Politique de confidentialité

1. Objet et personnes concernées

Cette politique concerne les visiteurs, clients avec ou sans compte, prestataires, membres d’équipe, auteurs d’avis, personnes qui demandent un rappel commercial et personnes qui contactent le support. Elle décrit les traitements réalisés par Kacture pour son propre compte et ceux qu’il réalise pour le compte d’un prestataire.

L’identité et les coordonnées définitives de l’opérateur Kacture figurent dans les mentions légales. Tant que la société n’est pas créée, ces informations restent signalées comme à compléter et aucune identité fictive n’est utilisée. Le contact données personnelles est privacy@kacture.com.

2. Qui est responsable du traitement ?

Kacture comme responsable du traitement

Kacture détermine les finalités et moyens essentiels pour la création et la sécurité des comptes Kacture, la preuve d’acceptation de ses contrats, la facturation de ses abonnements professionnels, le support de la plateforme, l’administration, la prévention des abus, la modération et le fonctionnement technique de ses avis vérifiés, ainsi que la défense de ses droits et le traitement des demandes de rappel adressées directement à Kacture.

Le prestataire comme responsable du traitement

Le prestataire détermine généralement pourquoi il collecte et utilise les données de son carnet, de ses rendez-vous en ligne ou manuels, devis, questions, notes, étiquettes, fidélité, promotions, campagnes, anniversaires et abonnements clients. Kacture agit alors comme son sous-traitant, selon l’accord de protection des données. Le prestataire doit fournir sa propre information et répondre aux demandes qui relèvent de son activité.

Responsabilités propres qui se côtoient

Pour une même réservation ou un même paiement, le prestataire reste responsable de sa vente et de son fichier client, Kacture de la sécurité et des preuves propres à la plateforme, et Stripe des traitements qu’il détermine comme prestataire de paiement. La qualification dépend des opérations réellement réalisées et non du seul intitulé donné dans un contrat.

3. Données de compte, d’authentification et demandes directes

nom, prénom, e-mail, téléphone et rôle du compte ;
identifiants techniques, sessions, date de création, connexions et réinitialisations ;
version et date d’acceptation des documents juridiques ;
fournisseur Google ou Microsoft et identifiant transmis lorsque ce mode de connexion est choisi ;
invitations, appartenance à une équipe et permissions attribuées.

Ces données viennent de la personne, du titulaire du compte qui invite son équipe, du fournisseur de connexion choisi ou des journaux d’utilisation. Les champs requis sont nécessaires à la création, à l’accès ou à la sécurisation du compte.

Demande de rappel commercial

Une personne qui demande à être rappelée transmet son nom, son e-mail, son téléphone, son activité, la taille et le stade de son organisation, un ordre de grandeur de ses rendez-vous, son besoin, son outil actuel, son calendrier, sa préférence d’appel et, facultativement, un message. La page d’origine et les paramètres de campagne présents dans l’adresse peuvent aussi être conservés pour comprendre l’origine de la demande. Kacture ne conserve pas l’adresse IP dans cette fiche.

Si la personne demande à ne plus être contactée, Kacture conserve uniquement l’e-mail et une clé normalisée du téléphone dans une liste privée d’opposition, afin de ne pas recréer involontairement une demande lors d’une nouvelle soumission.

4. Profil professionnel et informations publiques

nom commercial, description, adresse publiée, coordonnées, SIREN/SIRET, forme juridique, capital, TVA et médiateur lorsque ces informations sont fournies ;
prestations, options, prix, durées, catégories, horaires et disponibilités ;
membres d’équipe visibles, photographies, galerie, thème et logo ;
notes moyennes, avis publiés et réponses publiques.

Les éléments signalés comme publics sont accessibles à toute personne qui consulte la page du prestataire et peuvent être indexés par les moteurs lorsque la page est publiée en production. Certaines informations légales peuvent être préremplies depuis l’Annuaire des Entreprises à la demande du prestataire ; il doit les vérifier avant publication.

5. Réservations, rendez-vous manuels et devis

identité et coordonnées du client, date, heure, prestations, options, prix et personne affectée ;
message libre, questions du prestataire et réponses, préférences et informations nécessaires à la préparation ;
origine du rendez-vous, statut, présence, absence, annulation, report et historique ;
demande de devis, échanges, proposition, montant, validité, décision et conversion en réservation ;
liens techniques à jeton permettant de gérer une réservation, un devis ou un paiement.

