Politique de Confidentialité

Resalya est édité par M.S.WebFusion. Selon les données concernées, M.S.WebFusion n’a pas le même rôle au sens du RGPD :

• (A) M.S.WebFusion, responsable de traitement — pour les données des utilisateurs de Resalya eux-mêmes : comptes (professionnels et clients inscrits), facturation des abonnements, support, sécurité de la plateforme, programme de parrainage. C’est l’objet principal de la présente politique.
• (B) Le professionnel, responsable de traitement — pour les données de ses clientes et clients qu’il gère au moyen de Resalya : fiches clients, rendez-vous, historique, notes, formulaires et données de santé éventuelles. C’est lui qui décide des finalités (gestion de son activité) et des durées de conservation (réglages de son module Suivi clientèle) ; il répond aux demandes d’exercice de droits sur ces données.
• (C) M.S.WebFusion, sous-traitant — pour ces mêmes données du professionnel, que Resalya héberge et traite pour le compte du professionnel et sur ses instructions, dans les conditions de l’Accord de sous-traitance des données (article 28 du RGPD) annexé aux CGV.

Cette répartition est reprise à l’identique dans les CGV (contrat professionnel ↔ Resalya), dans les conditions de réservation (contrat client ↔ professionnel) et dans l’Accord de sous-traitance.

(A) En tant que responsable de traitement, M.S.WebFusion collecte, pour les utilisateurs de Resalya :

• Nom, prénom
• Nom de l'entreprise
• Siret de l'entreprise
• Adresse e-mail
• Numéro de téléphone
• Données de connexion et de navigation
• Informations de paiement (gérées par Stripe, nous ne stockons pas vos données bancaires)
• Données de calendrier Google (si vous choisissez de connecter votre compte Google)

(B/C) Pour le compte des professionnels, Resalya héberge les données que chaque professionnel saisit ou reçoit sur ses clients (identité, coordonnées, rendez-vous, notes, formulaires, données de santé le cas échéant — chiffrées au repos) ; M.S.WebFusion ne les collecte pas pour son propre compte et ne les utilise pas à ses propres fins.

(A) M.S.WebFusion, responsable de traitement, traite les données des utilisateurs de Resalya pour : créer et gérer le compte ; gérer les abonnements et paiements via Stripe ; fournir l’assistance (support) ; assurer la sécurité de la plateforme (journalisation, prévention de la fraude) ; faire fonctionner le programme de parrainage ; permettre la messagerie interne et les échanges entre professionnels et clients ; synchroniser les rendez-vous avec Google Agenda si l’utilisateur a connecté son compte ; améliorer le service (statistiques sans outil tiers). Bases légales : exécution du contrat, obligations légales (facturation, conservation comptable), intérêt légitime (sécurité, amélioration), consentement (Google, notifications facultatives).

(B) Le professionnel, responsable de traitement, décide seul de l’usage des données de ses clients : prise de rendez-vous, suivi de la clientèle, rappels, fidélité, cartes cadeaux, encaissement. Resalya ne fixe ni les finalités ni les durées de ces traitements.

(C) M.S.WebFusion, sous-traitant, ne traite ces données que sur instruction documentée du professionnel (les fonctionnalités qu’il active), ne les utilise jamais pour son propre compte, ne les transmet à aucun tiers en dehors des sous-traitants ultérieurs listés à l’article 5, et les supprime ou anonymise selon les réglages du professionnel ou à la fin du contrat (article 6 et Accord de sous-traitance).

Lorsque vous connectez votre compte Google à Resalya, nous accédons à vos données Google Calendar uniquement pour synchroniser vos rendez-vous. Voici comment nous protégeons ces données :

• Accès limité : Nous accédons uniquement aux données de calendrier nécessaires à la synchronisation des rendez-vous. Nous ne demandons pas l'accès à d'autres services Google.
• Chiffrement : Toutes les communications entre Resalya et les services Google sont chiffrées via HTTPS/TLS. Les tokens d'authentification sont stockés de manière sécurisée et chiffrée.
• Aucun partage : Vos données Google ne sont jamais vendues, partagées avec des tiers, ni utilisées à des fins publicitaires.
• Stockage minimal : Nous ne stockons que les informations essentielles (tokens d'accès sécurisés). Les données de calendrier sont synchronisées en temps réel et ne sont pas conservées sur nos serveurs au-delà de ce qui est nécessaire au fonctionnement du service.
• Révocation : Vous pouvez à tout moment révoquer l'accès de Resalya à votre compte Google depuis les paramètres de votre compte Resalya ou directement depuis les paramètres de sécurité de votre compte Google.
• Conformité : Notre utilisation des données Google respecte la Politique relative aux données utilisateur des services API Google, y compris les exigences d'utilisation limitée.

Vos données ne sont jamais vendues. Elles sont traitées, sous contrat, par les sous-traitants suivants — qui sont, pour les données traitées pour le compte des professionnels (rôle C), les sous-traitants ultérieurs autorisés par l’Accord de sous-traitance :

• Stripe — paiements (abonnements, acomptes, cartes cadeaux) ; nous ne stockons pas vos données bancaires
• HOSTINGER INTERNATIONAL LIMITED — hébergement du serveur (Francfort, Allemagne)
• Scaleway — sauvegardes chiffrées (Paris, France)
• Sentry — journaux d’erreurs techniques (hébergement Union européenne)
• Twilio — envoi des SMS (rappels, notifications)
• Google — connexion par compte Google et synchronisation Google Agenda, uniquement si vous les activez

Les données provenant de Google Agenda ne sont partagées avec aucun autre service tiers. Aucun outil de mesure d’audience tiers n’est utilisé.

