Politique de confidentialité

1. Quand Caballus est responsable du traitement ou sous-traitant

Caballus est responsable du traitement des données à caractère personnel utilisées pour gérer les comptes et les abonnements, sécuriser et améliorer Clearslot, communiquer avec les utilisateurs, fournir une assistance, respecter la loi et gérer notre activité.

Lorsqu’un client professionnel de Clearslot (Organisateur) utilise le Service pour recueillir ou gérer des informations sur ses clients, prospects, salariés, invités ou personnes effectuant une réservation (Personnes réservant), l’Organisateur détermine normalement pourquoi et comment ces informations sont utilisées. L’Organisateur est responsable du traitement et Caballus agit en qualité de sous-traitant conformément à l’avenant relatif au traitement des données de Clearslot (DPA).

Les Personnes réservant doivent adresser en premier lieu leurs questions de confidentialité concernant une réservation, un formulaire ou un message de l’Organisateur à l’Organisateur concerné. Nous l’aidons à traiter les demandes comme l’exige la législation sur la protection des données.

Certains prestataires, notamment les prestataires de paiement et d’intégrations autorisées par le client, traitent également des données en tant que responsables du traitement distincts ou conjoints, selon leurs propres notices de confidentialité.

2. Données à caractère personnel que nous traitons

Selon votre utilisation de Clearslot, nous traitons :

• Données de compte et d’organisation : nom, adresse électronique, numéro de téléphone, photo de profil, organisation, rôle, langue, fuseau horaire, paramètres du compte et identifiants.
• Données de réservation et de contact : nom et coordonnées de la Personne réservant, entreprise, fuseau horaire, service demandé, horaire du rendez-vous, participants, statut, notes, motif d’annulation, réponses aux formulaires personnalisés et communications associées.
• Données de disponibilité et d’intégration : règles de disponibilité, identifiants et métadonnées des calendriers, détails des événements, liens de visioconférence, identifiants des comptes connectés, autorisations et jetons nécessaires au fonctionnement d’une intégration.
• Données d’abonnement et de transaction : formule, adresse de facturation et informations fiscales, identifiants de client ou de compte Stripe, montant, devise, statut du paiement, métadonnées des remboursements et des contestations de paiement. Caballus ne reçoit pas de Stripe les numéros complets des cartes de paiement.
• Contenus : textes des pages de réservation, images, éléments de marque, formulaires, règles d’orientation, fichiers téléversés et messages fournis par l’intermédiaire du Service.
• Dossiers d’éligibilité des entreprises et de retrait des médias : faits relatifs à l’établissement, décisions privées de l’opérateur et références aux preuves, ainsi que les registres nécessaires d’appartenance et de retrait des médias. Ces dossiers ne sont pas publiés dans les notices de l’Organisateur et suivent les règles de conservation des comptes et de préservation pour motifs juridiques applicables ci-dessous.
• Communications d’assistance et professionnelles : messages, pièces jointes, commentaires et historique du traitement des demandes.
• Données techniques et de sécurité : adresse IP, informations sur l’appareil et le navigateur, horodatages, identifiants de session, événements d’authentification et de sécurité, journaux des requêtes, informations sur les erreurs et signaux de lutte contre les abus.
• Données d’utilisation : actions effectuées dans le produit et état des fonctionnalités et de la configuration nécessaires pour l’exploiter, le dépanner et l’améliorer. Au lancement, nous n’utilisons pas de publicité comportementale de tiers ni de cookies d’analyse non essentiels.

Clearslot n’est pas conçu pour recevoir des numéros de carte de paiement dans les champs de formulaire, des mots de passe, des secrets d’authentification, des numéros d’identification officiels, des catégories particulières de données ou des données relatives aux infractions pénales. Au lancement, les Organisateurs ne doivent ni demander ni transmettre ces informations, ni utiliser Clearslot pour des activités de santé réglementées.

