Politique de confidentialité

1. Introduction

La présente politique de confidentialité décrit la manière dont Mon Atelier, édité par ROMMING Maxime EI, collecte, utilise et protège les données personnelles dans le cadre de l’utilisation du logiciel.

Mon Atelier est une solution de gestion destinée aux professionnels de la réparation de téléphones. Les ateliers utilisateurs saisissent et gèrent, via la plateforme, les données de leurs propres clients.

2. Rôles et responsable de traitement

Conformément au Règlement Général sur la Protection des Données (RGPD), les rôles peuvent varier selon la nature des données traitées :

• Pour les données relatives aux ateliers utilisateurs(compte, abonnement, facturation, support), ROMMING Maxime EI (Mon Atelier) agit en tant que responsable de traitement.
• Pour les données relatives aux clients finaux des ateliers (clients, appareils, interventions, documents), l’atelier utilisateur agit en tant que responsable de traitement, et ROMMING Maxime EI (Mon Atelier) agit en tant que sous-traitant, en traitant ces données pour le compte de l’atelier et selon ses instructions.

Coordonnées de l’éditeur :

• ROMMING Maxime, auto-entrepreneur — Mon Atelier
• SIRET : 801 521 618 00042
• Adresse : 9 rue Lemire, 57500 Saint-Avold, France
• Email : contact@monatelier.net

3. Données collectées

Les données collectées sont strictement nécessaires au fonctionnement du service et au respect des obligations légales des ateliers.

3.1. Données relatives aux ateliers utilisateurs

• Nom de l’entreprise, statut juridique, SIRET ;
• Coordonnées professionnelles (adresse, email, téléphone) ;
• Informations de connexion (email, mot de passe hashé) ;
• Paramètres de compte (logo, préférences, modèles de documents, emails ou SMS) ;
• Coordonnées bancaires (IBAN), uniquement si renseignées par l’utilisateur, afin de les faire apparaître sur les documents générés.
• Identifiants techniques de services tiers (ex. OVH SMS), fournis par l’atelier utilisateur, et nécessaires à l’envoi de SMS via la plateforme (nom de l’application, nom du service, clés API, clé consommateur, expéditeur), stockés de manière sécurisée.
• Acceptation des conditions générales : version acceptée, empreinte du texte, date et heure, nom et e-mail de la personne qui accepte, adresse IP et navigateur utilisés.

3.1 bis. Données collectées via Google Sign-In (connexion SSO)

Lorsqu'un atelier choisit de s'inscrire ou de se connecter via le bouton « Continuer avec Google », Mon Atelier reçoit de Google les données suivantes, transmises via un jeton d'identité OpenID Connect :

• Adresse email associée au compte Google ;
• Prénom et nom de famille ;
• Identifiant unique Google (sub) ;
• URL de la photo de profil Google (optionnelle, non stockée).

Ces données sont utilisées exclusivement pour créer ou identifier le compte de l'atelier sur Mon Atelier. Aucune autre donnée Google n'est accédée via ce flux.

3.1 ter. Données collectées via la synchronisation Google Agenda

Lorsqu'un atelier choisit de connecter son Google Agenda à Mon Atelier, les données suivantes sont collectées et stockées de manière sécurisée :

• Email et nom du compte Google Agenda autorisé ;
• Token d'accès OAuth2 et token de rafraîchissement (chiffrés en base de données, nécessaires pour maintenir la connexion autorisée) ;
• Identifiants des calendriers Google sélectionnés pour la synchronisation.

Les événements du Google Agenda de l'atelier sont lus en temps réel afin de calculer les créneaux disponibles à la réservation et d'afficher les événements dans la vue agenda de Mon Atelier. Ces événements ne sont pas stockés durablement sur les serveurs de Mon Atelier et ne sont pas partagés avec des tiers.

De plus, lorsque l'atelier crée, modifie ou annule un rendez-vous dans Mon Atelier (depuis l'agenda interne, ou suite à une réservation prise par un client via le formulaire de prise de rendez-vous public), un événement correspondant est créé, mis à jour ou supprimé automatiquement dans le Google Agenda de l'atelier (titre du rendez-vous, créneau horaire, et coordonnées du client si la prise de rendez-vous vient du formulaire public). Cette synchronisation bidirectionnelle est strictement limitée aux événements représentant les rendez-vous de l'atelier : aucun autre événement personnel ou professionnel présent dans le Google Agenda de l'utilisateur n'est modifié ou supprimé.

L'atelier peut révoquer cet accès à tout moment depuis les paramètres de Mon Atelier ou directement depuis son compte Google (myaccount.google.com/permissions).

3.2. Données relatives aux clients finaux des ateliers

• Nom, prénom ;
• Coordonnées (email, téléphone, adresse) ;
• Date d’anniversaire, lorsque celle-ci est renseignée volontairement dans le cadre d’un programme de fidélité ;
• Informations liées aux appareils (marque, modèle, numéro IMEI ou numéro de série) ;
• Historique des interventions (devis, factures, réparations, ventes).

