Politique de confidentialité - Archivée V1

Vous consultez une version archivée de notre politique de confidentialité. Veuillez consulter la dernière version pour obtenir des informations à jour.

Voir la dernière politique de confidentialité

Date d’entrée en vigueur : 1er octobre 2026 - 31 octobre 2026

La version courte

Personne ne lit les politiques de confidentialité. Voici donc l’essentiel en dix lignes, puis la version complète ci-dessous.

• Vos données vous appartiennent. Pour les réservations effectuées via votre Cal.com compte, vous êtes le responsable du traitement et nous sommes le sous-traitant. Nous les traitons en votre nom et nous ne les vendons à personne, jamais.
• Nous collectons le minimum. Noms, e-mails, numéros de téléphone et tout ce que vos questions de réservation demandent. Plus le côté technique ennuyeux que tout site web reçoit : adresse IP, navigateur, pages consultées.
• La base de données, c’est là que vivent les données personnelles. Pas dans nos journaux, pas dans nos analyses, pas dans une feuille de calcul. Nos propres règles d’ingénierie interdisent les données personnelles dans les journaux, les rapports d’erreur et les événements d’analyse. Nous envoyons des identifiants, pas des personnes.
• Nous utilisons des sous-traitants ultérieurs, et nous les nommons tous. E-mail, SMS, vidéo, paiements, IA, stockage, support. Le tableau complet et leurs finalités se trouvent dans notre Centre de confiance.
• Les fonctionnalités d’IA sont à activer explicitement et limitées. Les notes de réunion par IA envoient le texte de la transcription (sans titres, sans liste de participants, sans liens). Les agents téléphoniques IA envoient le numéro de téléphone et les détails de l’invité nécessaires pour passer l’appel. Rien n’est utilisé pour entraîner les modèles de qui que ce soit.
• Vos applications, votre choix. Lorsque vous connectez Google Calendar, Zoom, Salesforce ou un webhook, les données y circulent parce que vous l’avez demandé. Ce sont vos intégrations, selon vos instructions.
• Pas de cookies tiers dans le produit. Notre site marketing utilise bien des analyses et de la mesure publicitaire. Consultez la section sur les cookies.
• Vous pouvez exporter vos données ou les supprimer. À tout moment, en libre-service ou par e-mail. Supprimer signifie supprimer, y compris chez nos sous-traitants ultérieurs.
• Questions : [email protected]. De vrais humains, pas un formulaire.

Qui fait quoi : responsable du traitement vs sous-traitant

C’est souvent source de confusion, donc on commence par là.

Ce que cela signifie : si vous êtes un participant qui a réservé une réunion et que vous voulez que vos données soient supprimées, le chemin le plus rapide est de passer par la personne avec qui vous avez réservé. Nous vous aiderons dans tous les cas, et nous transmettrons la demande.

Ce que nous collectons

Les données que vous et les personnes qui réservent avec vous nous fournissez

• Données de compte : nom, e-mail, nom d’utilisateur, hachage du mot de passe ou identité SSO, fuseau horaire, photo de profil et vos disponibilités.
• Données de réservation : noms et e-mails des participants, numéros de téléphone lorsque des rappels SMS ou des appels téléphoniques sont utilisés, titres et lieux de réunion, réponses à vos questions de réservation, notes, listes d’invités, motifs d’annulation et de replanification.
• Données de facturation : nom de l’entreprise, adresse de facturation et coordonnées de carte de paiement. La carte va directement à Stripe, et nous ne la voyons ni ne la stockons jamais.
• Données d’assistance : tout ce que vous nous écrivez, plus le contexte du compte associé à la conversation.

Données que nous collectons automatiquement

• Adresse IP, navigateur et appareil, URL de référence, pages consultées et horodatages.
• Événements d’utilisation du produit (les fonctionnalités que vous avez utilisées, et à quelle fréquence) associés à un identifiant opaque, pas à votre e-mail.
• Diagnostics d’erreur et de performance quand un problème survient.

Ce que nous choisissons délibérément de ne pas faire

• Nous ne collectons pas volontairement de données de catégories particulières. Vos questions de réservation peuvent toutefois le faire. Si vous posez des questions sur la santé, ce sont des données de santé dans votre compte Cal.com, et il vous appartient de les collecter légalement. Voir « Informations de santé ».
• Nous ne collectons pas sciemment de données auprès de personnes de moins de 18 ans.
• Nous ne créons pas de profils publicitaires à partir des données de réservation, et nous ne vendons ni ne louons de données personnelles.

Ce que cela signifie : nous conservons ce qui est nécessaire pour placer une réunion sur deux calendriers, vous facturer et vous aider. Les données personnelles intéressantes, les réponses des personnes qui réservent avec vous, nous les conservons pour vous, pas pour nous.

Pourquoi nous y sommes autorisés (bases légales, GDPR art. 6)

Sous-traitants ultérieurs : qui d’autre traite les données personnelles

Nous faisons appel à d’autres entreprises pour exploiter Cal.com. Chaque sous-traitant ultérieur a conclu un accord de traitement des données avec nous, ne reçoit que ce dont il a besoin et ne traite les données que sur nos instructions. Ce qu’ils font et où ils traitent les données sont indiqués dans notre Centre de confiance.

