Politique de confidentialité

Qui est responsable

Ovanori est exploité par Sady Doucouré, entreprise individuelle immatriculée au Québec (NEQ 2277553931), à Montréal. L'exploitant est responsable des renseignements personnels décrits ici.

Responsable de la protection des renseignements personnels : Sady Doucouré, propriétaire. Pour toute question, ou pour exercer vos droits, écrivez à privacy@ovanori.com.

Ce que nous collectons

Compte : prénom, nom, adresse e-mail, téléphone, langue, photo de profil si vous en ajoutez une, et un mot de passe qui n'est jamais conservé en clair — seule une empreinte est stockée. Si vous vous connectez avec Google ou Apple, nous gardons l'identifiant que ce service nous transmet pour vous reconnaître.

Salon : nom commercial, adresse, coordonnées de contact, prestations, horaires, photos de galerie, employés.

Rendez-vous : date, prestation, salon, le message éventuellement laissé au salon, et l'historique des annulations ou déplacements. Quand une carte ou un paiement est demandé, nous ne voyons que la marque de la carte et ses quatre derniers chiffres.

Carnet du salon : les notes qu'un salon écrit sur ses clients, visibles de lui seul, et le nom et le téléphone d'un client qu'il inscrit lui-même au comptoir.

Avis : la note, le commentaire, et le prénom de son auteur — jamais son nom complet.

Position géographique : utilisée uniquement au moment où vous demandez « les salons près de vous », le temps du calcul des distances. Elle n'est ni enregistrée, ni conservée entre deux visites, ni renvoyée à qui que ce soit.

Visites des vitrines : un décompte par jour et par provenance (lien direct, code QR, recherche, réseaux sociaux), sans rien qui désigne le visiteur.

Journaux techniques : adresse IP, horodatage et page demandée, conservés pour la sécurité et le diagnostic.

Pourquoi nous les collectons

Faire fonctionner le service : créer un compte, publier une page, réserver, prévenir par e-mail ou par SMS, afficher des avis vérifiés.

Facturer l'abonnement du salon et respecter nos obligations comptables.

Protéger le service : confirmer les adresses e-mail, limiter les abus, traiter les signalements, diagnostiquer les pannes.

Qui y a accès

Le salon chez qui vous réservez reçoit votre prénom, votre nom, votre téléphone et votre adresse e-mail : il en a besoin pour vous recevoir et vous joindre.

Nous ne vendons aucune donnée et n'en cédons à aucun annonceur. Une communication à une autorité n'a lieu que sur demande légale.

Nos sous-traitants, ci-dessous, ne reçoivent que ce qu'il leur faut pour rendre leur service. Plusieurs traitent les données hors du Québec et du Canada, en particulier aux États-Unis ; elles y sont soumises aux lois locales.

Nos sous-traitants et où ils traitent les données

Hostinger héberge le serveur de l'application et sa base de données, et achemine nos e-mails.

Amazon Web Services (AWS), région us-east-1 (Virginie du Nord, États-Unis) : stocke les photos (profils, galeries, équipes) et les copies de sauvegarde de la base de données.

Stripe (États-Unis) traite les abonnements des salons, et les cartes et paiements demandés à la réservation. Une carte est enregistrée sur le compte Stripe du salon, jamais chez Ovanori.

Twilio (États-Unis) envoie les rappels par SMS : il reçoit le numéro de téléphone du client et le texte du rappel (prestation, salon, heure et adresse du rendez-vous). Seul le rappel de deux heures avant part par SMS. Un client qui a un compte peut le désactiver dans ses préférences de notification ; un client noté par le salon sans compte le reçoit au numéro que le salon a noté pour lui.

Google (États-Unis) : Google Maps affiche le plan d'un salon et la carte de l'annuaire. Le plan ne se charge que lorsqu'il arrive à l'écran ; Google reçoit alors l'adresse IP du visiteur et la zone affichée. L'adresse d'un salon est aussi transmise à Google, une fois, pour en déduire sa position sur la carte. Si vous vous connectez avec Google, Google nous transmet votre nom et votre adresse e-mail.

Apple (États-Unis) : si vous vous connectez avec Apple, Apple nous transmet votre nom et votre adresse e-mail, ou une adresse relais si vous la masquez.

Cloudflare Turnstile vérifie, à l'inscription et à la demande d'un nouveau mot de passe, que la demande vient d'une personne. Cloudflare reçoit l'adresse IP et des informations techniques sur le navigateur.

