Déclaration de confidentialité

1. Deux rôles, et les confondre est l’erreur classique

Il y a deux sortes de données dans cette histoire, et deux réponses différentes à donner.

Les données des clients d’un salon de coiffure — leur nom, leurs rendez-vous, leurs formules de couleur, leurs tickets — appartiennent au salon. C’est le salon qui décide pourquoi elles sont conservées et ce qu’il en advient. Le salon est donc le responsable du traitement et nous sommes le sous-traitant : nous conservons et traitons ces données pour le compte du salon, et nous n’en faisons rien que le salon ne demande.

Les données du salon lui-même, en tant que client chez nous — la raison sociale, le numéro de TVA, l’adresse, l’e-mail du gérant, les factures — sont une autre affaire. Là, c’est nous le responsable du traitement.

Vous êtes client d’un salon et vous voulez savoir ce qu’il advient de vos données, les faire corriger ou les faire supprimer ? Adressez-vous à votre salon. Nous n’avons pas à en décider nous-mêmes. Ce n’est pas une esquive, c’est exactement ce que signifie cette répartition des rôles.

2. Ce site

hairconnect.be est un ensemble de fichiers HTML construits à l’avance. Aucun framework n’est envoyé à votre navigateur ; le seul script de la page tient en quelques lignes et ne fait rien d’autre que poser la question sur la mesure d’audience.

Tant que vous ne répondez pas oui à cette question, aucune requête ne part vers Google et aucun cookie de ce site ne se trouve sur votre appareil. Si vous refusez, c’est retenu et la question ne revient pas à chaque visite. Un bouton en bas de chaque page permet de modifier votre choix.

Si vous acceptez, Google Analytics 4 se charge et Google dépose deux cookies : « _ga » et « _ga_6RC567LGTL ». Nous fixons leur durée à treize mois ; GA4 les garderait deux ans par défaut.

Ce qui est alors transmis : la page que vous consultez — l’adresse sans les paramètres qui peuvent la suivre — et le fait que vous soyez déjà venu ou non. Google déduit de votre adresse IP le pays et la région d’où vous venez. Pour les visiteurs de l’Union européenne, Google ne conserve pas cette adresse IP : elle sert à établir cette localisation approximative, puis elle est jetée. Ce n’est pas un réglage que nous activons, c’est le fonctionnement de Google Analytics 4 pour le trafic européen.

Votre choix lui-même n’est pas conservé dans un cookie mais dans le stockage de votre navigateur (localStorage, sous la clé « hc-meting »). Cette valeur ne quitte jamais votre appareil : elle n’est jointe à aucune requête. Si vous videz le stockage de votre navigateur, la question vous sera reposée.

Pour le reste, pas de pixel Facebook, pas de script publicitaire et aucun service de collecte d’erreurs. La police de caractères et les photos se trouvent sur notre propre serveur.

Le serveur web tient bien les journaux techniques ordinaires que tient tout serveur web.

Si vous nous écrivez ou nous téléphonez, nous conservons ce que vous envoyez tant que votre question est en cours et tant qu’il y a une raison d’y revenir.

3. Les applications sur votre téléphone et votre tablette

Il y a deux applications. HairConnect est l’agenda destiné au personnel d’un salon ; HairConnect Platform est notre propre écran d’administration et ne figure pas dans les magasins pour un usage ordinaire.

Aucune des deux ne porte de réseau publicitaire, de script de mesure ou de service de collecte d’erreurs. Aucune bibliothèque n’y transmet votre comportement à un tiers. Ce que l’application envoie va vers notre propre serveur et nulle part ailleurs.

L’application conserve bien quelque chose sur votre appareil, et c’est voulu : l’agenda des journées consultées, ainsi que les modifications faites pendant une coupure réseau. Cela se trouve dans un fichier interne à l’application, afin que vous voyiez encore la journée en cours si le wifi du salon tombe. Si vous désinstallez l’application, ce fichier part avec elle.

