Politique de confidentialité du logiciel de gestion Dona

Cette politique décrit le traitement des données personnelles par le logiciel Dona, à destination des personnes abonnées, qui exercent à leur compte dans le bien être, et de leur clientèle.

L'essentiel en bref

• Pour vos données à vous, personne abonnée, Dona est responsable de traitement. Vous écrivez à Dona.
• Pour les données de votre clientèle, vous êtes responsable de traitement et Dona n'est que votre sous traitant. Une personne cliente s'adresse d'abord à vous.
• Aucune donnée de santé n'est demandée par l'outil. Un garde fou dans la base refuse les mots de santé partout, sauf dans vos notes privées, voir la section 5.
• Vos notes privées sur une personne cliente sont chiffrées, rangées à part, et Dona n'y accède jamais.
• Six prestataires seulement, Netlify, Supabase, Stripe, Brevo, Anthropic, Apple, plus Expo pour les notifications et Google pour les polices.
• Aucune donnée n'est vendue, louée ni cédée. Aucun traceur publicitaire, aucun bandeau de consentement, deux cookies de connexion et rien d'autre.
• Vos droits s'exercent à contact@dona-app.fr, et devant la CNIL si vous estimez qu'ils ne sont pas respectés.
• Plusieurs durées de conservation sont fixées, voir la section 12.

1. Qui édite ce logiciel

Ce logiciel est édité par BNJ APP, entreprise individuelle de Benjamin.

Il n'y a pas de délégué à la protection des données.

2. Le partage de responsabilité, à lire en premier

Deux situations distinctes, qui ne se mélangent jamais.

Vos données à vous, personne abonnée. Vous ouvrez un compte chez Dona, vous payez un abonnement, vous renseignez votre activité. Pour ces données là, BNJ APP est responsable de traitement. C'est Dona qui décide pourquoi elles sont collectées et ce qu'elle en fait. C'est donc à Dona que vous vous adressez pour y accéder, les corriger ou les faire disparaître.

Les données de votre clientèle. C'est vous, et vous seulement, qui décidez de tenir un fichier de clientèle, d'y noter un rendez-vous, d'envoyer un rappel, d'écrire une note. Vous êtes responsable de traitement pour ces données là. Dona n'est que sous traitant, c'est à dire un prestataire technique qui héberge et fait fonctionner l'outil pour votre compte, et qui n'a pas le droit de s'en servir pour autre chose.

Ce que cela veut dire concrètement.

• Dona ne réutilise jamais votre fichier de clientèle pour sa propre prospection.
• Dona ne revend, ne loue et ne cède aucune donnée à personne.
• Une personne cliente qui veut exercer ses droits s'adresse d'abord à vous, la personne abonnée qui la reçoit.
• C'est à vous d'informer les personnes clientes de ce que vous faites de leurs données. Dona vous fournit

l'outil, elle ne se substitue pas à vous vis à vis de votre clientèle.

• Quand vous supprimez la fiche d'une personne cliente, Dona applique votre décision, elle n'en prend aucune.

L'accord de sous traitance au sens de l'article 28 du RGPD formalise cette répartition entre vous et Dona. Il est annexé aux conditions générales de vente, accepté en même temps qu'elles, et publié à l'adresse www.dona-app.fr/accord-de-sous-traitance.

3. Les données des personnes abonnées

Dona est responsable de traitement pour tout ce qui suit.

3.1 Ce qui est collecté

Votre identité et votre activité. Nom, prénom, nom commercial, adresse électronique, téléphone, adresse postale, code postal, ville, numéro SIRET et sa date de vérification, régime micro, exonération ACRE, périodicité de déclaration URSSAF, date de début d'activité, votre déclaration d'agir à titre professionnel, avec sa date et la version des conditions acceptées.

Vos paramètres de travail. Nombre de séances réalisables par mois, revenu net visé, taux de mise de côté, charges fixes, prestations et prix, disponibilités et indisponibilités, temps de trajet, rayon de déplacement, délai d'annulation tardive, part d'acompte demandée.

Votre présence publique. Adresse courte de votre fiche d'annuaire, texte de présentation, résumé de fiche, latitude et longitude, sous domaine et éventuel domaine propre de votre site vitrine, couleurs, police, initiales, images de cabinet que vous déposez. Les formations, certifications et diplômes que vous choisissez d'afficher, avec leur intitulé, leur organisme et leur année. Ils sont publiés tels que vous les déclarez, avec la mention qu'ils ne sont pas vérifiés par Dona.

Votre comptabilité. Encaissements, factures émises, frais avec le nom du fournisseur et les montants, justificatifs photographiés, déplacements en kilomètres avec leur motif, déclarations URSSAF enregistrées.

Votre abonnement. Palier, dates de changement, fin d'engagement, identifiants de client et d'abonnement chez Stripe, règlements et relances, quota de messages consommé.

Vos échanges avec le support. Les messages que vous écrivez à Dona dans le chat de support et ses réponses, leur date et leur heure, le fait qu'ils ont été lus, et les captures d'écran que vous y joignez, une par message, image seulement. Le chat n'est pas fait pour les données des personnes clientes, n'y indiquez aucune information sur leur santé. Ils sont gardés trois ans après le dernier message de votre fil, les captures d'écran un an après leur envoi. Si vous fermez votre compte sans rien devoir sur votre abonnement, votre fil est effacé aussitôt. S'il reste une somme due, il est gardé tant qu'elle reste due, dans la limite de ces mêmes durées.

