Politique de confidentialité

1.Qui sommes-nous

Le service Shefy est édité par Shefa Digital (Deborah Cohen), entreprise individuelle de droit israélien, numéro d'entreprise 329856173, HaAlon 5, Hadera, Israël. Contact : [email protected]. Voir aussi nos Mentions légales.

2.Deux rôles, selon les données

Les visiteurs d'une page de réservation ou de carte cadeau et les destinataires de vos factures sont vos clients : vous êtes leur responsable de traitement. Ils exercent leurs droits auprès de vous ; nous vous aidons à y répondre.

3.Les données de nos clients professionnels

• Compte : nom, prénom, e-mail, téléphone, date de naissance, langue, rôle dans l'entreprise, date d'acceptation des conditions. Le mot de passe n'est conservé que sous forme hachée.
• Entreprise : raison sociale, adresse, identifiants légaux (SIREN, numéro de TVA…), régime de TVA, logo et coordonnées bancaires facultatifs imprimés sur vos documents.
• Sécurité : codes de double authentification envoyés par SMS ou e-mail (conservés hachés, valables 10 minutes), jetons de réinitialisation et de déblocage (conservés hachés), journaux de connexion et d'erreurs, journal des actions sensibles.
• Abonnement : formule, quotas consommés, historique d'achats. Le paiement est traité par FastSpring : nous ne voyons jamais vos données de carte.
• Assistance et diagnostic : échanges avec le support, erreurs techniques.

4.Les données traitées pour votre compte

Gestion courante. Fiches clients, devis, factures, avoirs, encaissements, rendez-vous, intervenants, dépenses et factures fournisseurs, messages envoyés (e-mail, SMS, WhatsApp) et leur statut de remise.

Messages de service WhatsApp et SMS à vos clients. Lorsque la messagerie est activée, Shefy envoie pour vous, à vos clients, des messages liés à une relation déjà engagée avec vous : envoi d'une facture ou d'un devis, confirmation et rappel de rendez-vous, lien de paiement, relance d'une facture. Ces envois sont autorisés par défaut dans chaque fiche client, car ils accompagnent ou remplacent l'e-mail que le client recevrait de toute façon pour le même document : ils reposent sur l'exécution du contrat qui vous lie à votre client ou sur votre intérêt légitime à en assurer le suivi. Ils ne contiennent jamais de prospection commerciale. Le client peut les refuser à tout moment : en répondant STOP au message (aussi ARRET, STOPP, AFMELDEN, הסר… dans les cinq langues de Shefy), ce qui coupe aussitôt le canal concerné (WhatsApp ou SMS), ou en vous le demandant, l'envoi se désactivant alors dans sa fiche client. Le visiteur d'une page de réservation en ligne choisit lui-même de recevoir des rappels (case non cochée par défaut).

Page de réservation en ligne. Le visiteur indique son prénom, son nom, son téléphone, son e-mail (facultatif), son adresse pour une prestation à domicile, et s'il accepte de recevoir des rappels (case non cochée par défaut). Le code de validation à 6 chiffres n'est conservé que sous forme d'empreinte, valable 10 minutes, utilisable une fois. L'adresse IP n'est jamais conservée en clair : seule une empreinte sert à limiter les abus. La demande est supprimée automatiquement après 30 jours, confirmée ou non ; un rendez-vous confirmé rejoint votre agenda et vos fiches clients. Une fiche client existante n'est jamais modifiée automatiquement : une proposition vous est soumise. La page indique au visiteur qui traite ses données et comment exercer ses droits.

Cartes cadeaux. Pour une demande en ligne, l'acheteur indique son nom, son e-mail, un message facultatif et le montant ; son IP n'est conservée que sous forme d'empreinte. Une demande refusée ou jamais traitée est supprimée après 90 jours. Une carte vendue et sa facture sont conservées comme toute facture.

Documents importés. Un import jamais confirmé est supprimé après 60 jours sans activité ; un import confirmé devient la pièce jointe de la dépense. Les liens d'aperçu sont signés et valables 5 minutes.

Facturation électronique. En France et en Belgique, vos factures, vos avoirs et les données de paiement à déclarer transitent par la plateforme agréée SUPER PDP, que vous connectez vous-même.

Paiement en ligne. La saisie de la carte, d'Apple Pay, de Google Pay ou le paiement depuis la banque se font sur la page d'Online Payment Platform (OPP), établissement de paiement agréé aux Pays-Bas, qui agit comme responsable de traitement distinct pour l'exécution du paiement et la vérification de votre activité. Aucune donnée de carte ni coordonnée bancaire du payeur ne passe par Shefy. Shefy enregistre la référence du paiement, son montant, le moyen choisi, son état, ses dates, ses frais et la facture concernée. Les pièces de vérification et votre compte bancaire sont saisis directement chez OPP.

5.Intelligence artificielle

L'Assistant, la configuration de départ et la lecture des documents importés envoient au modèle d'IA le texte de la demande, le contexte utile (données de l'entreprise ou du client concerné, historique de la conversation) et, le cas échéant, le document à lire. Le modèle (Claude Haiku 4.5) est exécuté directement par son éditeur, Anthropic, aux États-Unis. Anthropic s'engage à ne pas entraîner ses modèles sur ces données et ne les conserve que pour une durée limitée, pour la sécurité du service et la détection des abus.

Rien n'est envoyé au modèle sans action de l'utilisateur, et aucune proposition de l'Assistant n'est enregistrée ni envoyée sans votre validation. Si nous devions confier ce traitement à un autre fournisseur, vous en seriez informé au moins 30 jours avant (section 11).

