Objet et place du présent accord
1. Le présent accord de traitement des données (« DPA ») est le contrat prévu à l’article 28, paragraphes 3 et 4, du règlement (UE) 2016/679 (« RGPD ») entre le Prestataire et la Société.
2. Il fait partie intégrante du Contrat, quelle que soit l’Offre souscrite. Le Prestataire le conclut en acceptant le Contrat. Il prévaut sur le Contrat principal pour tout ce qui concerne la protection des données personnelles.
3. Le DPA s’applique tant que la Société traite des données pour le compte du Prestataire, y compris après la fin du Contrat, jusqu’à leur suppression.
Rôles des parties
1. Pour les traitements décrits à l’annexe 1 (DPA-16), le Prestataire est responsable du traitement et la Société est son sous-traitant au sens de l’article 28 du RGPD. La Fiche Coiffeurafro n’en fait pas partie : la Société en est seule responsable (DPA-3).
2. En utilisant l’Application, le Prestataire donne à la Société les instructions documentées suivantes :
- (a) enregistrer les rendez-vous, les réponses aux questions, les notes et le lien du Prestataire avec chaque Client (VIP, groupes, totaux, dernier rendez-vous), et afficher au Prestataire les coordonnées du Client tirées de la Fiche Coiffeurafro (DPA-3) ;
- (b) stocker chez Cloudinary les photos d’inspiration ;
- (c) envoyer par Brevo, depuis notification@coiffeurafro.fr, les e-mails liés aux rendez-vous selon ses modèles ;
- (d) lui envoyer des notifications par Expo et Apple ;
- (e) copier chaque rendez-vous dans son agenda Google, s’il le connecte, avec les coordonnées du Client tirées de la Fiche Coiffeurafro au moment de la copie ; une correction de la Fiche Coiffeurafro ne met cette copie à jour qu’à la prochaine modification du rendez-vous ;
- (f) transmettre l’adresse d’un rendez-vous à domicile à Google Maps Platform ;
- (g) transmettre à Stripe l’e-mail du Client tiré de la Fiche Coiffeurafro et le montant de l’acompte, payé sur le compte Stripe du Prestataire.
3. En connectant sa messagerie Instagram et en activant Assa, le Prestataire donne à la Société les instructions documentées suivantes :
- (a) dès la connexion de sa messagerie, y compris lorsque Assa est éteinte, recevoir par Meta et conserver l’identifiant Meta et le texte des messages privés reçus et envoyés depuis son compte, sans conserver les photos, vidéos et messages vocaux ;
- (b) transmettre le texte à OpenAI, sous-traitant ultérieur, pour rédiger les réponses, sans l’identifiant ni le pseudo Instagram ;
- (c) répondre en son nom, à partir de ses réglages ;
- (d) cesser de répondre pendant 30 jours dans une conversation lorsque le modèle classe un message comme harcèlement, menace, litige, accusation ou ton agressif (IA-15) ;
- (e) lui signaler certaines conversations par la carte « messages en attente », sans le texte ;
- (f) conserver les messages selon DPA-6 ;
- (g) répondre directement, en son nom, aux demandes reçues à hello@coiffeurafro.fr sur les messages d’Assa (DPA-9) ;
- (h) supprimer les données 30 jours après la suppression de son compte (DPA-13).
4. La Société ne modifie aucun élément essentiel de ces traitements sans en informer chaque Prestataire individuellement au moins 30 jours à l’avance ; le Prestataire peut s’y opposer et résilier sans frais.
5. Liste fermée des fins propres. La Société ne traite les données de l’annexe 1 pour son propre compte qu’aux seules fins suivantes :
- (i) tenir un journal technique sans le texte des messages, supprimé au plus tard 3 mois après sa création ;
- (ii) gérer le contrat avec le Prestataire, sans utiliser le contenu des messages ni du carnet ;
- (iii) respecter une obligation légale ;
- (iv) garder les traces des acomptes et remboursements décrites à DPA-6 ;
- (v) tenir la Fiche Coiffeurafro décrite à DPA-3 : une seule fiche par adresse e-mail pour tous les Prestataires.
Toute autre fin est exclue, notamment l’entraînement de modèles, la prospection et la revente.
6. Clause de repli. Si une autorité qualifiait les parties de responsables conjoints, y compris pour la Fiche Coiffeurafro, le présent article et DPA-3 valent accord au sens de l’article 26 du RGPD. La Société est le point de contact des personnes concernées. Elle garde la charge de leur information, de leurs demandes et des notifications de violation.
