Accord de traitement des données

Le Sous-traitant traite les données uniquement pour fournir le service Fadevo au salon, pendant la durée de l’abonnement et pendant la durée de conservation prévue à la section 9.

• Clients du salon : nom, numéro de portable, e-mail (facultatif), notes et demandes, historique des rendez-vous, absences, points et récompenses, parrainages, compte client et préférences de communication.
• Équipe du salon : nom, photo, fonction, présentation, horaires, rendez-vous attribués et, pour les personnes ayant accès au tableau de bord, e-mail et données de session.

Le traitement de catégories particulières de données (par exemple, des données de santé) n’est pas prévu. Le salon ne doit pas les saisir dans les notes.

Le Sous-traitant ne traite les données que sur instruction documentée du salon, à savoir celles prévues dans ces conditions et celles que le salon donne en utilisant le tableau de bord (par exemple, créer, modifier ou supprimer un client). Si une instruction semble enfreindre la loi, le Sous-traitant en informe le salon.

Les personnes autorisées à traiter les données chez le Sous-traitant sont soumises à une obligation de confidentialité.

• Communications chiffrées (HTTPS) et mots de passe stockés chiffrés.
• Séparation des données de chaque salon par des règles dans la base de données elle-même (chaque salon n’accède qu’à ses propres données).
• Accès par rôle (propriétaire, gérant, barbier) et accès administrateur de Fadevo protégé par une vérification en deux étapes et journalisé.
• Base de données hébergée dans l’Union européenne (Francfort), avec les sauvegardes du prestataire.
• Minimisation des données : pour les rendez-vous, seuls le nom et le numéro de portable sont obligatoires.

Le salon autorise le Sous-traitant à faire appel aux sous-traitants ultérieurs suivants, soumis à des obligations de protection des données équivalentes :

• Supabase (base de données et authentification ; données hébergées à Francfort, en Allemagne).
• Vercel (hébergement du site et du tableau de bord).
• Resend (envoi des e-mails de confirmation, de rappel et des codes de connexion).

Lorsqu’un sous-traitant ultérieur se trouve hors de l’Union européenne, le transfert est encadré par le cadre de protection des données UE-États-Unis ou par des clauses contractuelles types. Le Sous-traitant informe le salon de tout changement prévu dans cette liste au moins 30 jours à l’avance, et le salon peut s’y opposer et résilier l’abonnement.

Le tableau de bord permet au salon de consulter, corriger, exporter et anonymiser les données des clients, et les clients peuvent télécharger ou supprimer leurs données dans l’espace client. Si un client contacte directement le Sous-traitant, celui-ci transmet la demande au salon.

S’il a connaissance d’une violation de données personnelles concernant le salon, le Sous-traitant en informe le salon dans les meilleurs délais et, si possible, dans les 48 heures, avec les informations disponibles pour que le salon puisse remplir ses obligations (y compris la notification à l’autorité de contrôle dans les 72 heures, le cas échéant).

À la fin de l’abonnement, les données sont conservées pendant 12 mois pour que le salon puisse revenir, puis supprimées, sauf obligation légale de conservation. Avant cela, le salon peut exporter les données de ses clients et demander une suppression anticipée.

Le Sous-traitant met à la disposition du salon les informations nécessaires pour démontrer le respect de cet accord et collabore aux audits raisonnables, moyennant un préavis.

En tant que responsable du traitement, le salon s’assure de disposer d’une base légale pour traiter les données de ses clients, les informe du traitement (le site de chaque salon comprend une politique de confidentialité de base, que le salon doit vérifier et compléter) et répond aux demandes des personnes concernées.