Politique de confidentialité

Ceci est notre Politique de confidentialité. Les Conditions d'utilisation (CLUF) de Mimos figurent sur une page distincte. Voir les Conditions d'utilisation →

1. À propos de cette politique et à qui elle s'adresse

Mimos est une plateforme logicielle multi-locataire en mode service (SaaS) que les entreprises de toilettage utilisent pour gérer leurs clients, les animaux, les rendez-vous, la messagerie et une vitrine de réservation en ligne. La plateforme est exploitée par Mimos Technology Inc. (« Mimos », « nous »), 108 W 39th St, STE1006 PMB2057 New York City, 10018 NY, USA.

Cette politique explique quelles données personnelles nous traitons, pourquoi, sur quelle base légale, avec qui nous les partageons, combien de temps nous les conservons et quels sont tes droits. Elle s'applique :

• Aux entreprises de toilettage qui s'abonnent à Mimos (nos clients directs) et aux membres du personnel de ces entreprises qui disposent d'un compte.
• Aux propriétaires d'animaux (« clients ») dont une entreprise de toilettage enregistre les informations dans Mimos ou qui réservent via la vitrine en ligne d'une entreprise.
• Aux visiteurs de notre site joinmimos.com, de notre application et de nos pages de réservation.

2. Notre rôle : responsable du traitement et sous-traitant

Mimos joue deux rôles distincts en matière de protection des données. Il est important de comprendre lequel s'applique à toi.

Nous sommes le responsable du traitement pour les données personnelles dont nous déterminons les finalités et les moyens du traitement — principalement :

• Les données de compte et des membres du personnel (inscription, authentification, gestion de la facturation, assistance, sécurité).
• Les données techniques et d'usage que nous collectons pour exploiter, sécuriser et améliorer la plateforme.
• Les communications entre nous et nos clients professionnels.

Nous sommes sous-traitant (et l'entreprise de toilettage est le responsable du traitement) pour les données personnelles qu'une entreprise saisit ou génère au sujet de ses propres clients et de leurs animaux — par exemple les coordonnées des clients, les dossiers des animaux, l'historique des rendez-vous, les photos, les carnets de vaccination et les journaux de messages. Nous traitons ces données uniquement selon les instructions documentées de l'entreprise, dans le but de fournir le service. Chaque entreprise est responsable de disposer d'une base légale pour collecter ces données et de répondre aux demandes de confidentialité de ses propres clients ; notre traitement est régi par les stipulations de traitement des données de nos Conditions d'utilisation, qui font office d'accord de traitement des données (DPA).

Si tu es propriétaire d'un animal et que tu souhaites accéder aux informations qu'un salon de toilettage détient sur toi, les corriger ou les supprimer, contacte directement ce salon — c'est lui qui contrôle ton dossier. Nous l'assisterons en tant que sous-traitant.

3. Données personnelles que nous traitons

Les données précisément présentes dépendent de la manière dont une entreprise configure Mimos et de ce qu'elle choisit d'enregistrer. Les catégories ci-dessous reflètent ce que la plateforme est capable de stocker.

3.1 Comptes d'entreprise et des membres du personnel (Mimos en tant que responsable du traitement)

• Identité et contact : prénom et nom, adresse email, numéro de téléphone.
• Authentification et sécurité : mot de passe haché, jetons de confirmation d'email et de réinitialisation de mot de passe, jeton « se souvenir de moi », compteurs d'échecs de connexion et état de verrouillage, ainsi que les métadonnées de connexion (horodatages et adresses IP de la connexion actuelle/dernière).
• Options de connexion : si tu te connectes avec Google ou Apple, nous recevons ton nom, ton adresse email et un identifiant de compte de la part de ce fournisseur ; si tu enregistres une clé d'accès (passkey), nous stockons sa clé publique — les données biométriques ne quittent jamais ton appareil.
• Profil : photo d'avatar facultative, et — pour les membres du personnel réservables en tant que toiletteurs — biographie, spécialités, couleur d'agenda, date d'embauche et pourcentage de commission.
• Données de travail : horaires de travail, congés (y compris tout motif consigné), affectations de lieu et configuration/paramètres de l'entreprise.
• Rôle et appartenance : la ou les entreprises auxquelles appartient l'utilisateur et son rôle (administrateur ou membre).