Les champs obligatoires relatifs au compte, à la sécurité et à la facturation sont nécessaires pour fournir le service demandé ou respecter des obligations légales. Sans ces informations, nous pouvons être dans l’impossibilité de créer le compte, de traiter un paiement ou de fournir la fonctionnalité. Les champs facultatifs du profil et les intégrations facultatives sont laissés à votre choix. L’Organisateur détermine les champs de réservation nécessaires et doit expliquer les conséquences de l’absence de réponse ; refuser une réponse facultative ne doit pas être présenté comme une renonciation à tous les droits à la protection des données.

3. Origine des données

Nous recevons des données :

• directement des utilisateurs de comptes, des Personnes réservant et des personnes qui nous contactent ;
• de l’Organisateur qui configure une page de réservation ou ajoute des membres d’équipe, des contacts ou des réservations ;
• d’un service connecté lorsqu’un utilisateur active une intégration, telle que Stripe ou Google Calendar ;
• automatiquement, à partir des appareils, navigateurs et de nos systèmes de sécurité et d’application ; et
• de sources publiques, de personnes effectuant des signalements, de prestataires ou d’autorités, lorsque cela est nécessaire pour prévenir des abus, examiner un signalement ou respecter la loi.

4. Finalités et bases juridiques

Lorsque Caballus est responsable du traitement, nous utilisons les données à caractère personnel comme suit :

Lorsque nous traitons des données de réservation ou envoyons des messages opérationnels de réservation uniquement pour un Organisateur, nous suivons ses instructions documentées conformément au DPA. Ces instructions ne constituent pas une base juridique distincte au titre du RGPD : l’Organisateur doit déterminer et communiquer sa propre base. Accepter les Conditions professionnelles ou reconnaître avoir pris connaissance de cette Notice ne vaut pas consentement à la prospection ni consentement au nom des Personnes réservant.

Lorsque nous invoquons des intérêts légitimes, nous examinons la nécessité et les effets du traitement et n’utilisons pas cette base si les droits d’une personne prévalent sur nos intérêts. Vous pouvez demander davantage d’informations sur une mise en balance vous concernant.

Si nous vous demandons votre consentement, vous pouvez le retirer à tout moment. Ce retrait ne remet pas en cause la licéité du traitement antérieur.

5. Destinataires des données à caractère personnel

Nous communiquons uniquement les données raisonnablement nécessaires aux destinataires suivants :

Stripe peut agir en qualité de sous-traitant, de responsable du traitement indépendant ou de responsable conjoint selon l’activité de paiement. Pour le compte de paiement connecté d’un Organisateur, Stripe conclut également un contrat directement avec l’Organisateur. Google traite les données selon ses propres conditions lorsqu’un utilisateur active son intégration.

Nous pouvons aussi communiquer des données à des conseillers professionnels et auditeurs soumis à une obligation de confidentialité ; à un acquéreur, investisseur ou successeur dans le cadre d’une véritable opération d’entreprise ; aux autorités compétentes lorsque la loi l’exige ; et à une autre personne lorsque cela est nécessaire pour protéger des droits, la sécurité ou le Service.

Nous ne vendons pas de données à caractère personnel. Nous ne les partageons pas à des fins de publicité comportementale entre différents contextes ou services.

La liste actuelle des sous-traitants utilisés pour les Données à caractère personnel du Client figure dans l’annexe des sous-traitants ultérieurs du DPA. Les fichiers de polices du site sont servis depuis les propres domaines de Clearslot ; le chargement d’une page n’envoie aucune demande de police à Google.

Pour une connexion à Google Calendar/Meet, nous accédons aux informations de calendrier et d’événement nécessaires à la disponibilité, à la synchronisation et à la création de réunions demandées par l’utilisateur. Notre utilisation et notre transfert des informations reçues par les API Google respectent la Google API Services User Data Policy, y compris ses exigences Limited Use. Nous n’utilisons pas ces informations pour la publicité ni pour l’entraînement de modèles à usage général. Vous pouvez déconnecter l’intégration dans Clearslot et révoquer l’accès depuis votre compte Google ; la déconnexion ne supprime pas, à elle seule, les données déjà créées licitement ni celles détenues par l’Organisateur.