Vos agendas personnels reliés. Si vous choisissez de relier un agenda personnel Google Agenda, Outlook ou iCloud à Dona Pro, vous nous confiez son lien privé de publication. Dona conserve ce lien sur son serveur, ne le réaffiche jamais, ne le transmet à personne et ne demande jamais votre mot de passe. Dona lit cet agenda environ toutes les demi-heures, en lecture seule, et n'en garde que le début et la fin de vos plages occupées, de la veille à quatre-vingt-dix jours. Les titres, lieux, descriptions et participants de vos événements sont ignorés dès la lecture et ne sont jamais enregistrés. Ces plages servent uniquement à vous éviter un double engagement. Elles ferment les créneaux correspondants à la réservation en ligne, sans que les personnes clientes en voient la raison. Dona n'écrit jamais rien dans vos agendas. Vous pouvez retirer un agenda à tout moment depuis Réglages, Mes autres agendas, son lien et toutes les plages lues avec lui sont alors effacés. Si votre abonnement ne comprend plus cette fonction, ou si votre compte passe en accès restreint, vos agendas cessent d'être lus et les plages déjà lues sont effacées, leurs liens restent enregistrés jusqu'à ce que vous les retiriez. Si vous fermez votre compte, vos agendas, leurs liens et leurs plages sont effacés. Pour un agenda iCloud, le lien de calendrier public peut être lu par toute personne qui le détient, c'est le fonctionnement d'Apple, Dona ne le communique à personne.

Vos accès. Adresse électronique et mot de passe gérés par le service d'authentification de Supabase. Si vous installez l'application sur votre téléphone, un jeton de notification du dernier appareil connecté, et lui seul, jamais un historique d'appareils.

Votre préférence d'écriture. La forme dans laquelle vous souhaitez que Dona accorde les textes qu'elle vous écrit, « praticienne » ou « praticien ». Elle sert seulement à accorder les écrans, les courriels et les notifications que Dona vous adresse. Elle vaut « praticienne » tant que vous ne la changez pas, la choisir n'est donc jamais obligatoire. La même préférence est enregistrée, pour le même usage, pour chaque personne invitée sur votre compte. Elle n'est transmise à aucun tiers et n'est jamais demandée aux personnes clientes. Elle est gardée aussi longtemps que le compte.

Aucune donnée bancaire n'est enregistrée par Dona. Les coordonnées de carte sont saisies chez Stripe, jamais dans la base de Dona.

3.2 Pourquoi, et sur quelle base

3.3 Le classement du parrainage entre personnes abonnées

Dans le cadre du programme de parrainage décrit à l'article 5 bis des conditions générales de vente et à l'article 11 bis des conditions générales d'utilisation, Dona tient un classement des personnes abonnées selon les XP qu'elles ont gagnés par le parrainage.

Ce qui est montré. Pour chaque personne abonnée classée, son prénom, l'initiale de son nom, la photo de profil de sa fiche en miniature si elle en a déposé une, son rang et ses XP gagnés par le parrainage depuis le lancement du programme. Une personne abonnée n'y figure qu'à partir de son premier XP de parrainage. Aucune donnée nouvelle ne vous est demandée pour y figurer. Dona enregistre seulement la date à laquelle vous vous en retirez, si vous le faites.

Pourquoi. Faire vivre le programme de parrainage entre personnes abonnées, en montrant à chacune sa place parmi les autres, et attribuer chaque mois le badge Parrainage du mois.

Sur quelle base. L'intérêt légitime de Dona à animer son programme de parrainage. Vous figurez au classement sans démarche de votre part, et vous pouvez vous y opposer à tout moment en vous en retirant, comme décrit plus bas.

Qui le voit. Les personnes abonnées connectées à leur espace Dona, dans l'application Dona Pro comme sur le site, et Dona. Jamais les personnes clientes, ni dans l'application Dona destinée aux personnes clientes ni ailleurs. Jamais le public, ni sur le site de Dona, ni sur une fiche d'annuaire, ni sur un site vitrine. Les comptes de démonstration n'y figurent jamais et les XP gagnés en mode essai n'y comptent pas.

Le badge Parrainage du mois. La personne abonnée qui a gagné le plus d'XP par le parrainage au cours d'un mois reçoit le badge Parrainage du mois pour le mois qui suit. À égalité, il revient à celle qui a atteint son total la première. Ce badge est la seule information tirée du classement qui soit rendue publique. Il s'affiche sur sa fiche d'annuaire consultée sur le site de Dona, sans ses XP ni son rang. Il n'apparaît pas dans l'application Dona destinée aux personnes clientes. Une ambassadrice ou un ambassadeur ne figure pas au classement pendant son statut et ne reçoit pas ce badge, voir la section 3.5.

Vous retirer du classement. Vous pouvez vous en retirer à tout moment, sans motif et sans frais, depuis l'écran Parrainage de votre espace, dans l'application comme sur le site, et y revenir de la même façon. Après votre retrait, vous n'apparaissez plus aux autres personnes abonnées et le badge Parrainage du mois ne vous est plus attribué. Le retrait s'applique au classement dès votre choix, et à votre fiche d'annuaire dans les minutes qui suivent. Vos XP restent comptés, le retrait ne vous fait rien perdre. Ce retrait vaut exercice de votre droit d'opposition, que vous pouvez aussi exercer en écrivant à contact@dona-app.fr, comme vos autres droits décrits en section 13.

