Politique de confidentialité

Date d’entrée en vigueur : 1er novembre 2026

Version courte

Personne ne lit les politiques de confidentialité. Voici donc l’essentiel en dix lignes, puis la version complète ci-dessous.

• Vos données vous appartiennent. Pour les réservations effectuées via votre compte Cal.com, vous êtes le responsable du traitement et nous sommes le sous-traitant, conformément à l’Accord de traitement des données disponible sur cal.com/dpa, qui fait partie de nos Conditions d’utilisation pour chaque compte, gratuit ou payant. Nous les traitons pour votre compte et nous ne les vendons à personne, jamais.
• Nous collectons le minimum. Les noms, e-mails, numéros de téléphone et tout ce que demandent vos questions de réservation. Plus les données techniques ennuyeuses que tout site web obtient : adresse IP, navigateur, pages consultées.
• La base de données est l’endroit où vivent les données personnelles. Pas dans nos journaux, pas dans nos analyses, pas dans une feuille de calcul. Nos propres règles d’ingénierie interdisent les données personnelles dans les journaux, les rapports d’erreur et les événements d’analyse. Nous envoyons des identifiants, pas des personnes.
• Nous faisons appel à des sous-traitants ultérieurs, et nous les nommons tous. Hébergement, e-mail, SMS, vidéo, paiements, IA, analyse, surveillance, support et nos propres outils de back-office susceptibles de voir vos données. Le tableau complet et leur finalité se trouvent dans notre Centre de confiance; avant d’en ajouter un nouveau, nous envoyons aux propriétaires de compte un préavis écrit par e-mail, notification dans le produit ou autre méthode électronique documentée, suffisamment tôt pour que vous puissiez examiner le changement et vous y opposer.
• Les fonctionnalités d’IA sont facultatives et limitées. Les notes de réunion par IA envoient le texte de la transcription (pas de titres, pas de liste de participants, pas de liens). Les agents téléphoniques IA envoient le numéro de téléphone et les informations du participant nécessaires pour passer l’appel. Rien n’est utilisé pour entraîner les modèles de qui que ce soit.
• Vos applications, votre choix. Lorsque vous connectez Google Calendar, Zoom, Salesforce ou un webhook, les données y circulent parce que vous l’avez demandé. Ce sont vos intégrations, selon vos instructions.
• Aucun cookie tiers dans le produit. Notre site marketing utilise bien des analyses et la mesure publicitaire. Voir la section sur les cookies.
• Vous pouvez exporter vos données ou les supprimer. À tout moment, en libre-service ou par e-mail. Supprimer signifie supprimer, y compris chez nos sous-traitants ultérieurs.
• Questions : [email protected]. De vraies personnes, pas un formulaire.

Qui est qui : responsable du traitement vs sous-traitant

C’est souvent source de confusion, alors commençons par là.

Cal.com : ses propres prestataires de services. Pour gérer notre propre activité, nous utilisons des prestataires de services qui voient les coordonnées de nos clients, par exemple Documenso et Fusial pour la signature électronique de contrats et de DPA (États-Unis). Ils agissent selon nos instructions et ne sont pas des sous-traitants ultérieurs de vos données.

Ce que cela signifie : si vous êtes un participant qui a réservé une réunion et que vous voulez supprimer vos données, le chemin le plus rapide est de passer par la personne auprès de laquelle vous avez réservé. Nous vous aiderons dans tous les cas, et nous transmettrons la demande.

Ce que nous collectons

Données que vous et les personnes qui réservent avec vous nous fournissez

• Données de compte : nom, e-mail, nom d’utilisateur, hachage du mot de passe ou identité SSO, fuseau horaire, photo de profil et vos disponibilités. À l’inscription, nous pouvons rechercher une photo de profil pour votre adresse e-mail via AvatarAPI ; vous pouvez la remplacer ou la supprimer.
• Données de réservation : noms et e-mails des participants, numéros de téléphone lorsque des rappels SMS ou des appels téléphoniques sont utilisés, titres et lieux des réunions, réponses à vos questions de réservation, notes, listes d’invités, motifs d’annulation et de replanification.
• Données de facturation : nom de l’entreprise, adresse de facturation et coordonnées de la carte de paiement. La carte va directement à Stripe, et nous ne la voyons ni ne la stockons jamais.
• Données de support : tout ce que vous nous écrivez, ainsi que le contexte du compte associé à la conversation.