Si vous activez les notifications, Apple ou Google attribue une clé à votre appareil et nous conservons cette clé pour pouvoir y envoyer une notification. Cette clé ne dit rien de qui vous êtes ; elle désigne un appareil. Elle disparaît dès que votre compte est supprimé ou que vous désactivez les notifications.

La caméra n’intervient qu’au moment où vous scannez un code-barres lors de l’encodage d’une livraison. Aucune photo n’est conservée et aucune image ne part vers notre serveur — ce qui part, c’est le chiffre imprimé sur l’emballage.

Pour faire supprimer un compte d’application, la marche à suivre figure sur la page « Faire supprimer vos données », reprise au bas de cette page avec les autres textes juridiques.

4. L’extension Chrome pour Optios

Les salons qui quittent Optios peuvent installer une extension Chrome qui met HairConnect à jour en arrière-plan avec ce qui se passe dans Optios. Elle n’existe que pour cette période de transition Elle lit chez Optios et livre chez HairConnect, et dans Optios elle n’inscrit que ce que vous avez activé vous-même dans HairConnect.

Elle lit le jeton de connexion d’Optios dans le cookie de votre navigateur et le transmet à Optios même — là d’où il vient et là où il appartient. Ce jeton ne va nulle part ailleurs. Notre serveur ne le voit jamais ; ce n’est pas une promesse mais une propriété de la conception, imposée par un test.

Ce qui va bien vers hairconnect.be, ce sont les données de votre salon telles qu’Optios les renvoie : rendez-vous, clients, prestations. Exactement les mêmes données que lors d’une migration ordinaire, et elles arrivent dans votre salon et nulle part ailleurs. Quelles données, et jusqu’où en arrière, HairConnect le décide à chaque passage ; l’extension elle-même ne connaît aucune adresse d’Optios.

Sur votre ordinateur, elle conserve une seule chose : la clé d’appareil avec laquelle cette installation s’annonce auprès de HairConnect. Cette clé désigne un ordinateur, pas une personne. Supprimez l’extension ou dissociez l’ordinateur dans HairConnect et la clé ne vaut plus rien.

Elle n’ouvre aucun onglet, ne regarde dans aucun onglet et ne modifie aucune page. Elle ne contient aucun script de mesure ni rien qui transmette votre comportement à un tiers. Chez Optios, elle ne modifie que ce que vous avez expressément activé dans HairConnect : des fiches clients nettoyées, des prix de vente, et les rendez-vous pris, déplacés ou annulés dans HairConnect. Elle n’y supprime rien et ne lance jamais d’elle-même une migration complète — cela reste un bouton qu’une personne appuie.

À partir de la version 1.3.0, elle garde une connexion ouverte avec hairconnect.be, pour qu’un rendez-vous soit dans Optios en quelques secondes. Par cette connexion ne passe qu’un signal indiquant que quelque chose doit aller vers Optios, sans client ni heure ; les données elles-mêmes suivent le même chemin que ci-dessus.

La supprimer se fait comme pour toute extension, via chrome://extensions. La clé d’appareil disparaît avec elle.

5. La page de réservation et l’espace client, eux, déposent des cookies

Il s’agit d’un autre logiciel que ce site. Lorsque quelqu’un réserve en ligne chez un salon ou se connecte à l’espace client, trois cookies de notre part interviennent. Ils sont là tous les trois parce que la page ne fonctionne pas sans eux ; rien n’est mesuré et rien n’en part vers un tiers.

La page de réservation publique pose en outre la même question sur la mesure d’audience que ce site. Si vous y répondez oui, deux cookies de Google s’y ajoutent. L’espace client, lui, n’est pas mesuré : une fois connecté, aucun script de mesure n’est présent sur la page et la question n’est pas posée.

