Politique de confidentialité

1.Qui est responsable

Hournook est fourni par Theocharis Panagiotis Siozos (ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ), entrepreneur individuel exerçant sous le nom commercial DevTaskHub.com, Markou Mpotsari 83, 546 44 Thessaloniki, Greece. Numéro fiscal (ΑΦΜ) 169481343, Registre général du commerce grec (Γ.Ε.ΜΗ.) nº 186989906000 (« nous »).

Pour toute question relative à la protection de vos données ou pour exercer vos droits, écrivez à devtaskhub@devtaskhub.com. Nous n’avons pas désigné de délégué à la protection des données, car la loi ne l’exige pas pour nos activités ; les demandes relatives à la protection des données sont traitées directement par le titulaire de l’entreprise.

2.Deux rôles : responsable du traitement et sous-traitant

Hournook est utilisé par deux groupes de personnes, et notre rôle diffère pour chacun :

• Les entreprises et les membres de leur équipe qui disposent d’un compte Hournook. Pour leurs données de compte, de facturation, d’assistance et de sécurité, nous sommes le responsable du traitement. La présente politique décrit ce traitement.
• Les clients de ces entreprises qui réservent via une page de réservation ou qu’une entreprise ajoute elle-même. L’entreprise décide pourquoi et comment ces données sont utilisées ; l’entreprise est donc le responsable du traitement et nous agissons en tant que son sous-traitant en vertu de notre Accord de traitement des données. C’est la politique de confidentialité de l’entreprise qui s’applique à vous.

Si vous avez réservé auprès d’une entreprise et souhaitez consulter, corriger ou supprimer vos informations, veuillez contacter directement l’entreprise ; elle peut le faire depuis son tableau de bord. Si vous nous écrivez, nous transmettrons votre demande à l’entreprise et l’aiderons à y répondre.

3.Quelles données sont traitées

Données de compte (nous sommes responsable du traitement)

• Nom, adresse e-mail, vérification ou non de l’adresse e-mail, langue.
• Votre mot de passe, stocké uniquement sous forme de hachage à sens unique salé, de sorte que nous ne pouvons pas le lire.
• La date à laquelle vous avez accepté nos conditions lors de l’inscription, et leur version.
• Les sessions de connexion, avec l’adresse IP et le type de navigateur, pour vous garder connecté et protéger votre compte.

Données de l’entreprise (nous sommes responsable du traitement pour la facturation, sous-traitant pour le reste)

• Nom, catégorie et adresse de l’entreprise, coordonnées que vous choisissez de publier, fuseau horaire, paramètres de la page de réservation, logos et photos.
• Prestations, prix, horaires d’ouverture, fermetures, règles de réservation, membres de l’équipe et leurs rôles.

Données des clients et des rendez-vous (nous sommes sous-traitant)

• Nom, adresse e-mail et numéro de téléphone de la personne qui réserve, tout message qu’elle ajoute et les notes privées rédigées par l’entreprise.
• Prestation, membre de l’équipe, date, heure, durée, prix, statut et historique des modifications (par exemple déplacé ou annulé, et par qui), ainsi que le mode de réservation (page de réservation, widget intégré ou code QR, et site référent ou balise de campagne le cas échéant).

Données de facturation (nous sommes responsable du traitement)

• Statut de l’abonnement et identifiants de client et d’abonnement Stripe. Les données de carte sont saisies sur les pages de Stripe ; nous ne recevons ni ne stockons jamais de numéros de carte complets.
• Factures et justificatifs de paiement exigés par la législation fiscale et comptable.

Registres de sécurité et de fonctionnement (nous sommes responsable du traitement)

• Un journal d’audit des actions importantes (par exemple connexions, modifications de paramètres, exports et suppressions) avec l’adresse IP et un identifiant de requête.
• Des compteurs de limitation de débit de courte durée qui bloquent les abus.
• Des journaux techniques des serveurs tenus par notre hébergeur.
• Des statistiques de la page de réservation : décomptes des étapes de réservation (comme « page consultée » ou « réservation effectuée ») avec une source de trafic. Elles sont sans cookies et ne contiennent ni noms, ni coordonnées, ni adresses IP, ni identifiants d’appareil.

Assistance

• Les e-mails que vous nous envoyez et nos réponses.

Nous n’achetons pas de données à caractère personnel, n’utilisons pas de cookies de suivi ou publicitaires et n’utilisons pas de services d’analyse qui établissent le profil des visiteurs.

