Accord de sous-traitance

Dernière mise à jour : 13 octobre 2026.

Parties #

• L'Établissement qui dispose d'un compte chez Bookable, ci après « le responsable du traitement », « l'Établissement » ou « vous ».
• De Maeyer Silvio, entreprise individuelle, sous le nom commercial Bookable, Polderstraat 4, 9190 Stekene, Belgique, numéro d'entreprise et de TVA BE0742.507.284, info@bookable.be, ci après « Bookable » ou « le sous traitant ».

Acceptation et forme #

A.1. Cet accord est conclu sur la base de l'article 28 du Règlement général sur la protection des données (RGPD). Il fait partie des conditions générales de Bookable.

A.2. L'Établissement accepte cet accord par voie électronique : lors de l'inscription, avec la case relative aux conditions générales, dont cet accord fait partie, et en outre avec une case distincte avant d'activer les fonctions intake, documents ou fiche de traitement. Bookable conserve par Établissement la version, le moment et l'Utilisateur qui a accepté (lors de l'inscription aussi la langue, un code non réversible de l'adresse IP et une brève description du navigateur). Une nouvelle version de cet accord requiert une nouvelle acceptation.

A.3. L'article 28, paragraphe 9 du RGPD permet que cet accord existe sous forme électronique. Les parties acceptent l'acceptation électronique et son enregistrement dans l'application comme preuve.

A.4. Celui qui accepte au nom de l'Établissement déclare pouvoir représenter l'Établissement.

1. Définitions #

Les notions de l'article 4 du RGPD (telles que données personnelles, traitement, responsable du traitement, sous-traitant, personne concernée, violation de données à caractère personnel, données concernant la santé) ont dans cet accord la même signification. « Client » désigne un client de l'Établissement. « Utilisateur » désigne une personne ayant accès à l'espace de gestion de l'Établissement. « Sous-traitant ultérieur » désigne un autre sous-traitant que Bookable engage. « Annexe A » désigne la description du service et des flux de données figurant dans les conditions générales.

2. Objet, durée et description #

2.1. Bookable traite des données personnelles pour le compte de l'Établissement afin de fournir le service Bookable. L'Annexe 1 décrit l'objet, la durée, la nature et la finalité du traitement, les types de données personnelles et les catégories de personnes concernées, comme l'exige l'article 28, paragraphe 3 du RGPD. L'Annexe A des conditions générales décrit chaque flux de données étape par étape.

2.2. Cet accord court aussi longtemps que Bookable traite des données personnelles pour l'Établissement, y compris après la fin de l'abonnement jusqu'à ce que les données soient supprimées ou restituées conformément à l'article 13 et à l'Annexe 4.

2.3. Pour les données que Bookable traite pour son propre fonctionnement (compte et Utilisateurs de l'Établissement, abonnement, factures, support, sécurité, comptage des inscriptions, ainsi que visiteurs et demandes du site bookable.be avec leurs cookies et statistiques), Bookable est lui même responsable du traitement. Celles ci relèvent de la déclaration de confidentialité, et non de cet accord.

3. Instructions #

3.1. Bookable traite les données personnelles uniquement sur la base des instructions documentées de l'Établissement. Ces instructions sont : cet accord, les conditions générales, ainsi que les paramètres et actions de l'Établissement et de ses Utilisateurs dans l'application (par exemple activer une fonction, choisir une durée de conservation, supprimer un Client ou faire un export).

3.2. Si le droit de l'Union ou d'un État membre exige de Bookable un traitement qui ne figure pas dans les instructions, Bookable en informe l'Établissement au préalable, sauf si cette loi interdit cette information.

3.3. Si Bookable estime qu'une instruction viole le RGPD ou une autre règle de protection des données, il en informe aussitôt l'Établissement.

3.4. Bookable n'utilise pas les données personnelles des Clients pour ses propres finalités, ne les vend pas et ne les utilise pas pour de la publicité. Les comptages sans données de Clients (comme le nombre de réservations par Établissement dans l'aperçu de Bookable) ne sont pas des données personnelles de Clients.

