Politique de confidentialité

Le responsable du traitement des données personnelles est la société éditrice de Pawlity, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi n°78-17 du 6 janvier 1978 modifiée (Informatique et Libertés).

• Identité : PAWLITY
• Siège social : 47 rue Vivienne, 75002 Paris, France
• Contact : privacy@pawlity.app
• Délégué à la protection des données : [À compléter : délégué à la protection des données (DPO)]

Note : les informations relatives à un animal (espèce, race, santé, allergies) sont traitées comme des données personnelles ordinaires de son propriétaire ; ce ne sont pas des « données de santé » au sens de l’article 9 du RGPD, qui ne vise que la santé des personnes physiques.

Pawlity collecte les données suivantes, chacune pour une finalité déterminée :

• Compte et authentification (e-mail, nom, identifiants Apple/Google, mot de passe haché, téléphone) — création de compte et authentification. Base : exécution du contrat.
• Animaux (espèce, race, âge, santé, photos) — profils et bonne exécution des prestations. Base : exécution du contrat / consentement pour les photos.
• Réservations et usage (rendez-vous, commandes, messagerie, avis, échanges avec l’assistant IA) — gestion du service. Base : exécution du contrat / intérêt légitime pour les avis.
• Géolocalisation / adresse — recherche de professionnels à proximité et services à domicile. Base : exécution du contrat / consentement.
• Paiement (statut, montant, identifiants de transaction) — suivi des paiements. Base : exécution du contrat / obligation légale comptable. Pawlity ne collecte ni ne stocke aucun numéro de carte.
• Données techniques (token de notification push, logs, identifiant d’appareil) — notifications, maintenance et sécurité. Base : consentement / intérêt légitime.

Pawlity n’utilise aucun outil d’analytics comportemental tiers, aucun profilage et aucune publicité tierce.

Les données ne sont accessibles qu’aux personnes habilitées de Pawlity et aux sous-traitants ci-dessous, dans la stricte limite de leur mission. Les professionnels partenaires ne reçoivent que les données nécessaires à l’exécution de la prestation réservée (identité du client, animal concerné, créneau).

• Supabase Inc. — base de données, authentification, stockage, temps réel (région UE).
• Vercel Inc. — hébergement des sites web (États-Unis, clauses contractuelles types).
• Stripe — traitement des paiements et reversements (Connect).
• Brevo (Sendinblue SAS) — envoi des e-mails transactionnels (UE, France).
• Google (Firebase Cloud Messaging, Gemini) et Apple (Sign-In, APNs) — notifications, authentification et assistant IA de support, pour les seules données strictement nécessaires.

Les transferts hors Union européenne sont encadrés par les clauses contractuelles types approuvées par la Commission européenne (article 46 du RGPD).

• Données de compte et profils d’animaux : durée de vie du compte, puis suppression à la clôture.
• Réservations et messagerie : durée de vie du compte, puis archivage selon obligations légales.
• Données de facturation et comptables : 10 ans (obligation légale).
• Tokens push et logs techniques : durée de la session, 12 mois maximum pour les logs.

Conformément au RGPD, vous disposez des droits suivants :

• accès, rectification et effacement de vos données ;
• portabilité et limitation du traitement ;
• opposition à un traitement fondé sur l’intérêt légitime ;
• retrait du consentement (notifications, géolocalisation) à tout moment.

Ces droits s’exercent depuis votre profil ou par e-mail à privacy@pawlity.app. Toute demande est traitée sous 30 jours maximum (prolongeable pour les demandes complexes). Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

• Chiffrement en transit (HTTPS imposé, HSTS) et au repos sur l’infrastructure Supabase (région UE).
• Contrôle d’accès par Row-Level Security sur l’ensemble des tables : chaque utilisateur n’accède qu’à ses propres données ; l’Espace Partenaire est cloisonné par rôle.
• Authentification par tokens à durée limitée ; mots de passe hachés, jamais stockés en clair.
• Secrets et clés API isolés côté serveur, jamais exposés aux applications clientes.

Pawlity propose un assistant IA de support (Google Gemini) répondant aux questions du client sur son propre compte, en lecture seule. Il ne transmet à l’API que les données du compte du client strictement nécessaires au contexte de sa question, l’accès étant limité par la Row-Level Security. Ces données ne sont pas réutilisées pour l’entraînement des modèles ; un renvoi vers un agent humain est toujours possible.

Les sites Pawlity n’utilisent qu’un traceur technique strictement nécessaire (cookie de session d’authentification), exempté de consentement. Le détail figure sur la page Gestion des cookies.