Politique de confidentialité et de protection des données personnelles

1. Identité du responsable du traitement

La présente politique de confidentialité est établie par :

• Dénomination : VesyGo — exploité par A. DEMS LTD
• Siège social : Stadiou 11, 2113 Aglantzia, Nicosia, Chypre
• Numéro de TVA : CY60137615U
• Email : info@vesygo.com
• Téléphone : +357 99 976 265
• Site web : https://www.vesygo.com

A. DEMS LTD, opérant sous la marque VesyGo, agit selon un double rôle RGPD détaillé à la section 1bis ci-dessous.

1bis. Notre rôle RGPD : responsable et sous-traitant

Selon la nature des données traitées, VesyGo endosse l'un ou l'autre des rôles définis par le RGPD :

Conséquence pratique : si vous êtes un client final ayant pris rendez-vous via un salon, vos demandes RGPD (accès, rectification, effacement, portabilité) doivent être adressées en priorité au salon concerné, qui agit en qualité de responsable du traitement. VesyGo peut techniquement faciliter ces demandes lorsque le salon nous le demande, conformément au DPA.

2. Données personnelles collectées

Nous collectons les catégories de données suivantes :

2.1. Propriétaires de salon (utilisateurs professionnels)

• Nom et prénom
• Adresse email
• Numéro de téléphone mobile
• Adresse du salon (rue, ville, code postal, pays)
• Numéro de TVA intracommunautaire
• Logo et photo de couverture du salon
• Identifiant Google Place (si fourni volontairement)

2.2. Clients (personnes effectuant une réservation)

• Nom complet
• Adresse email
• Numéro de téléphone mobile
• Commentaires éventuels liés à la réservation

2.3. Données techniques et de navigation

• Adresse IP (anonymisée)
• Type de navigateur et système d'exploitation
• Pages visitées et durée de visite
• Données de cookies (voir section 8)

3. Finalités et bases juridiques du traitement

Conformément à l'article 6 du RGPD, nous traitons vos données sur les bases juridiques suivantes :

4. Destinataires des données

Vos données personnelles ne sont jamais vendues ni louées à des tiers. Elles sont partagées uniquement avec nos sous-traitants techniques, dans le cadre strict de leurs prestations.

La liste complète, à jour et opposable de nos sous-traitants est publiée sur la page Sous-traitants. Cette page est la source de vérité unique : nous nous engageons à informer nos clients par email au moins 30 jours avant tout ajout ou remplacement.

À titre indicatif, les principaux sous-traitants sont :

• Hetzner Online GmbH (Allemagne, UE) — hébergement serveur + base de données
• Cloudflare (États-Unis*, POP UE) — CDN, DNS, protection DDoS
• Resend (États-Unis*) — envoi d'emails transactionnels
• Stripe Payments Europe (Irlande, UE) — abonnements et acomptes
• Google & Microsoft (États-Unis*) — synchronisation calendrier (avec consentement OAuth)

* Pour les sous-traitants situés hors UE, VesyGo s'appuie sur les Clauses Contractuelles Types (CCT) — décision d'exécution (UE) 2021/914 — et le cadre EU-US Data Privacy Framework lorsque le sous-traitant y est certifié. Évaluation d'impact des transferts disponible sur demande.

5. Durée de conservation des données

Cette grille est strictement alignée sur les Conditions Générales d'Utilisation et le DPA. Toute incohérence apparente doit être interprétée en faveur du tableau ci-dessous, qui prime.

• Compte salon actif : pendant toute la durée du contrat
• Données client opérationnelles (clients, RDV en cours) : durée du contrat + 30 jours de grâce après résiliation pour permettre une restauration
• Réservations passées : 3 ans à compter de la date du rendez-vous (intérêt légitime — gestion des litiges et historique pour le salon)
• Factures et données comptables : 10 ans à compter du 1^er janvier de l'année qui suit leur émission (obligation fiscale belge — article 60 § 1 du Code TVA, version applicable depuis le 1^er janvier 2024)
• Logs de sécurité et audit : 12 mois
• Codes OTP : 5 minutes (expiration automatique)
• Demandes d'aperçu déposées sur le site (nom, email, téléphone) : 12 mois à compter de la demande ; 7 jours pour les demandes en échec ou archivées
• Coordonnées professionnelles de prospection issues de fiches publiques (Google Maps) : 24 mois sans contact. Une opposition est conservée au-delà, sous forme minimale, afin de ne pas vous redémarcher
• Cookies analytiques (Google Analytics) : 14 mois maximum

6. Vos droits (articles 15 à 22 du RGPD)

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) : obtenir une copie de vos données personnelles
• Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes
• Droit à l'effacement (art. 17) : demander la suppression de vos données, sous réserve des obligations légales de conservation
• Droit à la limitation (art. 18) : restreindre le traitement dans certains cas
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré et lisible par machine
• Droit d'opposition (art. 21) : vous opposer au traitement fondé sur l'intérêt légitime
• Droit de retirer votre consentement : à tout moment, sans affecter la licéité du traitement antérieur

Pour exercer vos droits, contactez-nous à : info@vesygo.com

Nous répondrons dans un délai de 30 jours conformément à l'article 12 du RGPD.