Données que nous collectons automatiquement

• Adresse IP, navigateur et appareil, URL de provenance, pages consultées et horodatages.
• Événements d’utilisation du produit (quelles fonctionnalités vous avez utilisées, à quelle fréquence) associés à un identifiant opaque, pas à votre e-mail.
• Diagnostics d’erreurs et de performances quand quelque chose casse.

Ce que nous ne faisons délibérément pas

• Nous ne collectons pas volontairement de données de catégorie particulière. Vos questions de réservation peuvent toutefois le faire. Si vous posez une question sur la santé, il s’agit de données de santé dans votre compte Cal.com, et il vous appartient de les demander légalement. Voir « Données de santé ».
• Nous ne collectons pas sciemment de données auprès de personnes de moins de 18 ans.
• Nous ne créons pas de profils publicitaires à partir des données de réservation, et nous ne vendons ni ne louons de données personnelles.

Ce que cela signifie : nous conservons ce qui est nécessaire pour placer une réunion dans deux calendriers, vous facturer et vous assister. Les données personnelles intéressantes, les réponses des personnes qui réservent avec vous, nous les conservons pour vous, pas pour nous.

Pourquoi nous y sommes autorisés (bases juridiques, art. 6 du GDPR)

Sous-traitants ultérieurs : qui d’autre touche aux données personnelles

Nous faisons appel à d’autres entreprises pour exploiter Cal.com. Chaque sous-traitant ultérieur a conclu un accord de traitement des données avec nous, ne reçoit que ce dont il a besoin et ne traite les données que selon nos instructions. Ce qu’ils font et les lieux où ils traitent les données sont indiqués dans notre Centre de confiance.

Comment vous êtes informé des changements. Avant qu’un nouveau sous-traitant ultérieur, ou un remplaçant, commence à traiter les Données personnelles des clients, nous vous envoyons un préavis écrit par e-mail à l’administrateur de votre compte ou à votre contact confidentialité/juridique, par notification dans le produit ou par une autre méthode électronique documentée. Nous déployons des efforts commercialement raisonnables pour vous l’envoyer assez tôt afin que vous puissiez examiner le changement et vous y opposer (DPA §6.3-6.4). La seule mise à jour de la liste des sous-traitants ultérieurs n’est pas notre unique moyen de notification.

Si vous vous y opposez pour des motifs raisonnables et étayés liés à la protection des données, vous pouvez le faire comme décrit dans le DPA. Si vous avez des questions sur un sous-traitant ultérieur, écrivez à [email protected].

Publicité et identification des prospects (site marketing et outils marketing, pas le produit)

Ils sont gérés par notre équipe marketing plutôt qu’intégrés au code du produit, et ne voient jamais que les données du site marketing et des listes marketing, jamais les données de réservation, les réponses des participants ni quoi que ce soit provenant de votre compte Cal.com.

Les fournisseurs de cette catégorie (Google Analytics et Tag Manager, X Ads, l’attribution de site web de Dub, les balises publicitaires LinkedIn et Meta) s’exécutent uniquement sur le site marketing avec votre consentement et sont indiqués dans le bandeau cookies ; ils ne sont pas des sous-traitants des données de réservation.

Ce que cela signifie : si vous êtes dans l’EEE ou au Royaume-Uni, les fournisseurs de correspondance d’audience et d’identification des visiteurs ne sont pas activés pour vous. Ailleurs, vous pouvez les désactiver en refusant les cookies marketing ou en utilisant Global Privacy Control.

Applications et intégrations que vous connectez

Lorsque vous connectez une application, vous nous demandez de lui envoyer des données. Nous faisons exactement cela, et rien de plus.

• Calendriers : Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho : titres, descriptions, horaires, lieux, noms et e-mails de l’organisateur et des participants, ainsi que données libre/occupé.
• Vidéo : Zoom, Google Meet, Microsoft Teams et autres : les détails de réunion nécessaires pour créer le lien.
• CRM et automatisation : Salesforce, HubSpot, Pipedrive et services similaires : nom et e-mail du participant, détails de la réunion et réponses à vos questions de réservation.
• Automatisation et liens : Zapier, Dub, Close et les intégrations similaires de l’App Store que vous connectez s’exécutent sous votre propre compte auprès de ce fournisseur.
• Webhooks et votre propre serveur SMTP : vous fournissez le point de terminaison ou le serveur de messagerie ; il reçoit tout ce que contiennent les événements auxquels vous êtes abonné.