4. Responsabilité de l'Établissement #

4.1. L'Établissement est responsable du respect du RGPD pour son traitement. Il veille à une base juridique pour chaque traitement (article 6 du RGPD) et à une exception pour les données de santé (article 9 du RGPD, voir l'article 16), informe ses Clients (articles 13 et 14 du RGPD) au moyen d'un texte de confidentialité propre sur sa page de réservation, et choisit les durées de conservation qui lui sont applicables.

4.2. L'Établissement ne demande que les données dont il a besoin (minimisation des données, article 5, paragraphe 1, c du RGPD) et ne conserve les données de santé et autres données sensibles que dans les champs prévus à cet effet (article 16).

4.3. L'Établissement gère lui même l'accès de ses Utilisateurs et leurs rôles, et tient à jour qui a accès aux données de santé lorsque la loi l'exige.

4.4. Mineurs. Si un parent ou un tuteur réserve pour un enfant, l'Établissement est responsable de la question de savoir si cette personne peut agir à cet effet, et du consentement nécessaire pour l'enfant. L'application conserve pour un enfant le moins possible (prénom, date de naissance, éventuellement un second parent).

5. Confidentialité #

5.1. Bookable veille à ce que toute personne ayant accès aux données personnelles soit liée par une obligation de confidentialité. Aujourd'hui, il s'agit uniquement de Silvio De Maeyer. Si des collaborateurs ou des aides externes s'y ajoutent, ils signent une déclaration de confidentialité avant d'obtenir un accès.

5.1/1. Pour les données de santé, Bookable, en tant que sous-traitant, désigne les catégories de personnes ayant accès, avec leur qualité, et tient cette liste à la disposition de l'Autorité de protection des données, comme l'exige l'article 9 de la loi du 30 juillet 2018. Aujourd'hui, cette liste comporte une catégorie : l'administrateur de Bookable (Silvio De Maeyer), pour la gestion de l'hébergement et la résolution d'erreurs.

5.2. Bookable n'accède aux données d'un Établissement que conformément à l'article 12 (accès en consultation), ou lorsque c'est strictement nécessaire pour résoudre une erreur ou un incident de sécurité. Chaque accès de ce type est consigné.

6. Sécurité #

6.1. Bookable prend des mesures techniques et organisationnelles appropriées au sens de l'article 32 du RGPD. L'Annexe 2 les décrit telles qu'elles figurent aujourd'hui dans le code et la configuration.

6.2. Bookable peut adapter les mesures à l'état de la technique, tant que le niveau de sécurité ne diminue pas.

7. Sous-traitants ultérieurs #

7.1. L'Établissement donne à Bookable une autorisation écrite générale de recourir à des sous-traitants ultérieurs. Les sous-traitants ultérieurs au début de cet accord figurent à l'Annexe 3.

7.2. Notification d'une modification. Bookable notifie un sous-traitant ultérieur nouveau ou de remplacement au moins 30 jours à l'avance, par mail aux propriétaires de l'Établissement et à l'Annexe 3 de cet accord sur app.bookable.be/verwerkersovereenkomst, avec le nom, le service, les données et le lieu. En cas de remplacement urgent pour assurer le service ou la sécurité, le délai peut être plus court ; Bookable explique alors pourquoi.

7.3. Opposition. L'Établissement peut s'y opposer, de manière motivée, dans ce délai, par mail à info@bookable.be. Si nous ne trouvons pas de solution ensemble, l'Établissement peut arrêter l'abonnement avant l'entrée en vigueur de la modification, sans frais et avec remboursement de la partie payée d'avance après cette date.

7.4. Bookable impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations en matière de protection des données que celles de cet accord, en particulier une sécurité appropriée. Bookable reste pleinement responsable envers l'Établissement de ses sous-traitants ultérieurs.

8. Transfert hors de l'Espace économique européen #

8.1. La base de données se trouve à Francfort (Allemagne) et les documents dans la juridiction UE de Cloudflare R2. Bookable ne transfère des données personnelles hors de l'EEE, ou n'y autorise un accès depuis l'extérieur de l'EEE, qu'avec une garantie du chapitre V du RGPD : une décision d'adéquation (comme la décision sur le cadre de protection des données UE États Unis pour les entreprises certifiées) ou des clauses contractuelles types.