3.2 Données des clients et des animaux (Mimos en tant que sous-traitant, pour le compte de l'entreprise)

• Coordonnées du propriétaire d'animal (« client ») : nom, adresse(s) email, numéro(s) de téléphone, adresse(s) postale(s)/de facturation, notes en texte libre, source d'acquisition, relations familiales et étiquettes/labels — que ces données soient saisies manuellement ou importées en masse (par exemple depuis un CSV de la liste de clients existante de l'entreprise).
• Préférences de messagerie et consentement : si le client a consenti aux rappels automatisés/messages marketing, à quel moment le consentement a été donné ou retiré, et le canal préféré (SMS, email ou aucun).
• Dossiers des animaux : nom, espèce, race, date de naissance, sexe, taille, poids, pelage/tempérament, allergies et notes médicales, et photos de l'animal (photo de profil et photos avant/après toilettage).
• Carnets de vaccination : nom/type de vaccin, dates d'administration et d'expiration, vérification et tout motif/notes de dérogation, et un justificatif téléversé (photo ou PDF d'un certificat).
• Rendez-vous et historique des services : réservations, horaires, statut, instantanés de prix, notes de rendez-vous/instructions particulières, et quel membre du personnel a réalisé le service.
• Paiements et acomptes : lorsqu'une entreprise active les acomptes de réservation, les enregistrements des montants d'acompte, de leur statut et des références de paiement Stripe. Les données de carte restent chez Stripe ; nous ne les voyons ni ne les stockons jamais.
• Consentements et signatures : documents de décharge/consentement recueillis à l'accueil, y compris les indicateurs de consentement aux photos, le nom du signataire et une charge utile de signature numérique, ainsi que la version/locale du document et l'horodatage.
• Avis et témoignages : notes et commentaires en texte libre soumis par les clients (certains via des liens jetonisés), et tout nom/photo d'auteur de témoignage qu'une entreprise choisit de publier.
• Communications : un journal des messages envoyés aux clients ou reçus de ceux-ci, y compris le téléphone/email du destinataire, le canal (SMS, WhatsApp, email), le corps du message, le sens, le statut de livraison et toute erreur.

Note sur les données sensibles. Les allergies et notes médicales concernant les animaux sont des informations de santé animale, et non des données personnelles de catégorie particulière concernant une personne. Cependant, les champs en texte libre (notes clients, notes de rendez-vous, commentaires d'avis) pourraient contenir tout ce qu'un utilisateur saisit. Les entreprises devraient éviter d'enregistrer des catégories particulières de données personnelles concernant des personnes dans ces champs.

3.3 Données collectées automatiquement

• Cookies de session et d'authentification (voir §6).
• Journaux serveur et de sécurité incluant l'adresse IP, les métadonnées de requête et le user-agent, utilisés pour exploiter, sécuriser et déboguer le service. Les mots de passe, jetons, codes OTP et secrets similaires sont filtrés de nos journaux.
• Télémétrie de performance et de traçage via notre prestataire de surveillance des performances applicatives (voir §7), constituée de métadonnées de requête et de traçage.
• Événements d'analyse produit (par exemple des événements d'entonnoir/d'usage avec un identifiant de session et l'utilisateur authentifié, le cas échéant).
• Jetons de notification push mobile pour les membres du personnel qui utilisent l'application iOS ou Android compagnon (jeton d'appareil, plateforme, environnement, dernière activité). Les notifications sont distribuées via Apple Push Notification service (APNs) sur iOS et Firebase Cloud Messaging (FCM) sur Android ; les données du jeton collectées sont les mêmes sur les deux plateformes.
• Télémétrie interne du site joinmimos.com : comptages agrégés des pages vues, source du trafic, profondeur de défilement et clics sur les appels à l’action. Elle n’utilise aucun cookie — l’identifiant de visite est conservé dans le stockage de session de ton navigateur et disparaît à la fermeture de l’onglet — et n’enregistre jamais ce que tu saisis dans un formulaire.
• Google Analytics 4 sur joinmimos.com. Il se charge sur chaque page en mode restreint et sans cookie ; ce n’est que si tu acceptes la catégorie mesure d’audience qu’il dépose des cookies internes (_ga, _ga_<id>) contenant un identifiant pseudonyme et enregistre les pages que tu consultes, ta provenance, ton appareil, ton navigateur, ta langue et ta localisation approximative.
• Identifiants de clic Google sur joinmimos.com. Si tu acceptes la catégorie publicité et que tu arrives depuis une annonce Google, nous conservons l’identifiant que Google a ajouté au lien (gclid, gbraid ou wbraid). Il t’accompagne jusqu’à la page d’inscription et, si tu crées un compte, nous l’envoyons avec l’heure à Google Ads afin que le compte puisse être rattaché à l’annonce sur laquelle tu as cliqué. Nous n’envoyons jamais ton nom, ton adresse e-mail, ni rien de ce que tu as saisi. Sans ton consentement à la publicité, l’identifiant n’est pas conservé.
• Données d'abonnement et d'achat pour Mimos Pro (notre offre payante). Lorsque vous vous abonnez via l'App Store ou Google Play, nous traitons l'identifiant de transaction de la boutique, l'identifiant du produit (par exemple la formule mensuelle ou annuelle), un identifiant pseudonyme par compte que l'application envoie à la boutique (appAccountToken d'Apple / obfuscatedAccountId de Google, dérivé de l'identifiant de votre compte) et le statut d'abonnement ou de droit qui en résulte. Si vous vous abonnez sur le web via Stripe, nous traitons vos identifiants de client et d'abonnement Stripe, l'identifiant du produit et le statut de l'abonnement. Nous traitons ces données uniquement pour accorder et gérer l'accès à Mimos Pro.