Comment nous vous informons des changements. Conformément à notre accord de traitement des données (DPA), nous pouvons ajouter ou remplacer des sous-traitants ultérieurs afin de fournir, exploiter, sécuriser et prendre en charge Cal.com. Lorsque le DPA l’exige, nous vous informerons avant qu’un nouveau sous-traitant ultérieur ou son remplaçant ne commence à traiter les Données personnelles des clients.

Si vous vous y opposez pour des motifs raisonnables et étayés liés à la protection des données, vous pouvez le faire comme indiqué dans le DPA. Pour toute question sur un sous-traitant ultérieur, écrivez à [email protected].

Publicité et identification de prospects (site marketing et outils marketing, pas le produit)

Ils sont gérés par notre équipe marketing plutôt qu’intégrés au code du produit, et ils ne voient que les données du site marketing et des listes marketing, jamais les données de réservation, les réponses des participants ni quoi que ce soit provenant de votre compte Cal.com.

Ce que cela signifie : si vous vous trouvez dans l’EEE ou au Royaume-Uni, les fournisseurs de correspondance d’audience et d’identification des visiteurs ne sont pas activés pour vous. Ailleurs, vous pouvez les désactiver en refusant les cookies marketing ou en utilisant Global Privacy Control.

Applications et intégrations que vous connectez

Lorsque vous connectez une application, vous nous demandez de lui envoyer des données. Nous faisons exactement cela, rien de plus.

• Calendriers : Google Calendar, Microsoft Outlook, Apple/CalDAV, Zoho : titres, descriptions, horaires, lieux des événements, noms et e-mails de l’organisateur et des participants, ainsi que données de disponibilité libre/occupé.
• Vidéo : Zoom, Google Meet, Microsoft Teams et autres : détails de réunion nécessaires à la création du lien.
• CRM et automatisation : Salesforce, HubSpot, Pipedrive et similaires : nom et e-mail du participant, détails de la réunion et réponses à vos questions de réservation.
• Webhooks et votre propre serveur SMTP : vous fournissez le point de terminaison ou le serveur de messagerie ; il reçoit tout ce que contiennent les événements auxquels vous vous êtes abonné.

Ce que cela signifie : ce sont vos sous-traitants, pas les nôtres. Leurs politiques de confidentialité s’appliquent, et la déconnexion de l’application arrête le flux. Nous ne pouvons pas supprimer ce qui se trouve déjà dans votre CRM.

Informations de santé (PHI)

Cal.com n’est pas un produit de santé, mais les réservations peuvent contenir des informations de santé : une question d’admission, un titre de réunion, des notes. Si vous utilisez Cal.com pour quoi que ce soit de réglementé par HIPAA, ces données ne sont protégées qu’à hauteur de l’accord qui les encadre : mettez en place un BAA sur go.Cal.com/BAA avant de les collecter, et évitez de les placer dans des champs de réservation copiés dans des applications tierces.

Combien de temps nous les conservons

Où vont vos données

Nous sommes une entreprise américaine et les données sont traitées aux États-Unis. Certains sous-traitants ultérieurs les traitent ailleurs. Pour les transferts depuis l’EEE ou le Royaume-Uni vers les États-Unis, nous nous appuyons sur le cadre de protection des données UE–États-Unis et son extension britannique le cas échéant, comme décrit ci-dessous. Nous utilisons également des clauses contractuelles types lorsque cela est approprié, y compris pour les transferts depuis la Suisse. Si vous avez besoin d’une résidence des données dans l’UE, contactez-nous à [email protected].

Cadre de protection des données UE–États-Unis et extension britannique

Cal.com, Inc. respecte le cadre de protection des données UE–États-Unis (EU-U.S. DPF) et l’extension britannique de l’EU-U.S. DPF tels qu’établis par le Département du commerce des États-Unis. Cal.com, Inc. a certifié au Département qu’elle adhère aux principes de l’EU-U.S. DPF pour les données personnelles non RH reçues de l’Union européenne et de l’Espace économique européen sur la base de l’EU-U.S. DPF, ainsi que du Royaume-Uni et de Gibraltar sur la base de l’extension britannique. Cet engagement ne couvre pas les données RH des employés transférées pour être utilisées dans le cadre d’une relation de travail. Si cette politique entre en conflit avec les principes du DPF, les principes prévalent. Découvrez le programme et, une fois Cal.com inscrit sur la Data Privacy Framework List, consultez sa fiche sur dataprivacyframework.gov.

Les données couvertes peuvent inclure les noms, adresses e-mail, numéros de téléphone, détails de compte et de profil, disponibilités, détails de réservation et de réunion, réponses aux questions de réservation, informations de facturation et de support, ainsi que les informations relatives au site web, à l’appareil, à l’utilisation et à la sécurité. Les clients peuvent configurer des questions de réservation qui collectent des données sensibles. Nous utilisons les données couvertes pour fournir les services de planification et services associés, gérer les comptes, réservations et paiements, communiquer avec les utilisateurs et les participants, fournir une assistance, sécuriser et améliorer le service, et mener des actions marketing lorsque cela est autorisé. D’autres sections de cette politique décrivent ces données et ces finalités plus en détail.

