Politique de confidentialité

1. Qui nous sommes

OpenBookings (openbookings.ai) est exploité par 10356689 Canada Inc., operating as MicroAngel, 138 rue Tobago, Dollard-des-Ormeaux QC H9G 2X5, Canada (« OpenBookings », « nous »). Nous sommes responsables des renseignements personnels décrits dans cette politique.

La personne responsable de la protection des renseignements personnels, au sens de la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25), est Eyal Toledano. Vous pouvez nous joindre à hello@openbookings.ai ou par la poste à l’adresse ci-dessus, pour toute question, demande ou plainte concernant la confidentialité.

2. En bref

• Quand vous réservez, le commerce choisi reçoit votre nom, vos coordonnées et les notes que vous ajoutez. C’est la principale raison pour laquelle nous les recueillons.
• Nous conservons les recherches (service, secteur et moment) pour savoir où se trouve la demande, sans y associer votre nom.
• Nous ne vendons pas de renseignements personnels et ne les utilisons pas à des fins publicitaires.
• Les commerces qui connectent Google Agenda nous donnent accès à leurs plages libres et occupées et nous permettent d’ajouter et d’annuler les événements de réservation que nous créons. Nous ne lisons jamais le contenu de leurs autres événements et n’utilisons jamais les données Google pour la publicité ni pour entraîner des modèles d’IA.
• Vous pouvez en tout temps nous demander de consulter, corriger, exporter ou supprimer vos renseignements.

3. Renseignements que nous recueillons

Personnes qui cherchent ou réservent. La plupart des gens nous joignent par un assistant IA comme ChatGPT, Claude ou Grok, qui appelle notre service de réservation en leur nom. D’autres utilisent notre site. Nous recueillons :

• Les détails de la réservation : votre nom, votre adresse courriel ou votre numéro de téléphone (ou les deux), le nombre de personnes, vos notes, le service, le commerce, la date et l’heure, votre langue et un code de confirmation.
• Les recherches : le service demandé, le secteur ou le lieu nommé, la plage horaire, les coordonnées approximatives de ce secteur, les commerces proposés et leur ordre, et l’application qui a envoyé la demande (par exemple « ChatGPT »). Nous ne demandons pas votre nom pour chercher et ne relions pas les recherches aux réservations par nom.

Nous ne recevons pas votre conversation avec votre assistant IA, seulement la demande que l’assistant nous transmet.

Commerces. Quand vous réclamez ou créez une fiche, nous recueillons le nom du commerce, son adresse et son quartier, l’adresse courriel utilisée et, au besoin, un numéro de téléphone et un site Web. Nous conservons aussi les services, prix, heures et règles de réservation que vous choisissez, votre langue, votre accord ou non pour recevoir nos nouvelles, et la connexion d’agenda décrite à la section 7.

Renseignements publics sur les commerces. Pour créer des fiches avant qu’un commerce les réclame, nous recueillons des renseignements publiés publiquement : nom, adresse, téléphone, site Web et adresse courriel d’affaires publiée sur le site du commerce ou dans des répertoires. Nous notons la source de chaque adresse courriel publiée afin de respecter la loi antipourriel (voir la section 13).

Nos administrateurs. Le personnel qui se connecte à notre espace d’administration utilise la connexion Google. Nous recevons de Google son nom, son adresse courriel et sa photo de profil, uniquement à cette fin.

Renseignements techniques. Nous utilisons votre adresse IP pour limiter le nombre de requêtes d’une même source et prévenir les abus. Elle reste quelques minutes en mémoire sur le serveur et n’est pas enregistrée dans notre base de données. Nos hébergeurs peuvent conserver brièvement des journaux d’accès standards comprenant des adresses IP, pour la sécurité.

4. Utilisation des renseignements

• Trouver des disponibilités, créer, afficher, modifier et annuler des réservations, et transmettre les détails au commerce choisi.
• Permettre aux commerces de réclamer et de gérer leur fiche, notamment en envoyant des liens de connexion par courriel.
• Comprendre la demande : nous comptons les recherches par service, secteur et moment pour décider où recruter des commerces et quels services offrir. Ces rapports n’utilisent pas de noms.
• Assurer la sécurité du service, prévenir la fraude et les abus, et corriger les problèmes.
• Communiquer avec des commerces au sujet d’OpenBookings lorsque la loi antipourriel le permet (section 13).
• Respecter nos obligations légales et établir ou défendre des droits en justice.