• Les trois premiers sont les nôtres et sont httpOnly : aucun script de la page ne peut les lire.
• Les deux de Google ne sont déposés qu’après un oui sur la page de réservation. Si vous refusez, ils ne sont pas là, et cela reste ainsi lors d’une visite suivante.
• Nous fixons leur durée à treize mois ; GA4 les garderait deux ans par défaut.
• Votre choix lui-même n’est pas dans un cookie mais dans le stockage de votre navigateur (localStorage, sous la clé « hc-meting ») et n’est joint à aucune requête.
• Nous ne déposons aucun cookie de plus que ces trois-là. Ni cookie publicitaire, ni cookie de préférence, ni deuxième service de mesure.

6. Ce que le logiciel conserve

Voici, par type de donnée, ce qui aboutit dans HairConnect. C’est la liste du rôle dans lequel nous sommes sous-traitant : il s’agit des données des clients et des collaborateurs d’un salon.

7. Ce qui n’y figure pas

Il est tout aussi utile de dire ce qui n’est pas conservé. Il n’existe pas de champ pour cela, donc rien ne peut y être rempli par inadvertance.

• Pas de numéro de registre national, pas de numéro de carte d’identité et pas de numéro de compte d’un client.
• Aucune donnée de santé comme champ distinct. Si un salon écrit ce genre de chose dans une note libre, cela se trouve dans cette note — c’est le choix du salon, pas celui du logiciel.
• Aucune donnée de carte bancaire. Lors d’un paiement, elles vont de la carte au terminal puis au prestataire de paiement ; elles n’entrent pas dans HairConnect.
• Ni salaire ni numéro de compte d’un collaborateur.

8. Aucune publicité ne part d’ici

HairConnect envoie quatre types d’e-mails aux clients d’un salon : une confirmation, un rappel, un message indiquant qu’un rendez-vous a été déplacé, et un message après une absence non annoncée. À cela s’ajoute le code de connexion à l’espace client.

Il n’y a rien de plus. Pas de module de campagne, pas de lettre d’information, et aucun SMS n’est envoyé — même lorsque la fiche client indique que les SMS sont autorisés.

Si un client décoche « accepte les e-mails », ces quatre types ne partent plus. Le code de connexion à l’espace client part malgré tout : ce n’est pas un message du salon mais la clé avec laquelle le client se laisse entrer lui-même.

9. Qui d’autre y a accès

Le moins possible, et uniquement ce qui est réellement en place. Ce qui porte ci-dessous la mention « uniquement si le salon l’active » ne fait rien tant que la connexion est désactivée : les clés appartiennent au salon, et sans clés rien ne part.

• Google Analytics n’est présent que sur ce site et sur la page de réservation publique, et sur les deux uniquement après consentement. Pas dans l’espace client, pas dans l’arrière-boutique d’un salon et pas dans le panneau de la plateforme.
• Le pays et la ville affichés à côté d’une adresse IP dans le journal des connexions sont déduits sur notre propre serveur, à partir d’un fichier de données qui s’y trouve. Aucune adresse IP n’est transmise à un service de recherche ni à un tiers.
• Et ce qui n’est pas là non plus : pas de pixel Facebook, pas de régie publicitaire, aucun service de collecte d’erreurs, aucun prestataire SMS, aucun CDN et aucun stockage chez un service cloud.

10. Où se trouvent les données

Sur un seul serveur que nous gérons nous-mêmes. La base de données, les fichiers qu’un salon téléverse et les journaux se trouvent sur cette même machine ; aucun service de stockage tiers n’est raccordé.

11. Ce qui sort de l’Union européenne

Une seule partie traite des données en dehors de l’Union européenne, et uniquement si vous y avez consenti : Google, pour la mesure d’audience. Si vous refusez, rien ne part vers Google, et donc rien vers les États-Unis.

Pour les visiteurs de l’Union européenne, Google Analytics collecte via des serveurs situés dans l’Union européenne. Le traitement ultérieur peut avoir lieu chez Google aux États-Unis. Pour les visiteurs de l’UE, la partie contractante est Google Ireland Limited ; le traitement aux États-Unis est effectué par Google LLC.

