Accord de traitement des données

Champ d'application

Le présent accord de traitement des données (« DPA ») définit la manière dont OPALITH SAS, dont le siège social est situé 254 rue Vendôme, 69003 Lyon, France (RCS Lyon 991 600 156), traite des données personnelles pour le compte de ses clients lorsqu'ils utilisent rdv.dev, conformément à l'article 28 du règlement général sur la protection des données (« RGPD »).

Il fait partie des conditions d'utilisation et s'applique automatiquement à tout client qui les accepte, sans signature séparée. Les termes définis dans les conditions d'utilisation (Service, Espace de travail, Propriétaire, Hôte, Invité, Agent) ont le même sens ici. En cas de contradiction entre le présent DPA et les conditions d'utilisation concernant les données personnelles traitées pour votre compte, le présent DPA prévaut.

Rôles

• Vous, le client, êtes le responsable du traitement des données personnelles traitées pour vous dans votre espace de travail : les données de vos invités, et celles de vos membres lorsqu'ils utilisent le Service pour votre activité (leurs types d'événements, disponibilités, réservations et connexions d'agenda, tels que configurés dans votre espace de travail).
• OPALITH SAS est votre sous-traitant pour ces données, et ne les traite que pour vous fournir le Service.
• OPALITH SAS est responsable du traitement des données qu'elle traite pour ses propres finalités : comptes et connexion, sécurité, facturation, et sa relation avec vous. Ces traitements sont décrits dans la politique de confidentialité et ne relèvent pas du présent DPA.

Description du traitement

Objet

Fourniture du Service : pages de réservation, disponibilités, réservations, événements d'agenda, confirmations et rappels, marque, ainsi que l'API publique, le serveur MCP et les webhooks.

Durée

Pendant toute la durée du contrat, puis pendant le délai de récupération de 30 jours prévu par les conditions d'utilisation, puis suppression (voir Suppression ou restitution).

Nature

Collecte via les pages de réservation et l'API, conservation, organisation, consultation, lecture en direct des disponibilités des agendas, écriture d'événements dans les agendas, transmission par e-mail, SMS, API et webhooks, et suppression.

Finalité

Permettre à vos invités de réserver, déplacer et annuler des rendez-vous avec vos hôtes ; informer les invités et les hôtes ; tenir à jour les agendas de vos hôtes ; et donner à vos intégrations et à vos agents l'accès à vos données de planification.

Personnes concernées

Vos invités (par exemple prospects, clients, candidats et partenaires) ; vos membres et vos hôtes ; les personnes que vous invitez dans votre espace de travail.

Données personnelles

Invités : nom, adresse e-mail, fuseau horaire, langue, notes et réponses fournies lors de la réservation, détails du rendez-vous et, uniquement si l'invité demande des rappels par SMS, numéro de mobile et consentement. Membres : nom, adresse e-mail, rôle, types d'événements, horaires de la semaine, périodes occupées (lues en direct, non stockées), identifiants des événements d'agenda écrits pour eux. Visiteurs des pages de réservation : adresse IP, traitée à des fins de sécurité et de limitation du nombre de requêtes.

Catégories particulières

Aucune n'est prévue. Ne demandez pas aux invités de données sensibles, comme des informations de santé, dans les questions de réservation.

Vos instructions

• Nous ne traitons les données personnelles que sur vos instructions documentées. Vos instructions sont les conditions d'utilisation, le présent DPA, la manière dont vous configurez et utilisez le Service, et toute autre instruction écrite que vous adressez à hello@rdv.dev et que le Service peut raisonnablement exécuter.
• Nous vous informons si, selon nous, une instruction constitue une violation du RGPD ou d'une autre législation relative à la protection des données.
• Si le droit de l'Union européenne ou le droit français nous impose de traiter les données d'une autre manière, nous vous en informons avant de le faire, sauf si ce droit l'interdit.

Confidentialité

Seules les personnes qui ont besoin des données pour faire fonctionner le Service peuvent y accéder. Chacune d'elles est tenue à une obligation de confidentialité, contractuelle ou légale.

Mesures de sécurité

Nous protégeons les données personnelles par des mesures techniques et organisationnelles adaptées au risque, notamment :

• Localisation. La base de données et les fonctions de l'application se trouvent à Francfort (Allemagne).
• Chiffrement. Chiffrement en transit (TLS) pour toutes les connexions, et chiffrement au repos par nos fournisseurs de base de données et de stockage de fichiers.
• Contrôle d'accès. Chaque action dans le Service vérifie, côté serveur, qui fait la demande et ce que son rôle dans l'espace de travail autorise. L'accès aux systèmes de production est limité aux personnes qui font fonctionner le Service.
• Secrets. Les mots de passe, les liens de gestion des invités, les secrets d'invitation et les clés d'API ne sont conservés que sous forme hachée. Les jetons OAuth d'agenda sont détenus par Nango et n'atteignent jamais notre base de données ni notre code.
• Minimisation. Les informations libre/occupé des agendas sont lues en direct et ne sont pas stockées ; pour les agendas Microsoft, nous ne demandons que le début, la fin, le statut libre/occupé et l'annulation des événements. Les numéros de téléphone des invités ne sont collectés que pour les rappels par SMS, avec leur consentement.
• Protection contre les abus. Limites de débit par compte et par adresse IP hachée ; les sites web sont récupérés via un transport protégé qui refuse les adresses de réseaux privés.
• Résilience. Sauvegardes gérées de la base de données avec restauration à un instant donné ; suppression quotidienne des données expirées.
• Révision. Nous révisons ces mesures lorsque le Service évolue, et au moins une fois par an.