Nous divulguons les données couvertes pertinentes à des prestataires de services et sous-traitants ultérieurs pour l’hébergement, le stockage, les e-mails et SMS, la vidéo, les paiements, le support, l’analytique, la sécurité et les fonctionnalités optionnelles, ainsi qu’aux intégrations choisies par les clients. Notre Centre de confiance répertorie les sous-traitants ultérieurs et leurs finalités. Nous pouvons également divulguer des données personnelles lorsque la loi l’exige. En vertu du principe de responsabilité en cas de transfert ultérieur du DPF, Cal.com demeure responsable si un agent traite les données couvertes d’une manière incompatible avec les principes, sauf si Cal.com prouve qu’elle n’est pas responsable de l’événement à l’origine du dommage.

Les personnes peuvent demander l’accès aux données couvertes et nous demander de corriger, modifier ou supprimer des données inexactes ou traitées en violation des principes. Lorsque le principe de choix du DPF l’exige, les personnes peuvent s’opposer avant que les données couvertes soient divulguées à un tiers ou utilisées à une finalité substantiellement différente. Lorsque ce principe exige un consentement explicite pour des informations sensibles, nous l’obtiendrons avant l’utilisation ou la divulgation concernée. Envoyez vos demandes à [email protected]. Pour les données de réservation que nous traitons sur instruction d’un client, nous nous coordonnerons avec ce client pour répondre à la demande.

Les personnes de l’UE et du Royaume-Uni doivent d’abord envoyer leurs demandes ou réclamations DPF à Cal.com, Inc., Privacy & Compliance, 2261 Market Street #4382, San Francisco, CA 94114, United States ; [email protected] ; +1 415 212 6667. Felix Kolodziej, responsable conformité, peut également être joint à [email protected]. Nous répondrons aux réclamations DPF dans un délai de 45 jours. Pour les réclamations non résolues concernant les données couvertes, nous nous engageons à coopérer avec le panel établi par les autorités de protection des données de l’UE pour les données de l’UE, et avec l’Information Commissioner’s Office du Royaume-Uni et la Gibraltar Regulatory Authority pour les données du Royaume-Uni et de Gibraltar. Ces mécanismes de recours indépendants sont accessibles gratuitement aux personnes.

Cal.com, Inc. est soumise aux pouvoirs d’enquête et d’application de la U.S. Federal Trade Commission concernant sa conformité au DPF UE-États-Unis et à l’extension britannique. Sous certaines conditions, les personnes peuvent recourir à un arbitrage contraignant pour les réclamations résiduelles liées à la conformité au DPF. Nous pouvons être tenus de divulguer des données couvertes en réponse à des demandes légales d’autorités publiques, notamment pour répondre à des exigences de sécurité nationale ou d’application de la loi.

Cookies

• Dans l’application : cookies pour vous connecter, mémoriser vos préférences et assurer la sécurité. Aucun cookie publicitaire tiers.
• Sur le site marketing : les cookies d’analyse et de mesure publicitaire listés ci-dessus. Vous pouvez les refuser.
• Nous respectons les signaux Global Privacy Control et Do Not Track.

Vos droits

Où que vous viviez, vous pouvez nous demander de : accéder à vos données, corriger celles-ci, supprimer celles-ci, exporter celles-ci, limiter ou vous opposer à leur traitement, ou retirer votre consentement. Si vous êtes en Californie, vous pouvez aussi : savoir ce que nous collectons, le supprimer, le corriger et refuser sa vente ou son partage. Nous ne vendons ni ne partageons ces données, il n’y a donc rien à refuser. Si vous êtes dans l’EEE ou au Royaume-Uni, vous pouvez également déposer une plainte auprès de votre autorité de protection des données.

La plupart de ces demandes se gèrent en libre-service dans vos paramètres. Sinon, envoyez un e-mail à [email protected] et nous vous répondrons sous 30 jours. Nous vous demanderons d’abord de vérifier votre identité, et nous ne vous pénaliserons pas pour votre demande.

Sécurité

Chiffrement en transit et au repos, accès avec privilèges minimaux, SSO et 2FA, infrastructure auditée et programme de bug bounty. Détails et rapports actuels : cal.com/security. Aucun système n’est parfaitement sécurisé ; si un problème survient, nous informerons les clients concernés sans retard inutile et conformément à notre DPA.

Modifications de cette politique

Nous publierons la nouvelle version ici et mettrons à jour la date d’entrée en vigueur. Pour tout changement important, comme une nouvelle catégorie de sous-traitants ou une nouvelle utilisation des données, nous vous enverrons un e-mail avant son entrée en vigueur.

Contact

Délégué à la protection des données : [email protected]
Cal.com, Inc., 2261 Market Street #4382, San Francisco, CA 94114, États-Unis

Représentant dans l’UE (GDPR art. 27) : Felix Kolodziej, [email protected], adresse sur demande

Pour tout le reste : [email protected]