Nous ne stockons pas de numéros de carte de paiement ni de coordonnées bancaires ; Mimos n'est pas un prestataire de paiement.

4. Pourquoi nous traitons les données et nos bases légales

Lorsque le GDPR (UE/EEE), la LGPD brésilienne ou d'autres lois applicables sur la protection des données s'appliquent, nous nous appuyons sur les bases suivantes :

Pour notre propre marketing auprès des entreprises, ou lorsque le consentement est par ailleurs requis, nous nous appuyons sur le consentement, que tu peux retirer à tout moment.

5. Messagerie client et consentement

Mimos peut envoyer des messages SMS et email aux clients d'une entreprise (par exemple des rappels et confirmations de rendez-vous), la messagerie WhatsApp étant disponible là où elle est activée. Les messages WhatsApp sont envoyés depuis le numéro WhatsApp Business propre à l'entreprise via la WhatsApp Business Cloud API de Meta, Mimos agissant en tant que « Tech Provider » de Meta pour le compte de l'entreprise. La plateforme enregistre et applique le consentement à la messagerie : le statut de consentement d'un client et son horodatage sont stockés, et les messages automatisés aux clients sont conditionnés à ce consentement. Les clients peuvent retirer leur consentement à tout moment en contactant l'entreprise ou en suivant les instructions de désinscription lorsqu'elles sont fournies. Les journaux de messages sont conservés dans le cadre des documents de l'entreprise (voir §9).

6. Cookies et technologies similaires

Mimos utilise un petit nombre de cookies strictement nécessaires à son fonctionnement. Ceux-ci comprennent :

• Un cookie de session (par exemple _pet_crm_session) pour te garder connecté et te protéger contre la falsification de requête intersites. Il est HttpOnly, SameSite=Lax et (en production) Secure (HTTPS uniquement).
• Un cookie « se souvenir de moi » défini uniquement si tu choisis cette option à la connexion, afin de rester connecté d'une session de navigateur à l'autre ; il est effacé à la déconnexion.

Comme ces cookies sont essentiels pour fournir un service que tu demandes, ils ne nécessitent pas de consentement au titre des règles ePrivacy. Séparément, ce n’est qu’après ton acceptation de la catégorie publicitaire que nous chargeons Meta Pixel sur le web ou activons le SDK Meta dans les apps mobiles. Nous pouvons utiliser un identifiant de compte pseudonyme, des identifiants d’installation, d’appareil ou publicitaires lorsqu’ils sont disponibles et autorisés, ainsi que des événements limités d’interaction, d’inscription et d’abonnement pour mesurer les campagnes et attribuer les résultats. Sur iOS, nous demandons aussi l’autorisation App Tracking Transparency (ATT). Tu peux refuser ou retirer ce consentement à tout moment dans les préférences de cookies du site ou dans Confidentialité dans l’app ; le retrait arrête les utilisations et envois futurs.

Sur notre site joinmimos.com, nous demandons aussi ton consentement pour les cookies de mesure d’audience. Google Analytics 4 se charge sur chaque page, mais tant que tu n’as pas accepté la catégorie mesure d’audience, il fonctionne en mode restreint : il ne dépose aucun cookie, n’utilise aucun identifiant et n’envoie à Google que l’adresse de la page, ton appareil et navigateur, et une localisation approximative déduite de ton adresse IP. Ce n’est que si tu acceptes que nous déposons des cookies internes de mesure (_ga, _ga_<id>, d’une durée maximale de 24 mois) qui relient tes visites entre elles. Google Signals et la personnalisation des annonces sont désactivés : ces cookies ne servent donc pas à constituer des audiences publicitaires. Refuser prend un seul clic, et tu peux modifier ou retirer ton choix à tout moment via « Préférences cookies », en pied de page.