Lorsque le RGPD ou une loi semblable s’applique, nous nous appuyons sur les fondements suivants : l’exécution de la réservation que vous demandez (contrat), notre intérêt légitime à offrir un service sûr et utile et à comprendre la demande, votre consentement lorsque nous le demandons (par exemple pour les courriels de nouvelles) et nos obligations légales.

Les disponibilités sont classées automatiquement selon leur proximité dans le temps et la distance. Ce classement n’est pas une décision à votre sujet et n’a aucun effet juridique ou similaire sur vous. Les commerces ne peuvent pas payer pour être mieux classés.

5. Assistants IA

Quand vous utilisez OpenBookings par un assistant IA, le fournisseur de l’assistant (par exemple OpenAI, Anthropic ou xAI) traite votre conversation selon sa propre politique de confidentialité. Nous ne sommes pas responsables de la façon dont ces fournisseurs traitent votre conversation. Nous renvoyons à l’assistant les disponibilités trouvées et, après la réservation, les détails et le code de confirmation pour qu’il puisse vous les montrer.

Nous n’utilisons pas les renseignements personnels reçus par les assistants IA pour entraîner des modèles d’IA.

6. Avec qui nous partageons les renseignements

• Le commerce que vous réservez. Il reçoit votre nom, vos coordonnées, le nombre de personnes, vos notes et l’heure du rendez-vous, généralement sous forme d’événement dans son propre agenda ou système de réservation.
• Votre assistant IA, comme décrit à la section 5.
• Nos fournisseurs de services, qui traitent les renseignements pour nous par contrat et seulement selon nos instructions : hébergement et base de données, Nango (qui gère les connexions d’agenda et conserve les jetons d’accès), Cloudflare (envoi de courriels) et Google (connexion de nos administrateurs, et API d’agenda quand un commerce connecte Google Agenda).
• Les autorités ou d’autres personnes lorsque la loi l’exige, ou lorsque c’est nécessaire pour protéger les droits, la sécurité ou les biens de personnes ou d’OpenBookings.
• Un acquéreur ou successeur en cas de fusion, d’acquisition ou de vente d’actifs d’OpenBookings. Pour les données utilisateur Google, nous demanderions d’abord votre consentement explicite.

Nous ne vendons ni ne louons de renseignements personnels, et nous ne les partageons pas pour de la publicité comportementale.

7. Données utilisateur Google (Google Agenda)

Cette section s’applique aux commerces qui connectent un agenda Google pour que leurs clients puissent réserver. Elle décrit toutes les façons dont OpenBookings accède aux données utilisateur Google, les utilise, les conserve et les partage.

Utilisation limitée. L’utilisation et le transfert vers toute autre application, par OpenBookings, des renseignements reçus des API Google respecteront la politique Google API Services User Data Policy, y compris les exigences d’utilisation limitée (Limited Use). L’utilisation des renseignements reçus des API Google Workspace respectera aussi la politique Google Workspace API User Data and Developer Policy, y compris les exigences d’utilisation limitée.

Énoncé original en anglais : « OpenBookings' use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The use of information received from Google Workspace APIs will also adhere to the Google Workspace API User Data and Developer Policy, including the Limited Use requirements. »

Ce à quoi nous accédons. Quand vous connectez votre agenda, vous vous connectez avec Google et accordez deux autorisations :

• « Voir les disponibilités dans les agendas Google auxquels vous avez accès » (calendar.freebusy). Nous lisons uniquement l’heure de début et de fin des périodes occupées de l’agenda connecté. Cette autorisation ne nous montre ni les titres, ni les descriptions, ni les lieux, ni les participants des événements.
• « Afficher et modifier les événements de tous vos agendas » (calendar.events). Nous l’utilisons seulement pour ajouter un événement pour chaque réservation faite par OpenBookings, pour supprimer ce même événement si la réservation est annulée et, une seule fois lors de la connexion, pour lire le nom de votre agenda principal (habituellement l’adresse courriel de votre compte Google) afin de vous montrer quel compte est connecté. Cet appel ne demande que le nom de l’agenda, aucun événement. Nous ne lisons, ne modifions et ne supprimons aucun événement qu’OpenBookings n’a pas créé.

Pourquoi. Uniquement pour offrir la fonction de réservation que vous avez configurée : montrer aux personnes qui cherchent par un assistant IA ou sur notre site les moments où vous êtes libre, et inscrire chaque réservation dans votre agenda pour que vous la voyiez tout de suite. Nous n’utilisons les données utilisateur Google à aucune autre fin.

