Politique de confidentialité

1. Responsable de traitement

Le responsable du traitement de vos données personnelles est l'éditeur de la plateforme PetUnite, accessible à l'adresse petunite.fr. Son identité et ses coordonnées figurent ci-dessous. Pour toute question relative à la protection de vos données ou pour exercer vos droits, écrivez à l'adresse de contact pour les données personnelles indiquée ci-dessous.

Statut

Personne physique

Adresse

62 boulevard Jean Ingres, 44100 Nantes

Éditeur et directeur de la publication

Fabien Kerinec

Contact

[email protected]

Contact pour les données personnelles

[email protected]

2. Rôle de PetUnite selon les données

PetUnite intervient à deux titres. - Responsable de traitement : pour les comptes des utilisateurs (professionnels et clients), les demandes envoyées depuis les formulaires de contact et d'accès, l'abonnement et sa facturation, la mesure d'audience, le suivi des erreurs et la sécurité de la plateforme. Cette politique décrit ces traitements. - Sous-traitant, au sens de l'article 28 du RGPD : pour les données qu'un professionnel enregistre sur ses propres clients et leurs animaux (fiches clients et animaux, coordonnées, réservations, y compris les réservations faites sans compte, comptes-rendus, exercices, fichiers joints, factures). Le professionnel est alors le responsable de traitement. PetUnite traite ces données sur ses instructions, dans le cadre de l'accord de sous-traitance. Vous êtes client d'un professionnel qui utilise PetUnite ? Pour les données que ce professionnel détient sur vous et sur votre animal, adressez d'abord vos demandes (accès, rectification, effacement, opposition) à ce professionnel. PetUnite l'aide à y répondre. Si vous nous écrivez, nous transmettons votre demande au professionnel concerné.

• Accord de sous-traitance (article 28 du RGPD)

3. Collecte des données

Nous collectons les données que vous nous fournissez lors de votre inscription (nom, email, etc.) et celles générées par votre utilisation du service (créneaux, réservations, comptes-rendus). Pour un espace professionnel, nous enregistrons aussi les informations de l'entreprise que vous saisissez : raison sociale, adresse, SIRET, numéro de TVA, coordonnées de contact et, si vous les renseignez, les coordonnées bancaires (IBAN, BIC) imprimées sur vos factures. Des données techniques (adresse IP, navigateur) sont également collectées automatiquement pour assurer le bon fonctionnement du service. Nous enregistrons aussi la date et la version des conditions que vous acceptez : les CGU à la création du compte, les CGV et l'accord de sous-traitance à la création d'un espace professionnel, puis toute nouvelle version acceptée. Nous enregistrons de même la version de la présente politique qui vous a été présentée et, lors de la souscription d'un abonnement, la déclaration d'usage professionnel. Ces enregistrements prouvent le contrat. Si vous choisissez de vous connecter avec Google, Google nous transmet votre adresse e-mail, votre nom, votre identifiant Google et votre photo de profil.

4. Utilisation des données

Vos données sont utilisées pour : - Fournir et améliorer nos services - Gérer votre compte et vos réservations - Communiquer avec vous (notifications, support) - Assurer la sécurité de la plateforme - Respecter nos obligations légales

5. Conservation des données

Nous conservons vos données uniquement pour la durée nécessaire aux finalités pour lesquelles elles ont été collectées, et conformément à nos obligations légales : - Données de compte : pendant toute la durée de vie du compte ; supprimées ou anonymisées à la clôture du compte. - Données de réservation : 5 ans (obligations comptables). - Données de facturation : 10 ans (Code de commerce, Art. L123-22). - Demandes d'accès à la bêta, de démonstration et messages de contact : 3 ans après le dernier échange. - Données analytics (PostHog) : 12 mois. - Données techniques de sécurité (Sentry) : 90 jours. Le détail par catégorie est précisé dans la section « Durée de conservation » ci-dessous. Vous pouvez demander la suppression de votre compte et de vos données à tout moment.

6. Partage des données

Nous ne vendons jamais vos données. Elles peuvent être partagées avec : - Nos sous-traitants techniques, qui agissent sur nos instructions (hébergement, stockage des fichiers, paiement, emails, notifications, proxy/sécurité, analyse d'usage et suivi des erreurs). La liste complète et leur localisation figurent dans la section « Sous-traitants ». - Les professionnels avec lesquels vous interagissez sur la plateforme. - Les tiers décrits dans la section « Autres destinataires » (connexion avec Google, fond de carte). - Les autorités compétentes, si la loi l'exige. Certains de ces sous-traitants sont situés hors de l'Union européenne. Dans ce cas, les transferts sont encadrés par des garanties appropriées (EU-US Data Privacy Framework ou clauses contractuelles types), détaillées dans la section « Sous-traitants ».