8.2. L'Annexe 3 mentionne pour chaque sous-traitant ultérieur le lieu et la garantie.

9. Assistance pour les droits des personnes concernées #

9.1. L'application donne elle même à l'Établissement les moyens de répondre à la plupart des demandes (articles 15 à 22 du RGPD) : rechercher et corriger un Client, faire par Client un export (un zip contenant les données, l'intake déchiffré et les documents), supprimer un Client (données sensibles effacées, le reste anonymisé, sauf ce que l'Établissement doit conserver pour sa comptabilité) et retirer un consentement pour des données de santé.

9.2. Si Bookable reçoit directement une demande d'un Client, Bookable la transmet dans les 5 jours ouvrables à l'Établissement et n'y répond pas lui même sur le fond, sauf si l'Établissement le demande.

9.3. Si une demande ne peut être traitée avec les moyens de l'application, Bookable aide dans des limites raisonnables et dans le délai dont l'Établissement a besoin pour répondre dans le mois (article 12, paragraphe 3 du RGPD).

10. Assistance pour les autres obligations #

Bookable aide l'Établissement, compte tenu de la nature du traitement et des informations dont il dispose, pour ses obligations découlant des articles 32 à 36 du RGPD : sécurité, notification d'une violation, analyse d'impact relative à la protection des données et consultation préalable de l'autorité de contrôle. Bookable fournit à cet effet, sur demande, cet accord, l'Annexe A et l'Annexe 2.

11. Violations de données à caractère personnel (fuites de données) #

11.1. Bookable notifie une violation touchant les données de l'Établissement sans retard injustifié, et au plus tard dans les 48 heures après en avoir pris connaissance, par mail aux propriétaires de l'Établissement. L'Établissement dispose lui même de 72 heures pour notifier l'autorité de contrôle, si nécessaire (article 33, paragraphe 1 du RGPD).

11.2. La notification contient, dans la mesure connue : ce qui s'est passé et quand, quelles catégories et approximativement combien de personnes concernées et de données sont touchées, les conséquences probables, les mesures prises et proposées, et une personne de contact. Ce qui n'est pas encore connu suit dès que cela l'est (article 33, paragraphes 3 et 4 du RGPD).

11.3. L'Établissement décide s'il notifie la violation à l'autorité de contrôle et aux personnes concernées (article 34 du RGPD). Bookable ne notifie pas lui même les Clients de l'Établissement, sauf si l'Établissement le demande ou si la loi l'exige. Bookable aide pour la notification et fournit les informations nécessaires.

11.4. Bookable tient un registre de toutes les violations, avec les faits, les effets et les mesures, y compris les violations qui ne devaient pas être notifiées (article 33, paragraphe 5 du RGPD).

11.5. L'Annexe 5 décrit la procédure de Bookable en cas de violation.

12. Accès en consultation par Bookable #

12.1. Pour le support, la sécurité ou la résolution d'une erreur, un administrateur de Bookable peut ouvrir l'espace de gestion de l'Établissement. Cela se fait uniquement ainsi :

• en lecture seule : toute action qui modifie, envoie ou supprime quelque chose est refusée ;
• avec un motif obligatoire d'au moins 10 caractères ;
• via un lien à usage unique valable 2 minutes, puis une session de 60 minutes au plus ;
• pas pour un Établissement qui a arrêté ;
• avec ces données toujours masquées : adresses, intake, documents, demandes d'aide, attestations, exports, paiements par Client, fiche de traitement, registre des hôtes et numéros de carte ;
• consigné chez Bookable et dans le journal d'audit de l'Établissement, avec le motif, de sorte que l'Établissement voit dans son activité quand Bookable a consulté et pourquoi.

12.2. La consultation a lieu à la demande de l'Établissement, ou, sans demande, uniquement en cas d'incident de sécurité ou d'erreur touchant plusieurs Établissements. Dans ce dernier cas, Bookable prévient l'Établissement après coup.

13. Fin : restitution et suppression #

13.1. L'Établissement peut à tout moment exporter ses données avec les exports de l'Annexe A, y compris pendant une pause.

