Politique de confidentialité

1. Qui est responsable de vos données ?

Le responsable du traitement de vos renseignements personnels est :

Conformément à la Loi 25, nous avons désigné un responsable de la protection des renseignements personnels. Vous pouvez le contacter pour toute question concernant vos données, exercer vos droits, ou déposer une plainte.

2. Quelles données nous collectons

Nous collectons uniquement les données nécessaires au bon fonctionnement de Loyalti. Voici la liste complète :

Données de compte

• Nom complet
• Adresse courriel
• Numéro de téléphone (optionnel, requis pour les SMS)
• Mot de passe (chiffré, jamais stocké en clair)
• Photo de profil (optionnelle)
• Langue préférée (français ou anglais)
• Type de compte (Client, Propriétaire, Spécialiste)

Données de réservation et fidélité

• Historique de vos rendez-vous (date, heure, service, spécialiste, salon)
• Points de fidélité accumulés et utilisés
• Avis et commentaires que vous publiez
• Préférences de notification (SMS, courriel, marketing)

Données techniques

• Adresse IP
• Type de navigateur et système d'exploitation
• Pages visitées et temps passé sur l'application
• Géolocalisation approximative (uniquement si vous l'autorisez, pour la météo et la recherche de salons à proximité)
• Identifiants techniques (cookies de session, tokens d'authentification)

Données de paiement (propriétaires Pro uniquement)

Si vous êtes propriétaire d'un salon et que vous souscrivez au plan Pro, Stripe Inc. traite directement votre paiement. Nous n'avons jamais accès à votre numéro de carte. Nous conservons uniquement :

• L'identifiant client Stripe
• Le statut de votre abonnement (actif, annulé, expiré)
• La date du prochain renouvellement
• Les 4 derniers chiffres de la carte (à des fins de référence)

3. Pourquoi nous utilisons vos données

Vos données sont utilisées exclusivement aux fins suivantes :

• Créer et gérer votre compte
• Permettre la réservation de rendez-vous
• Vous envoyer des confirmations, rappels et notifications transactionnelles (par courriel et SMS)
• Gérer votre programme de fidélité et vos points
• Vous permettre de publier et lire des avis sur les établissements
• Traiter les paiements d'abonnement Pro (via Stripe)
• Améliorer l'application en analysant son utilisation
• Détecter et prévenir la fraude ou les abus
• Vous envoyer des communications marketing (uniquement si vous y avez consenti explicitement)
• Répondre à nos obligations légales (registres fiscaux, demandes des autorités)

4. Avec qui nous partageons vos données

Nous ne vendons jamais vos données. Toutefois, pour faire fonctionner Loyalti, nous utilisons des fournisseurs de services tiers (appelés "sous-traitants" selon la Loi 25) qui traitent certaines de vos données en notre nom :

Chacun de ces sous-traitants est lié à nous par un contrat qui exige le respect de la confidentialité et de la sécurité de vos données. Nous communiquons à chaque sous-traitant uniquement les données strictement nécessaires à sa fonction.

Nous pouvons également divulguer vos données si la loi nous y oblige (mandat judiciaire, ordonnance de cour, demande d'une autorité compétente).

5. Transfert de vos données hors du Québec

Actuellement, vos données sont principalement hébergées par Supabase Inc. dans la région us-west-2 (Oregon, États-Unis) et par Vercel Inc. (États-Unis). Nous avons évalué le niveau de protection offert par ces sous-traitants et nous estimons qu'il est adéquat, notamment grâce :

• Aux clauses contractuelles de protection des données signées avec chaque fournisseur
• Au chiffrement des données en transit (TLS 1.3) et au repos (AES-256)
• Aux certifications de sécurité de nos fournisseurs (SOC 2 Type II, ISO 27001)
• Au principe du moindre privilège pour les accès

6. Combien de temps nous conservons vos données

Nous conservons vos données aussi longtemps que votre compte est actif. Si vous supprimez votre compte ou si nous le fermons, voici ce qui arrive :

• Votre profil (nom, courriel, téléphone, photo) est supprimé sous 30 jours
• Votre historique de rendez-vous est anonymisé et conservé 12 mois pour nos obligations fiscales et statistiques
• Vos avis publics restent visibles (mais détachés de votre identité) sauf si vous demandez leur suppression complète
• Les données de paiement (factures, transactions Stripe) sont conservées 7 ans conformément aux exigences fiscales canadiennes
• Les sauvegardes système sont automatiquement écrasées après 90 jours

Vous pouvez à tout moment demander la suppression complète de vos données en contactant notre responsable à jrdivers@gostarservice.com.

