Confidentialité

Qui nous sommes

Tor est une application de rendez-vous, de fichier client et de facturation pour les indépendants. Le service est accessible sur tor-app.com.

Cette page dit ce que l'application enregistre, où elle le garde, combien de temps, et ce que vous pouvez en faire. Elle est écrite pour être lue en entier.

Deux personnes, deux situations

Tor concerne deux personnes qui ne sont pas dans la même position, et presque tout le reste de cette page en découle.

• Le professionnel ouvre un compte, accepte les conditions d'utilisation et décide de ce qu'il enregistre. Pour ce qui le concerne lui, nous sommes responsables du traitement.
• Son client n'installe rien et n'ouvre aucun compte. Il prend rendez-vous, reçoit un message, ouvre un lien. Ce qui est enregistré à son sujet appartient au professionnel : c'est lui qui le collecte, lui qui décide de le garder, lui qui en répond. Nous ne faisons que l'héberger pour son compte. Dans le vocabulaire du RGPD : il est responsable du traitement, nous sommes sous-traitant.

Ce n'est pas une formalité juridique. C'est la raison pour laquelle nous ne lisons pas le fichier d'un professionnel, nous ne nous en servons pour rien, et nous ne le montrons à personne.

Ce que nous gardons du professionnel

• L'adresse e-mail et le mot de passe du compte. Le mot de passe n'est jamais gardé en clair : nous n'en conservons qu'une empreinte, et nous ne pouvons pas le relire.
• La fiche de l'activité : nom, adresse de la page de réservation, téléphone, e-mail, adresse, logo, fuseau horaire, langue, devise.
• Les réglages de l'agenda : durée des créneaux, délai minimum avant un rendez-vous, horizon de réservation, délai d'annulation, moment du rappel.
• Le catalogue : prestations, durées, prix, photos.
• La comptabilité : reçus, factures, paiements, dépenses.
• Un identifiant de l'appareil, si les notifications sont activées, pour pouvoir prévenir ce téléphone-là et aucun autre.
• Un journal des actions faites dans le compte, qui sert à comprendre un incident.

Ce que le professionnel enregistre sur ses clients

Il le saisit lui-même, ou le client le renseigne en réservant sur la page publique.

• Prénom, nom (facultatif), numéro de téléphone, adresse e-mail (facultative).
• Une photo, une date de naissance, la langue dans laquelle il faut lui écrire : les trois sont facultatives.
• Des précisions que certains métiers utilisent — situation familiale, nombre d'enfants, étudiant — toutes facultatives.
• Ses rendez-vous, les notes que le professionnel écrit à son sujet, ses reçus, l'avis qu'il a laissé.
• S'il a accepté de recevoir des offres, quand, et qui l'a noté ; s'il les a refusées ensuite, quand.

L'âge n'est jamais enregistré : il est recalculé depuis la date de naissance au moment de l'afficher, pour qu'il ne soit pas faux le reste de l'année.

Le client n'a rien accepté chez nous. Ce qu'il a accepté, il l'a accepté avec son professionnel. C'est pour cela qu'une demande de correction ou d'effacement passe par lui.

La déclaration de santé

Certains métiers font signer une déclaration avant un soin. C'est une donnée de santé, et elle est traitée autrement que tout le reste.

• Elle est rangée dans une base séparée, qu'aucune requête ordinaire de l'application ne peut atteindre. Le seul chemin est une fonction nommée qui vérifie que c'est bien le professionnel qui demande, et qui rend une déclaration à la fois.
• Elle ne sert jamais à autre chose : ni statistique, ni sélection, ni campagne, ni message. Cette impossibilité est inscrite dans les droits de la base, pas dans une bonne intention.
• Elle n'apparaît dans aucun rapport technique.
• Quand un compte est supprimé, elle est effacée explicitement, et avant le reste.

Nous ne la lisons pas. Elle a été signée entre un client et son professionnel, et elle ne nous regarde pas.

La page de réservation

La page publique d'une activité compte ses visites, pour que le professionnel sache si elle sert à quelque chose. Une visite enregistre la date, la page ouverte, la page d'où l'on vient et la langue. Pas d'adresse IP, pas d'identifiant, pas de cookie : rien qui permette de reconnaître deux visites de la même personne.

Le site n'utilise aucun cookie, sur aucune page. La langue choisie et une réservation commencée sont gardées dans l'onglet, le temps de la visite, et disparaissent quand il se ferme.

Le lien qu'un client reçoit contient une clé qui ne donne accès qu'à son rendez-vous, et à rien d'autre. Si cette clé se retrouve dans une adresse de provenance, elle est retirée avant l'enregistrement de la visite.

Aucune mesure d'audience, aucune régie publicitaire, aucun script extérieur ne tourne sur le site.