Ce n’est qu’après ton acceptation de la catégorie publicité que nous chargeons la balise Google Ads sur les pages d’inscription de app.joinmimos.com. Elle lit l’identifiant de clic du lien par lequel tu es arrivé et dépose des cookies publicitaires Google (_gcl_*) d’une durée maximale de 90 jours. Lorsque tu termines le formulaire d’inscription, elle signale cette conversion unique à Google Ads. Le signalement peut être envoyé depuis ton navigateur ou depuis nos propres serveurs ; dans les deux cas il contient l’identifiant de clic et l’heure, et rien de ce que tu as saisi. Tu peux modifier ou retirer ce consentement à tout moment dans « Préférences de cookies » en pied de page, ou dans Confidentialité dans l’application ; le retrait met fin à toute utilisation ultérieure.

7. Prestataires de services et sous-traitants

Nous partageons des données personnelles avec les tiers ci-dessous strictement pour fournir le service. Chacun est tenu par des clauses de protection des données. Cette liste peut évoluer ; nous la tiendrons à jour.

Prévu (pas encore actif) : le suivi des erreurs via Sentry est intégré dans notre code mais n'est pas activé en production ; il ne traite donc aucune donnée personnelle aujourd'hui. Si nous l'activons, nous mettrons à jour cette section ; les rapports d'erreur pourront alors inclure l'adresse IP, les en-têtes de requête et les identifiants de l'utilisateur concerné.

Produits Mimos connectés. Si un propriétaire d'animal associe son profil Mimos Pets et autorise le partage, l'entreprise peut consulter les sections du profil que le propriétaire a choisi de partager (par exemple identité, notes de toilettage, comportement, allergies, pathologies, traitements et vaccinations). Ce partage est contrôlé par l'autorisation donnée par le propriétaire de l'animal dans Mimos Pets et peut y être révoqué.

Nous ne vendons pas de données personnelles et ne les partageons pas pour le ciblage publicitaire de tiers. La communication avec Meta est limitée à la mesure et à l’attribution décrites ci-dessus et n’est activée qu’avec ton consentement.

8. Transferts internationaux de données

Notre infrastructure applicative principale — serveurs applicatifs, base de données et tâches en arrière-plan — est hébergée dans l'Union européenne (Francfort). Certains prestataires peuvent néanmoins traiter des données en dehors du pays où tu te trouves, y compris aux États-Unis. Lorsque des données sont transférées hors de l'EEE/UK, nous nous appuyons sur des garanties appropriées telles que les Standard Contractual Clauses de la Commission européenne (et l'UK Addendum lorsque pertinent), ou la certification d'adéquation/Data Privacy Framework d'un prestataire. Les détails des garanties applicables à un transfert spécifique sont disponibles sur demande à [email protected].

9. Conservation des données

• Les données de compte et des membres du personnel sont conservées tant que l'abonnement de l'entreprise est actif et pendant une période raisonnable par la suite, puis supprimées ou anonymisées, sous réserve des obligations légales de conservation (par exemple fiscales/comptables).
• Les dossiers des clients, des animaux, des rendez-vous, les photos et les carnets de vaccination sont conservés pour l'entreprise (le responsable du traitement) aussi longtemps qu'elle les conserve. Certains enregistrements utilisent la suppression douce (marqués comme supprimés et masqués mais conservés) afin que l'historique et les dossiers de rendez-vous restent cohérents ; ils ne sont pas automatiquement purgés.
• Historique des modifications / piste d'audit. Pour l'intégrité et la responsabilité, les modifications des enregistrements clés sont versionnées dans un journal d'audit et conservées pendant toute la durée de vie du compte, sauf purge.
• Les journaux de messages sont conservés dans le cadre des documents de communication de l'entreprise.
• Clôture / suppression de compte. Lorsqu'un compte d'entreprise est supprimé, les données associées (appartenances, clients, animaux, rendez-vous, services, invitations, etc.) sont supprimées. Sur demande, nous supprimerons ou restituerons les données d'une entreprise conformément à notre DPA et à la loi applicable.
• Les sauvegardes sont conservées pendant une fenêtre glissante limitée puis écrasées ; les demandes de suppression sont honorées immédiatement dans les systèmes actifs et se propagent au fur et à mesure du renouvellement des sauvegardes.