6. Transferts internationaux

Notre base de données applicative principale et nos capacités de calcul sont hébergées dans l’Espace économique européen, et les sauvegardes chiffrées sont stockées en France. Cela ne constitue pas un engagement à effectuer tous les traitements dans l’UE ou l’EEE. Cloudflare, Stripe, Google Workspace et les intégrations facultatives Google impliquent des traitements à l’échelle mondiale, notamment aux États-Unis. Resend stocke et traite le contenu des courriels et les données de livraison principalement aux États-Unis ; choisir une région d’envoi dans l’UE ne change pas ce lieu de stockage. L’accord de Scaleway autorise également des transferts hors de l’UE assortis de garanties, bien que nos sauvegardes soient stockées en France.

[L’annexe des sous-traitants du DPA](/dpa) décrit les fonctions des prestataires, les lieux de traitement et les garanties contractuelles des transferts. Les comptes Google connectés sont soumis aux conditions et garanties applicables à ces comptes ; l’addendum Workspace propre à Caballus ne couvre pas tous les comptes Google des Organisateurs.

Lorsque le RGPD restreint un transfert hors de l’EEE, le transfert concerné doit être couvert par un mécanisme applicable, tel qu’une décision d’adéquation, le cadre de protection des données UE–États-Unis pour un destinataire certifié éligible, ou des clauses contractuelles types dûment complétées, accompagnées de mesures supplémentaires lorsque nécessaire. Le mécanisme dépend du destinataire et du traitement, pas uniquement du nom de sa marque. Contactez [email protected] pour connaître les garanties applicables et en obtenir une copie, sous réserve des occultations licites destinées à protéger les informations confidentielles et les droits d’autrui.

7. Durée de conservation

Nous conservons les données à caractère personnel uniquement aussi longtemps que nécessaire à la finalité de leur collecte, notamment pour fournir le Service, suivre les instructions de l’Organisateur, assurer la sécurité, respecter la loi, résoudre les litiges et faire appliquer les accords.

Les durées de conservation au lancement sont les suivantes :

La suppression par un prestataire peut prendre davantage de temps après le retrait des données de l’utilisation active. L’addendum Workspace de Google autorise jusqu’à 180 jours pour achever la suppression après que les données sont devenues irrécupérables via le service ; la fin du contrat Workspace peut d’abord entraîner une période de récupération allant jusqu’à 30 jours. Les copies résiduelles restent protégées et ne doivent pas servir aux activités commerciales courantes. Nous transmettons les instructions de suppression applicables ; fermer un compte Clearslot ne met pas fin à nos comptes partagés chez les prestataires et n’efface pas automatiquement les données détenues indépendamment par Stripe ou par les services connectés d’un Organisateur.

Un Organisateur peut fixer une durée plus courte ou plus longue pour ses propres données de réservation lorsque le Service le permet. Après suppression, Caballus peut conserver une trace minimale d’opposition ou de blocage afin de respecter un refus de prospection ou d’empêcher la recréation d’un compte utilisé de manière abusive.

Il s’agit de durées par défaut, et non d’un motif pour retarder l’exécution d’une instruction d’effacement contraignante ou dépasser un délai légal plus court. Les périodes obligatoires de récupération des données et les restrictions de conservation applicables au sous-traitant restent régies par le DPA et la loi applicable.

Nous pouvons préserver les données pertinentes pendant une mesure de conservation à des fins juridiques, un litige ou une enquête. Lorsque la mesure prend fin, le calendrier ordinaire reprend.