7. Bases légales des traitements

Chaque traitement de vos données repose sur une base légale précise (Art. 6 RGPD) : - Gestion du compte, des entreprises, des animaux, des réservations, des comptes-rendus, des fichiers joints et des exercices : exécution du contrat (Art. 6.1.b). - Connexion avec un compte Google, à votre initiative : exécution du contrat (Art. 6.1.b). - Réponse aux demandes envoyées depuis les formulaires de contact et d'accès : mesures précontractuelles prises à votre demande (Art. 6.1.b). - Facturation et tenue des obligations comptables : obligation légale (Art. 6.1.c — Code de commerce, Art. L123-22). - Notifications push sur l'application mobile : votre consentement (Art. 6.1.a), recueilli via l'autorisation de votre appareil. - Mesure d'audience analytics (PostHog) : votre consentement (Art. 6.1.a), recueilli via le bandeau cookies. - Suivi des erreurs techniques (Sentry) et statistiques d'usage agrégées : intérêt légitime (Art. 6.1.f), à savoir la qualité, la sécurité et l'amélioration du service. - Affichage du fond de carte (OpenFreeMap) dans l'annuaire et sur les pages de réservation : intérêt légitime (Art. 6.1.f), à savoir situer les professionnels. Pour les données qu'un professionnel enregistre sur ses clients, la base légale relève de ce professionnel, responsable de ce traitement.

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants : - Droit d'accès à vos données - Droit de rectification - Droit à l'effacement - Droit à la portabilité - Droit d'opposition - Droit de limitation du traitement - Droit de retirer votre consentement à tout moment, lorsque le traitement repose sur celui-ci Pour exercer ces droits, écrivez à l'adresse « Contact pour les données personnelles » indiquée en tête de cette politique. Depuis votre compte, vous pouvez aussi demander l'export de vos données et la suppression de votre compte. La suppression n'est possible qu'une fois réglées vos factures en attente auprès d'un professionnel. Si vous êtes l'unique propriétaire d'un espace professionnel, transmettez-en d'abord la propriété à un autre membre ou, si vous êtes seul, demandez-nous par e-mail la fermeture de l'espace. Un compte créé avec Google doit d'abord définir un mot de passe. Si vous êtes client d'un professionnel, les demandes portant sur les données qu'il détient sur vous s'adressent d'abord à lui (voir la section « Rôle de PetUnite selon les données »). Vous disposez également du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), autorité de contrôle française : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

9. Cookies et traceurs

Cookies nécessaires (toujours actifs) : - Authentification de session : maintien de votre connexion - Sentry (error tracking) : détection et résolution des erreurs techniques, classé strictement nécessaire au bon fonctionnement du service - Préférences d'interface : thème, langue, paramètres d'affichage - Consentement cookies : mémorisation de votre choix (localStorage) Cookies analytics (consentement requis) : - PostHog : mesure d'audience pseudonymisée de l'utilisation du service (identifiant interne, sans nom ni e-mail) (pages visitées, parcours utilisateur). Base légale : consentement. Ces cookies ne sont chargés que si vous acceptez les cookies analytics via le bandeau de consentement. Gestion du consentement : Lors de votre première visite, un bandeau vous propose d'accepter ou de refuser les cookies analytics. Votre choix est mémorisé et peut être modifié à tout moment via le lien « Gérer les cookies » dans le pied de page.

