RetourPolitique de confidentialité
1. Qui sommes-nous
Créneaux est une application de planification de sessions de conseil éditée par SCALEZIA, société à responsabilité limitée au capital de 1 000 euros, immatriculée au RCS de Paris sous le numéro 888 561 842, dont le siège social est situé 155 rue du Faubourg Saint-Denis, 75010 Paris.
L'application est accessible à l'adresse https://booking-expert.scalezia.co
Responsable du traitement : SCALEZIA
Contact pour toute question relative aux données personnelles : christian@scalezia.co
Créneaux est un outil interne. L'accès en est réservé aux collaborateurs et experts partenaires de SCALEZIA, sur invitation. L'inscription libre n'est pas possible.
2. Les données que nous traitons
2.1 Données de compte des experts et des collaborateurs
Lorsqu'un compte est créé, nous traitons le nom, l'adresse email, la photo de profil lorsqu'elle est renseignée, le fuseau horaire et le rôle attribué dans l'application.
Ces données proviennent de la création du compte par un administrateur, ou du profil Google lors d'une connexion par ce moyen.
2.2 Données d'agenda Google
Lorsqu'un expert connecte son agenda Google, nous accédons à deux types d'informations, décrits en détail à la section 3.
2.3 Données des clients et de leurs contacts
Les chefs de projet renseignent dans l'application le nom des sociétés clientes, ainsi que le prénom, le nom, l'adresse email et le cas échéant la fonction des personnes qui participeront aux sessions. Ces données sont saisies par nos collaborateurs dans le cadre de la relation contractuelle avec le client.
2.4 Données de réservation
Pour chaque session réservée nous conservons la date, l'heure, la durée, l'expert concerné, le client rattaché, l'objectif de travail défini avec le chef de projet, le fuseau horaire du participant, le statut de la session, et le cas échéant le motif d'annulation ainsi que les adresses des personnes ajoutées à la visioconférence par le client.
2.5 Données techniques
Nous conservons l'historique des notifications envoyées, un journal technique limitant le nombre de requêtes par adresse IP afin de prévenir les abus, et des données de calcul temporaires servant à accélérer l'affichage des créneaux.
2.6 Enregistrement des sessions
Les sessions de conseil font l'objet d'un enregistrement audio et vidéo. Cet enregistrement est réalisé par Modjo, qui rejoint la visioconférence en tant que participant. L'adresse de cet outil apparaît dans la liste des participants de l'invitation, de sorte que chaque participant en est informé avant le début de la session.
L'enregistrement sert exclusivement au suivi de l'accompagnement par le chef de projet et à la mise à disposition du contenu au client. Il n'est pas utilisé à des fins publicitaires ni cédé à des tiers.
3. Données Google : ce à quoi nous accédons et pourquoi
Cette section décrit précisément l'usage que nous faisons des données obtenues via les API Google, conformément aux exigences de Google.
3.1 Autorisations demandées
Créneaux demande deux autorisations d'accès à Google Agenda, et uniquement celles-ci.
https://www.googleapis.com/auth/calendar.readonly
Cette autorisation nous permet d'interroger les périodes occupées de l'agenda principal de l'expert, au moyen de la fonction freeBusy de l'API Google Calendar. Nous récupérons uniquement les intervalles de début et de fin des périodes occupées. Nous ne lisons ni le titre, ni la description, ni les participants, ni le lieu, ni aucun contenu des événements existants de l'expert.
Cette lecture est indispensable au fonctionnement de l'application : sans elle, un client pourrait réserver une session sur un créneau où l'expert a déjà un engagement. Une autorisation plus restreinte ne permet pas d'obtenir cette information.
https://www.googleapis.com/auth/calendar.events
Cette autorisation nous permet de créer dans l'agenda de l'expert l'événement correspondant à une session réservée, d'y associer un lien de visioconférence Google Meet, d'ajouter les participants prévus, puis de mettre à jour ou de supprimer cet événement lorsque la session est déplacée ou annulée.
Nous n'agissons que sur les événements créés par l'application. Nous ne modifions ni ne supprimons aucun autre événement de l'agenda de l'expert.
Nous demandons également l'accès à l'adresse email du compte Google connecté, afin d'afficher à l'expert quel compte est relié à l'application.
