Politique de confidentialité

Runday (« nous », « notre ») offre une plateforme de gestion utilisée par des entreprises de services comme des barbiers et des salons (les « Entreprises clientes ») pour gérer les rendez-vous, l'encaissement, les commissions du personnel et les dossiers clients.

Elle vise deux groupes dont nous pouvons traiter les renseignements personnels :

• Les Entreprises clientes — les entreprises et le personnel qui s'inscrivent directement à Runday.
• Les Clients finaux — la clientèle de ces entreprises, dont les renseignements sont saisis dans Runday par l'Entreprise cliente dans le cadre de ses activités.

Nous agissons à titre de prestataire de services pour les données des Clients finaux. C'est l'Entreprise cliente qui contrôle cette relation et qui est responsable d'obtenir tout consentement requis de sa propre clientèle. Nous sommes l'organisation responsable des renseignements que les Entreprises clientes nous fournissent directement, comme les données de compte et de facturation.

Auprès des Entreprises clientes :

• Nom, adresse courriel, numéro de téléphone
• Nom de l'entreprise, adresse et type d'entreprise
• Renseignements de facturation, traités par Stripe — nous ne conservons jamais de numéros de carte nous-mêmes
• Dossiers du personnel, incluant les taux de commission et les gains par période de paie
• Données d'utilisation : connexions, fonctionnalités utilisées, appareil et navigateur

Au sujet des Clients finaux, saisis par les Entreprises clientes :

• Nom et coordonnées (téléphone, courriel)
• Historique de rendez-vous, services reçus et historique d'achats
• Toute note que l'Entreprise cliente choisit de consigner

Nous ne recueillons pas directement les renseignements des Clients finaux. Ils nous parviennent par l'Entreprise cliente, qui est responsable de leur exactitude et de la légalité de leur saisie.

• Exploiter la plateforme : rendez-vous, encaissement, calcul des commissions, dossiers clients
• Authentification et soutien à la clientèle
• Améliorer le produit, à partir de données agrégées ou dépersonnalisées lorsque possible
• Facturation et traitement des paiements
• Conformité légale et prévention de la fraude
• Communications marketing aux Entreprises clientes seulement, avec consentement, tel que décrit à la section 8

Nous ne vendons pas de renseignements personnels et nous n'utilisons pas les données des Clients finaux à nos propres fins marketing.

Nous recueillons, utilisons et communiquons des renseignements personnels avec connaissance et consentement, sauf lorsque la loi le permet ou l'exige autrement. Le consentement peut être exprès, par exemple lorsqu'une Entreprise cliente s'inscrit et accepte cette politique, ou implicite, par exemple lorsqu'une personne donne son numéro de téléphone pour recevoir un rappel de rendez-vous.

Les Entreprises clientes doivent s'assurer que leur propre clientèle sait que ses renseignements sont conservés dans un système comme Runday.

• Responsable de la protection des renseignements personnels. La personne ayant la plus haute autorité en la matière chez Runday est son fondateur, qui agit comme responsable de la protection des renseignements personnels, joignable à [email protected].
• Évaluations des facteurs relatifs à la vie privée (ÉFVP). La Loi 25 exige une évaluation avant toute communication de renseignements personnels hors Québec. Notre base de données est aux États-Unis (voir la section 6), cela s'applique donc à nous. Nous n'avons pas encore réalisé cette évaluation. Nous l'inscrivons ici plutôt que de la passer sous silence, et nous réglons la situation soit en la réalisant, soit en déplaçant la base de données vers une région canadienne.
• Norme de consentement. Le consentement doit être manifeste, libre et éclairé, et donné à des fins spécifiques. Nous ne le regroupons pas avec des conditions sans rapport.
• Décisions automatisées. Runday ne prend aucune décision fondée exclusivement sur un traitement automatisé produisant un effet juridique ou significatif. Si cela changeait, nous le dirions et offririons un recours humain.
• Portabilité. Les résidents du Québec peuvent demander leurs renseignements personnels informatisés dans un format technologique structuré et couramment utilisé.
• Incidents de confidentialité. Tout incident présentant un risque de préjudice sérieux sera signalé à la Commission d'accès à l'information et aux personnes concernées, selon les délais prévus par la Loi 25.

La base de données de Runday est hébergée au Canada. Certains renseignements quittent tout de même le Canada par l'entremise d'autres fournisseurs. Il est plus important d'être clair là-dessus que de le formuler agréablement :

• Notre base de données, qui contient les comptes, les dossiers clients, les rendez-vous et les commissions, est hébergée par Supabase sur Amazon Web Services à Montréal, au Canada (région ca-central-1).
• Le serveur applicatif de rundays.ca est hébergé par Contabo en France — à l'extérieur du Canada.
• Le traitement des paiements est assuré par Stripe et les statistiques du site par Google Analytics, tous deux à l'extérieur du Canada.

