saisies dans l’application : Google Ireland Limited (Places). Seul le début d’adresse tapé par la professionnelle est transmis, jamais le nom d’une cliente.
• Aucune donnée n’est vendue, louée ni cédée à des tiers à des fins publicitaires.

6. Transferts hors Union européenne

Les données du service sont hébergées en France. L’hébergement, l’envoi des messages courts et l’envoi des courriers électroniques sont assurés par des prestataires établis en France, et le traitement des paiements par un prestataire établi en Irlande.

Deux traitements font exception et peuvent impliquer un transfert vers les États-Unis, encadré par les clauses contractuelles types de la Commission européenne.

Les notifications envoyées sur les téléphones passent par Firebase Cloud Messaging. Y transitent un identifiant technique d’appareil et le TEXTE de la notification — lequel contient, pour une demande de rendez-vous, le prénom et le nom de la cliente concernée ainsi que la date souhaitée. Aucun numéro de téléphone, aucune adresse électronique et aucune donnée de santé n’y figurent.

La complétion des adresses postales, proposée lors de la saisie d’une adresse dans l’application, interroge le service Places de Google avec le texte tapé par la professionnelle.

7. Sécurité

• Chiffrement des échanges entre les applications et les serveurs.
• Cloisonnement des données par compte et contrôle des accès par identifiants individuels.
• Sauvegardes quotidiennes et chiffrées, conservées séparément de la base de production.
• Accès aux données de production limité, tracé et réservé aux interventions nécessaires.

8. Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données, ainsi que du droit de retirer votre consentement lorsque le traitement repose sur celui-ci. Ces droits s’exercent en écrivant à communications@civettapp.com ; une réponse est apportée dans un délai d’un mois.

Si vous êtes cliente d’un institut utilisant Civetta, adressez votre demande directement à l’institut concerné, qui est responsable de vos données. Nous relaierons votre demande si nécessaire.

La suppression d’un compte professionnel se demande directement, sans passer par nous : depuis l’application Civetta, ou depuis votre espace client sur civettapp.com. Elle prend effet immédiatement, résilie votre abonnement, et reste annulable pendant trente jours.

Vous pouvez également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

9. Prise de rendez-vous en ligne

Certains instituts diffusent un lien permettant de réserver directement en ligne. Ce parcours demande de créer un compte Civetta, ou de se connecter si vous en avez déjà un.

Les seules données demandées sont votre nom, votre prénom, votre adresse électronique et votre numéro de téléphone. Elles servent à créer votre compte, à identifier votre demande auprès de l’institut et à vous prévenir de la suite qui lui est donnée. Aucun champ de saisie libre n’est proposé sur le site : si vous souhaitez transmettre une précision à votre praticienne, faites-le directement auprès d’elle ou depuis l’application Civetta.

Une fois votre demande transmise, l’institut en devient responsable : c’est lui qui l’accepte ou la refuse, et c’est auprès de lui que s’exercent vos droits sur les données de votre rendez-vous. Votre compte Civetta, lui, reste sous la responsabilité de l’éditeur, et vous pouvez le supprimer à tout moment.

Un message de confirmation est envoyé à l’adresse indiquée. Tant qu’elle n’est pas confirmée, votre compte n’est rattaché à aucune fiche existante chez un institut : cette vérification empêche qu’un tiers connaissant vos coordonnées accède à votre historique.

10. Traceurs et stockage local

Ce site n’utilise aucun traceur publicitaire. Il utilise Google Analytics pour mesurer sa fréquentation, uniquement si vous l’acceptez dans le bandeau affiché à votre arrivée ; vous pouvez retirer votre accord à tout moment depuis le lien « Gérer les cookies » en bas de page. Lorsque vous vous connectez à l’espace professionnel, un cookie de session strictement nécessaire est déposé par l’API Civetta. Il est sécurisé, inaccessible aux scripts de la page et expire après deux heures d’inactivité. Aucun consentement préalable n’est requis pour ce cookie indispensable à l’authentification.

Les polices de caractères, les feuilles de style et les scripts sont servis depuis nos propres serveurs. Les photographies affichées depuis l’application, notamment la photo de profil, peuvent être servies depuis l’espace de stockage OVH situé en France.

Lorsque vous vous connectez pour prendre rendez-vous, un jeton de session est conservé dans la mémoire locale de votre navigateur. Il est strictement nécessaire au service que vous avez demandé — sans lui, vous seriez déconnectée à chaque page — et relève à ce titre de l’exemption prévue à l’article 82 de la loi Informatique et Libertés : aucun consentement préalable n’est requis. Ce jeton expire au bout d’une heure et disparaît si vous videz les données du site.