7. Vos droits

Droit d'accès

Vous pouvez demander quels renseignements personnels nous détenons à votre sujet et en obtenir une copie.

Droit de rectification

Vous pouvez modifier vous-même la plupart de vos informations directement dans votre profil. Pour les autres, vous pouvez nous demander une correction.

Droit à la suppression (droit à l'oubli)

Vous pouvez demander la suppression de votre compte et de vos données. Certaines données peuvent être conservées si la loi nous y oblige (ex: registres comptables).

Droit à la portabilité

Vous pouvez demander à recevoir vos données dans un format structuré et couramment utilisé (JSON ou CSV), afin de les transférer vers un autre service.

Droit de retrait du consentement

Vous pouvez retirer votre consentement à tout moment pour le marketing, les SMS, ou les notifications courriel non essentielles, directement dans les paramètres de votre profil. Les notifications essentielles au service (confirmation de rendez-vous, sécurité du compte) ne peuvent pas être désactivées tant que votre compte est actif.

Droit d'opposition

Vous pouvez vous opposer à certains traitements de vos données (par exemple, l'utilisation pour des analyses statistiques agrégées).

8. Comment nous protégeons vos données

Nous mettons en place des mesures techniques et organisationnelles raisonnables pour protéger vos données contre la perte, le vol, l'accès non autorisé, la divulgation, la copie, l'utilisation ou la modification :

• Chiffrement TLS 1.3 pour toutes les communications
• Chiffrement AES-256 des données au repos
• Hachage bcrypt des mots de passe (jamais en clair)
• Authentification à deux facteurs disponible (via Google)
• Accès interne limité au strict minimum nécessaire (principe du moindre privilège)
• Surveillance continue des tentatives d'intrusion
• Sauvegardes chiffrées avec rotation automatique

9. Cookies et technologies similaires

Loyalti utilise des cookies et technologies similaires (stockage local, jetons de session) pour les raisons suivantes :

Cookies essentiels

Ces cookies sont indispensables au fonctionnement de l'application. Ils gèrent votre session de connexion, mémorisent votre langue préférée et assurent la sécurité de votre compte. Ils ne peuvent pas être désactivés.

Cookies analytiques

Nous utilisons Google Analytics et le Pixel Meta (Facebook) pour comprendre comment Loyalti est utilisé et améliorer l'application. Ces outils peuvent collecter des données anonymisées sur vos visites. Vous pouvez désactiver ces cookies via les paramètres de votre navigateur ou via les outils de désactivation officiels de chaque fournisseur.

10. Communications marketing

Conformément à la Loi canadienne anti-pourriel (LCAP), nous ne vous envoyons des communications commerciales électroniques que si vous y avez consenti explicitement (case à cocher non pré-cochée à l'inscription, ou activation dans votre profil).

Vous pouvez à tout moment vous désabonner :

• En cliquant sur le lien "Se désabonner" présent dans chaque courriel marketing
• En désactivant l'option "Recevoir des nouveautés et promotions" dans votre profil Loyalti
• En nous écrivant à jrdivers@gostarservice.com

11. Utilisateurs mineurs

Loyalti n'est pas destiné aux enfants de moins de 14 ans. Nous ne collectons pas sciemment de renseignements personnels concernant des enfants de moins de 14 ans sans le consentement vérifiable d'un parent ou tuteur.

Si nous apprenons qu'un compte a été créé par un enfant de moins de 14 ans sans autorisation parentale, nous le supprimerons rapidement.

12. Modifications de cette politique

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre, notamment pour refléter des changements dans nos pratiques ou pour des raisons légales et réglementaires.

Lorsqu'un changement substantiel survient, nous vous en informerons par courriel et/ou par une notification visible dans l'application au moins 30 jours avant son entrée en vigueur. La date "Dernière mise à jour" en haut de cette page indique toujours la version la plus récente.

13. Droit de déposer une plainte

Si vous estimez que vos droits n'ont pas été respectés et que vous n'êtes pas satisfait de notre réponse, vous pouvez déposer une plainte auprès de l'autorité de protection des données du Québec :

14. Comment nous contacter

Pour toute question concernant cette politique, vos données, ou pour exercer vos droits, contactez notre responsable de la protection des renseignements personnels :

Nous nous engageons à vous répondre dans un délai de 30 jours.