Ce que cela signifie : ce sont vos sous-traitants, pas les nôtres. Leurs politiques de confidentialité s’appliquent, et déconnecter l’application arrête le flux. Nous ne pouvons pas supprimer ce qui se trouve déjà dans votre CRM.

Informations de santé (PHI)

Cal.com n’est pas un produit de santé, mais les réservations peuvent contenir des informations de santé : une question de préadmission, un titre de réunion, des notes. Si vous utilisez Cal.com pour quoi que ce soit soumis à HIPAA, ces données ne sont protégées qu’à la hauteur de l’accord qui les encadre : demandez-nous un Business Associate Agreement (disponible avec les offres Teams et supérieures ; envoyez un e-mail à [email protected] ou contactez le support ou l’équipe commerciale) et faites-le signer avant de les collecter, sauf si votre Order Form ou un autre accord signé avec nous l’autorise expressément, et évitez de les mettre dans les champs de réservation copiés vers des applications tierces.

Combien de temps nous les conservons

Où vont vos données

Nous sommes une entreprise américaine et les données sont traitées aux États-Unis ; certains sous-traitants ultérieurs les traitent ailleurs (voir le tableau). Pour les transferts depuis l’EEE et le Royaume-Uni, Cal.com, Inc. participe au Cadre de protection des données UE–États-Unis et à son extension britannique, et a certifié sa conformité à ceux-ci. Lorsque le Cadre de protection des données ne couvre pas un transfert, ainsi que pour la Suisse, nous nous appuyons sur les clauses contractuelles types de l’UE de 2021, l’addendum britannique et les amendements suisses, tous complétés dans notre SCC Schedule à l’adresse cal.com/dpa-scc, qui fait partie du DPA, comme décrit dans la section Cadre de protection des données ci-dessous. Vous pouvez vérifier notre certification sur la liste DPF à l’adresse https://www.dataprivacyframework.gov/list. Le Cadre de protection des données Suisse–États-Unis ne s’applique pas actuellement. Si vous avez besoin d’une résidence des données dans l’UE, contactez-nous à [email protected].

Cadre de protection des données UE–États-Unis et extension britannique

Cal.com, Inc. respecte le Cadre de protection des données UE–États-Unis (EU-U.S. DPF) et l’extension britannique de l’EU-U.S. DPF, tels qu’établis par le ministère du Commerce des États-Unis. Cal.com, Inc. a certifié au ministère qu’elle adhère aux principes de l’EU-U.S. DPF pour les données personnelles non RH reçues de l’Union européenne et de l’Espace économique européen sur la base de l’EU-U.S. DPF, ainsi que du Royaume-Uni et de Gibraltar sur la base de l’extension britannique. Cet engagement ne couvre pas les données RH des employés transférées pour une utilisation dans le cadre d’une relation de travail. Si la présente politique entre en conflit avec les principes du DPF, les principes prévalent. Découvrez le programme et consultez Cal.comInscription de Cal.com sur la Data Privacy Framework List à l’adresse https://www.dataprivacyframework.gov/list.

Les données couvertes peuvent inclure les noms, adresses e-mail, numéros de téléphone, informations de compte et de profil, disponibilités, détails des réservations et des réunions, réponses aux questions de réservation, informations de facturation et d’assistance, ainsi que des informations sur le site web, l’appareil, l’utilisation et la sécurité. Les clients peuvent configurer des questions de réservation qui collectent des données sensibles. Nous utilisons les données couvertes pour fournir des services de planification et services associés, gérer les comptes, les réservations et les paiements, communiquer avec les utilisateurs et les participants, fournir l’assistance, sécuriser et améliorer le service, et mener des actions marketing lorsque cela est autorisé. D’autres sections de cette politique décrivent ces données et ces finalités plus en détail.

Nous divulguons les données couvertes pertinentes à des prestataires de services et sous-traitants ultérieurs pour l’hébergement, le stockage, les e-mails et SMS, la vidéo, les paiements, l’assistance, l’analytics, la sécurité et les fonctionnalités optionnelles, ainsi qu’aux intégrations sélectionnées par les clients. Notre Trust Center répertorie les sous-traitants ultérieurs et leurs finalités. Nous pouvons également divulguer des données personnelles lorsque la loi l’exige. En vertu du principe de responsabilité en cas de transfert ultérieur du DPF, Cal.com reste responsable si un agent traite des données couvertes de manière contraire aux Principes, sauf si Cal.com prouve qu’elle n’était pas responsable de l’événement à l’origine du dommage.