Combien de temps. Le classement n'est pas conservé à part, il est recalculé à chaque consultation à partir de vos XP des ligues. Vous y figurez tant que vous avez au moins un XP de parrainage, que vous n'avez pas demandé votre retrait et que votre compte est actif ou en accès restreint. Un compte bloqué pour impayé ou fermé n'y apparaît plus. Vos XP suivent la durée décrite à la section 3.4. La date de votre retrait est gardée aussi longtemps que votre compte.

3.4 Les ligues Dona

Les ligues Dona sont décrites à l'article 11 ter des conditions générales d'utilisation et dans le règlement des ligues.

Ce qui est enregistré. Vos points d'expérience, ligne par ligne, avec l'action qui les a rapportés, la référence de cette action dans Dona (un rendez vous, un avis, un partage, une visite par votre lien), leur date, leur état, en attente, acquis ou retiré, et le motif d'un retrait. Votre niveau. Vos journées validées et votre série. Vos défis réussis, votre objectif de la semaine et vos étapes de prise en main. Vos badges. Chaque semaine, votre ligue, votre groupe, votre rang, vos points de la semaine et votre résultat, montée, maintien ou descente. Les collègues que vous ajoutez dans Mes collègues. Vos réclamations sur les points, par le formulaire de contact. Aucune donnée d'une personne cliente n'y entre, seuls des nombres comptent, jamais un montant encaissé ni la note d'un avis.

Vos cadeaux. Le cadeau de chaque semaine gagnée, sa nature, son état et ses dates. Pour des SMS offerts, un paquet de messages. Pour une mise en avant, ses dates. Pour un mois offert ou un mois au palier supérieur, les références de la remise et du planning chez Stripe, ou de l'offre acceptée chez Apple, jamais une donnée de carte. Pour un cadeau fait à la main, la tâche de l'équipe de Dona, son état et sa note interne. Dona tient aussi, pour elle seule, le coût estimé de chaque cadeau, qui ne vous est jamais montré.

Qui le voit. Le classement de votre groupe et Mes collègues montrent aux personnes abonnées connectées votre prénom, l'initiale de votre nom, votre photo de profil en miniature si vous en avez déposé une, vos points de la semaine et la flamme de votre série, jamais votre adresse, votre fiche ni votre clientèle. Jamais les personnes clientes, jamais le public. L'équipe de Dona voit vos points, vos cadeaux et le classement réel pour les administrer. Stripe ou Apple reçoivent seulement ce qu'il faut pour appliquer un cadeau qui touche votre abonnement, comme pour l'abonnement lui même, voir la section 10.

Vous retirer du classement. Vous pouvez vous retirer du classement des ligues à tout moment, sans motif et sans frais, depuis l'écran des ligues ou l'écran Parrainage, et y revenir. Ce retrait vaut exercice de votre droit d'opposition. Vous n'apparaissez plus aux autres personnes abonnées et vous n'avez plus de groupe ni de cadeau de fin de semaine. Vos points d'expérience et votre niveau restent. Dans Mes collègues, chaque personne peut retirer l'autre à tout moment, les deux sens partent ensemble.

Combien de temps. Ces données sont gardées tant que votre compte existe et effacées avec lui. Les références d'un cadeau qui touche votre abonnement sont aussi gardées avec les factures de Dona, dix ans, comme toute pièce comptable. Une réclamation suit la durée des demandes de contact.

3.5 Le programme des ambassadrices et ambassadeurs

Le programme est décrit à l'article 11 quater des conditions générales d'utilisation et par sa charte.

Si vous êtes ambassadrice ou ambassadeur. Dona enregistre votre statut et son historique (sa pose, la version de la charte que vous avez acceptée et sa date, sa fin et son motif), vos points du championnat ligne par ligne avec leur état, en attente, acquis ou annulé, votre classement de chaque trimestre, vos codes d'invitation et vos rencontres, et vos primes avec leur montant, leur état et leurs dates. Dona ne demande ni ne garde dans l'application aucune coordonnée bancaire.

Si vous vous êtes inscrite ou inscrit avec le code d'une ambassadrice ou d'un ambassadeur. Dona enregistre votre rattachement à cette personne et l'état de votre abonnement, inscrite ou inscrit, active ou actif, partie ou parti, avec sa date. L'ambassadrice ou l'ambassadeur voit seulement votre prénom, l'initiale de votre nom, cet état et sa date. Elle ou il ne voit jamais un montant, une facture, un moyen de paiement ni le motif d'un départ. Vous en êtes informée ou informé au moment de votre inscription.

Pourquoi. Faire vivre le programme, montrer à chaque ambassadrice et ambassadeur ses résultats, revoir son statut chaque trimestre, calculer et suivre les primes et le cadeau du trimestre.

Sur quelle base. L'exécution de la charte du programme pour l'ambassadrice ou l'ambassadeur. L'intérêt légitime de Dona pour le suivi des personnes apportées, avec l'information donnée au moment de l'inscription.

Qui le voit. L'ambassadrice ou l'ambassadeur pour ses propres données, et pour les personnes apportées dans la seule mesure décrite plus haut. L'équipe de Dona pour administrer le programme. Jamais le public, jamais les personnes clientes.

Combien de temps. Le statut, les points et le classement sont gardés tant que le compte existe et effacés avec lui. Les primes sont gardées avec les pièces comptables de Dona, dix ans.