13.2. Après la fin du contrat, Bookable restitue les données en les tenant à disposition pour l'export pendant 90 jours (le délai que les mails de l'application mentionnent déjà lors de la pause), puis supprime les données personnelles de l'Établissement et de ses Clients, y compris dans le stockage des documents, conformément à l'Annexe 4.

13.3. Bookable ne conserve que ce qu'il doit lui même conserver légalement, comme ses factures à l'égard de l'Établissement. Les données soumises à une obligation légale de conservation pour l'Établissement (comme les paiements, les attestations ou le registre des hôtes), Bookable ne les conserve pas au delà du délai du point 13.2, sauf accord distinct des parties ; l'Établissement les exporte lui même.

13.4. Sur demande, Bookable confirme par écrit que les données ont été supprimées.

14. Informations et audits #

14.1. Bookable met à disposition les informations nécessaires pour démontrer qu'il respecte cet accord, en premier lieu avec cet accord, l'Annexe A, l'Annexe 2 et des réponses écrites à un questionnaire raisonnable.

14.2. Si cela ne suffit pas, l'Établissement peut faire réaliser un audit par un auditeur indépendant tenu à la confidentialité, au plus une fois par an (sauf après une violation ou à la demande d'une autorité de contrôle), moyennant un préavis de 30 jours, aux frais de l'Établissement, pendant les heures de bureau, et sans accès aux données d'autres Établissements ni aux secrets de la sécurité.

15. Responsabilité #

La responsabilité des parties l'une envers l'autre est réglée dans les conditions générales, sans préjudice de la responsabilité que l'article 82 du RGPD impose directement envers les personnes concernées.

16. Données de santé (famille Soins et questions sensibles) #

16.1. Application. Cet article s'applique lorsque l'Établissement active les fonctions intake ou documents ou utilise des questions sensibles. Cela se produit surtout dans la famille Soins (kinésithérapie, ostéopathie, logopédie, diététique et podologie), mais peut aussi se produire dans d'autres familles si l'Établissement active des questions sensibles. Ces fonctions ne peuvent être activées qu'après que l'Établissement a accepté cet accord et choisi une durée de conservation.

16.2. Catégorie particulière. Les données concernant la santé constituent une catégorie particulière de données personnelles (article 9, paragraphe 1 du RGPD). L'Établissement doit disposer d'une exception de l'article 9, paragraphe 2 du RGPD, par exemple le consentement explicite du Client (paragraphe 2, a), ou le traitement pour des soins de santé par ou sous la responsabilité d'un professionnel soumis au secret professionnel (paragraphe 2, h, avec le paragraphe 3). Pour les Établissements aux Pays Bas, l'article 30, paragraphe 3, a de l'Uitvoeringswet AVG vise les prestataires de soins qui traitent des données de santé pour un bon traitement ou de bons soins, ou pour la gestion de leur pratique professionnelle.

16.3. Consentement dans l'application. Lors de l'intake figure une case distincte, non cochée, pour le consentement à la conservation de données de santé, avec un renvoi au texte de confidentialité de l'Établissement. Bookable conserve le moment et la version du texte de consentement. Sans case cochée, Bookable ne conserve pas les réponses sensibles. Une ordonnance, une preuve de vaccination ou un rapport ne peut être téléversé qu'avec ce consentement. L'Établissement est responsable du contenu de son texte de consentement et de son texte de confidentialité.

16.4. Retrait. Si un Client retire son consentement, l'Établissement le fait dans l'application. Bookable supprime alors les réponses sensibles et les documents de ce Client ; le rendez-vous lui même demeure.

16.5. Durée de conservation. L'Établissement choisit lui même la durée de conservation de l'intake et des documents : 6, 12, 24, 60 ou 120 mois. Il n'y a pas de valeur par défaut : sans choix, la fonction ne peut pas être activée. Chaque nuit, l'application supprime ce qui est expiré. Pour les dossiers médicaux, des durées propres à la profession peuvent s'appliquer, plus longues que ce que propose l'application. Aux Pays Bas, un prestataire de soins conserve en principe le dossier vingt ans après la dernière modification (article 7:454, paragraphe 3 du Code civil néerlandais) ; en Belgique s'appliquent la loi relative aux droits du patient et la loi sur la qualité de la pratique des soins de santé ; l'Établissement conserve alors lui même une copie dans son dossier.