Fiche Coiffeurafro (fiche cliente unique)
1. Le Service tient une seule fiche par adresse e-mail pour tous les Prestataires : la Fiche Coiffeurafro. Elle contient le prénom, le nom, l’e-mail, le téléphone et, s’il est donné, l’Instagram du Client. Elle naît à la première réservation du Client sur le site, ou à la première saisie de ce Client dans l’Application par un Prestataire.
2. La Société a décidé seule de tenir cette fiche unique. Elle en est seule responsable du traitement, pour une fin qui lui est propre (DPA-2, §5 (v)).
3. Quand un Client déjà connu réserve chez le Prestataire, ou quand le Prestataire saisit son e-mail dans l’Application, la fiche existante est rattachée au Prestataire. Le Prestataire voit alors le prénom, le nom, le téléphone, l’e-mail et l’Instagram de la fiche, tels qu’ils ont été enregistrés la première fois, parfois chez un autre Prestataire. Seul un champ vide est complété. Une valeur différente saisie ensuite n’est pas enregistrée.
4. Le Prestataire reçoit ces coordonnées comme destinataire. Il en est responsable pour ses propres fins : ses rendez-vous et sa relation avec le Client.
5. Le Prestataire ne saisit l’e-mail d’un Client dans l’Application que pour un rendez-vous ou un devis demandé par ce Client. Il signale à hello@coiffeurafro.fr une coordonnée qu’il sait inexacte.
6. Aujourd’hui, ni le Prestataire ni le Client ne peuvent corriger la Fiche Coiffeurafro dans le Service. Seule la Société peut la corriger ou en effacer les coordonnées. Une correction ou un effacement vaut pour tous les Prestataires rattachés.
7. La Société informe les Clients de ce traitement dans sa Politique de confidentialité https://coiffeurafro.fr/legal/conf/, répond à leurs demandes et notifie les violations qui touchent la fiche.
Instructions du Prestataire
1. Les instructions du Prestataire sont le présent DPA, le Contrat principal, le Module Assistante IA et ses réglages dans l’Application.
2. La Société ne traite les données que selon ces instructions, sauf obligation légale dont elle informe le Prestataire.
3. La Société informe immédiatement le Prestataire si une instruction lui paraît contraire au RGPD.
Confidentialité
1. Seules les personnes de la Société qui en ont besoin accèdent aux données du Prestataire. Elles sont tenues à la confidentialité.
2. La Société n’a aucun écran d’administration pour lire les messages.
Durées de conservation
1. Carnet, planning et rendez-vous (annexe 1, A) : au plus 3 ans après le dernier rendez-vous du Client chez ce Prestataire, puis supprimés. Aujourd’hui, rien n’est supprimé automatiquement tant que le compte du Prestataire existe. La Fiche Coiffeurafro relève de la Société (DPA-3) : sa durée figure dans la Politique de confidentialité https://coiffeurafro.fr/legal/conf/.
2. Photos d’inspiration : marquées pour effacement 30 jours après la fin, l’annulation ou le refus du rendez-vous ; leur suppression effective chez Cloudinary est en cours de vérification.
3. Messages d’Assa : aujourd’hui, le Service ne les supprime pas automatiquement ; ils sont supprimés 30 jours après la suppression du compte.
4. Journaux : journal technique d’Assa effacé à 3 mois ; journaux d’envoi des e-mails et des notifications effacés 90 jours après l’envoi, ou, pour une notification liée à un rendez-vous, 90 jours après ce rendez-vous, sauf les envois en échec ou restés en attente, qui ne sont pas supprimés aujourd’hui ; journal d’audit 12 mois.
5. Après la suppression du compte, la Société garde pour son propre compte, au plus 5 ans, les rendez-vous (date, durée, statut, montants, code promo et quartier, et le lien vers la Fiche Coiffeurafro du Client s’il est aussi client d’un autre Prestataire), les acomptes et les remboursements, pour se défendre en cas de litige. Aujourd’hui, leur suppression à 5 ans n’est pas automatique.
Sous-traitants ultérieurs et transferts
1. Le Prestataire donne à la Société une autorisation générale de recourir aux sous-traitants ultérieurs listés à l’annexe 2.
2. La Société informe chaque Prestataire par e-mail, au moins 30 jours à l’avance, de tout ajout ou remplacement.
3. Le Prestataire peut s’y opposer et résilier sans frais.
4. La Société reste pleinement responsable de ses sous-traitants ultérieurs.
Sécurité
1. La Société applique les mesures de l’annexe 3. Elle ne promet aucune mesure qui n’y figure pas.
Droits des personnes
1. Contact unique : hello@coiffeurafro.fr.
2. Messages d’Assa : la Société répond directement, en son nom, dans le délai d’un mois prévu par le RGPD.
3. Carnet et rendez-vous : la Société transmet au Prestataire, dans les meilleurs délais, toute demande qui porte sur eux. Fiche Coiffeurafro : la Société répond elle-même, comme responsable (DPA-3). Elle informe le Prestataire si la réponse le concerne.
