Politique de Confidentialité

Agéndalo ToDo ("nous", "notre" ou "la Plateforme") informe les utilisateurs que les données personnelles qu'ils nous fournissent seront traitées par GPS LOBBO TEAM, S.L., avec le NIF B-19401306 et domicilié à Avenida del Paral·lel 144, 2-1, 08015 Barcelona, España. Pour toute question relative à cette politique, vous pouvez nous contacter à l'adresse e-mail info@agendalotodo.com.

Nous collectons des informations pour fournir et améliorer nos services. Ces informations sont divisées en deux catégories :

a) Données de nos Clients (les Entreprises) :

- **Informations sur le compte :** Nom de l'entreprise, NIF/CIF, adresse, e-mail de contact, numéro de téléphone.

- **Informations de paiement :** Nous collectons les données nécessaires pour traiter les paiements d'abonnement via notre fournisseur de paiement (Stripe), mais nous ne stockons pas les détails complets de la carte de crédit.

- **Données de configuration :** Personnalisation du portail de réservation, services proposés, horaires, profils des employés, etc.

b) Données des Clients de nos Clients (Utilisateurs Finaux) :

En tant que plateforme SaaS, nos Clients (les entreprises) utilisent nos outils pour gérer leurs propres clients. Agéndalo ToDo agit en tant que **Sous-traitant** de ces données, tandis que l'Entreprise est le **Responsable du Traitement**. Les informations que nous traitons en leur nom comprennent :

- **Coordonnées :** Nom, e-mail, numéro de téléphone.

- **Historique des rendez-vous :** Services réservés, dates, professionnel assigné.

- **Notes et consentements :** Informations techniques ou consentements éclairés que l'Entreprise enregistre sur la plateforme.

- **Dossier clinique (données de santé) :** Dans les centres de santé et d'esthétique, l'Entreprise peut enregistrer des notes cliniques, des images d'évolution, des documents joints et des cartes de zones de douleur. Ce sont des **données de catégorie particulière (art. 9 RGPD)** et nous ne les traitons que pour le compte de l'Entreprise, qui est celle qui recueille le consentement explicite de son patient. Lors de l'exercice du droit à l'effacement, les fichiers associés sont également supprimés.

Nous utilisons les informations collectées aux fins suivantes :

- **Pour les Entreprises :** Gérer leur compte, traiter les paiements, fournir le service contracté, offrir un support technique et communiquer les nouveautés de la plateforme.

- **Pour les Utilisateurs Finaux (au nom de l'Entreprise) :** Gérer le système de rendez-vous, envoyer des rappels automatiques par WhatsApp ou e-mail, et permettre à l'Entreprise de fournir son service efficacement.

La base légale pour le traitement des données de nos Clients (les Entreprises) est l'**exécution d'un contrat** (les termes et conditions du service).

La base légale pour le traitement des données des Utilisateurs Finaux est le consentement qu'ils donnent à l'Entreprise lors de la réservation d'un rendez-vous, ou la relation contractuelle qu'ils établissent avec ladite Entreprise. Agéndalo ToDo opère selon les instructions de l'Entreprise, formalisées dans l'accord de sous-traitance.

La base légale de la synchronisation avec Google Calendar (section 6) est le **consentement** de l'utilisateur qui connecte son compte, révocable à tout moment.

Lorsque l'Entreprise enregistre des **données de santé** (dossier clinique, images d'évolution ou cartes de zones de douleur), la base légale est le **consentement explicite** du patient ou la finalité de soins de santé (art. 9.2.a et 9.2.h RGPD), qu'il revient à l'Entreprise elle-même de recueillir et de justifier en tant que Responsable du Traitement.

Nous ne vendons ni ne louons vos données personnelles. Nous ne partageons des informations qu'avec des prestataires de services qui nous aident à fonctionner, toujours sous des contrats de confidentialité stricts :

- **Passerelles de paiement (Stripe) :** Pour traiter les paiements des abonnements et les acomptes des rendez-vous.

- **Infrastructure et hébergement (Google Cloud / Firebase) :** Nos serveurs, avec les données hébergées dans une région de l'Union Européenne.

- **Envoi d'e-mails (Resend) :** Pour les e-mails transactionnels et les avis de la Plateforme.

