Politique de confidentialité

Plek est une plateforme de réservation en ligne. Des studios, clubs, écoles et autres organisations l'utilisent pour proposer leurs activités, séances et séries et pour recevoir des réservations et des paiements. Cette politique explique quelles données personnelles Plek traite, pourquoi, qui d'autre les reçoit et quels sont vos droits.

Qui nous sommes et qui est responsable

Plek est exploité par Small Victories, Mellestraat 303, 9090 Merelbeke-Melle, numéro d'entreprise BE0793.301.929 (« Plek », « nous »). Vous pouvez nous joindre à l'adresse hello@small-victories.co.

Qui est responsable de vos données dépend de la façon dont vous utilisez Plek :

• Vous réservez auprès d'une organisation (en tant que client, ou pour un participant comme votre enfant) : l'organisation auprès de laquelle vous réservez est responsable du traitement de ces données. Elle décide de ce qu'elle demande et de ce qu'elle en fait. Plek est son sous-traitant : nous conservons et traitons les données pour son compte et selon ses instructions, dans le cadre d'un contrat de sous-traitance. Pour toute question sur vos réservations ou pour exercer vos droits, adressez-vous d'abord à cette organisation ; si vous nous contactez, nous lui transmettons votre demande et l'aidons à y répondre.
• Vous utilisez Plek en tant que collaborateur d'une organisation (propriétaire, administrateur, coach, ...), vous visitez ce site ou vous nous contactez : Plek est alors responsable du traitement.

Quelles données nous traitons

Clients et participants (pour le compte de l'organisation)

• Compte : nom, adresse e-mail, numéro de téléphone (facultatif), langue préférée, confirmation ou non de votre adresse e-mail, un mot de passe (conservé uniquement sous forme de hachage) si vous en définissez un, ainsi que des codes et liens de connexion à usage unique. Un compte client appartient à une seule organisation : une même personne dans deux organisations a deux comptes distincts.
• Connexion avec Google ou Microsoft (facultatif) : l'identifiant unique du compte, l'adresse e-mail, sa vérification et votre nom. Nous ne recevons ni votre mot de passe ni aucune autre donnée de ces comptes.
• Participants (les personnes qui participent : vous-même ou, par exemple, vos enfants) : prénom et nom, date de naissance et, uniquement si l'organisation le demande, numéro de registre national, taille de t-shirt et remarques.
• Questions et consentements supplémentaires que l'organisation ajoute à son formulaire de réservation, et vos réponses. Il peut s'agir d'informations de santé (comme des allergies ou des remarques médicales) si l'organisation les demande, et de consentements, par exemple pour la prise de photos.
• Réservations : ce que vous avez réservé et quand, les annulations et leur motif, les absences, présences et check-ins, les inscriptions sur liste d'attente, les chèques-cadeaux, codes de réduction, cartes de séances, abonnements et leur utilisation, et votre acceptation des conditions de l'organisation (quelle version, quand, ainsi que l'adresse IP et le navigateur utilisés).
• Paiements et factures : montants, moyen de paiement, statut et référence du prestataire de paiement, et sur les factures le nom de facturation, l'adresse e-mail et l'adresse. Les données de carte et bancaires sont saisies chez le prestataire de paiement et ne parviennent jamais à Plek.
• E-mails : les e-mails de réservation qui vous sont envoyés (confirmations, rappels, codes de connexion, messages de l'organisation) et leur statut de distribution, par exemple un rebond. Les e-mails ne contiennent jamais de données sur les enfants ou la santé.
• Notes de l'organisation : les collaborateurs peuvent tenir des notes internes sur un participant.

Au sein de l'organisation, les collaborateurs ne voient que ce que leur rôle permet. Un coach voit par exemple le nom, la date de naissance, les notes internes et les réponses médicales des participants à ses propres séances, mais aucune donnée de paiement.

Comptes collaborateurs (Plek est responsable du traitement)

• Nom, adresse e-mail, mot de passe (conservé uniquement sous forme de hachage), langue et région préférées, et les organisations dont vous faites partie avec votre rôle.
• Si vous activez la vérification en deux étapes : le secret chiffré de votre application d'authentification et vos codes de récupération (conservés sous forme de hachage).
• Si vous vous connectez avec Google : l'identifiant unique du compte, l'adresse e-mail et votre nom.
• Les invitations que vous envoyez ou recevez, et un journal d'audit des actions importantes (par exemple qui a anonymisé un client ou modifié un rôle).