La base juridique de ce transfert est le cadre EU-US Data Privacy Framework, sous lequel Google LLC est certifiée. L’état actuel de cette certification figure sur la page de Google consacrée aux transferts de données : policies.google.com/privacy/frameworks. Nous n’indiquons ici ni numéro de certification ni date — cela vieillit, et ce texte affirmerait alors quelque chose qui n’est plus exact.

Nous n’avons pas conclu nous-mêmes de clauses contractuelles types avec Google. Ce sont les conditions de Google qui s’appliquent, et c’est ainsi : avec un service de cette taille, on ne négocie pas.

Ce cadre n’est pas incontesté et peut disparaître. Si cela arrive, cette mesure devra être réévaluée. Nous l’écrivons ici plutôt que de le passer sous silence : c’est exactement le genre de chose qu’on veut pouvoir retrouver un an plus tard.

12. Combien de temps c’est conservé

Deux choses sont fixées par la loi, deux sont un choix, et le reste, c’est le salon qui le décide. Le tableau ci-dessous dit laquelle est laquelle.

• Le journal et le journal des connexions sont nettoyés chaque nuit. Le reste, non : aucune tâche ne supprime silencieusement des données de clients, et c’est délibéré.

13. Ce qu’un client de salon peut demander

Le RGPD donne à chacun le droit de savoir quelles données sont conservées à son sujet, de les faire corriger et d’en demander la suppression. Ce droit s’exerce auprès de votre salon, car c’est lui le responsable.

L’espace client comporte deux boutons pour cela. Le premier télécharge en un seul fichier tout ce que le salon détient sur vous : votre fiche, vos rendez-vous, vos formules de couleur avec la note d’origine, vos tickets clôturés, le solde de vos chèques-cadeaux et les e-mails qui vous ont été envoyés.

Le second enregistre une demande de suppression. Rien n’est effacé automatiquement, et c’est voulu : les tickets de caisse et les factures doivent être conservés sept ans, et un bouton qui jetterait tout immédiatement mettrait le salon en infraction avec une autre loi. C’est votre salon qui décide de ce qui peut effectivement partir.

Ce qui ne figure pas dans le téléchargement, ce sont les notes internes que le salon rédige sur un client. Elles appartiennent au salon et n’ont pas été fournies par le client ; qui veut les consulter le demande au salon lui-même.

Si vous estimez que vos données sont mal traitées, vous pouvez introduire une plainte auprès de l’autorité de protection des données de votre pays.

14. Comment c’est sécurisé

Pas de labels, mais des mesures que vous pouvez retrouver dans le logiciel.

• Chaque salon se trouve dans son propre espace cloisonné. Une requête à la base de données sans salon renvoie zéro ligne et non « tout ». C’est le réglage par défaut, pas un filtre que quelqu’un peut oublier.
• L’espace client n’a pas de mot de passe. Vous demandez un code valable quinze minutes, et ce code n’est stocké que sous forme d’empreinte.
• La preuve de connexion à l’espace client se trouve dans un cookie httpOnly : aucun script de la page ne peut l’atteindre.
• Vers l’extérieur, rien ne porte un numéro de base de données croissant. Chaque adresse et chaque réponse de l’API utilise un uuid, de sorte qu’on n’atteint pas l’enregistrement suivant en ajoutant un.
• Le journal de caisse est une chaîne : chaque ticket porte l’empreinte du précédent. Modifier un ticket après coup rompt cette chaîne, et un contrôle le vérifie.
• Le journal ne peut pas être modifié. Ce n’est pas seulement le code qui l’impose, mais la base de données elle-même.

15. Si ce texte change

Si ce que fait le logiciel change, ce texte change avec lui. La date en haut de page indique quand cela s’est produit pour la dernière fois.

Cette déclaration a été écrite en vérifiant ce que le logiciel fait réellement : quels champs se trouvent dans la base de données, quels messages partent, et vers quelles parties une connexion est établie. Si vous y lisez quelque chose que vous ne retrouvez pas dans le logiciel, dites-le-nous : c’est que l’un des deux ne colle pas, et nous voulons le savoir.