Les données viennent du client, du prestataire lorsqu’il crée un rendez-vous reçu hors Kacture, ou du fonctionnement du service. Les coordonnées et informations marquées comme obligatoires sont nécessaires au traitement de la demande ; un message ou une réponse facultative peut être omis. Le prestataire ne doit demander que ce qui est utile à la prestation.

6. Paiements, facturation et abonnements

montants, devise, acompte, commission, taxes, statuts, remboursements, contestations et identifiants Stripe ;
compte Connect du prestataire, état de vérification, solde et références de virements ;
abonnement professionnel Kacture : offre, périodicité, Customer, Subscription, facture, adresse de facturation et statut de paiement ;
abonnement vendu au client : offre figée, mensualités, droits disponibles et consommés, périodes, pauses, résiliation et remboursements.

Stripe reçoit les données de carte et peut demander des informations d’identité ou de lutte contre la fraude. Kacture conserve les identifiants et résultats nécessaires au service, mais jamais le numéro complet ni le cryptogramme de la carte. Le remplacement d’une carte d’abonnement s’effectue dans un parcours Stripe.

7. Carnet, fidélité, promotions et communications

fiches créées ou importées, coordonnées, notes internes, étiquettes, rapprochements et fusions de doublons ;
historique de relation, client fidèle ou inactif, points, cartes et avantages de fidélité ;
promotions d’heures creuses et codes enregistrés pour une utilisation sur place ;
jour et mois d’anniversaire, segments choisis, contenu et destinataires des campagnes ;
confirmations, rappels, rapports, relances de reprise, invitations à donner un avis, désabonnements, rebonds et plaintes.

Les notes, étiquettes, anniversaires et choix marketing sont facultatifs. Ils ne doivent pas contenir de donnée sensible ni servir à une discrimination. Les messages nécessaires à une opération sont distingués des messages de prospection. Les campagnes, invitations à reprendre rendez-vous et messages d’anniversaire demandent une preuve d’accord volontaire propre au prestataire. Pour les relances et anniversaires, le texte explicitant ces messages doit avoir été accepté ; les anciennes dates ou les imports ne suffisent pas. Kacture applique une fenêtre interne de trois ans à ces preuves, sans renouvellement par simple rejeu technique. Le désabonnement bloque l’ensemble de la prospection de ce prestataire, y compris après une nouvelle réservation cochée ; il n’arrête pas les confirmations et rappels nécessaires aux rendez-vous. L’exception légale du client existant n’est pas utilisée pour contourner cette règle du produit.

Le prestataire peut activer un suivi individuel de la satisfaction client et de l’activité de son équipe après information préalable des personnes concernées. Les avis sont alors rapprochés de l’intervenant de la prestation, et les prix finaux des rendez-vous réalisés servent à présenter son activité. Les résultats individuels sont accessibles au responsable et au membre concerné. Ce suivi ne déclenche aucune décision automatique ; sa conservation est limitée à 24 mois et doit être interrompue lorsqu’il n’est plus nécessaire, notamment au départ du membre. Le prestataire définit et documente la base légale adaptée, notamment son intérêt légitime lorsqu’il est applicable, et les personnes peuvent exercer leurs droits auprès de lui ou de Kacture. Les avis publics suivent une durée de publication distincte.

8. Avis, réponses et modération

note, commentaire, date, réservation vérifiée et nom public abrégé ;
réponse publique du prestataire ;
résultat du filtre, motif d’un rejet, signalement, pièces communiquées, décision et historique de modération.

La publication est demandée volontairement par l’auteur après une prestation éligible. Kacture traite les données nécessaires pour garantir l’authenticité, appliquer les mêmes règles aux avis favorables et défavorables, expliquer un rejet, traiter un signalement et défendre les droits concernés. Un avis retiré n’entre plus dans la moyenne publique, mais le registre de modération est conservé pendant la durée de preuve applicable.

9. Support, administration et sécurité

tickets, messages, pièces et actions nécessaires à la demande ;
adresse IP, appareil, navigateur, session, erreurs, événements techniques et résultats anti-robot ;
journal des consultations et actions administratives, auteur, motif, objet et date ;
signaux de risque liés à un compte, contenu, paiement, suppression ou virement.

L’accès humain par Kacture est limité aux personnes habilitées et au besoin documenté : support, sécurité, modération, finance, conformité ou défense des droits. Kacture ne prend pas de décision produisant un effet juridique exclusivement au moyen d’un profilage automatisé ; un signal de risque fait l’objet d’un examen humain avant une mesure substantielle.