Données techniques

Nos serveurs et Cloudflare enregistrent les requêtes, avec l'adresse IP, le navigateur, l'heure et l'adresse de la page ou de l'API demandée, afin d'assurer la sécurité du service et de trouver et corriger les erreurs. Nous n'utilisons pas ces données pour vous suivre ni pour établir des profils.

Pourquoi nous les traitons et sur quelle base juridique

Plek ne vend pas de données personnelles, n'affiche pas de publicité, n'envoie pas d'e-mails marketing aux clients des organisations et n'utilise pas vos données pour du profilage ni pour entraîner des modèles d'IA.

Connexion avec Google ou Microsoft et intégrations Google

Connexion avec Google ou Microsoft. Nous demandons uniquement les scopes OpenID Connect standard openid, email et profile, et utilisons l'identifiant unique du compte, l'adresse e-mail, sa vérification et votre nom pour créer votre compte ou le lier à un compte existant. Vous pouvez dissocier une méthode de connexion dans votre compte.

Google Agenda (facultatif, pour les collaborateurs). Un collaborateur peut connecter son Google Agenda pour y voir les séances de l'organisation. Nous utilisons cet accès pour créer, modifier et supprimer dans votre agenda principal les événements correspondant aux séances de l'organisation. Nous ne lisons, ne conservons ni ne modifions vos autres événements.

Gmail (facultatif, pour les organisations). Une organisation peut envoyer ses e-mails de réservation depuis sa propre adresse Gmail. Nous utilisons cet accès pour envoyer ces e-mails et pour lire l'adresse e-mail du compte connecté. Nous ne lisons, ne conservons ni n'analysons vos messages.

Plek's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Concrètement : les données de Google ne sont utilisées que pour les fonctions décrites ci-dessus. Elles ne sont jamais vendues, jamais utilisées pour de la publicité, jamais utilisées pour développer, améliorer ou entraîner des modèles généraux d'IA ou d'apprentissage automatique, et personne ne les lit, sauf si vous nous le demandez (pour le support), si la sécurité l'exige ou si la loi l'impose. Les jetons d'accès ne servent qu'à ces fonctions et sont supprimés lorsque vous déconnectez l'intégration dans Plek ; vous pouvez aussi révoquer l'accès à tout moment dans votre compte Google.

Qui reçoit vos données

Nous travaillons uniquement avec des prestataires qui ont besoin des données pour faire fonctionner Plek, sous des contrats qui les obligent à les protéger :

• Oracle Cloud Infrastructure : serveurs, base de données et stockage de fichiers (comme les images téléchargées et les exports), dans un centre de données situé dans l'Union européenne.
• Cloudflare : hébergement des applications web, DNS, diffusion de contenu et protection contre les attaques.
• Brevo (Sendinblue SAS, France) : envoi des e-mails et suivi de leur distribution. Si une organisation connecte son propre Gmail ou serveur de messagerie, ses e-mails passent par celui-ci.
• Prestataires de paiement choisis par l'organisation : Mollie, Worldline ou Payconiq. Ils traitent votre paiement en tant que responsables du traitement indépendants, selon leur propre politique de confidentialité.
• Google et Microsoft, uniquement si vous utilisez leur connexion ou si une organisation connecte Google Agenda ou Gmail.

L'organisation auprès de laquelle vous réservez voit les données de ses propres clients et participants. Les organisations ne voient jamais les données des autres. Nous ne partageons des données avec les autorités que si la loi l'exige.

Transferts hors de l'Union européenne

La base de données et les fichiers de Plek sont stockés dans l'Union européenne. Certains prestataires (Cloudflare, Google, Microsoft) peuvent traiter des données en dehors de l'Espace économique européen. Ce transfert repose alors sur une décision d'adéquation (comme le cadre de protection des données UE-États-Unis) ou sur les clauses contractuelles types de la Commission européenne.

