Champ d'application

Cette politique s'applique au traitement des données personnelles dans le cadre des Services Appointmint et de la navigation sur le site web Appointmint.

Responsabilités

• Client = Responsable du traitement : Le Client est responsable des données personnelles qu'il saisit dans les Services (données de ses patients/clients finaux).
• Appointmint = Sous-traitant : Traite ces données uniquement selon les instructions du Client (voir Annexe A des Conditions Générales).
• Appointmint = Responsable du traitement : Pour les données de compte, de facturation, de support et pour les données collectées sur le site via le gestionnaire de consentement (Cookiebot) et Google Analytics 4 (uniquement avec consentement).

1. Données Traitées

1.1. Données traitées pour le compte du Client (Appointmint agit en tant que Sous-traitant) :

• Identification et coordonnées des patients/clients finaux : nom, email, téléphone, adresse, numéro fiscal ;
• Historique des rendez-vous et des services fournis ;
• Données de paiement (traitées via EasyPay — non stockées par Appointmint) ;
• Données de santé (catégorie spéciale, Art. 9 RGPD) : informations cliniques, notes de consultation, rapports médicaux, historique des traitements — uniquement si le Client choisit d'utiliser les champs personnalisés à cette fin. Dans ce cas, le Client doit garantir une base légale adéquate (consentement explicite de la personne concernée ou exception de l'Art. 9(2)(h)).

1.2. Données traitées par Appointmint en tant que Responsable du traitement :

• Données de compte : nom, email et téléphone de l'administrateur du Client ;
• Données de facturation : numéro de TVA intracommunautaire et adresse fiscale du Client ;
• Données d’intégration Google, lorsqu’un professionnel choisit de connecter son compte : jetons d’accès/renouvellement, leur expiration technique et métadonnées de synchronisation strictement nécessaires pour créer, mettre à jour et supprimer des événements Google Calendar associés aux rendez-vous Appointmint, y compris l’identifiant de l’événement Google Calendar synchronisé. Appointmint ne collecte pas le contenu Gmail de l’utilisateur, ses Contacts Google, ses fichiers Google Drive, les paramètres Google Calendar ni la liste de ses calendriers via cette intégration ;
• Données de navigation et de consentement sur le site : état du consentement par catégorie et enregistrement technique correspondant (Cookiebot/Usercentrics) ;
• Métriques d'utilisation du site : pages visitées et événements statistiques agrégés via Google Analytics 4, uniquement lorsque l'utilisateur consent aux cookies de statistiques ;
• Données de support : tickets et emails échangés avec [email protected] ;
• Journaux d'accès interne (logs d'audit) des accès effectués par l'équipe Appointmint à des fins de support, de maintenance et de surveillance du service ;
• Cookies et technologies similaires sur le site (voir Politique de cookies).

2. Finalités et Bases Légales

3. Droits des Personnes Concernées

En vertu du RGPD, les personnes concernées ont le droit :

• d'Accès : accéder aux données personnelles traitées ;
• de Rectification : corriger les données inexactes ou incomplètes ;
• d'Effacement : demander la suppression lorsque cela est applicable ;
• de Limitation du traitement : restreindre le traitement dans certaines circonstances ;
• de Portabilité : recevoir leurs données dans un format structuré ;
• d'Opposition : s'opposer au traitement à des fins de marketing ou d'intérêts légitimes ;
• de Retrait du consentement : retirer un consentement préalablement donné, sans affecter la licéité du traitement antérieur ;
• de ne pas être soumis à des décisions entièrement automatisées : contester les décisions prises uniquement par des moyens automatisés, le cas échéant.