Les messages et les notifications

Le professionnel peut envoyer ses messages lui-même : l'application prépare le texte, il choisit SMS, WhatsApp ou e-mail, et c'est son téléphone qui envoie. Nous ne voyons pas la conversation. L'application garde la trace de ce qui a été préparé, et quand, pour ne pas proposer deux fois la même chose.

S'il active les SMS automatiques — confirmation, rappel, reçu — ou s'il envoie une offre, c'est notre serveur qui envoie le SMS à sa place, sous le nom d'expéditeur « tor-app », par un prestataire d'envoi de SMS. Nous le faisons pour lui, selon ses réglages, jamais pour notre propre compte. Nous gardons le texte, l'heure d'envoi et la réponse du prestataire, pour ne rien envoyer deux fois et respecter son budget du mois.

Le professionnel, lui, reçoit des notifications sur son téléphone — une demande de rendez-vous, le planning du lendemain. Elles passent par le service de notification de Google (Firebase). Elles sont courtes et ne contiennent jamais de donnée de santé.

Les rapports de plantage

Si l'application se ferme toute seule, un rapport part chez Firebase Crashlytics (Google) : la pile d'appel, le modèle de l'appareil, la version du système, la version de l'application, la langue, et l'identifiant de l'activité ouverte — une activité, pas une personne.

Un rapport ne contient jamais le message d'erreur d'origine, parce qu'un serveur y recopie parfois la valeur qu'il vient de refuser. Il ne contient aucun nom, numéro, e-mail, note, réponse de déclaration ni contenu de reçu.

Il n'y a aucune mesure d'audience dans l'application : Google Analytics n'y est pas installé, et le rapport de plantage est le seul envoi de ce genre.

Ce que nous ne faisons pas

• Nous ne vendons, ne louons et n'échangeons aucune donnée.
• Nous n'affichons aucune publicité et ne travaillons avec aucune régie.
• Nous ne lisons pas le fichier d'un professionnel — sauf s'il nous demande lui-même de l'aider sur un problème précis, et seulement le temps de le régler.
• Nous ne fabriquons aucun profil et ne recoupons rien d'une activité à l'autre.
• Nous n'entraînons aucun modèle sur vos données.

Où tout cela se trouve

• La base de données et les fichiers sont chez Supabase, dans un centre de données situé à Francfort, en Allemagne.
• Les notifications et les rapports de plantage passent par Firebase (Google).
• Les SMS envoyés par notre serveur passent par un prestataire d'envoi de SMS.
• Le site et les pages de réservation sont servis par Cloudflare Pages.

Tout passe par une connexion chiffrée. Les fichiers — photos de clients, reçus, déclarations — sont privés ; seules les photos de prestation, que le professionnel publie lui-même sur sa page, sont visibles sans compte.

Chaque activité est isolée des autres par des règles appliquées par la base elle-même, et non par l'application : une requête qui sortirait de son activité est refusée par le serveur, quel que soit le code qui l'a envoyée.

Combien de temps

Tant que le compte existe. Le professionnel peut effacer un client de son fichier à tout moment ; ses déclarations de santé partent avec lui.

Quand le professionnel supprime son compte, tout part : l'activité, le catalogue, les clients, les rendez-vous, les notes, les messages, les avis, la comptabilité, les fichiers, et le compte lui-même. Les déclarations de santé sont supprimées explicitement, avant le reste.

Nous n'en gardons pas de copie. Les obligations de conservation comptables pèsent sur le professionnel, pas sur nous : c'est pour cela que l'application permet de tout exporter avant de partir.

Vos droits

Si vous êtes professionnel : vous pouvez consulter, corriger, exporter et supprimer ce qui vous concerne depuis l'application, sans nous écrire et sans attendre.

Si vous êtes client d'un professionnel qui utilise Tor : le fichier qui vous concerne est le sien, pas le nôtre. Adressez-vous à lui — il peut vous montrer, corriger ou effacer ce qu'il a enregistré, directement depuis l'application. Si vous nous écrivez, nous transmettrons et nous ne modifierons rien nous-mêmes : ces données ne sont pas les nôtres.

Les offres d'un professionnel par SMS ne partent que vers les clients qui l'ont accepté : soit en cochant la case prévue sur la page de réservation, soit en le disant au professionnel, qui le note. Chaque SMS d'offre se termine par un lien pour ne plus les recevoir ; il ne donne accès à rien d'autre. Ne plus recevoir les offres n'arrête que les offres : une confirmation, un rappel ou un reçu font partie du rendez-vous lui-même, et continuent d'arriver.

Nous écrire

showfar.dev@gmail.com — en français, en hébreu ou en anglais.

Cette page change quand l'application change. La date en haut dit quand, et les modifications importantes sont annoncées dans l'application avant de s'appliquer.