6.Finalités et bases légales

Aucune prospection commerciale n'est faite à partir des données des clients de nos clients.

7.Durées de conservation

Lorsqu'un client final demande l'effacement de ses données, les documents comptables déjà émis restent conservés pour l'obligation légale du professionnel ; le reste est supprimé ou anonymisé par le professionnel, avec notre aide.

8.Sécurité

• Échanges chiffrés (HTTPS, HSTS) ; jetons d'accès des fournisseurs chiffrés au repos.
• Mots de passe, codes et jetons conservés hachés ; adresses IP des visiteurs réduites à une empreinte.
• Séparation stricte des données entre entreprises, vérifiée par des tests automatisés.
• Factures, règlements et journal des encaissements protégés contre toute modification ; archives PDF contrôlées par empreinte.
• Double authentification disponible ; accès comptable en lecture seule.

9.Sous-traitants

10.Transferts hors de l'Union européenne

L'éditeur est établi en Israël, pays bénéficiant d'une décision d'adéquation de la Commission européenne. Pour les prestataires situés aux États-Unis, les transferts reposent sur le Data Privacy Framework UE–États-Unis lorsque le prestataire y est certifié, et à défaut sur les clauses contractuelles types adoptées par la Commission européenne. Le Royaume-Uni bénéficie également d'une décision d'adéquation.

11.Nos engagements de sous-traitant (article 28 du RGPD)

Pour les données que vous gérez dans Shefy sur vos propres clients, cette section constitue l'accord de sous-traitance entre vous (responsable de traitement) et Shefa Digital (sous-traitant). Vous l'acceptez avec les Conditions d'utilisation.

• Objet et durée : fournir le service Shefy, pendant la durée de votre abonnement ; nature des traitements, catégories de données et de personnes : section 4.
• Instructions : nous ne traitons ces données que sur vos instructions, données par l'usage du service et ses réglages, sauf obligation légale dont nous vous informerions.
• Confidentialité : les personnes autorisées à y accéder sont tenues à la confidentialité.
• Sécurité : les mesures de la section 8.
• Sous-traitants ultérieurs : vous autorisez ceux de la section 9. Nous vous informons par e-mail au moins 30 jours avant tout ajout ou remplacement ; vous pouvez vous y opposer en résiliant votre abonnement sans frais. Chaque sous-traitant ultérieur est tenu aux mêmes obligations.
• Assistance : nous vous aidons à répondre aux demandes des personnes concernées, à réaliser une analyse d'impact et à respecter vos obligations de sécurité.
• Violation de données : nous vous notifions toute violation affectant vos données dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance.
• Fin du contrat : à votre choix, vous exportez vos données ou nous les supprimons, sur votre demande, dans un délai d'un mois, sauf conservation imposée par la loi.
• Audit : nous mettons à votre disposition les informations nécessaires pour démontrer le respect de ces obligations, et nous permettons la réalisation d'audits, y compris d'inspections, par vous ou par un auditeur que vous mandatez, et y contribuons (préavis raisonnable, engagement de confidentialité de l'auditeur).

12.Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, et du droit de retirer votre consentement à tout moment. Écrivez à [email protected] ; nous répondons dans un délai d'un mois. Vous pouvez aussi saisir l'autorité de contrôle : en France la CNIL, en Israël la Privacy Protection Authority.

Clients finaux d'un professionnel (visiteurs d'une page de réservation, acheteurs d'une carte cadeau, destinataires d'une facture) : adressez-vous au professionnel. Nous lui transmettons toute demande reçue directement.

13.Cookies et stockage local

L'application n'utilise que le stockage strictement nécessaire à son fonctionnement : session de connexion (stockage de l'onglet), langue, thème et préférences d'affichage. Elle charge ses polices depuis Google Fonts, ce qui transmet l'adresse IP à Google. Il n'y a ni outil publicitaire ni mesure d'audience dans l'application.

Site shefyone.com. Le site retient la langue que vous avez choisie dans un cookie « shefy_lang » (un an), strictement nécessaire pour vous l'afficher à votre prochaine visite. Il mesure sa fréquentation avec Umami, un outil hébergé sur nos propres serveurs (Hetzner, Union européenne), sans cookie et sans suivi d'un site à l'autre : pages vues, page d'où vous arrivez et paramètres de campagne de l'adresse, pays et ville déduits de l'adresse IP (qui n'est pas conservée), type d'appareil, système, navigateur et langue, ainsi que quelques actions sur le site (lecture d'une vidéo, envoi du formulaire de contact avec le métier indiqué, changement de langue). Ces données servent uniquement à établir des statistiques de fréquentation du site ; elles ne sont ni vendues, ni partagées, ni croisées avec d'autres données, et sont supprimées après 25 mois. Base légale : notre intérêt légitime à connaître la fréquentation du site ; cette mesure d'audience, limitée à des statistiques et sans cookie, ne nécessite pas votre consentement. Vous pouvez vous y opposer en activant l'option « Ne pas me suivre » de votre navigateur, que l'outil respecte.

Formulaire « Être recontacté ». Les informations que vous y laissez (nom, e-mail, téléphone, entreprise, métier, message, langue et page du site) servent uniquement à vous recontacter au sujet de Shefy : elles nous sont envoyées par e-mail et conservées dans notre outil de suivi interne, puis supprimées trois ans après votre demande. Base légale : votre demande de contact.

14.Mineurs

Shefy est destiné aux professionnels. Le service ne s'adresse pas aux personnes de moins de 18 ans.

15.Modifications

Toute modification substantielle de cette politique est annoncée par e-mail et dans l'application avant son entrée en vigueur.