16.6. Mesures supplémentaires. Pour les données de santé s'appliquent, outre l'Annexe 2 :

• les réponses d'intake, les notes de la fiche de traitement et les demandes d'aide sont chiffrées dans l'application avec AES-256-GCM, liées à l'Établissement et à la ligne (enveloppe v2 avec données authentifiées supplémentaires) : copiées vers une autre ligne ou un autre Établissement, elles sont illisibles ;
• les documents se trouvent dans un stockage distinct et privé (Cloudflare R2), sont chiffrés au repos par le service de stockage, et ne peuvent être téléchargés que via le serveur de Bookable par celui qui y a droit. Ils ne sont aujourd'hui pas chiffrés en plus par l'application elle même ;
• seuls le propriétaire et le collaborateur du rendez-vous concerné voient l'intake et les documents ; le rôle de lecture seule et un administrateur de Bookable en consultation ne les voient pas ;
• chaque consultation d'un intake ou d'un document figure dans le journal d'audit (qui, quand, quel rendez-vous) ;
• les mails, l'agenda et l'iCal ne contiennent jamais le contenu d'un intake ; l'Établissement peut définir un nom neutre pour le traitement ;
• le nom d'un parcours et le contenu d'une note ne figurent jamais dans un mail ni dans le journal d'audit ;
• les attestations ne sont pas chiffrées séparément, car elles contiennent les données ordinaires d'une attestation (nom, date, service, montant).

16.7. Règles belges et néerlandaises. Outre le RGPD, peuvent notamment s'appliquer : en Belgique la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, la loi du 22 août 2002 relative aux droits du patient, la loi du 22 avril 2019 relative à la qualité de la pratique des soins de santé, ainsi que le secret professionnel et la déontologie de la profession ; aux Pays Bas l'Uitvoeringswet AVG et les règles sur le contrat de traitement médical au Livre 7 du Code civil.

16.8. Analyse d'impact. Le traitement de données de santé peut exiger de l'Établissement une analyse d'impact relative à la protection des données (article 35 du RGPD). Bookable fournit à cet effet, sur demande, l'Annexe A, l'Annexe 1 et l'Annexe 2.

16.9. Autres données sensibles. Le numéro d'un permis de conduire, l'adresse pour un rendez-vous à domicile, un numéro de carte et les champs chiffrés du registre des hôtes (date de naissance, lieu de naissance, numéro du document d'identité, mineurs accompagnés) ne constituent pas une catégorie particulière, mais sont chiffrés de la même manière et jamais repris dans des mails, agendas, journaux ou iCal.

17. Dispositions finales #

17.1. En cas de contradiction entre cet accord et les conditions générales, cet accord prévaut pour ce qui concerne les données personnelles.

17.2. Le droit et le tribunal compétent des conditions générales s'appliquent à cet accord.

17.3. Bookable peut modifier cet accord comme les conditions générales (chapitre 10). Une modification qui réduit la protection des données ne prend pas effet sans nouvelle acceptation.

Annexe 1. Description du traitement #

Objet : la fourniture du service Bookable à l'Établissement, tel que décrit à l'Annexe A des conditions générales.

Nature du traitement : héberger, conserver, organiser, afficher, rechercher, chiffrer, envoyer des messages, créer des liens de paiement via la connexion Mollie de l'Établissement, échanger des agendas (iCal), exporter, anonymiser, supprimer et faire des sauvegardes.

Finalité : permettre à l'Établissement de travailler avec la réservation en ligne, l'agenda, la gestion des clients, les paiements d'acomptes et de montants complets, l'intake, les documents, la fiche de traitement, les attestations, les forfaits et avoirs, les bons cadeaux, les listes d'attente, les cours, les séjours et le registre des hôtes, les tickets et les messages aux Clients.

