1. Parties et portée
Le présent accord de sous-traitance de données personnelles (« DPA ») complète les conditions contractuelles du service RDVizy. Il lie le professionnel titulaire d’un compte RDVizy (« le Responsable de traitement ») et Grégory Cerou, entrepreneur individuel, SIRET 840 667 752 00025, exploitant RDVizy (« le Sous-traitant »). Contact : contact@rdvizy.fr. Il s’applique uniquement aux traitements de données de clients réalisés par RDVizy pour le compte du professionnel. RDVizy demeure responsable de ses propres traitements (comptes professionnels, facturation, sécurité du service).
2. Objet, durée et catégories de données
Le traitement a pour objet l’hébergement et la gestion technique des prises de rendez-vous pendant la durée d’utilisation du service, puis selon les modalités de fin de contrat et les obligations légales applicables. Les opérations peuvent inclure la collecte, l’enregistrement, l’organisation, la consultation, la modification, la transmission nécessaire à l’exécution du service et la suppression. Les personnes concernées sont les clients, patients ou prospects du professionnel. Les données peuvent comprendre nom, prénom, e-mail, téléphone, prestation choisie, date, horaire, lieu, modalités de rendez-vous, commentaire facultatif, statut du rendez-vous et avis éventuellement recueilli.
3. Finalités et instructions documentées
RDVizy traite les données pour fournir les fonctionnalités demandées par le professionnel : page de réservation, disponibilités, gestion des rendez-vous, confirmations et rappels par e-mail, gestion des avis et, si activée, synchronisation Google Agenda. Le présent accord, les paramètres du compte et les actions du professionnel constituent les instructions documentées, sous réserve de leur licéité. RDVizy ne traite pas ces données à ses propres fins commerciales. Si une instruction paraît contraire au RGPD, RDVizy en informe le professionnel, sauf interdiction légale.
4. Engagements du professionnel
Le professionnel détermine les finalités, la base légale et les durées de conservation applicables à son activité ; il informe les personnes concernées, limite les données demandées et répond aux demandes d’exercice des droits. Il choisit les intitulés de prestations, configure les commentaires facultatifs et s’assure de la légalité des données qu’il fait traiter, notamment lorsqu’elles peuvent révéler une information de santé.
5. Confidentialité et sécurité
RDVizy veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et met en œuvre des mesures techniques et organisationnelles adaptées au risque conformément à l’article 32 du RGPD. Les contrôles d’accès par rôle, les protections de session et les sauvegardes disponibles sont décrits dans l’annexe C. Ces mesures ne constituent pas une certification ni une garantie de sécurité absolue. RDVizy réexamine les mesures selon les risques et les évolutions du service.
6. Sous-traitants ultérieurs
Le professionnel donne une autorisation générale au recours aux sous-traitants ultérieurs décrits en annexe B. RDVizy communique toute modification envisagée de cette liste par un moyen approprié avant sa mise en œuvre, afin de permettre au professionnel de formuler une objection motivée à contact@rdvizy.fr. Les délais et modalités pratiques de notification doivent être précisés dans la documentation contractuelle. RDVizy veille à encadrer ces prestataires par des obligations appropriées et demeure responsable de leurs obligations dans les conditions de l’article 28 du RGPD.
7. Demandes des personnes concernées
Compte tenu de la nature du traitement, RDVizy assiste le professionnel, dans la mesure du possible, pour répondre aux demandes d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Si RDVizy reçoit directement une demande relative à un rendez-vous, elle est orientée vers le professionnel concerné, sauf obligation légale contraire.
8. Violations de données
RDVizy informe le professionnel dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles concernant les traitements réalisés pour son compte. RDVizy communique les informations disponibles utiles à l’évaluation de l’incident et coopère afin de permettre au professionnel d’apprécier ses obligations éventuelles de notification à la CNIL et aux personnes concernées.
9. Analyses d’impact et coopération
RDVizy assiste raisonnablement le professionnel, compte tenu des informations dont il dispose, pour la réalisation d’analyses d’impact relatives à la protection des données et, si nécessaire, les consultations préalables auprès de l’autorité de contrôle. RDVizy coopère avec les autorités compétentes dans les conditions prévues par la réglementation.
10. Transferts hors EEE
Tout transfert de données personnelles vers un pays situé hors de l’Espace économique européen doit reposer sur un mécanisme juridique approprié et des garanties adaptées. Les transferts éventuels liés aux fonctionnalités activées, notamment Google Agenda, sont soumis aux garanties applicables ; leur périmètre précis dépend des services utilisés et doit être vérifié avant toute déclaration détaillée.
11. Sort des données à la fin du contrat
À l’issue du service, RDVizy supprime ou restitue les données personnelles traitées pour le compte du professionnel, selon les modalités convenues, sauf obligation légale de conservation. Le professionnel peut demander la suppression de son compte depuis son espace. Le dispositif actuel cible notamment les rendez-vous, prestations, disponibilités, avis et articles associés. La procédure de suppression actuelle fait l’objet d’une amélioration technique : RDVizy ne garantit pas à ce stade l’effacement instantané de chaque copie ou de chaque donnée liée indirectement au compte. Une demande complémentaire peut être adressée à contact@rdvizy.fr. Les pièces comptables soumises à une obligation légale de conservation peuvent être conservées séparément. Les sauvegardes de l’hébergement sont proposées à la restauration sur une fenêtre observée d’environ sept jours ; cela ne constitue pas une garantie contractuelle de purge exhaustive à cette échéance.