4.Pourquoi nous les utilisons et sur quelle base juridique

• Fournir le service aux entreprises : comptes, pages de réservation, agenda, listes de clients, fonctionnalités d’équipe, exports et e-mails de service (vérification, réinitialisation du mot de passe, invitations, avis de facturation) : nécessaire à l’exécution de notre contrat avec vous (art. 6, par. 1, point b), du RGPD).
• Traitement des données des clients et des rendez-vous : uniquement sur instruction de l’entreprise, en vertu de l’Accord de traitement (art. 28 du RGPD). L’entreprise est responsable de sa propre base juridique.
• Facturation et comptabilité : contrat (art. 6, par. 1, point b)) et nos obligations légales au titre de la législation fiscale et comptable grecque (art. 6, par. 1, point c)).
• Sécurité et prévention de la fraude et des abus : journaux d’audit, limitation de débit et journaux des serveurs : notre intérêt légitime à assurer la sécurité du service et de ses utilisateurs (art. 6, par. 1, point f)).
• Assistance : répondre à vos messages : contrat ou, si vous n’êtes pas client, notre intérêt légitime à vous répondre (art. 6, par. 1, point b) ou f)).
• Amélioration de Hournook : utilisation d’informations agrégées et non identifiantes sur l’utilisation des fonctionnalités : notre intérêt légitime (art. 6, par. 1, point f)).
• Actions en justice et demandes des autorités : lorsque cela est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice ou pour respecter la loi (art. 6, par. 1, points c) et f)).

5.Pas de vente, pas de publicité, pas de décisions automatisées

Nous ne vendons ni ne louons de données à caractère personnel, nous n’utilisons pas les données des clients ou des comptes à des fins publicitaires et nous n’envoyons pas d’e-mails marketing sans votre consentement. Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire.

6.Qui reçoit les données

Les données à caractère personnel ne sont communiquées qu’aux prestataires ci-dessous, qui les traitent sur nos instructions en vertu d’accords de traitement des données, et uniquement dans la mesure nécessaire à chacun :

Stripe traite également les données de paiement en tant que responsable du traitement indépendant, conformément à sa propre politique de confidentialité (par exemple pour la prévention de la fraude et le respect de la réglementation financière). Nous pouvons aussi communiquer des données aux autorités, aux tribunaux ou à des conseillers professionnels (tels que notre comptable ou notre avocat) lorsque la loi l’exige ou le permet.

7.Transferts hors de l’EEE

Certains de nos prestataires sont établis aux États-Unis ou peuvent accéder aux données depuis ce pays. Lorsque des données à caractère personnel sont transférées hors de l’Espace économique européen, nous nous appuyons sur une décision d’adéquation de la Commission européenne (pour les prestataires certifiés au titre du cadre de protection des données UE-États-Unis) ou sur les clauses contractuelles types de la Commission européenne, ainsi que sur les garanties supplémentaires offertes par nos prestataires, telles que le chiffrement en transit et au repos. Vous pouvez nous demander plus d’informations sur ces garanties.

8.Durée de conservation

• Données de compte et d’entreprise : tant que le compte existe. Lorsqu’un compte d’entreprise ou d’utilisateur est supprimé, ses données sont immédiatement supprimées de nos systèmes en production, puis des sauvegardes de notre fournisseur de base de données sous 30 jours.
• Données des clients et des rendez-vous : aussi longtemps que l’entreprise les conserve, jusqu’à ce que l’entreprise efface le client ou jusqu’à la suppression de l’entreprise.
• Sessions de connexion : expirent après 30 jours d’inactivité, puis sont supprimées.
• Liens de vérification d’e-mail et de réinitialisation du mot de passe : supprimés 7 jours après leur expiration.
• E-mails que nous envoyons : le contenu est effacé après 180 jours. Pour les e-mails de rendez-vous, un enregistrement de remise (destinataire, type, statut et date) reste rattaché au rendez-vous ; les enregistrements des e-mails de compte sont supprimés après 180 jours.
• Journal d’audit : les adresses IP sont supprimées après 180 jours et les entrées après deux ans.
• Compteurs de limitation de débit : supprimés dans l’heure suivant leur expiration.
• Statistiques de la page de réservation (anonymes) : supprimées après environ 13 mois.
• Factures et documents de facturation : aussi longtemps que l’exige la législation fiscale et comptable grecque, soit en général cinq ans à compter de la fin de l’exercice fiscal, davantage si la loi prolonge ce délai.
• E-mails d’assistance : aussi longtemps que nécessaire pour traiter votre demande et jusqu’à deux ans après, sauf si une durée plus longue est nécessaire pour une action en justice.