3.4 bis. Données collectées via la page de prise de rendez-vous en ligne

Lorsqu’un atelier active la fonctionnalité de prise de rendez-vous en ligne, les personnes souhaitant prendre rendez-vous peuvent renseigner :

• Nom et prénom ;
• Adresse email (obligatoire, pour l’envoi de la confirmation de RDV) ;
• Numéro de téléphone ;
• Type de rendez-vous et créneau souhaité.

Un identifiant technique unique (token d’annulation) est généré pour chaque rendez-vous, permettant au client d’annuler son RDV via un lien sécurisé, sans nécessiter de compte. Ce token ne contient aucune donnée personnelle.

3.3. Données spécifiques au rachat d’appareils d’occasion

• Copie d’une pièce d’identité du client et informations associées, lorsque requis par la réglementation (livre de police) ;
• Informations complètes relatives aux appareils rachetés.

Conformément aux articles 321-7 et R321-6-1 du code pénal, les données du livre de police tenu sous forme électronique sont conservées pendant 10 ans à compter de leur enregistrement.

3.4. Données techniques

• Logs techniques (adresses IP, horodatages) ;
• Historique des connexions au compte : date et heure, réussite ou échec, mode de connexion, type d’appareil et de navigateur, adresse IP, et un identifiant aléatoire de l’appareil (dont seule une empreinte est conservée), pour repérer une connexion inhabituelle et vous en prévenir ;
• Données nécessaires à la sécurité et à la maintenance ;
• Pour l’abonnement avec engagement de 12 mois uniquement : nom, prénom et fonction du signataire, copie recto verso de sa pièce d’identité et, le cas échéant, du pouvoir qui l’autorise à engager l’entreprise.

4. Finalités et bases légales

• Fourniture du service (exécution du contrat) ;
• Gestion des comptes et abonnements ;
• Édition de documents (devis, factures) ;
• Envoi de notifications email ou SMS ;
• Authentification via Google Sign-In (connexion simplifiée au compte Mon Atelier sans mot de passe) ;
• Synchronisation Google Agenda bidirectionnelle : calcul des créneaux disponibles à la réservation, affichage des événements Google dans l'interface Mon Atelier, et création, modification et suppression dans Google Agenda des événements correspondant aux rendez-vous gérés dans Mon Atelier ;
• Sécurité et amélioration du service ;
• Preuve de l’acceptation des conditions générales et défense des droits de l’éditeur, notamment contre un usage du service interdit par ces conditions (intérêt légitime).
• Vérification de l’identité et des pouvoirs du signataire d’un abonnement avec engagement, preuve de cet engagement et recouvrement des sommes dues (exécution du contrat et intérêt légitime). Ces pièces ne sont jamais publiées : seul l’éditeur peut les consulter.

Les traitements reposent principalement sur l’exécution du contrat (article 6.1.b du RGPD) et, pour certains traitements techniques, sur l’intérêt légitime.

5. Durée de conservation

• Comptes en période d’essai : si l’utilisateur ne souscrit pas à un abonnement payant, les données sont supprimées définitivement 37 jours après l’expiration de la période d’essai. Un avertissement est envoyé à J+30 avant cette suppression.
• Comptes payants ayant résilié leur abonnement : conformément à l’article L123-22 du Code de commerce (conservation des pièces comptables et factures pendant 10 ans minimum) et à l’article L102 B du Livre des Procédures Fiscales (6 ans pour le délai de reprise fiscal), les données comptables et fiscales sont conservées sans limite de durée à compter de la date d’archivage du compte. L’accès à l’interface est suspendu 30 jours après l’expiration de l’abonnement, mais les données restent accessibles sur demande. Une suppression définitive peut être demandée par écrit (droit à l’oubli — article 17 RGPD), traitée manuellement au cas par cas dans le respect des obligations de conservation qui priment.
• Journal de suppression : lors de toute suppression de compte, un enregistrement pseudonymisé (email, nom commercial, ville, SIRET, date d’inscription, date de suppression) est conservé à des fins de traçabilité légale et de conformité RGPD.
• Journal d’acceptation des conditions générales : conservé pendant toute la durée du contrat, puis pendant le délai de prescription des actions qui peuvent en découler.
• Pièces d’identité des signataires d’un engagement : conservées pendant la durée de l’engagement puis cinq ans. Elles sont supprimées sans attendre si le dossier est refusé et remplacé par de nouvelles pièces, ou si l’offre est retirée avant la signature.
• Historique des connexions et appareils connus : conservés 12 mois, puis supprimés automatiquement.
• Données de rendez-vous en ligne : conservées pour la durée de vie du compte de l’atelier et supprimées avec celui-ci.