10. Finalités et bases légales de Kacture

créer le compte, fournir la fonction demandée, gérer le support et exécuter le contrat : contrat ou mesures précontractuelles ;
rappeler une personne qui l’a demandé, qualifier son besoin et conserver la preuve de cette demande : mesures précontractuelles prises à sa demande ; cette action ne l’inscrit pas à une newsletter ;
établir les factures, respecter les règles fiscales, comptables et demandes légalement fondées : obligation légale ;
sécuriser la plateforme, prévenir la fraude et les abus, maintenir le service, modérer, journaliser les accès sensibles et défendre des droits : intérêt légitime après mise en balance, et obligation légale lorsque le texte l’impose ;
utiliser un traceur ou envoyer une prospection exigeant un accord préalable : consentement, librement révocable.

Pour les réservations, devis, carnet, fidélité et campagnes du prestataire, celui-ci doit déterminer et documenter sa propre base légale. L’acceptation des CGU ne vaut pas consentement global à tous les traitements ni à la prospection.

11. Destinataires

Selon la fonction, les données utiles sont accessibles au prestataire concerné, aux membres de son équipe selon leurs permissions, au client concerné, aux personnes Kacture habilitées et aux fournisseurs indispensables. Un avis et une réponse publiés, ainsi que les informations du profil professionnel signalées comme publiques, sont accessibles aux visiteurs.

Une communication à un conseil, auditeur, assureur, acquéreur encadré, organisme de paiement ou autorité n’intervient que si elle est nécessaire et licite. Kacture ne vend pas de fichiers de données personnelles à des fins publicitaires.

12. Fournisseurs et sous-traitants

Supabase : base de données, authentification et stockage de fichiers ;
Cloudflare : hébergement, réseau, sécurité et contrôle anti-robot Turnstile ;
Stripe : Billing, Connect, paiement, vérification et portail de facturation ;
Amazon SES ou Resend : envoi d’e-mails ; Amazon SNS : notifications de livraison ;
Google ou Microsoft : connexion uniquement lorsque leur bouton est choisi ;
GitHub : automatisations techniques de déploiement ;
Have I Been Pwned : comparaison d’un préfixe non réversible pour détecter un mot de passe compromis, sans transmettre le mot de passe complet.

Leur rôle exact peut varier selon le service : certains agissent sur instruction de Kacture, d’autres comme responsables autonomes pour leurs obligations. La liste est mise à jour lorsqu’un fournisseur qui traite des données personnelles est ajouté ou remplacé. Les professionnels sont informés des changements de sous-traitants selon l’accord RGPD.

13. Localisation et transferts hors Espace économique européen

Les bases Supabase de Kacture sont configurées dans la région européenne de Francfort. Cela ne garantit pas une localisation européenne de toutes les opérations d’assistance ou des sous-traitants. Resend stocke notamment les contenus d’e-mails, journaux de livraison, webhooks et données de compte aux États-Unis, même avec une région d’envoi européenne. Le recours à Amazon SES ou Resend dépend de la configuration d’envoi active.

Cloudflare exploite un réseau mondial et plusieurs fournisseurs appartiennent à des groupes internationaux. Lorsque des données sont transférées vers un pays ne bénéficiant pas d’une décision d’adéquation, le transfert doit reposer sur un mécanisme valable, notamment les clauses contractuelles types de la Commission européenne, complété si nécessaire par une analyse et des mesures supplémentaires.

Kacture ne promet pas un traitement exclusivement français avec l’architecture actuelle. La liste à jour des lieux, mécanismes et garanties contractuellement vérifiés peut être demandée à privacy@kacture.com.

14. Durées de conservation

Une demande de changement de service suspend les effacements automatiques concernés pendant la transition puis au moins 30 jours après sa fin effective. Les demandes RGPD distinctes restent examinées. Le registre et les preuves minimales de traitement de cette demande sont conservés cinq ans après la période de récupération, pour la défense des droits contractuels, sauf gel justifié ; ils ne constituent pas une copie du compte.