3.6 Les présences aux rencontres de présentation

Une ambassadrice ou un ambassadeur peut organiser une rencontre pour présenter Dona Pro. Si vous y participez, vous pouvez confirmer vous même votre présence, sur la page ouverte par le lien ou le QR code de la rencontre.

Ce qui est enregistré. Votre prénom et l'adresse de courriel que vous saisissez, la rencontre, et la date à laquelle vous confirmez votre présence par le lien reçu à cette adresse.

Pourquoi. Vérifier qu'une présence est réelle, compter une seule présence par personne sur trente jours, et rattacher à la rencontre un abonnement pris pendant celle ci ou dans les trente jours qui suivent.

Sur quelle base. Votre demande, puisque c'est vous qui confirmez votre présence.

Qui le voit. L'ambassadrice ou l'ambassadeur voit le nombre de présences confirmées et les prénoms. L'équipe de Dona pour contrôler les présences. Un seul courriel vous est envoyé, celui qui confirme votre présence, parce que vous l'avez demandé. Aucun autre envoi ne suit.

Combien de temps. Si vous n'ouvrez pas de compte Dona, votre adresse est effacée quatre vingt dix jours après la rencontre, seul le nombre de présences reste. Si vous ouvrez un compte, votre présence suit la durée de votre compte.

3.7 La vérification de votre entreprise et l'appel de mise en place

Avant que votre page soit publiée, l'équipe de Dona vous présente le logiciel et vérifie votre entreprise avec vous, lors d'un appel vidéo de trente minutes que vous demandez vous même.

Ce qui est enregistré. Les moments de disponibilité que vous indiquez, le moyen de l'appel, WhatsApp vidéo au numéro de votre profil ou Google Meet, l'état de l'appel, et la liste des contrôles faits par l'équipe, chacun coché avec sa date. Le justificatif d'entreprise que vous déposez, un avis de situation Sirene, une attestation du registre national des entreprises ou un extrait K ou Kbis de moins de trois mois, en PDF. La forme d'entreprise que vous avez déclarée à Stripe, si vous avez raccordé votre compte, lue pour la comparer à ce justificatif.

Ce qui n'est jamais enregistré. Votre pièce d'identité. Vous la montrez pendant l'appel vidéo, Dona n'en garde ni copie, ni capture, ni numéro. Ne la déposez jamais dans Dona.

Qui le voit. Vous, et l'équipe de Dona pour la vérification. Le justificatif reste privé, il n'est jamais publié. Chaque ouverture du justificatif par l'équipe est inscrite au journal des accès de la section 7.2.

Combien de temps. Le justificatif, la liste des contrôles et l'historique des appels sont gardés aussi longtemps que votre compte, et effacés à sa fermeture.

4. Les données de la clientèle des personnes abonnées

Pour tout ce qui suit, la personne abonnée est responsable de traitement et Dona est sous traitant.

4.1 Ce que l'outil enregistre

La fiche de la personne cliente. Nom, prénom, téléphone, adresse électronique, adresse postale, code postal, ville, date de première venue, deux cases distinctes pour accepter les rappels et pour accepter les relances, la date d'un éventuel refus par SMS, la date d'anonymisation si elle a eu lieu.

Les rendez-vous. Date et heure de début et de fin, prestation choisie, lieu, statut, origine, acompte attendu, date d'envoi du rappel, qui a annulé et quand.

Les réservations en ligne. Un jeton propre à la réservation, la date d'acceptation des conditions et le numéro de version des conditions acceptées ce jour là.

Le suivi commercial. Cures achetées et séances décomptées, encaissements, paiements avec la référence de transaction du prestataire, factures. Une facture recopie au moment de son émission le nom, le prénom et l'adresse de la personne cliente, et ne se modifie plus jamais ensuite. Un reçu de pourboire recopie de même, au moment de son émission, le prénom et le nom de la personne cliente, et ne se modifie plus ensuite. Quand un pourboire est remboursé ou contesté, Dona enregistre le montant rendu, sa date et la référence du prestataire de paiement, conservés dix ans comme les autres écritures d'argent.

Les envois. Un journal avec le type de message, le canal, le statut, la référence chez le prestataire, le nombre de segments, le coût, les dates et, pour une campagne, la campagne à laquelle l'envoi appartient. Ce lien est effacé avec le texte de la campagne, douze mois après l'envoi, l'envoi reste au journal sans dire à quelle campagne il appartenait. Un message refusé par le prestataire est rendu au solde de la personne abonnée, et cette restitution est gardée avec le journal. Les messages décomptés pour une personne destinataire à qui rien n'est finalement parti, parce qu'elle a retiré son accord, parce que la limite des messages de service est atteinte ou parce que l'envoi a été retenu pour accès restreint, sont rendus de la même façon, une seule fois. Le texte d'un rappel ou d'un message automatique n'est pas conservé, il se reconstitue depuis le modèle de Dona. Le texte d'une campagne ou d'un message écrit par la personne abonnée à une personne cliente est conservé douze mois après l'envoi, avec la liste de ses destinataires, pour l'historique de la personne abonnée, puis effacé. Le nombre de destinataires, de messages partis et d'échecs, le coût, les dates et la nature du message restent. Les réponses des personnes clientes à un SMS ou à un courriel ne sont jamais versées au dossier.