Ce que nous conservons. Les plages libres et occupées sont lues au moment d’une recherche et utilisées en mémoire pour calculer les disponibilités; nous ne les conservons pas. Nous conservons l’identifiant et le nom de l’agenda connecté, l’identifiant de chaque événement que nous créons (pour pouvoir le retirer si la réservation est annulée) et l’identifiant de votre connexion chez Nango. Les jetons d’accès et d’actualisation Google sont conservés, chiffrés, par Nango, notre fournisseur de connexions, et non dans notre base de données.

Contenu des événements créés. Chaque événement indique le service, le nom du client, ses coordonnées, le nombre de personnes, ses notes et l’heure. Ces renseignements viennent du client, pas de Google.

Partage. Les seuls renseignements tirés de Google que d’autres voient sont les plages disponibles qui en résultent, montrées aux personnes qui cherchent, puisque c’est le but de la fonction. Nango traite la connexion et les jetons pour notre compte à titre de fournisseur de services. Nous ne transférons les données utilisateur Google à personne d’autre, sauf pour respecter la loi, pour des raisons de sécurité comme une enquête sur un abus, ou dans le cadre d’une fusion, d’une acquisition ou d’une vente d’actifs avec votre consentement explicite préalable.

Aucun accès humain. Notre personnel ne lit pas les données utilisateur Google, sauf si vous le demandez et l’acceptez pour une demande d’assistance précise, si c’est nécessaire pour la sécurité (enquête sur un bogue ou un abus), si la loi l’exige, ou si les données sont agrégées et anonymisées pour nos opérations internes.

Ni publicité, ni vente, ni entraînement d’IA. Nous ne vendons jamais les données utilisateur Google. Nous ne les utilisons ni ne les transférons jamais à des fins publicitaires, y compris le reciblage et la publicité personnalisée ou fondée sur les intérêts. Nous ne les utilisons jamais pour évaluer la solvabilité ou accorder du crédit. Nous ne les utilisons jamais pour créer, entraîner ou améliorer un modèle d’intelligence artificielle ou d’apprentissage automatique.

Conservation et suppression. Vous pouvez déconnecter votre agenda en tout temps à partir de la page de gestion de votre fiche. La déconnexion supprime la connexion, y compris les jetons conservés par Nango, et retire immédiatement l’identifiant et le nom de l’agenda de nos dossiers. Vous pouvez aussi retirer l’accès d’OpenBookings en tout temps dans votre compte Google, à myaccount.google.com/permissions. Les identifiants d’événements restent liés à leurs réservations jusqu’à la suppression de celles-ci selon la section 9, afin que nous puissions encore annuler un événement au besoin. Pour faire supprimer plus tôt toutes les données tirées de Google, écrivez à hello@openbookings.ai; nous les supprimerons dans un délai de 30 jours. Les événements déjà ajoutés à votre agenda vous appartiennent et y restent à moins que vous ne les supprimiez.

8. Lieu de conservation

OpenBookings est exploité depuis le Québec, au Canada. Nos fournisseurs de services, dont l’hébergement, la base de données, les connexions et l’envoi de courriels, peuvent conserver ou traiter des renseignements dans d’autres provinces, aux États-Unis ou dans d’autres pays. Avant de communiquer des renseignements personnels à l’extérieur du Québec, nous évaluons s’ils bénéficieront d’une protection adéquate, comme l’exige la Loi 25, et nous imposons par contrat aux fournisseurs de les protéger. Les renseignements conservés dans un autre pays peuvent être accessibles aux autorités de ce pays selon ses lois.

9. Durée de conservation

• Réservations : 24 mois après la date du rendez-vous, puis supprimées ou anonymisées. Les commerces en gardent leur propre copie dans leur agenda.
• Recherches : 13 mois, puis conservées uniquement sous forme de totaux agrégés qui n’identifient personne.
• Liens de connexion : seule une empreinte (hachage) de chaque lien est conservée, et elle expire en quelques minutes.
• Fiches et paramètres des commerces : tant que la fiche est active. Si vous demandez le retrait de votre fiche, nous la supprimons dans un délai de 30 jours, sauf ce que la loi nous oblige à garder.
• Consentements et désabonnements : aussi longtemps que nécessaire pour prouver le consentement et respecter les désabonnements, soit au moins trois ans après notre dernier message.
• Adresses IP servant à limiter les requêtes : quelques minutes, en mémoire seulement.
• Données utilisateur Google : comme décrit à la section 7.

10. Sécurité

Nous protégeons les renseignements par le chiffrement en transit (HTTPS), le chiffrement au repos chez nos fournisseurs, un accès limité aux personnes qui en ont besoin et des liens de connexion hachés. Les jetons d’accès aux agendas sont conservés par Nango et jamais dans notre base de données. La page de gestion de chaque commerce s’ouvre par un lien privé qui ne doit pas être partagé.