7. Réclamation auprès d'une autorité de contrôle

Si vous estimez que le traitement de vos données constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de :

Vous pouvez également contacter l'autorité de protection des données de votre pays de résidence.

8. Cookies

8.1. Cookies essentiels (sans consentement)

Ces cookies sont strictement nécessaires au fonctionnement du site :

• Session d'authentification (authjs.session-token) — durée : session
• Préférence de langue (loc pour VesyGo, salon-loc sur les pages de réservation) — durée : 1 an
• Consentement cookies (cookie-consent) — durée : 1 an

8.2. Cookies analytiques (avec consentement)

Ces cookies ne sont déposés que si vous y consentez explicitement :

• Google Analytics (_ga, _ga_*) — durée : 14 mois — finalité : mesure d'audience anonymisée (IP anonymisée)

Vous pouvez modifier vos préférences à tout moment via le bandeau de cookies ou en supprimant les cookies de votre navigateur.

8.3. Cookies publicitaires

VesyGo n'utilise aucun cookie publicitaire ni de suivi marketing.

8bis. Données de calendrier (Google / Microsoft)

Les membres d'équipe d'un salon peuvent connecter leur calendrier personnel (Google Calendar, Microsoft Outlook / Office 365) à VesyGo pour synchroniser leurs rendez-vous. Cette intégration utilise les API officielles de chaque fournisseur via le protocole OAuth 2.0.

Données auxquelles nous accédons

• Lecture des évènements du calendrier sélectionné : uniquement les horaires de début et de fin, le titre et le statut « occupé ». Nous n'accédons jamais aux pièces jointes, descriptions détaillées, lieux, ou listes d'invités.
• Création / modification / suppression d'évènements uniquement pour les rendez-vous générés par VesyGo, dans le but de les afficher automatiquement dans l'agenda du membre. Nous ne touchons jamais aux évènements créés par l'utilisateur ou des tiers.
• L'adresse email du compte connecté, à des fins purement d'affichage (« Connecté en tant que ali@gmail.com »).

Comment nous protégeons ces données

• Les jetons d'accès OAuth sont chiffrés au repos avec AES-256-GCM avant stockage en base de données. La clé de chiffrement n'est jamais accessible depuis le code applicatif courant.
• Aucune donnée de calendrier n'est partagée avec un tiers, vendue, ou utilisée pour de la publicité ciblée.
• Les données d'évènements sont mises en cache côté serveur uniquement pour bloquer les créneaux concernés sur la grille de disponibilité. Le cache est actualisé en temps réel via les notifications push (webhooks) du fournisseur.
• Conformément à la Google API Services User Data Policy, VesyGo n'utilise pas les données obtenues via Google Workspace APIs pour entraîner des modèles d'intelligence artificielle.

Révocation et suppression

L'utilisateur peut révoquer la connexion à tout moment depuis l'onglet « Calendrier » de son profil dans VesyGo, ou directement depuis les paramètres de sécurité de son compte Google / Microsoft. Lors de la révocation, tous les jetons chiffrés et les données de cache associées sont supprimés immédiatement et définitivement.

9. Sécurité des données

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement des données en transit (HTTPS/TLS 1.3)
• Mots de passe hachés (bcrypt)
• Protection CSRF et en-têtes de sécurité (CSP, HSTS, X-Frame-Options)
• Limitation de débit (rate limiting) sur les endpoints sensibles
• Vérification OTP par SMS pour les réservations
• Hébergement en Union européenne (Hetzner, Allemagne)
• Accès administrateur protégé par authentification forte
• Journalisation des actions sensibles (audit log)

10. Transferts internationaux

Certains sous-traitants sont établis aux États-Unis (voir section 4). Ces transferts sont encadrés par :

• Le EU-US Data Privacy Framework (décision d'adéquation de la Commission européenne du 10 juillet 2023)
• Des clauses contractuelles types (CCT) adoptées par la Commission européenne

11. Mineurs

VesyGo n'est pas destiné aux personnes de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles de mineurs. Si vous êtes parent et constatez que votre enfant nous a fourni des données, contactez-nous à info@vesygo.com.

12. Modifications de la politique

Nous nous réservons le droit de modifier la présente politique. Toute modification substantielle sera notifiée par email aux utilisateurs enregistrés et signalée par la mise à jour de la date en haut de cette page.

13. Contact

Pour toute question relative à la protection de vos données personnelles :

• Email : info@vesygo.com
• Formulaire : vesygo.com/contact