Catégories de personnes concernées :

• les Clients de l'Établissement, y compris les parents ou tuteurs de Clients mineurs, et les enfants dans un profil ;
• les destinataires d'un bon cadeau ;
• les propriétaires d'animaux (salon de toilettage) ;
• les hôtes d'un hébergement et les mineurs qu'ils accompagnent (famille Rooms) ;
• les acheteurs de tickets (famille Tickets) ;
• les élèves d'une auto école ;
• les Utilisateurs de l'Établissement (propriétaire, collaborateurs), dans la mesure où leurs données figurent dans les données de l'Établissement (par exemple en tant que collaborateur d'un rendez-vous ou dans le journal d'audit).

Catégories de données personnelles :

• identité et contact : nom, adresse mail, numéro de téléphone, langue ;
• rendez-vous et séjours : service, moment, collaborateur, espace, statut, source de la réservation, réponses aux questions de l'Établissement, conditions acceptées, compteur d'absences, adresse pour un rendez-vous à domicile ;
• paiements : montants, statut, identifiant et moyen de paiement chez Mollie, remboursements. Pas de numéros de carte ni de compte ;
• messages : contenu et statut d'envoi des mails aux Clients ;
• intake : réponses aux questions de l'Établissement, éventuellement des données de santé, avec le moment et la version du consentement ;
• documents : ordonnances, preuves de vaccination, rapports, photos d'inspiration et autres fichiers ;
• fiche de traitement et notes, parcours ;
• attestations ;
• profils : enfant, second parent, animal ;
• permis de conduire : pays, type, catégorie, valable jusqu'au, numéro ;
• registre des hôtes : nom, nationalité, arrivée et départ, date de naissance, lieu de naissance, numéro du document d'identité, mineurs accompagnés ;
• tickets, numéro de carte, bons cadeaux (données du destinataire), forfaits, cartes de séances, plans de paiement et avoirs ;
• listes d'attente et demandes d'aide ;
• journal d'audit : qui a fait quoi dans l'espace de gestion.

Catégories particulières : données de santé, uniquement si l'Établissement utilise l'intake avec questions sensibles, les documents ou la fiche de traitement pour de telles données (article 16).

Durée : aussi longtemps que le contrat court, puis comme à l'article 13 et à l'Annexe 4. Pendant le contrat s'appliquent les durées de conservation que l'Établissement paramètre (intake, documents, fiche de traitement, registre des hôtes) et les durées fixes de l'Annexe 4. Pour les Clients, réservations, paiements, commandes, avoirs, attestations et le journal d'audit, il n'existe aujourd'hui pas de durée automatique : ils restent jusqu'à ce que l'Établissement supprime le Client ou jusqu'à la fin du contrat.

Localisation : Union européenne (base de données à Francfort ; fichiers dans la juridiction UE de Cloudflare R2). Voir l'Annexe 3 pour l'accès depuis l'extérieur de l'EEE.

Annexe 2. Mesures techniques et organisationnelles #

Cette liste décrit les mesures qui figurent dans le code et la configuration au 13 octobre 2026. Ce qui n'existe pas encore figure séparément en bas.

Séparation entre Établissements

• Chaque table contenant des données d'un Établissement comporte une colonne indiquant l'Établissement et une sécurité au niveau des lignes (row level security) dans Postgres : l'application ne peut, par requête, lire et écrire que les lignes de l'Établissement actif.
• L'application fonctionne avec un rôle de base de données propre, sans droits de propriétaire et sans droit de contourner cette sécurité. Les migrations utilisent un rôle distinct, que l'application en cours d'exécution ne connaît pas.
• Les références entre tables contiennent l'Établissement (clés composées), de sorte qu'une ligne ne peut jamais pointer vers une ligne d'un autre Établissement.
• Pour chaque table contenant des données d'un Établissement existe un test automatisé qui vérifie qu'un Établissement ne peut pas lire les données d'un autre Établissement.

