Avenant relatif au traitement des données

1. De quoi il s'agit

Le présent avenant fait partie intégrante des conditions générales conclues entre GK Tools Ltd (numéro de société 16434833, siège social 483 Green Lanes, London, N13 4BS, enregistrement ICO ZB899192 (ouvre dans un nouvel onglet) — « nous », « notre ») et chaque Entreprise utilisant Appoint Me. Il précise comment nous traitons les données personnelles pour votre compte, conformément à l'article 28 du RGPD britannique.

2. Les rôles

Pour les données personnelles concernant vos clients qui transitent par Appoint Me — noms, coordonnées, réservations, notes, références de paiement — vous êtes le responsable du traitement et nous sommes votre sous-traitant. (Pour votre propre compte, votre facturation et nos pages marketing, c'est nous le responsable du traitement ; voir notre politique de confidentialité.)

3. Portée du traitement

Objet : faire fonctionner votre page de réservation et votre panneau d'administration. Durée : tant que vous détenez un compte, plus la période de conservation prévue dans notre politique de confidentialité. Nature et finalité : enregistrer et afficher les réservations, envoyer les confirmations et rappels de réservation, enregistrer les acomptes et les paiements par carte cadeau, et les autres fonctionnalités du Service. Types de données : données d'identité et de contact, détails et historique des réservations, notes ajoutées par vous ou par vos clients, avis (note, commentaire et éventuelles photos) et références de paiement. Personnes concernées : vos clients et votre personnel.

Offres et actualités : lorsque votre page de réservation demande aux clients s’ils acceptent de recevoir vos offres et actualités, nous enregistrons chaque réponse pour votre compte, avec le texte exact présenté, sa langue, la date et l’heure, l’adresse IP et le navigateur, et conservons cet enregistrement six ans après le dernier choix du client. Les clients peuvent retirer leur accord à tout moment depuis leur compte ou le lien de vos e-mails de réservation, et vous pouvez enregistrer un retrait qu’ils vous communiquent directement.

4. Nos engagements en tant que sous-traitant

Nous nous engageons à :

• traiter ces données uniquement selon vos instructions documentées — utiliser le Service constitue votre instruction — sauf si la loi britannique en dispose autrement, auquel cas nous vous en informerons au préalable lorsque la loi le permet ;
• veiller à ce que toute personne à qui nous en donnons l'accès soit tenue à une obligation de confidentialité ;
• les protéger par des mesures techniques et organisationnelles appropriées, notamment des connexions chiffrées, des mots de passe hachés et des contrôles d'accès qui gardent les données de chaque Entreprise privées à cette seule Entreprise ;
• vous aider, par une assistance raisonnable, à répondre aux demandes de vos clients en matière de protection des données et à respecter vos propres obligations de sécurité et de notification des violations ;
• vous aider, par une assistance raisonnable, lorsque vous réalisez une analyse d'impact relative à la protection des données ou consultez l'ICO ;
• vous informer si nous estimons qu'une de vos instructions enfreindrait la législation sur la protection des données, afin que vous puissiez décider de la suite à donner ;
• vous informer sans retard injustifié si nous avons connaissance d'une violation de données personnelles affectant vos données ;
• à la clôture de votre compte, supprimer ou restituer ces données comme décrit dans notre politique de confidentialité, en ne conservant que ce que la loi nous impose de garder ; et
• mettre à disposition les informations raisonnablement nécessaires pour démontrer que nous respectons ces engagements, et permettre des audits lorsque le RGPD britannique l'exige.

5. Sous-traitants ultérieurs

Vous nous donnez une autorisation générale de recourir aux sous-traitants ultérieurs suivants : allhost.io (les serveurs britanniques sur lesquels fonctionne le Service) ; Microsoft 365, Microsoft Ireland Operations Ltd (e-mails de confirmation de réservation, de rappel et de connexion) ; Google (protection anti-robots Google reCAPTCHA sur les formulaires, et Firebase Cloud Messaging pour les notifications Android) ; Apple (Apple Push Notification service pour les notifications sur iPhone et iPad) ; et Voodoo SMS (codes de connexion, et SMS de rendez-vous si vous les activez). Les acomptes, les cartes cadeaux et les autres paiements par carte que vous encaissez sont versés directement sur votre propre compte Stripe et traités par Stripe dans le cadre de votre propre contrat avec Stripe, et non en tant que sous-traitant ultérieur de notre part. Un réceptionniste IA que vous connectez est votre propre fournisseur, choisi par vous et agissant sur vos instructions.

Nous préviendrons les Entreprises dans un délai raisonnable avant d'ajouter ou de remplacer un sous-traitant ultérieur, et vous pourrez vous y opposer pour des motifs raisonnables tenant à la protection des données ; si nous ne parvenons pas à résoudre votre objection, vous pourrez résilier conformément aux conditions générales.

6. Transferts

Nos serveurs sont situés au Royaume-Uni. Google et Apple peuvent traiter des données de notification et de protection anti-robots aux États-Unis, et Microsoft peut traiter des données d'e-mail hors du Royaume-Uni. Lorsqu'un sous-traitant ultérieur transfère les données de vos clients hors du Royaume-Uni, nous veillons à ce que le transfert soit couvert par l'extension britannique du cadre de protection des données UE-États-Unis (UK Extension to the EU-US Data Privacy Framework), l'International Data Transfer Agreement de l'ICO ou son avenant (Addendum) aux clauses contractuelles types de l'UE, et vous nous donnez instruction d'effectuer ces transferts en utilisant les fonctionnalités concernées.

7. Contact

Des questions sur le présent avenant ? Écrivez-nous à support@appointme.com, ou par courrier à GK Tools Ltd, 483 Green Lanes, London, N13 4BS.