8. La fermeture d’un compte n’efface pas instantanément toutes les données

La fermeture d’un compte révoque l’accès et déclenche le processus applicable de suppression ou de désidentification. Elle n’efface pas nécessairement toutes les données immédiatement. Nous pouvons notamment conserver les factures et données de transaction exigées par la loi, des éléments de preuve de sécurité, les données nécessaires à la protection des Personnes réservant ou à la résolution de litiges, des références historiques de réservation dont la cohérence doit être préservée, et les sauvegardes chiffrées jusqu’à leur expiration automatique.

Lorsque Caballus agit comme sous-traitant, l’Organisateur détermine les instructions de suppression, sous réserve du DPA. Une Personne réservant qui demande la suppression doit d’abord contacter l’Organisateur. Les instructions d’effacement applicables doivent être réappliquées aux données récupérées avant la réouverture des services restaurés.

9. Vos droits à la protection des données

Sous réserve des conditions et exceptions prévues par la loi applicable, vous pouvez disposer des droits suivants :

• accéder à vos données à caractère personnel et recevoir des informations sur leur utilisation ;
• rectifier les données inexactes ;
• obtenir l’effacement des données ;
• limiter le traitement ;
• vous opposer au traitement fondé sur les intérêts légitimes ou à la prospection directe ;
• recevoir les données dans un format permettant leur portabilité ; et
• retirer votre consentement.

Pour exercer un droit concernant un compte Clearslot ou les traitements propres à Caballus, contactez [email protected]. Pour exercer un droit concernant la page de réservation ou les données d’un Organisateur, contactez cet Organisateur. Nous pouvons avoir besoin d’informations pour vérifier l’identité et le pouvoir d’agir. Les mandataires autorisés doivent justifier de leur mandat.

Pour les demandes relevant du RGPD, nous répondons sans retard injustifié et normalement dans un délai d’un mois à compter de leur réception. Si la complexité ou le nombre de demandes nécessite une prolongation autorisée par la loi, nous l’expliquons au cours de ce premier mois. Les demandes sont normalement gratuites ; tout refus ou frais doit respecter les conditions légales, et nous expliquons les motifs ainsi que les possibilités de réclamation.

Vous pouvez vous opposer à tout moment à l’utilisation de vos données à caractère personnel à des fins de prospection directe. Nous cesserons cette utilisation. Vous pouvez également vous opposer, pour des raisons tenant à votre situation particulière, au traitement fondé sur les intérêts légitimes ; nous appliquons alors les critères et exceptions prévus par la loi.

Vous pouvez déposer une réclamation auprès de l’autorité de contrôle de la protection des données du lieu où vous résidez, travaillez ou estimez qu’une violation a eu lieu. Vous pouvez aussi saisir un tribunal. Nous apprécierions de pouvoir d’abord répondre à votre préoccupation.

10. Cookies et stockage sur l’appareil

Clearslot utilise des cookies ou un stockage similaire sur l’appareil qui sont nécessaires pour :

• maintenir les sessions de connexion et mémoriser l’état de sécurité ;
• protéger les formulaires et les requêtes contre la falsification, les robots et les abus ;
• conserver la langue ou des préférences essentielles d’interface ; et
• acheminer et sécuriser le trafic via Cloudflare.

Lorsqu’un message promotionnel peut être fermé, une préférence du navigateur mémorise ce choix pendant 30 jours. Il s’agit d’une préférence de fermeture, et non d’un consentement à la prospection ou d’un identifiant de suivi publicitaire.

Ces technologies sont utilisées parce qu’elles sont nécessaires pour fournir ou sécuriser le service que vous demandez, et non à des fins publicitaires. Leur blocage peut empêcher la connexion, la réservation ou d’autres fonctions essentielles.

Au lancement, nous ne déposons pas de cookies d’analyse non essentiels ni de cookies publicitaires. Si cela change, nous mettrons à jour cette Notice et demanderons votre consentement lorsque nécessaire avant de les déposer.