Les personnes peuvent demander l’accès aux données couvertes et nous demander de corriger, modifier ou supprimer les données inexactes ou traitées en violation des Principes. Lorsque le principe de choix du DPF l’exige, les personnes peuvent s’opposer avant que les données couvertes ne soient divulguées à un tiers ou utilisées à une finalité substantiellement différente. Lorsque ce Principe exige un consentement explicite pour les informations sensibles, nous l’obtiendrons avant l’utilisation ou la divulgation concernée. Envoyez vos demandes à [email protected]. Pour les données de réservation que nous traitons sur instruction d’un client, nous nous coordonnerons avec ce client pour traiter la demande.

Les personnes situées dans l’UE et au Royaume-Uni doivent d’abord envoyer leurs demandes ou réclamations relatives au DPF à Cal.com, Inc., Confidentialité et conformité, 2261 Market Street #4382, San Francisco, CA 94114, United States ; [email protected] ; +1 415 212 6667. Felix Kolodziej, responsable conformité, peut également être contacté à l’adresse [email protected]. Nous répondrons aux réclamations DPF sous 45 jours. Pour les réclamations non résolues concernant les données couvertes, nous nous engageons à coopérer avec l’avis du comité établi par les autorités de protection des données de l’UE pour les données de l’UE, ainsi qu’avec l’Information Commissioner’s Office du Royaume-Uni et la Gibraltar Regulatory Authority pour les données du Royaume-Uni et de Gibraltar, et à nous y conformer. Ces mécanismes de recours indépendants sont mis gratuitement à la disposition des personnes.

Cal.com, Inc. est soumise aux pouvoirs d’enquête et d’application de la U.S. Federal Trade Commission concernant sa conformité au EU-U.S. DPF et à l’extension britannique. Sous certaines conditions, les personnes peuvent recourir à un arbitrage contraignant pour les réclamations résiduelles relatives à la conformité au DPF. Nous pouvons être tenus de divulguer des données couvertes en réponse à des demandes légales d’autorités publiques, y compris pour répondre à des exigences de sécurité nationale ou d’application de la loi.

Cookies

• Dans l’application : cookies pour vous connecter, mémoriser vos préférences et assurer la sécurité. Aucun cookie publicitaire tiers.
• Sur le site marketing : les cookies d’analytics et de mesure publicitaire listés ci-dessus. Vous pouvez les refuser.
• Nous respectons les signaux Global Privacy Control et Do Not Track.

Vos droits

Où que vous viviez, vous pouvez nous demander de : accéder à vos données, corriger celles-ci, supprimer celles-ci, exporter celles-ci, restreindre ou vous opposer au traitement, ou retirer votre consentement. Si vous êtes en Californie, cela inclut aussi : savoir ce que nous collectons, le supprimer, le corriger et vous opposer à sa vente ou à son partage. Nous ne le vendons ni ne le partageons, il n’y a donc rien à refuser. Si vous êtes dans l’EEE ou au Royaume-Uni, vous pouvez également déposer une réclamation auprès de votre autorité de protection des données.

Vous pouvez effectuer la plupart de ces démarches vous-même dans vos paramètres. Sinon, envoyez un e-mail à [email protected] et nous répondrons dans les délais requis par la loi applicable. Nous vous demanderons d’abord de vérifier votre identité, et nous ne vous traiterons pas moins favorablement pour avoir fait une demande.

Sécurité

Chiffrement en transit et au repos, accès selon le principe du moindre privilège, SSO et 2FA, infrastructure auditée et bug bounty. Détails et rapports actuels : cal.com/security. Aucun système n’est parfaitement sécurisé ; si un problème survient, nous informerons les clients concernés sans délai excessif après avoir pris connaissance d’une violation de données personnelles, comme l’exige notre accord de traitement des données.

Modifications de cette politique

Nous publierons la nouvelle version ici et mettrons à jour la date d’entrée en vigueur. Pour tout changement important, comme une nouvelle catégorie de sous-traitants ultérieurs ou une nouvelle utilisation des données, nous vous informerons avant son entrée en vigueur par e-mail, notification dans le produit ou autre méthode électronique documentée.

Contact

Contact confidentialité : [email protected]

Représentant dans l’UE (art. 27 du GDPR) : Felix Kolodziej, CAYA Postbox 1040588, 96035 Bamberg, Germany, [email protected]

Notifications formelles : Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, United States, copie à [email protected]

Tout le reste : [email protected]

Archive de la politique de confidentialité