La notation. Un avis de la personne cliente sur la personne abonnée, trois notes de 1 à 5 sur l'accueil, l'écoute et la ponctualité, un commentaire facultatif, et la réponse éventuelle de la personne abonnée. L'avis devient public une fois révélé. À l'inverse, la note de la personne abonnée sur la personne cliente, de 1 à 5, reste strictement privée et n'apparaît jamais nulle part.

La liste d'attente, quand la personne abonnée y inscrit une personne cliente.

Les notes privées de la personne abonnée, voir la section 5, qui leur est entièrement consacrée.

4.2 Ce que l'outil ne demande jamais

Le formulaire de réservation et le formulaire de création d'espace demandent quatre choses et quatre seulement, nom, prénom, téléphone, adresse électronique. Pas de photographie, pas de zone de commentaire libre, pas de questionnaire. Pour un proche, trois choses seulement, voir la section 4.4.

La base elle même est conçue pour l'empêcher. Un contrôle technique refuse à l'écriture tout texte contenant un mot lié à la santé, dans tous les champs libres rattachés à une personne cliente.

Une exception existe, décrite en section 5.

4.3 Pourquoi, et sur quelle base

Les deux cases sont indépendantes l'une de l'autre et indépendantes de la réservation. Refuser les relances n'empêche jamais de réserver.

4.4 Les proches d'une personne cliente

Une personne cliente peut réserver pour un proche, un enfant, un parent, un ami ou une amie, depuis son propre compte. Le compte reste le sien, unique et personnel. Un proche n'a ni compte, ni identifiant, ni mot de passe.

Ce qui est enregistré. Le prénom et le nom du proche, et une case indiquant s'il a moins de 18 ans. Jamais de date de naissance, jamais de coordonnées, jamais rien d'autre. Cinq proches au plus par compte.

L'information du proche. En ajoutant un proche, la personne titulaire s'engage à l'informer que son prénom et son nom sont enregistrés dans Dona pour ses rendez-vous.

Sur le rendez-vous. Le rendez-vous reste celui de la personne titulaire du compte. C'est elle qui reçoit les rappels, règle, est remboursée, annule et laisse un avis, et son taux de rendez-vous honorés reste le sien. Le rendez-vous porte en plus le prénom et le nom du proche et la mention moins de 18 ans quand elle s'applique. La personne abonnée voit ces informations, avec le nom de la personne titulaire.

Qui les voit. La liste des proches n'est visible que de la personne titulaire. Une personne abonnée ne voit un proche que s'il a eu un rendez-vous chez elle, et seulement sur ce rendez-vous. Une autre personne abonnée ne le voit jamais.

Les notes de la personne abonnée. Une note écrite par la personne abonnée sur un proche est rattachée à ce proche, pas à la personne titulaire, et reçoit exactement la protection décrite en section 5. Aucune autre donnée ne s'y ajoute.

Les mineurs. Une personne abonnée peut choisir de ne pas recevoir les moins de 18 ans. Ses créneaux ne sont alors pas proposés pour un proche mineur.

Supprimer un proche. La personne titulaire le supprime à tout moment depuis son compte. Le proche disparaît de sa liste et les notes de la personne abonnée sur lui sont effacées. Les rendez-vous déjà pris et les factures restent, avec la copie du nom du proche, pour la durée de conservation de l'historique de la personne titulaire. À la fermeture du compte de la personne titulaire ou à l'effacement de sa fiche, ses proches sont supprimés et leur nom est effacé de ses rendez-vous.

5. Les notes privées de la personne abonnée sur la personne cliente

5.1 Ce que c'est

La fiche de chaque personne cliente porte un bloc de notes en texte libre, de 4 000 caractères au plus, que la personne abonnée écrit pour elle même.

5.2 Comment elles sont protégées

Ce que le fonctionnement réel de l'outil montre.

• Les notes vivent à part, jamais mélangées à la fiche de la personne cliente.
• Le texte est chiffré au repos, avec une clé propre à ces notes, rangée dans le

coffre de Supabase. Cette clé n'est jamais lue par l'interface de programmation.

• Aucune règle ne permet de les lire ni de les écrire directement. Deux fonctions et deux

seulement y touchent, et chacune vérifie d'abord que la personne cliente appartient bien à la personne abonnée qui appelle.

• Le droit d'exécuter la fonction qui lit la clé a été explicitement retiré aux rôles

techniques de la base, y compris au rôle de service.

• Dona n'y accède jamais. L'accès de dépannage ouvert à Dona exclut expressément

les notes, et aucune règle ne lui donne accès à ces données. Le domaine d'administration ne les lit jamais.

• Les notes ne partent nulle part. Ni courriel, ni export, ni document remis à la personne cliente, ni

page publique, ni service tiers, ni service de transcription.

• Effacer la fiche d'une personne cliente efface sa note.

6. Le lien d'espace de la personne cliente

6.1 Ce que c'est

Pour réserver en ligne, une personne cliente crée un compte Dona, avec son adresse électronique et un mot de passe. Ce compte rassemble ses rendez-vous chez toutes les personnes abonnées auprès desquelles elle réserve, chacune ne voyant que ce qui la concerne. En plus de ce compte, la fiche de chaque personne cliente porte un identifiant aléatoire unique, tiré une fois pour toutes à la création de la fiche. Cet identifiant forme une adresse de page personnelle, de la forme /mon-espace/ suivie de l'identifiant.

Sur cette page, la personne cliente voit ce qui la concerne et rien d'autre. Ses rendez-vous avec cette personne abonnée, ses factures, son taux de rendez-vous honorés, l'avis qu'elle peut déposer, la contestation qu'elle peut former. Jamais la fiche d'une autre personne cliente, jamais autre chose que sa propre relation avec cette personne abonnée.