Pour exercer ces droits, contactez : [email protected]

3.1. Google Calendar et données obtenues via les API Google

• La connexion à Google Calendar est toujours optionnelle et initiée par le professionnel dans Appointmint.
• Appointmint utilise les données utilisateur Google exclusivement pour fournir et améliorer la fonctionnalité visible par l'utilisateur de synchronisation Google Calendar demandée par le professionnel.
• En pratique, l'accès accordé à Google Calendar est utilisé uniquement pour maintenir le calendrier principal du professionnel synchronisé avec les rendez-vous créés, modifiés ou annulés dans la plateforme.
• Lorsque la synchronisation est active, Appointmint peut créer, mettre à jour et supprimer des événements dans Google Calendar, y compris des données telles que le titre du rendez-vous, le nom du client, le type de service, l'heure de début/fin et les notes saisies par le Client.
• Appointmint n'utilise pas cet accès pour lire les listes de calendriers de l'utilisateur, accéder aux paramètres de Google Calendar, analyser le contenu d'autres calendriers ou utiliser les données Google à des fins non liées à la synchronisation des rendez-vous.
• Les données obtenues via les API Google ne sont pas vendues, ne sont pas utilisées pour de la publicité ciblée, personnalisée, de retargeting ou toute autre finalité publicitaire, ne sont pas transférées à des courtiers en données ou à des revendeurs d'information, ne sont pas utilisées pour évaluer la solvabilité ou à des fins de prêt, ne servent pas à constituer des bases de données de contacts, de profils ou de marketing et ne sont pas utilisées pour entraîner des modèles d'IA ou de machine learning généralistes.
• Appointmint ne partage les données Google qu'avec Google lui-même et avec les fournisseurs d'infrastructure strictement nécessaires au fonctionnement des Services, toujours soumis à des obligations contractuelles de confidentialité et de sécurité, ou lorsque la loi l'exige.
• L'accès humain aux données obtenues via les API Google n'est pas utilisé comme finalité commerciale indépendante. Un tel accès est limité à ce qui est autorisé par la Google API Services User Data Policy, y compris Limited Use, par exemple pour résoudre un problème d'assistance demandé par l'utilisateur ou traiter un incident de sécurité ou d'abus, et reste toujours soumis à des contrôles internes d'accès et de confidentialité.
• L'utilisateur peut révoquer l'accès à tout moment dans les paramètres d'Appointmint et/ou de son compte Google. Après révocation ou désactivation de l'intégration, aucune nouvelle synchronisation n'a lieu.
• Les jetons d'intégration Google et les métadonnées de synchronisation ne sont conservés que tant que l'intégration reste active et sont supprimés ou invalidés après la déconnexion, sauf lorsqu'une courte période de conservation est strictement nécessaire pour des journaux de sécurité, une enquête sur incident ou le respect d'obligations légales.
• L'utilisation et le transfert par Appointmint des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences de Limited Use.

4. Conservation des Données

• Données de compte et opérationnelles : conservées pendant la durée du contrat + 30 jours (période d'export) ;
• Données de facturation : conservées 10 ans (obligation légale) ;
• Données techniques de l'intégration Google (jetons et métadonnées de synchronisation) : conservées tant que l'intégration est active et, ensuite, uniquement pour la durée nécessaire à la sécurité, l'audit, la résolution d'incidents ou le respect des obligations légales ;
• Données de consentement aux cookies : conservées selon les délais techniques de Cookiebot et les exigences de preuve de consentement ;
• Données analytics (GA4) : conservation configurée dans Google Analytics, dans la limite disponible pour les propriétés standard ;
• Données de support/tickets : conservées 1 an après résolution ;
• Après la période de conservation, les données sont supprimées ou anonymisées.

5. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles, notamment :

• Chiffrement en transit (HTTPS) ;
• Contrôle d'accès basé sur les rôles ;
• Journaux d'audit ;
• Tests réguliers de vulnérabilités ;
• Sauvegardes périodiques ;
• Plan de réponse aux incidents.

6. Transferts Internationaux

Les données sont de préférence traitées dans l'EEE. Lorsque des transferts internationaux ont lieu (par exemple via Google Analytics 4 ou l'intégration Google Calendar), nous appliquons des garanties adéquates, notamment des décisions d'adéquation, des Clauses contractuelles types et des mesures techniques/organisationnelles supplémentaires.

7. Contact et Réclamations

Pour toute question relative à la confidentialité :

AMBITIOUS WORLD, Lda.
Email : [email protected]

Autorité de contrôle : Comissão Nacional de Proteção de Dados (CNPD)
www.cnpd.pt