4. Aujourd’hui, le Prestataire ne peut ni corriger ni supprimer une Fiche Coiffeurafro, et aucun export n’existe.
5. Le Prestataire peut transmettre à la Société, à hello@coiffeurafro.fr, la demande d’un Client de corriger sa Fiche Coiffeurafro ou d’en effacer les coordonnées. La Société, qui en est responsable, exécute la demande dans un délai de 15 jours. La correction ou l’effacement vaut pour tous les Prestataires.
Données de santé
1. Le Service n’est pas conçu pour traiter des données de santé.
2. Le Service ne filtre pas aujourd’hui le contenu des messages. Une mention de santé est enregistrée et envoyée telle quelle à OpenAI.
3. Le Prestataire s’engage à ne demander aucune information sur la santé (CP-21).
Violation de données
1. La Société informe le Prestataire d’une violation des données de l’annexe 1 dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. Si la violation touche la Fiche Coiffeurafro, la Société, qui en est responsable, la notifie elle-même à la CNIL et prévient elle-même les Clients quand la loi l’exige. Elle en informe aussi les Prestataires concernés, dans le même délai de 48 heures.
2. Pour les données reçues de Meta, la Société informe aussi Meta.
3. Aujourd’hui, la Société ne dispose d’aucun outil de détection automatique des violations.
Aide à la conformité, audit
1. La Société aide le Prestataire pour la sécurité et l’analyse d’impact.
2. Le Prestataire peut faire réaliser un audit au plus une fois par an, avec un préavis de 30 jours.
Fin du Contrat
1. Le Prestataire choisit entre la suppression de ses données et leur restitution. La restitution comprend les coordonnées de ses Clients telles qu’il les voit dans l’Application. La Fiche Coiffeurafro n’est pas une donnée du Prestataire. À la suppression de son compte, son lien avec chaque Client est supprimé. Les coordonnées de la fiche ne sont effacées que si aucun autre Prestataire dont le compte n’est pas supprimé n’y est rattaché. Sinon, elle reste, pour les autres.
2. Aujourd’hui, la fin de l’abonnement ne coupe pas le Service, aucun export n’existe, et la purge a lieu 30 jours après « Demander la suppression du compte ».
3. Pour les données reçues de Meta, la Société les supprime conformément aux conditions de Meta (Platform Terms 3.d).
Information des personnes
1. Le Prestataire informe ses Clients pour les traitements dont il est responsable. Pour Assa, la Société fournit la Notice de l’assistante IA. Pour la Fiche Coiffeurafro, c’est la Société qui informe les Clients, dans sa Politique de confidentialité https://coiffeurafro.fr/legal/conf/. Quand le Prestataire saisit lui-même un Client dans l’Application, il lui dit que ses coordonnées sont enregistrées sur Coiffeurafro et lui donne cette adresse.
Données reçues de Meta
1. La Société agit en qualité de fournisseur de technologies. Meta Platforms Ireland Limited n’est pas un sous-traitant de la Société.
2. La Société garde séparées les données reçues de Meta pour chaque Prestataire. Elles ne sont pas versées dans la Fiche Coiffeurafro.
Annexe 1 — Traitements
A. Carnet : lien avec chaque Client (VIP, groupes, totaux, dernier rendez-vous), rendez-vous, adresse, note privée, réponses aux questions, photos d’inspiration. Les coordonnées du Client (prénom, nom, e-mail, téléphone, Instagram) viennent de la Fiche Coiffeurafro, tenue par la Société comme responsable (DPA-3). La Société les utilise aussi pour le compte du Prestataire, pour les opérations de DPA-2 §2 : affichage, e-mails de rendez-vous, agenda Google et Stripe. Ces opérations en gardent une copie : l’adresse e-mail dans le journal d’envoi des e-mails, les coordonnées dans l’agenda Google du Prestataire et l’e-mail chez Stripe.
B. E-mails par Brevo et notifications par Expo et Apple.
C. Messages d’Assa : identifiant Meta, texte des messages, pseudo sur la carte.
Annexe 2 — Sous-traitants ultérieurs et autres destinataires
- Supabase, OpenAI Ireland Ltd, Brevo, Expo et Apple, Cloudinary, Notion.
- Pas des sous-traitants : Meta, Google Maps Platform, Google pour l’agenda, Stripe pour l’acompte.
Annexe 3 — Mesures de sécurité
- Règles d’accès en base ; messages d’Assa fermés à l’Application ; jetons chiffrés ; journaux sans texte.
- Aucune sauvegarde n’est promise à ce jour.