Chiffrement

• Toutes les connexions utilisent TLS ; en production, HSTS est activé (2 ans, sous domaines compris).
• La base de données est chiffrée au repos par le partenaire d'hébergement.
• Les champs sensibles sont chiffrés dans l'application avec AES-256-GCM. L'enveloppe v2 lie chaque valeur, au moyen de données authentifiées supplémentaires, à l'Établissement et à la ligne (et, si nécessaire, à la table et au champ). Cela vaut pour les réponses d'intake, les notes et la fiche de traitement, l'adresse pour un rendez-vous à domicile, le motif de refus, les demandes d'aide, les numéros de permis de conduire, les champs chiffrés du registre des hôtes, les numéros de carte, le lien d'un agenda de plateforme, les codes de bons cadeaux et de tickets dans la file d'attente, et le secret du second facteur des administrateurs de Bookable. Les clés se trouvent dans l'environnement de l'hébergement, pas dans le code, et peuvent être renouvelées (une ancienne clé reste temporairement lisible).
• Les clés d'accès de la connexion Mollie de l'Établissement sont chiffrées (enveloppe v1, sans lien ; passage à la v2 prévu).
• Bookable ne conserve aucune clé d'accès de Google : elles ne sont pas stockées après la connexion.
• Les liens de gestion, liens d'agenda, liens d'agendas de plateformes, codes de bons cadeaux, codes QR de tickets et offres de la liste d'attente sont des codes aléatoires conservés uniquement sous forme de hash (SHA-256).

Fichiers

• Les logos et photos se trouvent dans un bucket public chez Cloudflare R2. Les documents des Clients se trouvent dans un bucket distinct et privé, avec une clé d'accès propre qui ne fonctionne que sur ce bucket.
• Le téléversement passe par le serveur de Bookable, avec contrôle du type sur les premiers octets (pdf, jpg, png, heic), 10 Mo au plus par fichier, 5 au plus par rendez-vous et 3 à la fois. Le nom de fichier du Client n'est pas conservé.
• Le téléchargement passe uniquement par le serveur de Bookable, après contrôle du rôle, avec des en têtes qui empêchent la mise en cache et l'exécution du contenu. Il n'existe aucun lien public ou durable vers un document.
• Les documents sont chiffrés au repos par R2, pas en plus par l'application.

Accès dans l'espace de gestion d'un Établissement

• Connexion avec un lien envoyé par mail (valable 15 minutes) ou avec Google ; pas de mots de passe. Une session dure 30 jours au plus.
• Rôles propriétaire, collaborateur et lecture seule. Le contrôle se trouve dans les fonctions du domaine et les requêtes, pas seulement dans les écrans. Seul le propriétaire peut exporter et supprimer des Clients. Un collaborateur ne voit les données sensibles que pour ses propres rendez-vous.
• Compteurs contre l'abus notamment sur : les liens de connexion (3 par adresse mail et 10 par adresse IP par 15 minutes), la connexion avec Google, les codes mail pour les Clients, l'inscription, la réservation, le paiement, l'intake, les documents, les listes d'attente, les bons, les tickets, les séjours, les flux d'agenda, l'export par Client (10 par heure) et la suppression de Clients (10 par heure).
• Les pages de l'espace de gestion ne peuvent pas être affichées dans un cadre d'un autre site ; seul le formulaire de réservation destiné à un site propre le peut.

Accès par Bookable (plateforme)

• L'espace de gestion de Bookable utilise un rôle de base de données propre qui ne peut lire aucune table des Établissements. Il ne fonctionne que via des fonctions prédéfinies qui vérifient d'abord que l'utilisateur est un administrateur actif, et qui ne fournissent que des aperçus et des comptages sans données de Clients.
• Connexion réservée aux administrateurs figurant sur une liste, avec un lien envoyé par mail puis un second facteur obligatoire (TOTP ou passkey), avec des codes de récupération. Une session propre de 8 heures au plus, déconnexion après 30 minutes sans activité. Une politique de sécurité du contenu (CSP) complète sur cet espace.
• Consultation dans un Établissement : voir l'article 12.
• Chaque action d'un administrateur (prolonger l'essai, mettre en pause, arrêter, activer des fonctions, consulter, voir une fiche) est consignée avec un motif dans le journal d'audit de la plateforme, qui ne peut être ni modifié ni supprimé, et, lorsqu'elle concerne un Établissement, aussi dans son journal d'audit.

Journal d'audit et journaux

• Les actions d'écriture dans l'espace de gestion sont consignées dans un journal d'audit avec qui, quand, quoi et la source (gestion, plateforme, système). La consultation d'intake et de documents est consignée. L'application ne peut que lire et compléter le journal d'audit.
• La file d'attente ne consigne en cas d'erreur que le nom et le code, aucun contenu.