10. Sous-traitants

Pour fournir notre service, nous faisons appel à des sous-traitants qui traitent vos données sur nos instructions et pour notre compte. Pour ceux situés hors de l'Union européenne, le transfert est encadré par des garanties appropriées (EU-US Data Privacy Framework ou clauses contractuelles types). - Hetzner Online GmbH : hébergement des serveurs de l'application et de la base de données. Données traitées : l'ensemble des données de service enregistrées en base. Localisation : Allemagne (Union européenne). Transfert hors UE : non. - Cloudflare Inc. : proxy réseau de l'ensemble du trafic et pare-feu applicatif (WAF), hébergement du site petunite.fr et du blog (Cloudflare Pages), stockage des fichiers joints, des exports de données et des sauvegardes chiffrées de la base (Cloudflare R2, dans des espaces de stockage privés créés en juridiction UE). Données traitées : adresse IP, métadonnées de requête, données échangées avec la plateforme lors de leur transit, fichiers joints. Localisation : les fichiers, les exports et les sauvegardes sont stockés dans l'Union européenne ; Cloudflare, Inc. est une société établie aux États-Unis et le trafic transite par son réseau. Garantie de transfert : EU-US Data Privacy Framework. - Stripe Inc. : paiement des abonnements des professionnels et paiements en ligne des clients à leur professionnel (Stripe Connect). Pour ces paiements en ligne, le professionnel est le vendeur : selon son compte Stripe, le paiement est enregistré directement sur ce compte, ou sur celui de PetUnite puis transféré. Stripe traite aussi ces données pour le compte du professionnel et pour ses propres obligations. Données traitées : montants, références d'abonnement et de paiement, identifiant client Stripe, adresse e-mail du payeur. Les données de carte sont saisies directement chez Stripe : aucune donnée de carte n'est stockée par PetUnite. Localisation : États-Unis. Garantie de transfert : EU-US Data Privacy Framework. - Resend Inc. : envoi des emails (vérification, réinitialisation de mot de passe, invitations, notifications, demandes envoyées depuis les formulaires de contact). Données traitées : adresse email, nom ou prénom, contenu du message. Localisation : États-Unis. Garantie de transfert : EU-US Data Privacy Framework (Resend est certifiée) et clauses contractuelles types de la Commission européenne, prévues par son accord de traitement. - Expo (Expo, EAS) : envoi des notifications push de l'application mobile, acheminées ensuite par Apple (APNs) ou Google (FCM) selon l'appareil. Données traitées : jeton de notification, informations techniques de l'appareil, contenu de la notification. Localisation : États-Unis. Garantie de transfert : EU-US Data Privacy Framework (Expo est certifiée) et clauses contractuelles types de la Commission européenne, prévues par ses conditions d'utilisation. - Sentry (Functional Software Inc.) : suivi des erreurs applicatives. Données traitées : erreurs techniques, identifiant interne de l'utilisateur (sans nom ni adresse email). Localisation : Union européenne (région de données de Sentry à Francfort, Allemagne). Garantie de transfert pour les accès depuis les États-Unis : EU-US Data Privacy Framework (Sentry est certifiée). Base légale : intérêt légitime (maintien de la qualité du service). - PostHog (PostHog Inc.) : mesure d'audience de l'utilisation du service. Données traitées : pages visitées, actions dans l'application, identifiant interne de l'utilisateur, données techniques du navigateur. Si vous êtes professionnel et avez accepté la mesure d'audience, certains faits liés à votre activité sont aussi transmis par nos serveurs, sous le même identifiant interne et sans donnée nominative : réservation reçue, abonnement activé, modifié ou résilié, paiement en ligne reçu (sans son montant), invitation acceptée, exercice fait par un client. Votre choix est enregistré sur votre compte ; votre réponse la plus récente, sur n'importe quel appareil, s'applique, et un refus arrête ces envois. Localisation : Cloud EU (Francfort). Base légale : consentement de l'utilisateur. La liste à jour de nos sous-traitants peut être obtenue sur demande à l'adresse [email protected].

11. Autres destinataires

Les tiers suivants reçoivent des données sans agir comme nos sous-traitants. - Google : connexion avec un compte Google, si vous choisissez cette option. Google nous transmet votre adresse e-mail, votre nom, votre identifiant Google et votre photo de profil. Google agit comme responsable de traitement distinct pour l'authentification, selon ses propres règles de confidentialité. - OpenFreeMap : fond de carte affiché dans l'annuaire et sur les pages de réservation des professionnels. Votre navigateur charge les éléments de la carte directement depuis tiles.openfreemap.org : votre adresse IP et les informations techniques de la requête sont alors transmises à OpenFreeMap, exploité par Hyperknot Software Kft. (Hongrie, UE), dont les tuiles sont diffusées par le réseau de Cloudflare, Inc. (États-Unis, certifiée EU-US Data Privacy Framework). Selon sa politique de confidentialité, OpenFreeMap n'enregistre pas les adresses IP, sauf pendant un incident de sécurité, 30 jours au plus.

12. Durée de conservation

- Cookies de session : durée de votre session de navigation - Consentement cookies : jusqu'à retrait du consentement - Données de compte : pendant toute la durée de vie du compte ; supprimées ou anonymisées à sa clôture - Données de réservation : 5 ans (obligations comptables) - Données de facturation : 10 ans (Code de commerce, Art. L123-22) - Demandes d'accès à la bêta, de démonstration et messages de contact : 3 ans après le dernier échange - Données analytics (PostHog) : 12 mois - Données techniques de sécurité (Sentry) : 90 jours

13. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées, notamment : - chiffrement des échanges (HTTPS/TLS, HSTS) ; - mots de passe hachés (scrypt), limitation des tentatives de connexion et blocage temporaire après cinq échecs ; - contrôle d'accès par rôle et cloisonnement des données de chaque espace professionnel, vérifiés par le serveur ; - notes privées des comptes-rendus visibles du seul client concerné et de son professionnel ; - fichiers joints conservés dans un espace de stockage privé, sans adresse publique : un fichier (sa miniature comprise) n'est lisible que par un lien signé, valable quelques minutes, délivré après vérification des droits de la personne connectée ; - sauvegarde quotidienne de la base de données, chiffrée avant son envoi, conservée 30 jours et vérifiée chaque semaine par une restauration de test.

14. Modifications

Cette politique peut être mise à jour. En cas de modification substantielle, nous vous en informerons par email ou via la plateforme. La date de dernière mise à jour est indiquée en haut de cette page.