Politique de confidentialité

1 – Données collectées

Nous collectons uniquement les données nécessaires au fonctionnement du service :

• Comptes praticiens : nom de l'entreprise, adresse e-mail, mot de passe (hashé), domaines autorisés pour le widget, données de facturation si vous souscrivez un abonnement.
• Réservations en ligne : nom, e-mail et téléphone des clients finaux qui prennent rendez-vous via le widget ; date et heure du rendez-vous.
• Formulaires de contact : nom, e-mail et contenu du message le cas échéant.
• Google Calendar (optionnel) : si vous connectez votre compte Google, nous accédons à votre adresse e-mail Google et aux événements de votre calendrier principal pour synchroniser vos disponibilités (voir section 7 – Données Google Calendar).

SanoRDV ne collecte aucune donnée de santé au sens du HDS. Il s'agit d'un outil de prise de rendez-vous généraliste pour les professionnels du bien-être.

2 – Finalité du traitement

Vos données sont utilisées exclusivement pour :

• permettre la prise de rendez-vous en ligne et la gestion de votre agenda ;
• envoyer les confirmations et rappels de rendez-vous (e-mail, SMS) ;
• assurer le suivi commercial, la facturation et le support technique ;
• synchroniser vos disponibilités avec Google Calendar si vous l'activez volontairement (détails en section 7).

Aucune donnée n'est revendue, cédée à des courtiers de données ni utilisée à des fins publicitaires ou de profilage.

3 – Destinataires

Seul Robin Couet, dirigeant de EI Start-Win, accède aux données d'exploitation. Les sous-traitants techniques strictement nécessaires au service sont :

• OVH (hébergement en France / Union européenne) ;
• Stripe (paiement sécurisé, si vous souscrivez un abonnement) ;
• Brevo ou Resend (envoi d'e-mails transactionnels) ;
• Twilio (envoi de SMS de rappel, si activé) ;
• Google LLC (API Google Calendar et OAuth, uniquement si vous connectez votre compte — voir section 7).

Chaque sous-traitant est choisi pour sa conformité au RGPD. Un contrat de sous-traitance (DPA) peut être fourni sur demande aux praticiens.

4 – Localisation et sécurité

Les données sont hébergées en France. Les échanges sont chiffrés (HTTPS/TLS). Les mots de passe sont stockés sous forme de hash sécurisé et ne sont jamais conservés en clair.

5 – Durée de conservation

Les données issues d'un formulaire de contact sont conservées 3 ans à compter du dernier échange. Les données clients et de facturation sont conservées 10 ans, conformément aux obligations comptables et légales françaises. Les rendez-vous passés peuvent être conservés tant que le compte praticien est actif, puis supprimés sur demande. Les jetons OAuth Google (connexion calendrier) sont conservés tant que l'intégration reste active et supprimés dès que vous la déconnectez depuis votre tableau de bord.

6 – Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez d'un droit d'accès, de rectification, de suppression, de limitation, d'opposition et de portabilité de vos données. Pour les exercer, contactez notre Délégué à la Protection des Données : robin@start-win.fr.

Les clients finaux qui ont pris rendez-vous via un widget peuvent exercer leurs droits auprès du praticien concerné, ou directement auprès de nous si le praticien ne répond pas.

7 – Données Google Calendar (API Google)

Cette section décrit comment SanoRDV accède, utilise, stocke et partage les données obtenues via les API Google lorsque vous choisissez de connecter Google Calendar. Elle complète notre politique générale et répond aux exigences de la Google API Services User Data Policy.

Données Google concernées

Lors de la connexion OAuth, SanoRDV demande les autorisations suivantes :

• Événements du calendrier (https://www.googleapis.com/auth/calendar.events) : lecture des dates et heures de vos événements existants ; création, modification et suppression d'événements liés aux réservations SanoRDV.
• Adresse e-mail du compte Google (https://www.googleapis.com/auth/userinfo.email) : identification du compte connecté dans votre tableau de bord.

Nous n'accédons qu'au calendrier principal (primary) de votre compte. Nous ne lisons pas le contenu détaillé de vos événements à des fins autres que la synchronisation des créneaux (seules les plages horaires occupées ou libres nous intéressent). Les événements marqués « Disponible » dans Google Calendar ne bloquent pas vos créneaux SanoRDV.

Utilisation des données Google

Nous utilisons ces données exclusivement pour :

• bloquer automatiquement les créneaux déjà occupés sur votre agenda Google (congés, RDV externes, etc.) ;
• créer un événement dans Google Calendar lorsqu'une réservation est confirmée via SanoRDV (titre, date, heure, et dans la description : nom, e-mail et téléphone du client) ;
• mettre à jour ou supprimer cet événement si la réservation est modifiée ou annulée ;
• afficher l'adresse e-mail du compte Google connecté dans votre espace praticien.

Ces usages sont limités aux fonctionnalités visibles dans l'interface SanoRDV. Nous n'utilisons pas les données Google pour de la publicité, du reciblage, du scoring commercial, ni pour entraîner des modèles d'intelligence artificielle.

Stockage et sécurité

Pour maintenir la connexion entre sessions, nous stockons côté serveur (hébergé en France chez OVH) : l'adresse e-mail Google associée, l'identifiant du calendrier, les jetons OAuth (refresh et access token) et, pour chaque rendez-vous synchronisé, l'identifiant de l'événement Google créé. Les événements Google eux-mêmes ne sont pas dupliqués en base : ils sont consultés via l'API au moment du calcul des disponibilités. Les échanges avec Google sont chiffrés (HTTPS/TLS).

Partage et transferts

Les données Google ne sont pas vendues ni cédées à des tiers. Elles sont transmises uniquement à Google (API Calendar) pour fournir la synchronisation, et hébergées chez notre sous-traitant OVH dans le cadre strict du service. Aucun transfert à des plateformes publicitaires, courtiers de données ou revendeurs d'information.

Accès humain

Aucun membre de Start-Win ne consulte le contenu de votre calendrier Google, sauf si vous nous sollicitez expressément pour un incident de support, ou si la loi l'exige.

Révocation et suppression

Vous pouvez déconnecter Google Calendar à tout moment depuis Tableau de bord → Liens & connexions. Cette action supprime nos jetons OAuth et interrompt la synchronisation. Vous pouvez aussi révoquer l'accès depuis les paramètres de sécurité de votre compte Google. Les événements déjà créés dans Google Calendar restent sous votre contrôle.

Limited Use (exigences Google)

L'utilisation par SanoRDV des informations reçues via les API Google, ainsi que leur transfert à toute autre application, respecte la Google API Services User Data Policy, y compris les exigences Limited Use.

8 – Cookies

Le site utilise un nombre limité de cookies, principalement pour la session de connexion au tableau de bord et, le cas échéant, pour mesurer l'audience de façon anonyme. Vous pouvez accepter ou refuser les cookies non essentiels depuis la bannière affichée lors de votre première visite. Aucun cookie publicitaire tiers n'est utilisé.

Pour les mentions légales complètes, consultez la page Mentions légales.