6.2 Comment il circule

• Le jeton part uniquement par courriel, à l'adresse que la personne cliente a elle même donnée.

Il n'est jamais affiché dans un navigateur avant cet envoi.

• Le courriel part au moment de la réservation en ligne, ou de la création de l'espace, ou

lorsque la personne abonnée demande à le renvoyer depuis sa fiche.

• Le lien n'est jamais regénéré. Renvoyer l'espace renvoie le même lien, jamais un nouveau.
• Un seul envoi par heure et par fiche, et vingt fiches par heure et par personne abonnée au plus,

pour que personne ne puisse déclencher des envois en série vers l'adresse d'un tiers.

• La réponse du serveur est la même que l'adresse soit déjà connue ou non, pour qu'un curieux ne

puisse pas deviner qui réserve chez qui.

6.3 Ce que cela implique pour la personne cliente

Ce lien vaut clé. Quiconque le possède ouvre l'espace, il est donc à garder pour soi, comme le dit le courriel qui le porte. La durée de validité de ce lien et la possibilité de le révoquer ne sont pas déterminées à ce jour, l'outil n'en prévoit aucune aujourd'hui.

7. Ce que Dona voit, et ce qu'elle trace

7.1 L'accès de dépannage

L'équipe de Dona doit pouvoir ouvrir le dossier d'une personne abonnée qui l'appelle ou qui lui écrit. Un accès de dépannage encadré est ouvert à Benjamin et aux membres de l'équipe qu'il désigne, chacun avec son propre identifiant.

Ce que Dona peut voir.

• Le dossier de la personne abonnée, son identité, son abonnement, ses quotas, son site.
• La liste de sa clientèle, avec nom, prénom, téléphone, adresse électronique, ville, les deux

cases d'acceptation et les dates.

• Ses rendez-vous, dates, statut, origine, lieu, annulation.

Ce que Dona peut corriger. La fiche d'une personne cliente et un rendez-vous qui existent déjà. Dona ne supprime jamais une fiche ni un rendez-vous.

La reprise d'un fichier. Sur la demande de la personne abonnée, Dona peut reprendre pour elle le fichier de sa clientèle, ses prestations et ses rendez-vous à venir, venus d'un autre logiciel, et les créer dans son espace. La personne abonnée dépose son fichier dans son espace, ou l'envoie par courriel à Dona. La date de sa demande est gardée. Le fichier reçu est effacé dès la reprise faite, et au plus tard trente jours après sa réception. Chaque fiche, prestation ou rendez-vous créé ainsi porte la mention de la reprise, visible par la personne abonnée. Les accords des personnes clientes pour les rappels et pour les offres sont repris tels que le fichier les porte, ou tels que la personne abonnée les déclare pour son fichier, sous sa responsabilité.

Ce que Dona ne voit jamais. Le contenu des notes sur la clientèle. Les factures. Aucune règle n'existe qui le permette.

7.2 Le journal des accès

Chaque ouverture par Dona du dossier, des personnes clientes ou des rendez-vous d'une personne abonnée s'enregistre dans un journal. Cette ligne porte qui a regardé, quelle personne abonnée, quel écran, et à quel moment.

Chaque changement de l'offre, du statut ou des droits d'un compte de personne abonnée, fait par l'équipe de Dona, par un paiement ou par un traitement automatique, s'enregistre aussi dans une trace en écriture seule. Elle porte la date, la donnée changée, sa valeur avant et après, et la personne de l'équipe quand c'en est une. Elle est lisible par Dona seule, et gardée tant que le compte existe, puis trois ans après sa fermeture.

Ce journal est en écriture seule. Aucune règle ne permet de le modifier ni de le supprimer, et cela vaut aussi pour Dona. Une correction s'écrit comme une entrée nouvelle, jamais en retouchant une ligne existante.

La personne abonnée consulte dans son espace les accès portés à son propre dossier et les reprises faites pour elle.

8. Les visiteurs du site et des fiches d'annuaire

Une personne qui consulte une fiche d'annuaire ou le site vitrine d'une personne abonnée, sur le site comme dans l'application Dona, sans réserver ni rien remplir, n'est identifiée d'aucune façon.

Nous comptons les visites des fiches et des sites vitrines, sans cookie, avec une clé tirée au hasard rangée dans la mémoire de l'onglet ou de l'application, effacée à sa fermeture. Ces données servent uniquement à produire des statistiques anonymes de fréquentation pour Dona et la personne abonnée concernée. Elles ne sont croisées avec aucun autre traitement et sont conservées 25 mois au plus. Vous pouvez vous y opposer à tout moment.

Ce qui est compté. Le type de page, fiche d'annuaire ou site vitrine. Une clé de visite tirée au hasard, rangée dans la mémoire de l'onglet du navigateur, qui disparaît à sa fermeture, ou dans la mémoire de l'application Dona, qui disparaît quand l'application se ferme. Le seul nom de domaine de la page précédente, jamais son chemin ni ses paramètres. Le type d'appareil réduit à deux valeurs, mobile ou ordinateur. La date.

Ce qui n'est pas fait. Aucun cookie n'est déposé pour compter. Aucune adresse de connexion n'est conservée. Aucune empreinte de navigateur n'est calculée. Aucun code de parrainage n'est lu ni envoyé, le comptage ne sert ni au parrainage ni aux ligues. La clé ne relie que les pages vues dans un même onglet ou pendant une même ouverture de l'application, jamais une visite à une autre, jamais un site à un autre.