Assistance

Compte tenu de la nature du traitement et des informations dont nous disposons, nous vous aidons à :

• répondre aux demandes des personnes qui exercent leurs droits (accès, rectification, effacement, limitation, portabilité, opposition). La plupart peuvent être traitées dans le Service lui-même ; si une demande nous parvient directement, nous vous la transmettons dans les meilleurs délais et n'y répondons pas nous-mêmes, sauf si vous nous le demandez ;
• respecter vos obligations de sécurité ;
• réaliser une analyse d'impact relative à la protection des données, ou consulter une autorité de contrôle, lorsque le traitement l'exige.

Violations de données personnelles

Nous vous notifions toute violation de données personnelles affectant vos données dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par e-mail au propriétaire de l'espace de travail. La notification décrit, en l'état de nos connaissances à ce moment-là, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables, et les mesures prises ou envisagées. Nous la complétons à mesure que nous en apprenons davantage, et nous vous aidons à notifier l'autorité de contrôle et les personnes concernées lorsque vous y êtes tenu.

Sous-traitants ultérieurs

Vous nous accordez une autorisation générale de recourir à des sous-traitants ultérieurs. À ce jour, il s'agit de :

• Mêmes obligations. Chaque sous-traitant ultérieur est lié par un contrat écrit qui assure aux données personnelles le même niveau de protection que le présent DPA. Nous restons responsables envers vous de leur travail.
• Changements. Nous informons les propriétaires par e-mail, et mettons à jour cette page, au moins 30 jours avant qu'un nouveau sous-traitant ultérieur ne commence à traiter vos données.
• Droit d'opposition. Pendant ces 30 jours, vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données, en écrivant à hello@rdv.dev. Nous rechercherons une solution avec vous. Si nous n'en trouvons pas, vous pouvez mettre fin au contrat avant que le changement ne s'applique, et nous remboursons les sommes payées pour la période postérieure à la date de fin.

Google et Microsoft ne sont pas nos sous-traitants ultérieurs : vos hôtes connectent leurs propres agendas, et Google et Microsoft agissent envers eux selon leurs propres conditions.

Transferts internationaux

Vos données sont stockées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur est situé dans un pays, ou accessible depuis un pays, qui ne bénéficie pas d'une décision d'adéquation de la Commission européenne, le transfert repose sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le destinataire est certifié, et à défaut sur les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914), accompagnées des mesures décrites ci-dessous.

Infrastructure et accès des autorités publiques

Où se trouvent vos données. La base de données (Neon) et les fonctions de l'application (Vercel) se trouvent à Francfort, en Allemagne. Les fichiers sont stockés par Vercel Blob et diffusés via le réseau mondial de Vercel.

Qui sont les prestataires. Vercel, Neon, Nango, Mailtrap et Firecrawl sont des sociétés établies aux États-Unis, et ClickSend est établie en Australie. Les lois de ces pays peuvent permettre à leurs autorités de demander à ces prestataires des données qu'ils détiennent, même lorsqu'elles sont stockées dans l'Union européenne.

Ce que nous faisons.

• Chiffrement. Les données sont chiffrées en transit et au repos.
• Minimisation. Chaque prestataire ne reçoit que ce dont sa mission a besoin. Les jetons d'agenda n'atteignent jamais notre base de données, les informations libre/occupé des agendas ne sont jamais stockées, et les rappels par SMS ne sont envoyés qu'aux invités qui les ont demandés.
• Demandes qui nous sont adressées. Si une autorité hors de l'Union européenne nous demande vos données, nous vérifions la légalité de la demande, la contestons lorsqu'il existe des motifs de le faire, et ne communiquons que le minimum légalement exigé.
• Information. Nous vous informons d'une telle demande avant d'y répondre, sauf si la loi nous l'interdit.
• Prestataires. Nous choisissons des prestataires qui s'engagent à faire de même : contester les demandes illégales et informer leurs clients lorsque la loi le leur permet.

Suppression ou restitution à la fin du contrat

À la fin du contrat, vous pouvez exporter vos données pendant le délai de récupération de 30 jours prévu par les conditions d'utilisation. À l'issue de ce délai, nous supprimons les données personnelles que nous traitons pour vous, sauf si le droit de l'Union européenne ou le droit français nous impose de les conserver. Les données supprimées disparaissent de l'historique de restauration de notre fournisseur de base de données dans un délai de 30 jours. Si vous supprimez vous-même votre espace de travail, la suppression est immédiate. Nous confirmons la suppression par écrit sur demande.

Audits

• Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de nos obligations au titre de l'article 28 du RGPD, à commencer par le présent DPA et les réponses à vos questions raisonnables.
• Si cela ne suffit pas, vous pouvez auditer notre conformité une fois par an, moyennant un préavis écrit d'au moins 30 jours, pendant les heures ouvrables, à vos frais, vous-même ou par l'intermédiaire d'un auditeur indépendant tenu à la confidentialité. Un audit ne doit ni donner accès aux données d'autres clients ni perturber le Service.
• Vous pouvez réaliser des audits plus fréquents si une autorité de contrôle l'exige, ou après une violation de données personnelles affectant vos données.

Responsabilité et durée

Le présent DPA s'applique aussi longtemps que nous traitons des données personnelles pour vous. Entre vous et nous, la clause de responsabilité des conditions d'utilisation s'applique au présent DPA, dans la mesure permise par la loi. Rien dans le présent DPA ne limite les droits des personnes dont les données sont traitées.

Contact

Pour toute question relative au présent DPA, écrivez à hello@rdv.dev. OPALITH SAS, 254 rue Vendôme, 69003 Lyon, France.