3.2 Conservation et protection des jetons d'accès
Les jetons délivrés par Google sont chiffrés au moyen d'un algorithme AES-GCM avant d'être enregistrés en base de données. Ils ne sont jamais transmis au navigateur, ne sont accessibles qu'aux traitements exécutés côté serveur, et ne sont communiqués à aucun tiers.
Un expert peut déconnecter son agenda à tout moment depuis l'application. Les jetons correspondants sont alors supprimés. Il peut également révoquer l'accès directement depuis les paramètres de sécurité de son compte Google.
3.3 Usage limité
L'utilisation que Créneaux fait des informations reçues des API Google respecte la Politique relative aux données utilisateur des services API Google, y compris ses exigences d'usage limité.
En particulier, les données d'agenda obtenues ne sont utilisées que pour fournir les fonctionnalités décrites ci-dessus. Elles ne sont pas transférées à des tiers, sauf lorsque cela est strictement nécessaire au fonctionnement du service ou requis par la loi. Elles ne sont utilisées ni à des fins publicitaires, ni pour entraîner des modèles d'intelligence artificielle généralisés. Aucune personne ne les consulte, sauf accord explicite de l'utilisateur concerné, nécessité de sécurité, ou obligation légale.
4. Fondements juridiques
Le traitement des données de compte et des données d'agenda repose sur l'exécution du contrat qui nous lie aux experts partenaires.
Le traitement des données des clients et de leurs contacts repose sur l'exécution du contrat d'accompagnement conclu avec la société cliente.
Le traitement des données techniques de sécurité repose sur notre intérêt légitime à protéger l'application contre les usages abusifs.
5. Destinataires et sous-traitants
Les données ne sont accessibles qu'aux collaborateurs de SCALEZIA dont les fonctions le justifient, selon un système de rôles appliqué au sein de l'application. Un chef de projet accède aux données des clients qu'il suit. Un expert accède aux sessions qui le concernent.
Nous faisons appel aux sous-traitants suivants.
Google Ireland Limited, pour l'agenda et la visioconférence.
Lovable, pour l'hébergement de l'application et de sa base de données.
Resend, pour l'envoi des courriers électroniques transactionnels.
Modjo, pour l'enregistrement et l'analyse des sessions.
Certains de ces prestataires peuvent traiter des données en dehors de l'Union européenne. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne ou par un mécanisme équivalent.
6. Durées de conservation
Données de compte : pendant toute la durée de la relation avec l'expert ou le collaborateur, puis suppression dans les trois mois suivant la fin de celle-ci.
Jetons d'accès Google : jusqu'à déconnexion de l'agenda ou révocation par l'utilisateur, avec suppression immédiate dans les deux cas.
Données de réservation et historique des sessions : cinq ans à compter de la fin de l'accompagnement, à des fins de suivi et de justification.
Journal des notifications : douze mois.
Données techniques de limitation de débit et de calcul temporaire : quelques minutes à quelques heures, avec purge automatique.
Enregistrements des sessions : douze mois, selon les modalités convenues avec la société cliente.
7. Vos droits
Conformément au règlement général sur la protection des données, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et de portabilité de vos données.
Pour exercer ces droits, écrivez à christian@scalezia.co. Nous répondons dans un délai d'un mois.
Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, 75007 Paris.
8. Sécurité
L'accès à l'application est restreint aux comptes créés par un administrateur. L'inscription libre est désactivée.
Les données sont cloisonnées au niveau de la base de données par un mécanisme de sécurité au niveau des lignes, garantissant qu'un utilisateur n'accède qu'aux données relevant de son rôle.
Les jetons d'accès aux services tiers sont chiffrés au repos et ne transitent jamais par le navigateur.
Les pages accessibles sans authentification, telles que la page de réservation transmise à un client, n'exposent qu'un ensemble restreint d'informations, à l'exclusion de toute donnée interne.
9. Cookies
L'application utilise uniquement les cookies nécessaires au maintien de la session d'un utilisateur authentifié. Aucun cookie publicitaire ni de mesure d'audience tierce n'est déposé.
10. Modifications
Cette politique peut être mise à jour. La date de dernière mise à jour figure en tête du document. En cas de modification substantielle, les utilisateurs disposant d'un compte en sont informés par courrier électronique.