Durée de conservation

• Les données des clients et participants sont conservées tant que l'organisation utilise Plek, ou jusqu'à ce que l'organisation ou vous-même les fassiez supprimer. Chaque organisation peut activer un nettoyage automatique : anonymiser les clients inactifs depuis un certain nombre d'années, les comptes dont l'adresse e-mail n'a toujours pas été confirmée après un certain nombre de mois, et effacer les réponses aux questions de réservation (comme les remarques médicales) un certain nombre de mois après la fin de la séance ou de la série. L'organisation fixe ces délais.
• L'anonymisation supprime les noms, l'adresse e-mail, le numéro de téléphone, la date de naissance, le numéro de registre national, les réponses aux questions de réservation, les méthodes de connexion, ainsi que l'adresse IP et le navigateur enregistrés avec les conditions acceptées. Ce qui reste (par exemple qu'une réservation a été payée) ne peut plus être relié à vous.
• Les factures et données de paiement sont conservées aussi longtemps que la législation comptable et fiscale l'exige (en Belgique, actuellement jusqu'à 10 ans), même après anonymisation.
• Les comptes collaborateurs sont conservés jusqu'à leur suppression ; le journal d'audit est conservé tant que le compte de l'organisation existe.
• Les journaux serveur sont conservés peu de temps, 30 jours au maximum, sauf s'ils sont nécessaires pour enquêter sur un incident.
• Lorsqu'une organisation cesse d'utiliser Plek, nous supprimons ses données dans les 90 jours, sauf ce que la loi nous oblige à conserver.

Vos droits

Vous avez le droit d'accéder à vos données, de les faire rectifier ou effacer, d'en limiter le traitement ou de vous y opposer, à la portabilité des données, et de retirer votre consentement à tout moment (sans que cela n'affecte le traitement antérieur). Dans le portail client de l'organisation auprès de laquelle vous réservez, vous pouvez :

• consulter et modifier vos données et celles de vos participants ;
• télécharger sous forme de fichier toutes les données conservées sur vous et vos participants ;
• demander la suppression de votre compte. Vous confirmez avec un code que nous vous envoyons par e-mail. Si vous avez encore des réservations à venir, vos données sont anonymisées une fois celles-ci passées.

Pour toute autre demande, contactez l'organisation auprès de laquelle vous réservez, ou nous-mêmes à l'adresse hello@small-victories.co. Nous répondons dans un délai d'un mois. Vous avez également le droit d'introduire une plainte auprès de l'Autorité de protection des données, rue de la Presse 35, 1000 Bruxelles, www.autoriteprotectiondonnees.be, ou auprès de l'autorité de votre pays de résidence.

Cookies et stockage local

Plek n'utilise pas de cookies publicitaires, analytiques ou de suivi, et ne demande donc pas de consentement aux cookies. Les applications conservent dans le stockage local de votre navigateur quelques éléments nécessaires à leur fonctionnement : votre session de connexion, votre langue, l'organisation que vous gérez (pour les collaborateurs) et une réservation en cours. Cloudflare peut placer un cookie strictement nécessaire pour protéger le service contre les robots. Les pages des prestataires de paiement placent leurs propres cookies.

Sécurité

Toutes les connexions sont chiffrées (HTTPS). Les mots de passe sont conservés sous forme de hachage, les collaborateurs peuvent utiliser la vérification en deux étapes, l'accès au sein d'une organisation suit des rôles et des droits, les actions importantes sont journalisées et des sauvegardes sont effectuées régulièrement. Si une violation de données met vos droits en danger, l'organisation et, le cas échéant, vous-même et l'autorité de contrôle êtes informés dans les meilleurs délais.

Enfants

Les participants peuvent être des enfants. Leurs données sont fournies par un parent ou tuteur, qui gère la réservation depuis son propre compte client. Les comptes clients sont destinés aux adultes.

Modifications de cette politique

Nous pouvons modifier cette politique lorsque Plek ou la loi évolue. La date en haut de page indique la dernière version. Nous informons les organisations et collaborateurs à l'avance des changements importants.

Contact

Small Victories, Mellestraat 303, 9090 Merelbeke-Melle, numéro d'entreprise BE0793.301.929. E-mail : hello@small-victories.co.