Politique de confidentialité

1. Qui est responsable de vos données ?

Passion est édité par [Raison sociale], [forme juridique, ex. SAS] au capital de [montant du capital social] €, dont le siège social est situé [adresse du siège social], immatriculée au [RCS de la ville du greffe] sous le numéro [SIREN] (« Passion », « nous »).

Pour toute question sur vos données : [adresse e-mail pour les données personnelles], ou par courrier à l’adresse du siège.

Selon le traitement, les rôles sont répartis ainsi :

• Passion est responsable de traitement pour le fonctionnement du site : la recherche, la prise de rendez-vous, les e-mails liés aux rendez-vous, les comptes des professionnels et la sécurité du service.
• Le professionnel que vous réservez est responsable de traitement des données qu’il reçoit pour préparer et réaliser sa prestation, et de l’usage qu’il en fait ensuite (devis, facture, échanges directs avec vous). Ses coordonnées figurent sur sa page et dans vos e-mails de confirmation.
• Passion est sous-traitant du professionnel lorsqu’il utilise son espace pour gérer son agenda et ses clients (liste de clients, notes privées, rendez-vous qu’il ajoute lui-même, par exemple après un appel). Nous traitons alors ces données uniquement sur ses instructions, dans le cadre prévu à l’article 21 des conditions générales d’utilisation.

2. Les données que nous traitons, et pourquoi

2.1 Rechercher un professionnel

• Données : les termes recherchés et le lieu saisi (ville, code postal ou adresse). Aucune donnée d’identité n’est demandée pour chercher.
• Finalité : afficher les professionnels qui correspondent à votre recherche et qui interviennent à l’endroit indiqué. Le lieu saisi est envoyé par nos serveurs à un service de géolocalisation (voir la partie 3) pour être converti en coordonnées ; votre adresse IP ne lui est pas transmise.
• Base légale : notre intérêt légitime à fournir un service de recherche (article 6.1.f du RGPD).
• Durée : les recherches ne sont pas enregistrées, en dehors des journaux techniques décrits en 2.4.

2.2 Réserver un rendez-vous

• Données : prénom, nom, adresse e-mail, téléphone (facultatif), adresse du rendez-vous pour une intervention à domicile, message facultatif au professionnel, prestation, date, heure et mode du rendez-vous (cabinet, domicile ou visio), date de votre acceptation des conditions.
• Finalités : enregistrer votre demande, bloquer le créneau, vérifier votre adresse e-mail, transmettre la demande au professionnel, vérifier que l’adresse se trouve dans sa zone d’intervention, vous permettre de consulter, décaler ou annuler le rendez-vous.
• Base légale : l’exécution des mesures prises à votre demande avant la prestation et du service de réservation (article 6.1.b du RGPD).
• Durée : une demande que vous ne confirmez pas par e-mail libère le créneau au bout de 15 minutes et est supprimée au plus tard 7 jours plus tard. Un rendez-vous confirmé est conservé tant que le compte du professionnel est actif, et au plus [3 ans après la date du rendez-vous : durée à valider, puis à automatiser] ; il est ensuite anonymisé.

N’indiquez pas de données de santé ni d’autres informations sensibles dans votre message : le service n’est pas conçu pour les recevoir. Ne précisez que ce qui est utile pour préparer le rendez-vous.

2.3 E-mails liés à vos rendez-vous

• Données : adresse e-mail, prénom, détails du rendez-vous, état de l’envoi.
• Finalités : vous envoyer le lien de vérification, la confirmation, le rappel la veille du rendez-vous, et les avis de changement, d’annulation, de refus ou d’expiration de votre demande. Chaque e-mail contient le lien qui permet de gérer votre rendez-vous.
• Base légale : l’exécution du service de réservation (article 6.1.b du RGPD).
• Durée : celle du rendez-vous auquel l’e-mail se rapporte.

Passion ne vous envoie aucune publicité, ne vend pas vos données et ne les utilise pas pour du ciblage publicitaire.

