Politique de confidentialité
Dernière mise à jour : 3 septembre 2026
1. Qui fait quoi : responsable de traitement et sous-traitant
Zoalya est un outil utilisé par des professionnels de la médiation animale (ci-après « le Praticien ») pour suivre l'accompagnement de leurs bénéficiaires.
- Pour les données du compte du Praticien (création de compte, abonnement, facturation, support), l'éditeur de Zoalya est responsable de traitement.
- Pour les données saisies par le Praticien sur ses bénéficiaires et ses animaux partenaires (identité, objectifs, observations de séance), le Praticien est responsable de traitement et l'éditeur de Zoalya agit comme sous-traitant, sur instruction du Praticien et uniquement pour lui fournir le Service. L'éditeur n'exploite pas ces données à ses propres fins.
2. Les données que nous traitons
2.1 Données du compte du Praticien
- Identité : prénom, nom, adresse e-mail.
- Données de connexion : mot de passe (stocké sous forme de hachage, non réversible), ou identifiant Google si la connexion Google est utilisée.
- Données d'abonnement et de facturation : palier souscrit, identifiant client Stripe, historique de paiement. Les coordonnées bancaires sont traitées directement par Stripe et ne transitent pas par nos serveurs.
- Données techniques : journaux de connexion et d'erreur (adresse IP, horodatage, type d'action) à des fins de sécurité et de bon fonctionnement.
2.2 Données saisies dans le cadre de l'accompagnement
- Bénéficiaires : prénom, nom ou initiales, année de naissance, informations de contexte que le Praticien juge utiles (les champs sont majoritairement facultatifs).
- Suivi : objectifs individualisés, observations par sphère, évaluations sur une échelle, comptes rendus de séance, bilans.
- Animaux partenaires : nom, espèce, tempérament, historique.
Ces données peuvent comporter des informations sensibles au sens du RGPD (par exemple des éléments relatifs à la santé ou au handicap). Leur saisie relève du choix et de la responsabilité du Praticien ; Zoalya fournit l'outil de suivi, sans produire d'analyse clinique automatisée.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Fournir le Service, gérer le compte et l'authentification | Exécution du contrat (CGUV) |
| Gérer les abonnements, les paiements et la facturation | Exécution du contrat et obligation légale (comptabilité) |
| Assurer la sécurité, prévenir la fraude et les abus | Intérêt légitime |
| Répondre aux demandes de support | Exécution du contrat et intérêt légitime |
| Héberger et traiter les données de suivi pour le compte du Praticien | Traitement en sous-traitance, base fixée par le Praticien responsable |
| Améliorer le Service (statistiques d'usage agrégées et non identifiantes) | Intérêt légitime |
4. Destinataires et sous-traitants ultérieurs
Les données ne sont ni vendues ni cédées. Elles sont accessibles à l'éditeur pour l'exploitation du Service et confiées aux prestataires suivants, chacun encadré par un contrat conforme à l'article 28 du RGPD :
| Prestataire | Rôle | Localisation |
|---|---|---|
| O2Switch (O2SWITCH SAS) | Hébergement du site vitrine et de l'application web | France (Clermont-Ferrand) |
| OVH (OVH SAS) | Hébergement de l'API applicative (serveur VPS) | Royaume-Uni (datacenter de Londres) — voir la section 5 |
| Supabase (Supabase, Inc.) | Base de données et stockage des fichiers | Union européenne (Paris) |
| Stripe (Stripe Payments Europe, Ltd.) | Paiement et gestion des abonnements | Irlande (groupe avec entités aux États-Unis) |
| Google (Google Ireland Ltd) | Authentification « Se connecter avec Google », si le Praticien la choisit | Irlande / États-Unis |
| Brevo (Sendinblue SAS) | Envoi des e-mails du Service (confirmation d'adresse, réinitialisation de mot de passe) | France |
5. Transferts hors Union européenne
La base de données (Supabase) est hébergée dans l'Union européenne. En revanche, l'API applicative est hébergée sur un serveur situé au Royaume-Uni (datacenter d'OVH à Londres) : les données de suivi transitent donc par ce serveur. Ce transfert hors de l'Union européenne est autorisé sur le fondement de la décision d'adéquation de la Commission européenne relative au Royaume-Uni, qui reconnaît un niveau de protection des données équivalent à celui de l'Union. Si cette décision d'adéquation venait à ne pas être renouvelée, l'éditeur encadrera le transfert par des clauses contractuelles types ou rapatriera l'hébergement dans l'Union européenne.
Par ailleurs, Stripe et Google peuvent traiter certaines données depuis les États-Unis ; ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le Data Privacy Framework pour les entités qui y sont certifiées.
6. Durées de conservation
- Compte du Praticien resté sans connexion : supprimé après 24 mois d'inactivité, un e-mail d'avertissement étant envoyé au préalable.
- Après résiliation de l'abonnement : le compte du Praticien et ses données sont supprimés dans un délai de 90 jours. Pendant ce délai, le Praticien peut demander un export de ses données de suivi.
- Données de suivi (bénéficiaires, observations, bilans) : conservées tant que le compte est actif, puis supprimées selon le délai ci-dessus.
- Données de facturation et pièces comptables : conservées 10 ans au titre des obligations légales.
- Journaux de connexion techniques : 12 mois.
- Sauvegardes de la base de données : rotation sur 30 jours glissants, après quoi la plus ancienne copie est écrasée.
7. Sécurité
Les échanges sont chiffrés en transit (HTTPS). Les mots de passe sont stockés sous forme de hachage. L'accès aux données de production est restreint. Des sauvegardes régulières de la base de données sont réalisées. Malgré ces mesures, aucun système n'offre une garantie absolue ; en cas de violation de données susceptible d'engendrer un risque pour les personnes, l'éditeur informe le Praticien concerné et, le cas échéant, la CNIL, dans les délais prévus par le RGPD.
8. Cookies et traceurs
L'Application utilise un unique cookie de session, strictement nécessaire à l'authentification. Il n'est pas utilisé à des fins de mesure d'audience ou de publicité et ne requiert pas de consentement.
Le site vitrine charge deux polices de caractères (Fredoka et Figtree) depuis le service Google Fonts, ce qui transmet l'adresse IP du visiteur aux serveurs de Google. Aucune autre donnée n'est transmise et aucun cookie n'est déposé à cette occasion. L'hébergement de ces polices sur les serveurs de l'éditeur, qui supprimera ce transfert, est prévu à court terme. Aucun autre traceur, ni outil de mesure d'audience, n'est utilisé à ce jour.
9. Vos droits
Conformément au RGPD, toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur ses données, ainsi que du droit de définir des directives relatives à leur sort après son décès.
- Le Praticien exerce ces droits sur les données de son compte auprès de l'éditeur.
- Un bénéficiaire (ou son représentant légal) exerce ses droits sur les données de suivi auprès du Praticien, qui en est responsable. L'éditeur assiste le Praticien dans le traitement de ces demandes.
Demandes à adresser à : support@getzoalya.com. Une réponse est apportée dans un délai d'un mois.
10. Modifications de cette politique
Cette politique peut être mise à jour pour refléter une évolution du Service ou de la réglementation. La date de dernière mise à jour figure en haut de page ; en cas de changement significatif, les Praticiens sont informés par e-mail ou via l'Application.
11. Contact et réclamation
Pour toute question relative à cette politique : support@getzoalya.com.
Vous pouvez également introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.