Si tu souhaites qu'un calendrier de conservation spécifique soit documenté, contacte-nous à [email protected].

10. Comment nous protégeons les données

• Chiffrement en transit : HTTPS/TLS est imposé sur l'ensemble de l'application (HSTS/force_ssl en production) ; les cookies sont Secure et HttpOnly.
• Protection des mots de passe : les mots de passe sont hachés avec bcrypt (facteur de travail 12) et ne sont jamais stockés ni journalisés en clair.
• Accès API : l'accès programmatique utilise des bearer tokens stockés uniquement sous forme d'empreinte HMAC-SHA256 salée (le jeton brut n'est jamais conservé) ; les jetons peuvent être révoqués et expirés.
• Prévention des abus : limitation du débit sur les points d'accès de connexion, d'inscription, de réinitialisation de mot de passe et d'OTP, et verrouillage du compte après des échecs de connexion répétés.
• Hygiène des journaux : les mots de passe, jetons, OTP et autres secrets sont filtrés des journaux applicatifs.
• Isolation des locataires : les données de chaque entreprise sont logiquement séparées par compte.
• Contrôle d'accès : des permissions basées sur les rôles (administrateur/membre) et des vérifications de politique conditionnent l'accès au sein d'un compte.
• Sécurité de la session mobile : l'application mobile stocke son jeton de session dans le stockage sécurisé de l'appareil (Keychain d'iOS / Keystore d'Android), protégé en option par la biométrie de l'appareil lorsque vous l'activez ; les données biométriques ne quittent jamais votre appareil et sont gérées entièrement par le système d'exploitation.

Aucun système n'est parfaitement sûr, mais nous prenons des mesures techniques et organisationnelles raisonnables et appropriées pour protéger les données personnelles, et nous informerons les parties concernées et les autorités de réglementation d'une violation de données personnelles lorsque la loi l'exige.

11. Tes droits

Sous réserve de la loi applicable (telle que le GDPR et la LGPD), tu peux disposer du droit de :

• Accéder aux données personnelles que nous détenons à ton sujet et en recevoir une copie.
• Rectifier des données inexactes ou incomplètes.
• Effacer tes données (« droit à l'oubli ») dans certaines circonstances.
• Limiter ou t'opposer à certains traitements, y compris les traitements fondés sur les intérêts légitimes et le marketing direct.
• Portabilité des données — recevoir tes données dans un format structuré et lisible par machine.
• Retirer ton consentement à tout moment lorsque le traitement est fondé sur le consentement.
• Déposer une réclamation auprès de ton autorité locale de protection des données ou de contrôle.

Comment exercer tes droits :

• Si Mimos est le responsable du traitement (tes données de compte/de membre du personnel), contacte-nous à [email protected]. Nous répondrons dans le délai requis par la loi (un mois au titre du GDPR, prolongeable). Nous pourrions avoir besoin de vérifier ton identité.
• Si tes données ont été saisies par une entreprise de toilettage (c'est-à-dire si tu es client de cette entreprise), contacte cette entreprise — c'est elle le responsable du traitement. Nous l'accompagnerons dans le traitement de ta demande : Mimos met à la disposition des entreprises des outils intégrés à cet effet, notamment un export des données par client dans un format lisible par machine et un processus d'effacement en deux étapes.

12. Enfants

Mimos est destiné aux entreprises et aux adultes. Il ne s'adresse pas aux enfants, et nous ne collectons pas sciemment de données personnelles auprès d'enfants. Si tu penses qu'un enfant a fourni des données personnelles, contacte-nous et nous les supprimerons.

13. Prise de décision automatisée

Nous n'utilisons pas les données personnelles décrites ici pour prendre, par des moyens uniquement automatisés, des décisions produisant des effets juridiques ou des effets significatifs similaires à ton égard.

14. Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter des changements dans le produit, chez nos prestataires ou dans la loi. Nous publierons la version mise à jour avec une nouvelle date de « Dernière mise à jour » et, pour les changements importants, nous fournirons un avis supplémentaire (par exemple dans l'application ou par email). La poursuite de l'utilisation après la date d'entrée en vigueur vaut acceptation lorsque la loi le permet.

15. Nous contacter

Questions, demandes ou réclamations concernant la confidentialité :