2.4 Sécurité et prévention des abus

• Données : adresse IP ; adresse e-mail et adresse IP sous forme d’empreinte (hachage) dans nos compteurs anti-abus ; données techniques du navigateur et de la connexion analysées par Cloudflare Turnstile sur le formulaire de réservation ; journaux techniques du serveur (adresse IP, date, page demandée).
• Finalités : empêcher les robots de réserver des créneaux ou d’envoyer des e-mails en masse, limiter le nombre de demandes, détecter et corriger les incidents.
• Base légale : l’intérêt légitime de Passion et des professionnels à protéger le service et les agendas contre les abus (article 6.1.f du RGPD).
• Durée : les compteurs anti-abus sont supprimés au bout de 24 heures ; les journaux techniques sont conservés [durée de conservation des journaux chez l’hébergeur, ex. 30 jours].

Pour la détection des robots, Cloudflare agit comme notre sous-traitant. Cloudflare utilise aussi ces signaux pour améliorer ses outils de détection, en tant que responsable de traitement distinct, selon sa politique de confidentialité Turnstile.

2.5 Comptes des professionnels

• Données : adresse e-mail de connexion, nom affiché, métier, pays, fuseau horaire, numéro d’activité (SIRET, BCE ou IDE), accroche et présentation, langues, lieux d’exercice (adresse du cabinet, publique ; adresse de départ des interventions à domicile, jamais affichée), téléphone et e-mail publics (facultatifs, masqués par défaut), prestations, prix, horaires, réglages de réservation, lien de visio.
• Finalités : créer et sécuriser le compte (connexion par lien envoyé par e-mail, sans mot de passe), publier la page professionnelle, calculer les créneaux libres, faire apparaître le professionnel dans la recherche, vérifier le numéro d’activité dans les registres officiels pour afficher le badge « Vérifié », envoyer les e-mails de service.
• Base légale : l’exécution des conditions d’utilisation (article 6.1.b du RGPD) ; pour la vérification du numéro et la modération, notre intérêt légitime à ne publier que des professionnels déclarés (article 6.1.f).
• Durée : tant que le compte est actif, puis suppression dans les [30 jours] suivant sa clôture, sauf les données que nous devons garder pour la preuve ou pour respecter une obligation légale.

Le numéro d’activité n’est jamais affiché aux clients. Les décisions de l’équipe Passion (vérification, refus, suspension, levée de suspension) sont enregistrées avec le nom du membre de l’équipe qui les a prises, et conservées [5 ans, durée de la prescription civile : à valider] pour la preuve.

2.6 Gestion des clients par le professionnel

Lorsque vous avez confirmé un rendez-vous, vos coordonnées rejoignent la liste de clients du professionnel. Il peut y ajouter des notes privées, et il peut aussi enregistrer lui-même un rendez-vous pris par téléphone ou sur place, avec vos coordonnées. Pour ces données, Passion est son sous-traitant : le professionnel décide de leur usage et de leur durée de conservation, et en répond. Si votre adresse e-mail est renseignée, Passion vous envoie pour son compte les e-mails liés à ces rendez-vous.

Pour exercer vos droits sur ces données, adressez-vous au professionnel ; si vous nous écrivez, nous lui transmettons votre demande.

2.7 Vos demandes

• Données : identité, adresse e-mail, contenu de votre demande et de notre réponse.
• Finalités : répondre à vos questions et à vos demandes d’exercice de droits, en garder la preuve.
• Base légale : nos obligations légales (article 6.1.c du RGPD) pour les demandes d’exercice de droits ; notre intérêt légitime à vous répondre pour les autres demandes (article 6.1.f).
• Durée : le temps de traiter la demande, puis [1 an : à valider] à titre de preuve.

3. Qui reçoit vos données ?

• Le professionnel que vous réservez : vos prénom, nom, e-mail, téléphone, adresse d’intervention et message, dès que vous avez confirmé votre demande par e-mail. Avant cette confirmation, il voit seulement que le créneau est réservé.
• Les membres habilités de l’équipe Passion, uniquement pour le support, la sécurité et la vérification des professionnels.
• Nos prestataires techniques, qui agissent sur nos instructions et sont tenus par contrat à la confidentialité et à la sécurité :

• Les autorités, lorsque la loi nous y oblige.

Nous ne vendons ni ne louons vos données.