suivi des demandes d’exercice des droits : informations minimales de réception, qualification, actions et réponse, pendant le traitement puis au plus 5 ans après clôture, pour justifier la réponse et défendre les droits concernés, sauf gel motivé. Ce choix de conservation est réexaminé selon la nécessité ; les copies de pièces d’identité et exports complets ne sont pas stockés dans ce registre ;
déclarations de rétractation, notifications de résiliation, réponses et traces de remise : 5 ans à compter de la réception pour prouver le traitement des droits contractuels, sauf gel juridique motivé. Accès limité au client concerné, au prestataire concerné et aux personnes habilitées de Kacture ;
copies des nouveaux contrats conclus en ligne : réservation d’au moins 120 €, jusqu’à l’exécution puis 10 ans ; en dessous, 5 ans après la prestation pour la preuve contractuelle. Les abonnements récurrents sont archivés pendant leur exécution puis 10 ans après leur fin, leur valeur ne se réduisant pas à une seule mensualité. Ces archives restent séparées des données courantes après suppression du compte. Une copie peut être demandée à votre prestataire ou à privacy@kacture.com, après vérification d’identité ;
compte actif : durée du compte ; contentieux relatif au compte : prescription applicable, généralement 5 ans ;
compte client actif : jusqu’à sa suppression à l’initiative de la personne ; aucun effacement automatique d’un vrai compte n’est déclenché à partir de la seule date de connexion ; une identité d’authentification abandonnée avant attribution d’un rôle est avertie après 30 jours puis supprimée 30 jours plus tard ; si l’adresse est techniquement injoignable ou a refusé les e-mails, une grâce de 90 jours remplace ce préavis avant la même relecture d’éligibilité ;
clôture prestataire : choix explicite entre effacement sans délai de retour et conservation temporaire de 30 jours pour pouvoir reprendre l’activité. Ce délai facultatif peut être écourté. À l’échéance, l’effacement automatique du profil commercial, des médias, du carnet et du marketing démarre, sous réserve d’un gel juridique nécessitant un examen ciblé. Les accès, identités et pièces encore nécessaires aux opérations restantes sont conservés séparément puis supprimés à leur terme ;
coordonnées d’un rendez-vous conclu : relation active puis 5 ans sans nouvelle relation chez le prestataire ; l’opération financière peut ensuite rester sous forme anonymisée ;
checkout expiré et sans paiement : 90 jours ;
devis non conclu : 3 ans après le dernier mouvement ;
factures et pièces comptables : 10 ans en accès restreint ; autres preuves contractuelles : durée de prescription applicable, généralement 5 ans ;
avis publié : 5 ans au maximum après l’expérience, sauf signalement encore ouvert ; après retrait, seules les preuves de modération nécessaires sont conservées pendant la prescription applicable ; signalement résolu : 5 ans ;
contact marketing et historique nominatif : 3 ans après le dernier contact pertinent ; opposition et suppression e-mail : aussi longtemps que nécessaire pour éviter une réinscription involontaire ;
demande de rappel commercial adressée à Kacture : au plus 3 ans après la demande, avec effacement anticipé sur demande ;
coordonnées minimales d’opposition au rappel : aussi longtemps que nécessaire pour respecter l’opposition, sauf demande compatible de levée ou obligation contraire ;
ticket de support : traitement puis 3 ans après clôture ;
journaux des tâches internes : 180 jours ;
journal des accès et actions d’administration : 5 ans ;
litige de paiement clos et identifiants techniques Stripe liés aux écritures financières : au moins 10 exercices civils révolus ; leur suppression n’intervient qu’après vérification de l’absence de dette, remboursement, litige, virement ou gel à traiter ;
gel juridique : durée strictement nécessaire au litige ou à l’obligation, puis suppression du registre de gel un an après sa résolution ou son expiration ;
préférence d’interface : session, compte ou 7 jours selon la préférence ; session d’authentification : jusqu’à expiration, déconnexion ou révocation.

Une purge automatisée supprime ou anonymise les catégories couvertes par un calendrier technique. Les notes, étiquettes et fiches de carnet saisies séparément exigent aussi une revue de nécessité par le prestataire : elles ne disposent pas actuellement d’une purge automatique fondée sur l’inactivité. Leur conservation n’est pas illimitée pour autant ; elles sont effacées lorsqu’elles ne sont plus nécessaires, notamment sur demande justifiée. Un gel ciblé peut suspendre la purge lorsqu’un litige, une obligation légale ou la défense de droits le justifie ; il porte un motif et une expiration. Les sauvegardes chiffrées suivent un cycle de 30 jours. Chaque suppression de compte produit, avant révocation de l’accès, un reçu technique sans nom ni coordonnées conservé 45 jours dans un registre privé séparé. Une restauration isolée confronte tous les reçus encore conservés à Auth et aux données métier ; elle échoue si une identité ou un profil effacé réapparaît.

15. Vos droits

Le délai facultatif de 30 jours ne constitue pas un délai légal de réflexion et ne limite pas le droit à l’effacement. Une demande portant sur tout ou partie de vos données peut être enregistrée sans e-mail dans Réglages, onglet Compte, pour un prestataire, même lorsqu’une réservation, un abonnement ou un virement empêche encore la fermeture complète du compte. Chaque catégorie est examinée : une opération restante ne justifie pas la conservation indistincte de toutes les données. L’effacement intervient dans les meilleurs délais pour les données qui n’ont plus de finalité ni de motif légal de conservation.