12. Informations et audits
RDVizy met à disposition du professionnel les informations nécessaires pour démontrer le respect de ses obligations de sous-traitant et permet les audits ou inspections prévus à l’article 28 du RGPD, dans des conditions proportionnées garantissant la confidentialité et la sécurité des autres utilisateurs.
13. Données sensibles et hébergement de santé
Les intitulés de prestations et commentaires libres peuvent parfois révéler des informations sensibles, notamment des données de santé. Le professionnel doit évaluer les conditions de licéité de ces traitements. RDVizy ne revendique aucune certification HDS. Les professionnels ne doivent pas utiliser le service pour héberger des données de santé dont le traitement nécessite un hébergement certifié HDS tant que cette exigence n’a pas été évaluée et, le cas échéant, satisfaite. Il est recommandé de choisir des intitulés de prestations génériques et de ne pas saisir d’informations médicales dans les commentaires libres. Ce document ne vaut ni certification HDS ni validation de conformité pour de tels usages.
14. Entrée en vigueur
Le présent DPA prend effet lorsqu’il est intégré aux conditions contractuelles acceptées par le professionnel ou signé par les parties. Sa mise en ligne seule ne prouve pas son acceptation. Les versions successives doivent être datées et conservées.
Annexe A — Description des traitements
- Responsable : professionnel titulaire du compte.
- Sous-traitant : exploitant RDVizy.
- Personnes : clients, patients et prospects du professionnel.
- Données : identité, coordonnées, informations de réservation, commentaires et avis si activés.
- Opérations : collecte, stockage, affichage, modification, transmission liée au service et suppression.
- Durées : pendant la fourniture du service, selon les paramètres et obligations applicables ; les délais de purge automatique des rendez-vous et des comptes inactifs ne sont pas encore définis. Les sauvegardes de l’hébergement partagé avec RDVizy présentent sept dates quotidiennes de restauration, sans garantie de purge définitive sous sept jours.
Annexe B — Prestataires et sous-traitants ultérieurs
Les prestataires ci-dessous interviennent dans le fonctionnement de RDVizy. Leur qualification juridique dépend des données et des opérations concernées : tous ne sont pas nécessairement des sous-traitants ultérieurs pour les données de réservation.
- Infomaniak Network SA (Suisse) : hébergement de l’application et des bases de données, stockage technique et acheminement des e-mails transactionnels. Prestataire principal susceptible de traiter les données de réservation pour le compte de RDVizy. Les lieux exacts d’hébergement et les garanties contractuelles doivent être confirmés.
- Google (Google Agenda, facultatif) : synchronisation des créneaux et événements lorsque le professionnel active l’intégration. Les données transmises, les entités contractantes, les rôles respectifs et les transferts éventuels hors EEE dépendent de la configuration et des conditions de Google ; ils doivent être vérifiés.
- Qonto : gestion des fiches de facturation et des factures des professionnels. Ce traitement relève en principe de la gestion commerciale propre à RDVizy, et non du traitement des données de réservation effectué pour le compte des professionnels. Son rôle RGPD exact doit être apprécié selon le service utilisé.
- Mollie (si le service de paiement est actif) : traitement des opérations de paiement des abonnements RDVizy. Les données de paiement concernent principalement la relation commerciale entre RDVizy et ses professionnels. Le rôle RGPD de Mollie est déterminé par ses conditions contractuelles.
Cette liste décrit les prestataires actuellement identifiés, sous réserve de confirmation de leur périmètre contractuel. RDVizy doit vérifier les accords applicables, les lieux de traitement, les garanties de transferts internationaux et les éventuels sous-traitants additionnels avant de présenter cette liste comme exhaustive. Les professionnels peuvent demander des précisions à contact@rdvizy.fr.
Annexe C — Mesures de sécurité
Le code examiné prévoit des cookies de session Secure, HttpOnly et SameSite=Lax, une protection CSRF, ainsi qu’une distinction des rôles administrateur et professionnel. Les connexions SMTP configurées utilisent le port 587 ; le chiffrement effectif des transports et le stockage chiffré des jetons Google doivent être vérifiés. Le Manager Infomaniak affiche sept dates quotidiennes de restauration consécutives pour l’hébergement partagé avec RDVizy. Il reste à contrôler les sauvegardes de la base RDVizy, la journalisation, la gestion des incidents et les procédures de suppression.
Annexe D — Limites et modalités complémentaires
À la date de cette version, certaines modalités ne sont pas entièrement documentées : calendrier précis de purge des données et des sauvegardes, modalités d’export avant clôture, notification des changements de sous-traitants, procédures d’audit et de réponse aux incidents, ainsi que le périmètre des éventuels transferts internationaux. Les demandes liées à ces sujets peuvent être adressées à contact@rdvizy.fr. Le mécanisme d’acceptation électronique des CGV et du présent DPA doit être vérifié, et les versions acceptées conservées. Ces limites ne dispensent pas RDVizy de ses obligations légales de sous-traitant.
Contact pour les questions relatives à cet accord : contact@rdvizy.fr. Dernière mise à jour : 28 octobre 2026.