Politique de confidentialité

1. Qui sommes-nous ?

GlowBook est une plateforme de réservation en ligne pour les professionnels de la beauté et du bien-être, établie en Belgique. Nous agissons en tant que sous-traitant de données à caractère personnel pour le compte du praticien (le responsable du traitement) qui utilise notre logiciel. Pour toute question concernant vos données, vous pouvez nous contacter à l'adresse [email protected].

2. Quelles données collectons-nous ?

Nous traitons les données à caractère personnel suivantes :

• Données de compte du praticien : nom, adresse e-mail, nom de l'entreprise, numéro de téléphone
• Données clients : prénom, nom, adresse e-mail, numéro de téléphone, numéro WhatsApp, date de naissance
• Données de rendez-vous : date, heure, type de soin, prix, statut, notes
• Formulaires d'anamnèse : réponses aux questions de santé et de préférences
• Données de paiement : statut du paiement et identifiants de transaction (les données complètes de carte bancaire sont traitées exclusivement par Stripe)
• Données techniques : adresse IP, type de navigateur (uniquement à des fins fonctionnelles)

3. Pourquoi traitons-nous ces données ?

• Gérer et planifier les rendez-vous
• Envoyer des confirmations et des rappels (e-mail et WhatsApp)
• Traiter les paiements et acomptes
• Tenir l'historique client à la disposition du praticien
• Améliorer nos services

4. Base juridique

Nous traitons les données à caractère personnel sur la base de :

• L'exécution d'un contrat (art. 6.1.b RGPD) : nécessaire à la prise et à la gestion des rendez-vous
• L'intérêt légitime (art. 6.1.f RGPD) : l'envoi de rappels et l'amélioration de notre service
• Le consentement (art. 6.1.a RGPD) : pour les communications marketing (vous pouvez retirer ce consentement à tout moment)

5. Durée de conservation

Nous conservons les données à caractère personnel tant que votre compte est actif, ainsi que pendant une période de 2 ans après la clôture du compte. Passé ce délai, vos données sont définitivement supprimées, sauf obligation légale de conservation plus longue.

Les données obtenues via Google OAuth (voir section 12) constituent une exception à la durée de conservation ci-dessus : elles sont immédiatement et définitivement supprimées dès que vous révoquez la connexion avec Google, sans délai de conservation de 2 ans.

6. Partage avec des tiers

Nous ne partageons les données à caractère personnel qu'avec les parties suivantes :

• Stripe (Stripe, Inc.) — pour le traitement des paiements et des acomptes
• Meta / WhatsApp Business (Meta Platforms, Inc.) — pour l'envoi des rappels et confirmations WhatsApp
• Envoi d'e-mails — les e-mails sont envoyés depuis notre propre serveur de messagerie situé dans l'UE (Hetzner, Allemagne) ; il n'y a pas de sous-traitant e-mail externe
• Google (Google LLC) — uniquement pour la fonction optionnelle "Connexion avec Google" et la synchronisation Google Agenda. Voir la section 12 pour plus de détails

Nous avons conclu des contrats de sous-traitance avec chacune de ces parties. Nous ne vendons jamais vos données à des tiers.

7. Vos droits

En vertu du RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) : vous pouvez demander quelles données nous traitons à votre sujet
• Droit de rectification (art. 16) : vous pouvez faire corriger les données inexactes
• Droit à l'effacement (art. 17) : vous pouvez demander la suppression de vos données
• Droit à la portabilité (art. 20) : vous pouvez recevoir vos données dans un format structuré
• Droit d'opposition (art. 21) : vous pouvez vous opposer au traitement de vos données
• Droit à la limitation (art. 18) : vous pouvez demander la limitation du traitement

Pour exercer vos droits, contactez-nous à l'adresse [email protected]. Nous répondons à votre demande dans un délai de 30 jours.

8. Cookies

GlowBook utilise exclusivement des cookies fonctionnels nécessaires au fonctionnement du site web (par exemple cookies de session et préférences de consentement aux cookies). Nous n'utilisons aucun cookie de suivi ni d'analyse.

9. Localisation des données

L'ensemble de nos serveurs, bases de données et serveur de messagerie sont situés dans l'Union européenne (UE). Certains sous-traitants (Stripe, Meta) peuvent traiter des données en dehors de l'UE, mais le font sur la base de décisions d'adéquation ou de clauses contractuelles types (CCT).

10. Sécurité

Nous prenons des mesures techniques et organisationnelles appropriées pour protéger vos données, notamment le chiffrement des données en transit (TLS) et au repos, des contrôles d'accès et des audits de sécurité réguliers.

11. Introduire une plainte

Si vous avez une plainte concernant le traitement de vos données à caractère personnel, vous pouvez contacter l'Autorité de protection des données (APD) belge :

12. Google OAuth et Google Agenda

GlowBook propose deux fonctionnalités optionnelles reposant sur Google OAuth. Toutes deux nécessitent votre consentement explicite via l'écran de consentement officiel de Google. Vous pouvez révoquer la connexion à tout moment dans Paramètres → Google Agenda.

Connexion avec Google — Lorsque vous choisissez de vous connecter avec Google, nous ne recevons que votre nom, votre adresse e-mail et votre identifiant de compte Google (scopes : openid, email, profile). Ces données servent uniquement à créer votre compte GlowBook et à vous authentifier. Nous ne partageons pas ces données avec des tiers et ne les utilisons ni pour le profilage, ni pour la publicité, ni pour l'entraînement de modèles d'apprentissage automatique.

Synchronisation Google Agenda — Si vous connectez Google Agenda (scope : https://www.googleapis.com/auth/calendar.events), GlowBook lit et écrit des rendez-vous uniquement dans votre agenda principal ("primary") afin de détecter les conflits et de synchroniser vos rendez-vous GlowBook. Nous ne lisons pas les agendas d'autres utilisateurs, nous ne modifions pas les événements que nous n'avons pas nous-mêmes créés, et nous n'utilisons jamais les données d'agenda à des fins publicitaires, d'analyse ou d'entraînement de modèles d'IA. Cet usage est pleinement conforme à la Google API Services User Data Policy, y compris aux exigences Limited Use.

Stockage et sécurité — Les jetons d'accès et de rafraîchissement sont stockés chiffrés (AES-256) dans notre base de données située dans l'UE. Seuls les processus côté serveur liés à votre compte peuvent les déchiffrer.

Révocation de la connexion — Lorsque vous révoquez la connexion Google, (1) le canal watch auprès de Google est arrêté, (2) le jeton de rafraîchissement est explicitement révoqué auprès de Google via oauth2.googleapis.com/revoke, et (3) tous les jetons et l'état de synchronisation stockés localement sont immédiatement supprimés. Vous pouvez également révoquer l'accès à tout moment vous-même via myaccount.google.com/permissions.

13. Modifications

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre. Les modifications sont publiées sur cette page. Nous vous recommandons de consulter régulièrement cette politique.