Ce parcours permet d’effacer les photos, la présentation, les liens sociaux, les données marketing, les notes et les étiquettes, tout en conservant les informations utiles aux engagements. Le prestataire peut aussi demander la fermeture automatique dès que ses engagements le permettent, sans délai facultatif de 30 jours. Une demande en attente est consultable dans son compte et par Kacture ; un gel juridique impose un examen ciblé. La trace technique de cette demande est conservée 46 jours après son traitement pour empêcher la restauration de données effacées depuis une sauvegarde.

Selon le traitement, vous pouvez demander l’accès, la rectification, l’effacement, la limitation et la portabilité des données fournies, ou vous opposer à un traitement fondé sur l’intérêt légitime. Vous pouvez retirer un consentement à tout moment sans remettre en cause les opérations antérieures. La prospection peut toujours être refusée simplement et gratuitement. Vous pouvez également définir des directives relatives au sort de vos données après votre décès dans les conditions prévues par le droit français.

Le compte client permet de corriger le profil, télécharger les données principales, gérer certaines cartes d’abonnement et demander la suppression du compte. Ces outils ne limitent pas les droits exercés par e-mail. La suppression du compte Kacture n’efface pas automatiquement les données que chaque prestataire doit encore conserver sous sa propre responsabilité ; la personne peut exercer ses droits directement auprès de lui ou demander à Kacture de transmettre sa demande.

16. Comment exercer vos droits ?

Utilisez les commandes de votre compte pour les demandes proposées en autonomie. Pour les autres droits ou sans accès au compte, vous pouvez écrire à privacy@kacture.com avec l’adresse utilisée et, si la demande concerne une réservation sans compte, le prestataire et l’opération concernés. Kacture traite la partie relevant de ses responsabilités et transmet ou aide à traiter la partie relevant du carnet du prestataire. Vous pouvez aussi contacter directement ce prestataire depuis les coordonnées de sa page.

Une preuve d’identité proportionnée n’est demandée qu’en cas de doute raisonnable. Kacture répond sous un mois, avec une prolongation possible de deux mois pour une demande complexe après information motivée dans le premier mois. La date de réception initiale est conservée lors du suivi interne. Une réponse partielle ou un refus doit être motivé et préciser les voies de recours. Une rectification, un effacement ou une limitation est communiqué aux destinataires concernés, sauf impossibilité ou effort disproportionné justifié. Un effacement ne couvre pas une obligation légale, une preuve nécessaire ou un litige en cours. Vous pouvez déposer une réclamation auprès de la CNIL.

17. Sécurité et violations

Kacture applique des contrôles d’accès par rôle et prestataire, une séparation des comptes, le chiffrement des échanges, une gestion des secrets, des sauvegardes et une journalisation des accès administratifs. Les liens à jeton doivent rester confidentiels : leur transmission permet d’accéder à l’opération qu’ils protègent.

Une violation est documentée. Lorsqu’il agit comme sous-traitant, Kacture informe le prestataire concerné sans délai injustifié. Lorsqu’il est responsable du traitement, Kacture notifie la CNIL dans les 72 heures si le risque le requiert et informe les personnes lorsqu’un risque élevé rend cette information obligatoire.

18. Données sensibles, santé et mineurs

Kacture n’est pas un dossier médical et n’accepte pas les données de santé nécessaires à des soins sans cadre HDS. Il ne faut pas demander ni saisir de diagnostic, traitement, origine, opinion, religion, orientation, handicap ou autre donnée sensible dans les champs libres, notes, questions ou étiquettes. Un prestataire doit désactiver ou reformuler toute question qui conduirait à une collecte excessive.

Le service n’est pas destiné aux enfants créant seuls un compte. Un représentant légal intervient lorsque la capacité juridique l’exige. Le prestataire reste responsable des règles particulières applicables aux mineurs dans son activité.

19. Cookies et stockages locaux

Les cookies, sessions et préférences utilisés par le site sont décrits dans la politique cookies. Kacture ne charge pas de traceur publicitaire ni de police Google à l’affichage. Un nouveau traceur non strictement nécessaire doit être documenté et, lorsque la loi l’exige, rester bloqué jusqu’au consentement.

20. Mise à jour et contact

La date affichée identifie cette version. Une modification substantielle affectant un compte est signalée sur le service ou par e-mail avec le préavis applicable. Données personnelles : privacy@kacture.com. Sécurité : support@kacture.com.