- **Rappels WhatsApp (Meta Platforms, WhatsApp Business Cloud API) :** Pour l'envoi des rappels de rendez-vous.

- **Google Calendar (Google) :** Uniquement si un professionnel ou un responsable connecte volontairement son calendrier (voir section 6).

Lorsque l'un de ces prestataires implique un transfert international de données (par exemple, société mère aux États-Unis), celui-ci est réalisé avec les garanties prévues par le RGPD : clauses contractuelles types ou adhésion au Cadre de Protection des Données UE-États-Unis.

Si un professionnel ou un responsable d'une Entreprise décide de connecter son compte Google, Agéndalo ToDo synchronise les rendez-vous de son agenda avec son Google Calendar personnel. Cette fonction est optionnelle et ne s'active que si l'utilisateur l'autorise expressément via le système d'accès sécurisé de Google (OAuth).

- **Données que nous envoyons à Google :** pour chaque rendez-vous, un événement est créé ou mis à jour dans le calendrier de l'utilisateur avec le service, la date et l'heure, et le nom du client de ce rendez-vous. Les notes privées du rendez-vous ne quittent jamais la Plateforme.

- **Données que nous recevons de Google :** uniquement l'adresse e-mail du compte connecté et les identifiants techniques d'accès (tokens). Nous ne lisons, ne stockons ni n'analysons les autres événements du calendrier de l'utilisateur.

- **Comment nous protégeons les identifiants :** les tokens sont stockés chiffrés (AES-256-GCM) et ne servent qu'à maintenir le calendrier synchronisé.

- **Révocation :** l'utilisateur peut déconnecter son calendrier à tout moment depuis la Plateforme (les événements futurs créés par Agéndalo ToDo sont supprimés et ses identifiants sont détruits) ou retirer l'accès depuis son compte Google sur myaccount.google.com/permissions.

L'utilisation par Agéndalo ToDo des informations reçues des APIs de Google est conforme à la Politique de Données Utilisateur des Services d'API de Google (Google API Services User Data Policy), y compris les exigences d'Utilisation Limitée (Limited Use) : ces données ne sont pas utilisées à des fins publicitaires, ne sont ni vendues ni transférées à des tiers sauf pour fournir la fonction de synchronisation elle-même, et aucune personne n'y accède sauf avec le consentement de l'utilisateur, pour des raisons de sécurité ou par obligation légale.

Les données du compte des Entreprises seront conservées tant qu'elles maintiendront un abonnement actif et, par la suite, pendant les délais légaux requis.

Les données des Utilisateurs Finaux seront conservées selon les politiques définies par l'Entreprise (Responsable du Traitement). Si une Entreprise résilie son compte, ses données seront supprimées de nos systèmes de production dans un délai de 90 jours, sauf si la loi exige leur conservation.

Tant les Entreprises que les Utilisateurs Finaux peuvent exercer leurs droits d'accès, de rectification, de suppression, d'opposition, de limitation du traitement et de portabilité.

- **Si vous êtes une Entreprise (notre Client) :** Vous pouvez exercer vos droits en nous contactant directement à info@agendalotodo.com.

- **Si vous êtes un Utilisateur Final (client d'une Entreprise) :** Vous devez adresser votre demande à l'Entreprise avec laquelle vous avez réservé le rendez-vous, car elle est le Responsable du Traitement de vos données. Nous collaborerons avec l'Entreprise pour répondre à votre demande.

Vous avez également le droit de déposer une réclamation auprès de l'Agence Espagnole de Protection des Données (www.aepd.es) si vous considérez que le traitement de vos données n'est pas conforme à la réglementation.

Nous mettons en œuvre des mesures de sécurité techniques et organisationnelles pour protéger les données personnelles contre la destruction, la perte ou l'altération accidentelle ou illicite, et contre la communication ou l'accès non autorisés. Cela inclut le chiffrement des données en transit et au repos, et le contrôle des accès.

Nous nous réservons le droit de modifier cette politique pour l'adapter aux nouveautés législatives ou jurisprudentielles. Toute modification sera notifiée à nos Clients par e-mail ou via un avis sur la plateforme.

Si vous avez des questions ou des préoccupations sur la manière dont nous traitons vos données personnelles, n'hésitez pas à nous contacter à info@agendalotodo.com.