Aucun système n’est parfaitement sûr. Si un incident de confidentialité présente un risque de préjudice sérieux, nous aviserons la Commission d’accès à l’information du Québec et les personnes concernées, comme l’exige la Loi 25, et nous tenons un registre des incidents. Pour les incidents touchant des données utilisateur Google, nous avisons aussi Google comme l’exigent ses politiques.

11. Vos droits et vos choix

Selon l’endroit où vous habitez, vous avez le droit :

• de savoir quels renseignements personnels nous détenons à votre sujet et d’en obtenir une copie;
• de faire corriger des renseignements inexacts ou incomplets;
• de faire supprimer vos renseignements, ou d’en faire cesser la diffusion lorsque la loi le permet;
• de recevoir les renseignements que vous nous avez fournis dans un format technologique structuré et couramment utilisé (portabilité);
• de retirer votre consentement en tout temps, par exemple pour les courriels de nouvelles;
• de vous opposer à certaines utilisations ou de les limiter;
• de porter plainte auprès d’une autorité de protection des renseignements personnels.

Pour exercer ces droits, écrivez à hello@openbookings.ai. Nous pourrions devoir confirmer votre identité, par exemple en vous demandant votre code de confirmation et les coordonnées utilisées pour réserver. Nous répondons dans un délai de 30 jours. L’exercice de vos droits est gratuit et n’a aucun effet sur le service que vous recevez.

Vous pouvez porter plainte auprès de la Commission d’accès à l’information du Québec, du Commissariat à la protection de la vie privée du Canada ou, en Europe, de votre autorité de protection des données. Nous vous invitons à communiquer d’abord avec nous pour que nous tentions de vous aider.

Résidents de la Californie. Vous avez le droit de savoir quels renseignements personnels nous détenons, de les faire supprimer et corriger, et de ne pas subir de discrimination pour avoir exercé ces droits. Nous ne vendons ni ne partageons de renseignements personnels au sens du CCPA, et nous n’utilisons pas de renseignements personnels sensibles pour déduire des caractéristiques à votre sujet.

12. Enfants

OpenBookings ne s’adresse pas aux enfants. Nous ne recueillons pas sciemment de renseignements personnels auprès de personnes de moins de 14 ans sans le consentement d’un parent ou tuteur. Si vous croyez qu’un enfant nous a fourni des renseignements, communiquez avec nous et nous les supprimerons.

13. Courriels que nous envoyons

Nous envoyons des courriels transactionnels, comme des liens de connexion et des messages de réservation, lorsque vous les demandez. Nous envoyons des messages au sujet d’OpenBookings aux commerces seulement lorsque la Loi canadienne anti-pourriel (LCAP) le permet : avec un consentement exprès, ou avec un consentement tacite, par exemple lorsqu’un commerce a publié bien en vue son adresse courriel sans indiquer qu’il refuse les messages et que notre message concerne ses activités. Chacun de ces messages nous identifie, indique notre adresse postale et contient un lien de désabonnement fonctionnel. Nous traitons les désabonnements dans un délai de 10 jours ouvrables, et généralement sur-le-champ.

14. Témoins (cookies)

Nous utilisons seulement des témoins nécessaires au fonctionnement du site ou qui retiennent un choix que vous avez fait :

• un témoin de session pour la connexion de nos administrateurs (Auth.js);
• un témoin « NEXT_LOCALE » qui retient la langue choisie jusqu’à la fermeture de votre navigateur;
• un témoin « ob_city » qui retient la ville choisie, pendant un an.

Nous n’utilisons aucun témoin d’analyse, de publicité ou de pistage, et nous ne permettons pas à des tiers d’en installer sur notre site. Si cela change, nous demanderons d’abord votre consentement.

15. Modifications

Nous mettrons cette politique à jour lorsque nos pratiques changent et modifierons la date en haut de la page. Si un changement est important, nous en informerons les utilisateurs concernés avant qu’il s’applique. Si nous voulons un jour utiliser les données utilisateur Google d’une nouvelle façon, nous mettrons d’abord cette politique à jour et demanderons votre consentement.

16. Nous joindre

10356689 Canada Inc., operating as MicroAngel, 138 rue Tobago, Dollard-des-Ormeaux QC H9G 2X5, Canada. Personne responsable de la protection des renseignements personnels : Eyal Toledano, hello@openbookings.ai.