Ce que voit la personne abonnée. Seulement le nombre de visites de ses propres pages, sur une période et depuis le début du comptage. Elle ne lit jamais les visites une à une.

Vous y opposer. Le lien ci dessous arrête le comptage de vos visites sur l'appareil et le navigateur où vous le suivez. Sur le site, votre choix est gardé dans un cookie qui ne porte que ce choix, pendant treize mois, et qui vaut pour les fiches d'annuaire comme pour tous les sites vitrines de Dona. Dans l'application Dona, le même lien se trouve dans cette politique, ouverte depuis les réglages, et votre choix est gardé dans le stockage sécurisé de l'appareil. Vous revenez sur votre choix par le même lien.

Ne plus compter mes visites

Cette mesure ne sert qu'à produire ces statistiques, c'est pourquoi le comptage fonctionne sans recueillir de consentement.

8 bis. L'annuaire des établissements

D'où viennent les pages. L'annuaire de Dona présente aussi des établissements qui ne sont pas inscrits sur Dona. Leurs noms, communes et activités viennent des stocks mensuels Sirene de l'INSEE, publiés sous Licence Ouverte 2.0. Seuls figurent les établissements actifs et entièrement diffusibles des activités de coiffure, de beauté et d'entretien corporel, en France métropolitaine et dans les départements d'outre mer. Un établissement dont la diffusion est limitée dans Sirene n'apparaît pas.

Ce qu'une page non inscrite montre. Le nom, la commune et l'activité, tels que publiés par l'INSEE, et la mention que l'établissement n'est pas encore sur Dona. Aucune réservation n'est possible. Dona n'écrit jamais à un établissement non inscrit. Une personne cliente peut partager elle même le lien de la page avec lui.

Pourquoi, et sur quelle base. Permettre aux personnes clientes de trouver un établissement près de chez elles et à l'établissement de rejoindre Dona. Intérêt légitime de Dona, à partir de données publiques ouvertes à la réutilisation, avec le retrait immédiat décrit plus bas.

Retirer une page. Chaque page non inscrite porte un lien de retrait, utilisable sans compte. La page disparaît aussitôt et ne revient pas au prochain import. Dona garde seulement le numéro SIRET de l'établissement, pour ne pas la réimporter. Une page revendiquée par son établissement ne se retire que depuis l'espace de celui ci. Pour éviter les retraits abusifs, chaque retrait sans compte laisse une trace, avec sa date et une empreinte de l'adresse réseau qui ne permet pas de retrouver cette adresse, jamais l'adresse en clair. Au delà de cinq retraits par jour pour une même empreinte, ou de cent retraits par jour pour tout l'annuaire, la demande est enregistrée et traitée par l'équipe de Dona sous vingt quatre heures. Une page retirée ne revient que sur demande de l'établissement, par l'équipe de Dona.

Revendiquer une page. Un établissement revendique sa page en se connectant à un compte Dona Pro qui porte le même SIRET. Sa page devient la sienne et passe par la vérification de la section 3.7.

Rectifier une information. Un établissement peut demander la rectification de son nom ou de sa commune. La rectification est gardée au prochain import. Les autres données viennent de l'INSEE, et l'établissement peut aussi les faire corriger auprès de l'INSEE.

9. Cookies et traceurs

Il n'y a aucun traceur publicitaire, aucune mesure d'audience d'un tiers, aucun pixel, aucun bandeau de consentement, pour une raison simple, il n'y a rien à consentir.

Trois cookies peuvent exister, et trois seulement. Les deux premiers portent les jetons de connexion de la personne abonnée qui s'identifie depuis un navigateur. Ils sont inaccessibles au code de la page, ils servent uniquement à maintenir votre connexion, ils disparaissent à la déconnexion. Le troisième, dona_mesure_refus, n'existe que si vous vous opposez au comptage des visites, section 8. Il ne porte que ce choix, il est lu par les fiches d'annuaire et les sites vitrines de Dona pour ne plus compter vos visites, il dure treize mois. Ce sont des cookies strictement nécessaires au service ou à votre choix, ils ne demandent pas de consentement.

La mémoire de l'onglet. Trois clés peuvent être rangées dans la mémoire de l'onglet du navigateur, appelée sessionStorage, effacée à la fermeture de l'onglet, jamais transmise à un tiers. dona_cle_visite, la clé de visite tirée au hasard du comptage décrit à la section 8, jamais posée après votre opposition. dona_parrainage, le code de parrainage lu dans l'adresse d'une fiche d'annuaire, gardé le temps de la visite pour accompagner la création d'un compte ou une réservation faite depuis cette fiche, jamais le comptage. dona_reservation_message, le message de confirmation d'une réservation, gardé le temps d'un paiement en ligne pour être montré au retour sur la fiche, puis effacé.

Sur le téléphone, l'application ne pose pas de cookie. Les jetons vivent dans le stockage sécurisé de l'appareil. La clé de visite de l'application vit dans sa mémoire, le temps d'une ouverture. Votre opposition au comptage, si vous la choisissez, est gardée dans le stockage sécurisé de l'appareil, jusqu'à ce que vous reveniez sur votre choix.