6. Destinataires et sous-traitants

Les données sont accessibles uniquement à ROMMING Maxime EI (Mon Atelier) et aux sous-traitants techniques nécessaires au fonctionnement du service.

Les sous-traitants techniques utilisés par Mon Atelier sont notamment :

• Stripe (paiement en ligne) — peut traiter des données hors UE. Garanties : clauses contractuelles types de la Commission européenne.
• Brevo (anciennement Sendinblue, envoi d’emails transactionnels) — serveurs principalement en Europe. Garanties conformes au RGPD.
• DigitalOcean (hébergement du service) — infrastructure dédiée en région UE.
• Telegram (notifications internes à l’administration du service uniquement) — des informations non sensibles (nom commercial, email professionnel) peuvent être transmises à des fins de supervision interne. Ces données ne sont utilisées qu’à titre opérationnel par l’éditeur et ne sont pas partagées avec des tiers.
• Google Fonts (polices d’écriture du site) — lors du chargement des pages, votre adresse IP et user-agent peuvent être transmis aux serveurs de Google afin de charger les polices. Google Fonts ne dépose pas de cookies de tracking. Voir la politique de confidentialité Google.
• Google LLC (Google Identity Services / API Google Agenda) — lorsqu’un atelier utilise la connexion Google SSO ou la synchronisation Google Agenda, les données nécessaires à l’authentification OAuth2 sont transmises à Google LLC. Google peut traiter ces données aux États-Unis ; garanties : clauses contractuelles types (CCT) de la Commission européenne. Voir la politique de confidentialité Google.

Pour l’envoi de SMS, Mon Atelier intègre le service OVH SMS. Les identifiants nécessaires à ce service sont fournis directement par les ateliers utilisateurs et utilisés exclusivement pour leur compte. Mon Atelier n’utilise pas de crédits SMS propres et agit uniquement comme intermédiaire technique entre l’atelier et OVH.

Les données ne sont jamais revendues à des tiers.

6 bis. Conformité aux politiques d'utilisation des API Google

L'utilisation par Mon Atelier des données obtenues via les API Google (Google Identity Services pour le SSO, et Google Calendar API pour la synchronisation d'agenda) est strictement limitée aux finalités suivantes, directement visibles dans l'interface de l'application :

• Authentification et identification de l'atelier (Google Sign-In) ;
• Affichage des événements Google Agenda dans l'interface Mon Atelier, calcul des créneaux disponibles à la réservation en ligne, et synchronisation des rendez-vous créés dans Mon Atelier vers le Google Agenda de l'atelier (création, modification, annulation des événements correspondant aux rendez-vous).

Ces données Google ne sont en aucun cas :

• utilisées à des fins publicitaires ou de reciblage ;
• vendues, cédées ou louées à des tiers ;
• utilisées pour établir un score de crédit ou évaluer la solvabilité ;
• utilisées pour entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique (hors traitement en temps réel strictement nécessaire à la fonctionnalité) ;
• lues ou consultées par des personnes humaines, sauf en cas d'obligation légale ou de demande explicite de l'atelier pour assistance technique.

Mon Atelier déclare que son utilisation des données issues des API Google est conforme à la Google API Services User Data Policy, y compris aux exigences de limitation d'utilisation (Limited Use).

Mon Atelier's use of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

7. Sécurité des données

Des mesures techniques et organisationnelles appropriées sont mises en œuvre afin de garantir la sécurité des données (chiffrement des mots de passe, accès restreints, sauvegardes, etc.).

Les clés et identifiants techniques fournis par les ateliers (API, services SMS, etc.) sont stockés de manière sécurisée et ne sont utilisés que pour les besoins stricts du fonctionnement du service.

8. Droits des personnes concernées

• droit d’accès ;
• droit de rectification ;
• droit d’effacement (dans les limites légales) ;
• droit à la limitation du traitement ;
• droit d’opposition ;
• droit à la portabilité.

Pour exercer vos droits : contact@monatelier.net

Vous pouvez également introduire une réclamation auprès de l'autorité de contrôle compétente selon votre pays de résidence :

• France : CNIL — Commission Nationale de l'Informatique et des Libertés (www.cnil.fr)
• Belgique : APD — Autorité de Protection des Données (www.autoriteprotectiondonnees.be)

9. Cookies et traceurs

Mon Atelier utilise uniquement des cookies strictement nécessaires au fonctionnement du service. En cas d’ajout de cookies soumis au consentement, une bannière dédiée sera mise en place.

10. Délégué à la protection des données

Aucun délégué à la protection des données (DPO) n’a été désigné. Pour toute question : contact@monatelier.net

11. Utilisation par des mineurs

Le service Mon Atelier est destiné exclusivement à un usage professionnel et n’est pas conçu pour être utilisé par des mineurs.

12. Modification de la politique

La présente politique peut être modifiée afin de refléter les évolutions du service ou du cadre légal. La date de mise à jour est indiquée en haut de page.