Une durée par catégorie de données et par finalité. Les durées comptables et fiscales priment sur l’effacement ; les données cumulatives et récapitulatives de caisse restent dans le système même après purge des détails.

• Compte utilisateur (identité, e-mail, téléphone, préférences) : pendant toute la durée d’utilisation ; aucune suppression automatique à l’inactivité ; suppression ou anonymisation à votre demande (depuis vos paramètres ou via la page dédiée, sous 30 jours), hors pièces que la loi impose de conserver.
• Fiches clientes tenues par un professionnel : durée de la relation ; anonymisation automatique après une période d’inactivité choisie par le professionnel (recommandation CNIL : 3 ans ; désactivée par défaut) ; jamais de suppression sèche (les ventes scellées restent, sans identité).
• Données de santé (allergies, contre-indications, formulaires de santé) : conservées pendant la durée de conservation de la fiche cliente définie par le professionnel selon sa finalité (réglage « Anonymiser les fiches inactives après N années » du module Suivi clientèle, ou demande d’effacement), puis anonymisées avec la fiche — l’anonymisation efface physiquement le profil santé chiffré et le contenu des formulaires ; chiffrées au repos ; journal des créations, modifications, anonymisations et consultations (sans le contenu).
• Rendez-vous : durée de la relation, puis 5 ans (preuve de la prestation) ; anonymisés avec la fiche ou le compte.
• Tickets de caisse, règlements, avoirs, clôtures, archives fiscales et factures : 10 ans (Code de commerce L.123-22 ; LPF L.102 B). La chaîne scellée n’est jamais supprimée ; les détails d’une année ne sont purgés qu’après 10 années révolues, uniquement si l’archive annuelle vérifiée existe, et la purge est elle-même tracée. Ces documents ne contiennent que des identifiants, jamais votre nom.
• Parrainage : code pendant la durée du programme ; commissions et retraits 10 ans (comptabilité) ; IBAN chiffré jusqu’au dernier retrait + 5 ans.
• Messages, notifications, SMS et e-mails envoyés : supprimés automatiquement 1 an après l’envoi. Deux exceptions, sans aucun contenu de message : si un client ou un salon a bloqué l’autre, nous conservons ce blocage et sa date, pour continuer à le respecter ; et nous gardons la trace des e-mails automatiques d’accueil et de relance déjà envoyés aux professionnels, pour ne jamais les leur renvoyer.
• Journal des actions d’administration : 1 an pour les consultations, 6 ans pour les opérations sensibles (écritures, alertes, actions à portée fiscale ou comptable) — suppression automatique (purge quotidienne).
• Jetons de connexion et journaux techniques : durée de validité + 30 jours.
• Journaux d’erreurs de l’application mobile : 90 jours (Sentry).
• Sauvegardes chiffrées : rotation automatique — 7 jours (quotidiennes), 4 semaines, 6 mois (12 mois hors site) ; une donnée effacée disparaît des sauvegardes à la fin de la rotation.
• Jetons Google : supprimés dès que vous déconnectez votre compte Google ou supprimez votre compte Resalya.

Conformément au RGPD, vous avez le droit de :

• Accéder à vos données
• Modifier ou rectifier vos informations
• Demander la suppression de vos données
• Vous opposer à leur traitement
• Demander la portabilité de vos données
• Révoquer l'accès à vos données Google à tout moment

À qui vous adresser ? Pour les données de votre compte Resalya (rôle A) : à M.S.WebFusion, ci-dessous. Pour les données que détient sur vous un professionnel chez qui vous avez réservé (fiche, rendez-vous, santé — rôle B) : à ce professionnel, qui en est responsable ; Resalya l’assiste et exécute ses instructions (suppression, anonymisation, export). En cas de doute, écrivez-nous : nous transmettons.

Pour exercer ces droits auprès de M.S.WebFusion :

📧 Email : resalya@resalya.com

Nous utilisons des cookies pour améliorer votre navigation.

Vous pouvez gérer vos préférences via votre navigateur.

Nous mettons en place les mesures de sécurité suivantes, telles qu’effectivement mises en œuvre :

• Chiffrement des données en transit (HTTPS/TLS)
• Chiffrement au repos des données sensibles (coordonnées bancaires de parrainage, secrets d’intégration) et de l’ensemble des sauvegardes ; la base de données de production n’est pas chiffrée dans son intégralité
• Authentification sécurisée (mots de passe hachés, double authentification pour l’administration) et gestion des sessions
• Accès restreint aux données sensibles (principe du moindre privilège)
• Journalisation des actions d’administration et des opérations sensibles, ainsi que des créations, modifications, anonymisations et consultations de données de santé (chaque écriture et chaque lecture est tracée avec son auteur et sa date, sans le contenu)
• Sauvegarde quotidienne chiffrée avec copie hors site ; mises à jour régulières de sécurité

Responsable du traitement (rôle A) et sous-traitant (rôle C) : Julien Schneider — M.S.WebFusion (EI), SIREN 835 199 597, 18 rue du Vignoble, 67160 Riedseltz, France.

📧 E-mail : resalya@resalya.com · 📞 06 33 51 97 37