9.Vos droits

En vertu du RGPD, vous avez le droit :

• d’accéder à vos données à caractère personnel et d’en recevoir une copie ;
• de faire rectifier des données inexactes ;
• de faire effacer vos données lorsqu’il n’existe plus de raison de les conserver ;
• de limiter le traitement dans certains cas ;
• de recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine (portabilité) ;
• de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, au traitement fondé sur nos intérêts légitimes ; et
• de retirer tout consentement donné, sans que cela affecte le traitement effectué avant le retrait.

Les entreprises peuvent faire l’essentiel elles-mêmes : modifier leurs informations dans les paramètres, exporter les données depuis le tableau de bord et supprimer l’entreprise ou le compte utilisateur dans les paramètres. Pour toute autre demande, écrivez à devtaskhub@devtaskhub.com. Nous répondons dans un délai d’un mois (prolongeable de deux mois pour les demandes complexes, auquel cas nous vous en indiquons la raison). Nous pouvons d’abord vous demander de confirmer votre identité.

Vous avez également le droit d’introduire une réclamation auprès d’une autorité de contrôle, notamment dans le pays de l’UE où vous résidez, où vous travaillez ou où la violation a eu lieu. En Grèce, il s’agit de l’Autorité hellénique de protection des données (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα), Kifisias Avenue 1–3, 115 23 Athènes, www.dpa.gr. Nous vous serions reconnaissants de nous donner d’abord la possibilité de répondre à votre préoccupation.

10.Êtes-vous tenu de nous fournir vos données ?

Pour créer un compte, nous avons besoin de votre nom, de votre adresse e-mail et d’un mot de passe ; sans eux, nous ne pouvons pas fournir le service. Tout le reste est facultatif ou constitue des informations que votre entreprise choisit d’ajouter.

11.Sécurité

Nous utilisons des connexions chiffrées (HTTPS avec HSTS), des connexions chiffrées à la base de données, un hachage robuste et à sens unique des mots de passe, des cookies de connexion illisibles par les scripts de la page, une séparation stricte des données de chaque entreprise, des autorisations fondées sur les rôles pour les membres de l’équipe, une limitation du débit des actions sensibles, une politique de sécurité du contenu et un journal d’audit. Nos prestataires chiffrent les données au repos. Aucun service en ligne n’est parfaitement sûr ; en cas de violation de données à caractère personnel, nous la notifierons à l’autorité de contrôle dans les 72 heures lorsque cela est requis, informerons les entreprises concernées dans les meilleurs délais et vous informerons directement lorsque la loi l’exige.

12.Cookies

Nous utilisons uniquement les cookies strictement nécessaires pour vous connecter et sécuriser votre session, ainsi que le stockage local de votre navigateur pour mémoriser votre choix de thème clair ou sombre. Nous n’utilisons aucun cookie d’analyse, publicitaire ou de réseaux sociaux ; nous n’affichons donc pas de bandeau cookies. Consultez la politique relative aux cookies pour plus de détails.

13.Enfants

Les comptes Hournook sont destinés aux entreprises et ne peuvent être créés que par des adultes. Nous ne collectons pas sciemment de données d’enfants pour nos propres fins. Les entreprises qui prennent des réservations pour des enfants (par exemple du soutien scolaire) sont responsables, en tant que responsables du traitement, de la collecte licite de leurs données.

14.Modifications de la présente politique

Nous mettrons à jour la présente politique lorsque nos traitements évolueront. La date et la version indiquées en haut indiquent sa dernière modification ; pour les modifications substantielles, nous informons également à l’avance les titulaires de compte par e-mail.

15.Contact

Theocharis Panagiotis Siozos (ΣΙΩΖΟΣ ΘΕΟΧΑΡΗΣ ΠΑΝΑΓΙΩΤΗΣ), entrepreneur individuel exerçant sous le nom commercial DevTaskHub.com, Markou Mpotsari 83, 546 44 Thessaloniki, Greece. Numéro fiscal (ΑΦΜ) 169481343, Registre général du commerce grec (Γ.Ε.ΜΗ.) nº 186989906000. E-mail : devtaskhub@devtaskhub.com.