11. Sécurité

Nous utilisons des mesures techniques et organisationnelles destinées à protéger les données à caractère personnel de façon proportionnée au risque. Elles comprennent TLS pour les données en transit, un accès administratif restreint, des contrôles d’authentification et de session, des contrôles de sécurité du réseau et de l’application, la journalisation et la surveillance, la gestion des vulnérabilités et des correctifs, des sauvegardes chiffrées hors site, la gestion des secrets et des procédures documentées de gestion des incidents et de restauration.

Aucun service internet n’est totalement sûr. Les clients doivent protéger leurs identifiants, configurer correctement les accès des utilisateurs et nous signaler rapidement toute compromission suspectée à [email protected].

12. Enfants

Les personnes de moins de 18 ans ne peuvent pas détenir de compte Clearslot. Le Service ne s’adresse pas aux enfants.

Un enfant de moins de 13 ans ne doit pas envoyer de formulaire de réservation ; un adulte autorisé doit effectuer toute réservation le concernant. Il s’agit d’une restriction du produit, et non de l’affirmation que 13 ans serait un âge de consentement uniforme dans l’UE. Un Organisateur qui permet des rendez-vous pour des enfants ou les concernant est responsable de disposer d’une base juridique appropriée, de fournir une information adaptée à l’âge, d’obtenir l’autorisation du représentant légal lorsque nécessaire, de minimiser les données et d’appliquer toutes les autres garanties. L’interdiction des informations sensibles au lancement s’applique également aux informations concernant les enfants.

13. Décisions automatisées

Nous utilisons des signaux techniques pour détecter le spam, la fraude, la prise de contrôle de comptes et les usages interdits, et pour prioriser les examens. Le pays déduit de l’adresse IP et les signaux Tor de notre fournisseur de réseau peuvent entraîner le refus de requêtes au produit ; des informations manquantes ou contradictoires sur l’établissement de l’entreprise ou le pays de facturation final peuvent suspendre l’accès jusqu’à l’examen de l’opérateur. Un refus géographique ne bloque pas à lui seul une organisation de façon permanente. Le personnel autorisé de Caballus examine les décisions persistantes d’éligibilité et de blocage. Contactez [email protected] pour demander un examen humain, exprimer votre point de vue ou contester une décision. Nous fournissons les informations et garanties supplémentaires requises par le droit applicable.

14. Informations relatives à l’Union européenne

Caballus est une société constituée en Irlande. Pour les traitements dont Caballus est responsable, les informations sur les finalités, bases juridiques, destinataires, durées de conservation et droits requises par les articles 13 et 14 du RGPD figurent ci-dessus. Vous pouvez déposer une réclamation auprès de l’autorité de contrôle de la protection des données du lieu où vous résidez, travaillez ou estimez qu’une violation a eu lieu.

Lorsqu’un Organisateur est responsable des données des Personnes réservant, il doit fournir ses propres informations complètes de confidentialité. L’information présentée par niveaux sur une page de réservation identifie cet Organisateur et renvoie vers sa notice. Caballus ne retient pas le consentement comme base juridique du seul fait qu’un utilisateur reconnaît avoir pris connaissance de cette Notice.

15. Langues et droits impératifs

L’information sur la protection des données doit être compréhensible pour les personnes que nous ciblons. Les notices localisées décrivent les mêmes traitements et les mêmes droits ; elles ne constituent pas des contrats professionnels distincts. La clause relative à la langue anglaise de nos Conditions professionnelles ne prévaut ni sur cette obligation de transparence ni sur vos droits impératifs à la protection des données. Contactez-nous si une notice manque de clarté ou si vous constatez une erreur de traduction.

16. Modifications et contact

Nous pouvons mettre à jour cette Notice pour tenir compte des modifications de la loi, des prestataires ou du Service. Nous publierons la version en vigueur et signalerons séparément les changements importants lorsque cela est approprié.

Questions de confidentialité et demandes d’exercice des droits : [email protected]

Assistance : [email protected]

Adresse postale : CABALLUS LIMITED, 2 Bridge Street, Athlone, Co. Westmeath, Ireland