Lorsque des renseignements se trouvent hors du Canada, ils sont assujettis aux lois du pays où ils se trouvent, y compris aux demandes d'accès légal des autorités étrangères. Nous en demeurons responsables sous la LPRPDE, peu importe où ils sont conservés.

Divulguer ce transfert est en soi une exigence de la LPRPDE, et la présente section est cette divulgation. La Loi 25 exige en outre une évaluation des facteurs relatifs à la vie privée avant que des renseignements personnels quittent le Québec, et nous ne l'avons pas réalisée. Nous réglons la situation soit en la réalisant, soit en déplaçant la base de données vers une région canadienne, et nous mettrons cette page à jour une fois que ce sera fait.

Mesures de sécurité actuellement en place :

• Chiffrement en transit par HTTPS/TLS; chiffrement au repos par nos hébergeurs
• Sécurité au niveau des lignes dans la base de données : les dossiers d'une entreprise sont techniquement inaccessibles depuis le compte d'une autre, et non seulement masqués dans l'interface
• Les mots de passe sont hachés par notre fournisseur d'authentification et ne sont jamais conservés en clair
• Les comptes du personnel créés par un propriétaire exigent que la personne choisisse son propre mot de passe avant la première utilisation
• Limitation du débit sur les points d'accès publics et validation du type de fichier lors des téléversements

Aucun système n'est parfaitement sécuritaire, et nous ne prétendons pas le contraire.

Nous conservons les renseignements personnels seulement le temps nécessaire aux fins pour lesquelles ils ont été recueillis, ou aussi longtemps que la loi l'exige — par exemple pour les registres fiscaux et comptables. Les Entreprises clientes peuvent demander la suppression de leur compte et de ses données, sous réserve de ces obligations.

Concrètement :

• Tant que votre compte est ouvert — nous conservons vos dossiers d'entreprise pour que vous puissiez utiliser votre propre historique : rendez-vous, ventes et registres de commissions passés.
• Après la suppression de votre compte — vos données sont retirées immédiatement de nos systèmes actifs, sauf les dossiers que la loi nous oblige à conserver. Les copies de sauvegarde expirent selon leur propre cycle en 30 jours.
• Inscriptions à la liste d'attente — conservées jusqu'à ce que vous demandiez leur retrait, ou jusqu'à ce que nous cessions la liste d'attente.
• Dossiers que la loi nous oblige à conserver — les registres financiers et fiscaux sont conservés pendant la période exigée par la loi fiscale canadienne, actuellement six ans.

Lorsque nous envoyons des courriels ou SMS marketing aux Entreprises clientes, nous nous engageons à :

• Obtenir un consentement exprès au préalable, lorsque requis
• Nous identifier clairement dans chaque message
• Inclure un mécanisme de désabonnement fonctionnel
• Traiter les désabonnements dans les 10 jours ouvrables

Cela ne s'applique pas aux Clients finaux. Les messages liés aux rendez-vous leur parviennent de l'entreprise qu'ils fréquentent, et non de Runday.

Sous réserve des exceptions prévues par la loi, vous pouvez :

• Accéder aux renseignements personnels que nous détenons à votre sujet
• Demander la correction de tout renseignement inexact
• Retirer votre consentement, sous réserve des limites légales et contractuelles
• Demander la suppression de vos renseignements
• Demander une copie portable, si vous êtes au Québec
• Porter plainte auprès du Commissariat à la protection de la vie privée du Canada ou, si vous êtes au Québec, de la Commission d'accès à l'information

Si vous êtes un Client final — la clientèle d'une entreprise qui utilise Runday — veuillez d'abord contacter cette entreprise. C'est elle qui contrôle votre dossier. Nous l'aiderons à vous répondre.

Autrement, écrivez à [email protected].

Si des renseignements personnels font l'objet d'un incident présentant un risque réel de préjudice sérieux, nous en aviserons les personnes concernées et l'autorité compétente — le Commissariat à la protection de la vie privée du Canada, et la Commission d'accès à l'information pour les résidents du Québec — sans délai déraisonnable.

À rédiger : États-Unis — CCPA/CPRA et autres lois étatiques sur la vie privée.

D'ici là, les conditions canadiennes ci-dessus sont celles que nous appliquons, et rien ici ne réduit les droits que vous pourriez avoir en vertu de votre loi locale.

• Runday, exploité depuis le Québec, Canada
• Runday est mené par ses deux fondateurs et n'est pas encore une entreprise immatriculée. Une dénomination sociale et une adresse d'affaires seront ajoutées ici une fois l'immatriculation faite.
• Courriel : [email protected]

Voir aussi notre politique relative aux témoins, notre politique de gouvernance et nos conditions d'utilisation.