Minimisation des données

• Supprimer un Client efface les données sensibles et anonymise le reste, y compris dans les anciennes lignes du journal d'audit, sauf ce que l'Établissement doit conserver pour sa comptabilité.
• Le formulaire de réservation ne conserve aucune donnée personnelle dans le navigateur ; ce que le Client saisit reste dans la mémoire de la page.
• Bookable ne transmet à Mollie ni nom ni adresse mail du Client.
• Une tâche de nuit à 3 heures supprime les intakes, documents et notes expirés, ainsi que les données temporaires conformément à l'Annexe 4.

Organisation

• Pas de clés dans le code ; les secrets uniquement dans l'environnement de l'hébergement. Seul Silvio De Maeyer a accès au tableau de bord de l'hébergement et des fournisseurs.
• Authentification à deux facteurs sur les comptes chez les fournisseurs.
• Contrôle des vulnérabilités dans les bibliothèques utilisées.
• La base de données n'est pas ouverte à internet (uniquement le trafic interne).

Prévu ou encore ouvert

• Une politique de sécurité du contenu (CSP) stricte sur les pages des Établissements et sur l'espace de gestion de l'Établissement ; aujourd'hui uniquement une protection contre l'affichage dans un cadre et une CSP stricte sur les téléchargements.
• Un suivi des erreurs (Sentry) sans données personnelles, et une alerte en cas de panne.
• Une procédure fixe de sauvegarde et de restauration, testée une fois, et un export chiffré mensuel hors de Render.
• La suppression automatique des données d'un Établissement qui a arrêté (article 13). D'ici là, Bookable les supprime lui même après le délai de l'article 13.2.
• Une durée de conservation pour le journal d'audit.
• Une procédure et un journal pour l'accès à la base de données en dehors de l'application.

Annexe 3. Sous-traitants ultérieurs #

Pas un sous-traitant ultérieur de Bookable pour l'Établissement :

• Mollie B.V. pour les paiements des Clients : l'Établissement a lui même un contrat avec Mollie ; Bookable ne transmet à Mollie ni nom ni adresse mail du Client. Pour ces paiements, Mollie est un partenaire de l'Établissement.
• Google pour la connexion des Utilisateurs : il s'agit d'un traitement de Bookable en tant que responsable du traitement (déclaration de confidentialité).

Prévu, seulement après notification conforme à l'article 7.2 : Functional Software, Inc. (Sentry) pour le suivi des erreurs ; Meta Platforms Ireland Limited (WhatsApp) et un service de sms pour les messages ; Google et Microsoft pour les liaisons d'agenda.

Annexe 4. Conservation, restitution et suppression #

Annexe 5. Procédure en cas de violation #

1. Constater. Celui qui remarque une violation possible (Silvio, un signalement d'un Établissement, d'un Client ou d'un fournisseur) la signale à info@bookable.be. Bookable note aussitôt le moment de la prise de connaissance.
2. Contenir. Bookable prend aussitôt des mesures pour arrêter la violation : renouveler les clés, retirer des accès, désactiver une fonction, mettre en pause l'Établissement touché si nécessaire.
3. Examiner. Bookable détermine quels Établissements, quelles données et combien de personnes concernées sont touchés, à l'aide du journal d'audit, des journaux de l'hébergement et des fournisseurs.
4. Notifier l'Établissement. Dans les 48 heures après la prise de connaissance, par mail aux propriétaires de chaque Établissement touché, avec le contenu de l'article 11.2. Des compléments suivent dès qu'ils sont connus.
5. Notifier l'autorité de contrôle pour ses propres données. Si la violation touche des données dont Bookable est lui même responsable (par exemple les comptes d'Utilisateurs), Bookable notifie dans les 72 heures l'Autorité de protection des données, sauf si la violation n'est pas susceptible d'engendrer un risque.
6. Assistance. Bookable aide l'Établissement pour sa notification à l'autorité de contrôle et aux personnes concernées.
7. Enregistrer et apprendre. Bookable consigne la violation dans le registre (article 11.4) et prend des mesures pour éviter qu'elle se reproduise.