Les polices de caractères des pages de Dona, des fiches d'annuaire et des sites vitrines des personnes abonnées sont hébergées par Dona. Leur chargement ne passe par aucun service tiers.

10. Les destinataires et les sous traitants

Liste établie depuis le code.

L'INSEE n'est pas un destinataire. C'est la source publique des pages de l'annuaire décrite à la section 8 bis.

Un dispositif de relevé de données publiques d'établissements concurrents est prévu, mais aucun code ne l'alimente aujourd'hui. Ce point est donc décrit ici comme inactif, et cette page devra être reprise le jour où il le deviendra.

Aucune donnée n'est vendue, louée, ni transmise à un tiers pour son propre compte. Dona n'utilise jamais le fichier de clientèle d'une personne abonnée pour sa propre activité.

11. Les transferts hors Union européenne

La base de données est hébergée dans l'Union européenne, en Irlande. Certains prestataires relèvent de pays hors de l'Union. Voici, pour chacun, le fondement du transfert tel qu'il le publie lui même, relevé le 26 septembre 2026.

12. Combien de temps les données sont gardées

Le texte d'une campagne ou d'un message écrit par la personne abonnée à une personne cliente, et la liste de ses destinataires, sont gardés douze mois après l'envoi puis effacés, le lien de chaque envoi du journal vers cette campagne est effacé en même temps, les nombres restent, décision de Dona.

Les durées des catégories qui ne figurent pas dans ce tableau ni dans ce paragraphe ne sont pas encore arrêtées.

13. Vos droits

Vous disposez, selon les conditions prévues par le RGPD, du droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment.

Si vous êtes une personne abonnée. Vous écrivez à contact@dona-app.fr. Vous retrouvez par ailleurs l'essentiel de vos données directement dans vos écrans, où vous les modifiez vous même.

Si vous êtes une personne cliente d'une personne abonnée. Vous vous adressez d'abord à la personne abonnée, c'est elle qui décide de son fichier. Son espace lui permet de corriger votre fiche, de couper les rappels et les relances, et d'effacer votre fiche.

Ce que l'effacement fait vraiment. Votre nom et votre prénom sont remplacés, votre téléphone, votre adresse électronique et votre adresse postale sont supprimés, vos notes privées sont détruites, vos rendez-vous à venir sont annulés, et les deux acceptations sont remises à zéro. Ce qui subsiste, ce sont les séances, les encaissements et les factures, que la loi comptable impose de conserver dix ans. Une facture déjà émise ne se modifie jamais, elle porte le nom et l'adresse recopiés le jour de son émission.

Pour les rappels et les relances par SMS, le mot STOP suffit, et il est enregistré.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL, sur cnil.fr.

Aucune décision produisant un effet juridique n'est prise de façon automatisée. Aucune moyenne de note n'est stockée, elle se recalcule à la lecture. Aucun tri ni filtre par note de personne n'existe nulle part dans le produit. Un avis n'est retiré que sur signalement et après décision humaine, jamais par un seuil ni par un automatisme.

14. La sécurité

Ce qui est réellement en place, constaté dans le code.

• Cloisonnement par ligne. Chaque table porte une règle de sécurité qui limite chaque

personne abonnée à ses propres lignes. Une personne abonnée ne peut pas lire la fiche d'une personne cliente, un rendez-vous, une facture ou un avis d'une autre personne abonnée. Ce cloisonnement est posé dans la base, pas dans l'application, ce qui veut dire qu'il tient même si l'application se trompe.

• Chiffrement au repos des notes sur la clientèle et des photographies de justificatifs de frais,

chacune avec sa propre clé rangée dans le coffre de la base.

• Chiffrement en transit sur toutes les liaisons.
• Jetons de session portés par des cookies inaccessibles au code de la page côté navigateur,

et par le stockage sécurisé de l'appareil côté téléphone. La clé de service, celle qui ouvre tout, ne quitte jamais le serveur et n'est jamais transmise au navigateur.

• Messages d'erreur nettoyés, aucun jeton ni aucune clé ne peut apparaître dans un journal.
• Factures gelées, une facture émise ne peut être ni modifiée ni supprimée, seul un avoir la

corrige.

• Journaux en écriture seule pour les accès de Dona et pour la modération.
• Limites de cadence sur les envois de courriels et la création de fiches, contre l'abus.
• Aucun secret n'est écrit dans le dépôt de code.

Cette liste décrit ce qui est en place. Elle ne vaut ni garantie d'absence de défaut, ni audit de sécurité.

15. Hiérarchie des documents

Cinq documents encadrent le service. En cas de contradiction entre eux, l'ordre suivant s'applique.

1. La présente politique prime sur tous les autres pour tout ce qui touche aux données

personnelles, aux durées de conservation, aux destinataires et à l'exercice des droits.

1. Les conditions générales de vente priment sur les conditions générales d'utilisation pour

tout ce qui touche à l'argent, à l'abonnement, aux prix, à la commission d'encaissement, à la suspension pour impayé et à la résiliation.

1. Les conditions générales d'utilisation priment sur les conditions générales de vente pour

tout ce qui touche à l'usage de l'outil, aux obligations de la personne abonnée, aux avis et à la modération.

1. Les mentions légales portent l'identification de l'éditeur, du directeur de la publication et

des hébergeurs. Elles ne créent aucune obligation contractuelle.

1. Les conditions de réservation en ligne ne régissent que la relation entre une personne cliente et une

personne abonnée. Elles ne créent aucune obligation entre Dona et la personne abonnée.