4. Transferts hors de l’Union européenne

Certains prestataires sont établis aux États-Unis (Supabase, Vercel, Resend, Cloudflare). Ces transferts sont encadrés par la [certification du prestataire au Data Privacy Framework UE–États-Unis (et à son extension suisse) et/ou clauses contractuelles types de la Commission européenne : à vérifier pour chaque prestataire]. Vous pouvez obtenir une copie de ces garanties en nous écrivant. La Suisse bénéficie d’une décision d’adéquation de la Commission européenne.

Si vous résidez en Suisse : vos données peuvent être communiquées vers les pays de l’Union européenne et de l’Espace économique européen, la Suisse et les États-Unis, avec les garanties décrites ci-dessus, conformément à la loi fédérale sur la protection des données (LPD).

5. Cookies et traceurs

Passion n’utilise ni cookie publicitaire, ni outil de mesure d’audience, ni bouton de réseau social. Les polices de caractères du site sont servies par nos propres serveurs : aucune requête n’est envoyée à Google Fonts.

Consulter le site et réserver un rendez-vous ne dépose aucun cookie de Passion. Nous utilisons uniquement les traceurs strictement nécessaires au service que vous demandez, listés ci-dessous. Ils sont exemptés de consentement par l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : c’est pourquoi aucun bandeau de consentement ne s’affiche.

Vous pouvez supprimer ces cookies à tout moment dans les réglages de votre navigateur ; vous serez alors déconnecté de votre espace.

Si nous ajoutons un jour un outil qui demande votre consentement (mesure d’audience, par exemple), nous vous le demanderons avant de le déposer.

6. Sécurité

• Toutes les communications avec le site sont chiffrées (HTTPS).
• Les liens de gestion d’un rendez-vous reposent sur un jeton secret : nous n’en conservons qu’une empreinte, qui ne permet pas de le reconstituer. Les pages ouvertes par ce lien ne chargent aucun script tiers.
• Chaque professionnel n’accède qu’à ses propres rendez-vous et clients, grâce à des règles d’accès appliquées par la base de données elle-même.
• Les adresses e-mail et IP utilisées par nos compteurs anti-abus sont stockées sous forme d’empreinte.
• Les professionnels se connectent par un lien à usage unique, sans mot de passe à protéger.

Le lien reçu par e-mail permet de gérer votre rendez-vous : ne le partagez pas. En cas de violation de données présentant un risque pour vous, nous la notifions à la CNIL dans les 72 heures et nous vous en informons si le risque est élevé.

7. Vos droits

Vous disposez des droits suivants sur vos données :

• accès et copie ;
• rectification ;
• effacement ;
• limitation du traitement ;
• opposition aux traitements fondés sur notre intérêt légitime ;
• portabilité des données que vous nous avez fournies ;
• définition de directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés).

Pour les exercer, écrivez à [adresse e-mail pour les données personnelles] depuis l’adresse e-mail utilisée pour réserver, en indiquant si possible le professionnel concerné et la date du rendez-vous. Nous répondons dans un délai d’un mois, qui peut être prolongé de deux mois pour une demande complexe ; nous vous prévenons alors. Nous pouvons vous demander de confirmer votre identité en cas de doute.

En cas d’effacement, vos données personnelles sont anonymisées chez chaque professionnel que vous avez réservé, vos rendez-vous à venir sont annulés et les professionnels concernés en sont informés. L’historique (date, prestation) reste chez eux, sans donnée permettant de vous identifier. Pour les données que le professionnel conserve en dehors de Passion (devis, factures), adressez-vous directement à lui.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l’autorité de contrôle :

• en France, la CNIL (www.cnil.fr) ;
• en Belgique, l’Autorité de protection des données (www.autoriteprotectiondonnees.be) ;
• en Suisse, le Préposé fédéral à la protection des données et à la transparence (www.edoeb.admin.ch).

8. Mineurs

Le service s’adresse aux personnes majeures. Un mineur ne peut réserver qu’avec l’accord de son représentant légal, qui peut exercer ses droits en son nom.

9. Modifications de cette politique

Nous pouvons modifier cette politique, par exemple lorsque le service évolue. La date de mise à jour figure en haut de la page. En cas de changement important, nous l’indiquons sur le site et prévenons les professionnels par e-mail.