Sentry reçoit les rapports d'erreur de l'application, pour que nous puissions corriger les pannes : type de navigateur, page, et message d'erreur. Ces rapports ne contiennent ni votre identité, ni votre adresse IP, ni vos témoins ; les adresses e-mail et numéros de téléphone y sont masqués avant l'envoi.

Chacun de ces services applique aussi sa propre politique de confidentialité.

Combien de temps

Le compte et son contenu : tant que vous ne le supprimez pas.

Les rendez-vous passés et les avis restent dans l'historique du salon. Après la suppression d'un compte, ils ne désignent plus personne : les avis restent publiés, signés « Ancien client ».

Les jetons de session, de confirmation d'adresse, de réinitialisation et d'invitation : supprimés 7 jours après leur expiration ou leur usage. Le lien personnel contenu dans un e-mail de confirmation ou de réinitialisation est effacé de nos registres dès l'envoi.

Les e-mails et SMS envoyés : leur contenu est effacé après 30 jours, et leur trace après 180 jours.

Les notifications de paiement reçues de Stripe : leur contenu est effacé après 30 jours, leur identifiant est gardé un an pour ne jamais traiter deux fois le même paiement.

Le décompte des SMS envoyés, qui sert aux plafonds quotidiens : 7 jours. Les visites des vitrines : 25 mois.

Les copies de sauvegarde : 35 jours au plus. Une donnée supprimée disparaît des sauvegardes dans ce délai.

Les journaux techniques sont écrasés automatiquement, au plus tard après douze mois.

Vos droits

Vous pouvez demander l'accès à vos renseignements, leur rectification, leur suppression, leur portabilité, et retirer un consentement donné. Vos coordonnées et vos préférences de notification se modifient directement depuis votre compte.

Suppression : un client ou un employé supprime son compte lui-même, depuis la page « Mon compte ». Le compte d'un propriétaire de salon se supprime sur demande écrite au support, à hello@ovanori.com.

Accès, rectification et portabilité : écrivez au responsable de la protection des renseignements personnels, à privacy@ovanori.com. Nous répondons dans les trente jours.

Si notre réponse ne vous satisfait pas, vous pouvez vous adresser à la Commission d'accès à l'information du Québec.

Ce que la suppression d'un compte efface

Effacés : prénom, nom, adresse e-mail, téléphone, photo de profil, mot de passe, liens avec Google et Apple, sessions, préférences, messages en attente, inscriptions en liste d'attente, et le message laissé au salon sur un rendez-vous. Les notes qu'un salon avait écrites sur ce client sont effacées elles aussi.

Conservés, sans rien qui vous désigne : les rendez-vous passés, dans l'historique du salon, et les avis, signés « Ancien client ». Ce qui doit être gardé pour des raisons comptables l'est aussi.

La même adresse e-mail peut ensuite servir à créer un nouveau compte, qui ne reprend rien de l'ancien.

Cookies

Aucun cookie publicitaire, aucune mesure d'audience. Ovanori ne dépose que des témoins strictement nécessaires, qui ne demandent pas de consentement :

ovanori_refresh : maintient votre session ouverte. Illisible par un script, envoyé seulement au service de connexion. 30 jours (12 heures pour un compte d'administration), effacé à la déconnexion.

ovanori_session : indique seulement qu'une session existe, sans aucun secret, pour éviter une requête inutile à chaque visite. Même durée que ovanori_refresh, effacé avec lui.

XSRF-TOKEN : protège le renouvellement de la session contre les requêtes envoyées depuis un autre site. Effacé à la fermeture du navigateur.

ovanori_lang : retient la langue que vous avez choisie. Un an.

Le navigateur garde aussi, sur votre appareil seulement, la langue choisie, le format d'heure (12 h ou 24 h), et pendant 48 heures au plus la réservation en attente de la confirmation de votre adresse.

Les services tiers ne se chargent que sur les pages qui s'en servent : Google et Apple sur les pages de connexion et d'inscription et à la confirmation d'une suppression de compte, Stripe quand une carte ou un paiement est demandé, Google Maps quand une carte s'affiche, Cloudflare Turnstile à l'inscription et à la demande d'un nouveau mot de passe, et Sentry pour signaler une erreur. Ils peuvent alors déposer leurs propres témoins, selon leurs propres règles.

E-mails et notifications

Confirmations, rappels et invitations à laisser un avis se règlent catégorie par catégorie depuis votre compte. Les messages qui concernent votre compte lui-même — sécurité, facturation, modération — ne peuvent pas être désactivés.