Zoma

Politique de confidentialité

Dernière mise à jour : 8 octobre 2026

La présente politique explique comment Zoma — site web, application web et application mobile — traite les données personnelles, conformément au Règlement général sur la protection des données (RGPD) et à la loi « Informatique et Libertés ».

1. Deux rôles distincts

Zoma intervient à deux titres selon les données concernées :

  • Responsable de traitement pour les données des professionnels qui créent un compte (gestion du compte, abonnement, facturation, support, sécurité), pour les données des personnes qui nous contactent et pour les données techniques des visiteurs. Le responsable de traitement est ZOMA, Société par actions simplifiée (SAS) au capital de 500 €, immatriculée au 109 737 668 R.C.S. Marseille, dont le siège social est situé 55 rue Grignan, 13006 Marseille (éditeur de Zoma, cf. mentions légales).
  • Sous-traitant (au sens de l'art. 28 RGPD) pour les données des clients que le professionnel collecte et gère via Zoma (réservations, fiches clients, messages, avis). Dans ce cas, le professionnel est responsable de traitement et Zoma agit pour son compte, selon ses instructions (voir l'accord de traitement des données).

2. Données collectées

Professionnels :

  • Identité et contact : nom, prénom, e-mail, téléphone.
  • Informations professionnelles : nom d'activité, adresse et coordonnées géographiques de l'établissement, zone d'intervention, prestations, produits, photos, conditions, identité légale et n° de TVA pour les factures.
  • Données de connexion et d'authentification (via Clerk).
  • Données d'abonnement et de paiement (via Stripe ; Zoma ne stocke pas les numéros de carte) et, si les acomptes sont activés, identifiant du compte Stripe Connect.
  • Preuve d'acceptation des conditions : date et heure, version acceptée, adresse IP.
  • Application mobile : jeton de notification de l'appareil (APNs) et plateforme de l'appareil.
  • Données d'usage techniques : journaux, erreurs techniques (sans adresse IP, cookies ni jetons de connexion).

Clients des professionnels :

  • Nom, prénom, e-mail, téléphone.
  • Rendez-vous : prestations, dates, prix, acompte, statut, réponses aux rappels (confirmation ou annulation), inscription en liste d'attente.
  • Pour une prestation à domicile : adresse postale et coordonnées géographiques (latitude, longitude) déduites de l'adresse.
  • Fiche client : notes, photos, produits achetés, factures, points de fidélité, opposition éventuelle aux e-mails de relance.
  • Allergie ou contre-indication signalée par le client (donnée de santé) : enregistrée uniquement avec son consentement explicite, horodaté (art. 9.2.a RGPD), recueilli par une case dédiée lors de la réservation ou attesté par le professionnel.
  • Compteur d'absences (rendez-vous non honorés) et, si le professionnel l'active, blocage automatique de la réservation en ligne au-delà d'un seuil. Le client bloqué en est informé et peut contacter le professionnel pour obtenir un réexamen humain (art. 22 RGPD).
  • Avis déposés : note, texte, prénom enregistré lors de la réservation, date.
  • Espace client : connexion par lien magique envoyé par e-mail, messages et pièces jointes échangés avec le professionnel.

Personnes qui nous contactent (formulaire du site zoma-app.fr, e-mail) :

  • Nom, adresse e-mail, activité indiquée, contenu du message et de nos échanges.

Les informations signalées comme obligatoires dans les formulaires sont nécessaires pour créer un compte, réserver un rendez-vous ou traiter une demande : sans elles, le service correspondant ne peut pas être fourni. Les autres informations sont facultatives.

Hors du champ dédié ci-dessus, aucune information de santé ne doit être saisie dans les notes, messages ou précisions de réservation. Zoma n'est pas un hébergeur certifié de données de santé (HDS) et n'est pas destiné aux activités de prévention, de diagnostic ou de soins.

3. Finalités et bases légales

  • Fourniture du service (agenda, réservation, fiches clients, messagerie, visio, prestations à domicile) — exécution du contrat.
  • Gestion de l'abonnement, facturation et comptabilité de Zoma — exécution du contrat et obligation légale.
  • E-mails, SMS et notifications liés aux rendez-vous et au compte (confirmations, rappels, alertes) — exécution du contrat / intérêt légitime.
  • Preuve de l'acceptation des conditions — intérêt légitime (preuve du contrat).
  • Réponse aux demandes de contact, d'information ou de démonstration — mesures précontractuelles prises à la demande de la personne et intérêt légitime (suivi de la relation).
  • Sécurité, prévention de la fraude et des abus, limitation de débit — intérêt légitime.
  • Diagnostic des erreurs techniques (Sentry) — intérêt légitime. Aucun enregistrement de navigation n'est réalisé ; les rapports d'erreur ne contiennent ni adresse IP, ni cookies, ni jetons des liens envoyés par e-mail.
  • Pour le compte des professionnels : demandes d'avis, relance des clients inactifs, programme de fidélité, blocage après absences — base légale déterminée par le professionnel, responsable de traitement. Le client peut s'opposer aux relances dès sa réservation (case dédiée) puis à tout moment (lien présent dans chaque e-mail) ; les clients importés par le professionnel ne sont relancés qu'après une réservation en ligne.
  • Allergies et contre-indications (pour le compte des professionnels) — consentement explicite du client (art. 9.2.a RGPD), retirable à tout moment auprès du professionnel.

4. Destinataires et sous-traitants

Les données des clients sont accessibles au professionnel concerné. Zoma fait appel aux prestataires techniques suivants :

  • Clerk — authentification des professionnels (États-Unis).
  • Stripe — abonnements et acomptes (Stripe Connect) (Irlande / États-Unis).
  • Supabase — base de données et stockage des photos (Union européenne (région AWS eu-west-3, Paris)).
  • Vercel — hébergement applicatif et diffusion (CDN) (États-Unis).
  • Resend — envoi des e-mails (États-Unis).
  • Upstash — limitation de débit et protection contre les abus (adresses IP conservées 48 heures au plus) (prestataire américain, données hébergées dans l'UE (Francfort, région AWS eu-central-1)).
  • Octopush — envoi des SMS de rappel (France).
  • Daily.co — visioconférence (États-Unis).
  • Sentry — suivi des erreurs et des performances techniques (prestataire américain, données hébergées dans l'UE (Allemagne)).
  • Base Adresse Nationale — géocodage des adresses (api-adresse.data.gouv.fr) (France (service public de l'État)).
  • Apple — notifications push de l'application iOS (APNs) (États-Unis).
  • Google — carte de localisation, uniquement si le visiteur clique pour l'afficher (États-Unis).
  • Zoho — messagerie électronique de Zoma (contact, support, exercice des droits) (Union européenne).
  • Web3Forms — acheminement des messages du formulaire de contact du site zoma-app.fr (Inde (Web3Creative), serveurs aux États-Unis).

Pour les visios, les salles sont ouvertes 15 minutes avant le rendez-vous, fermées 30 minutes après et limitées aux participants prévus par la prestation, plus le professionnel ; Zoma n'enregistre pas les séances. Les données ne sont jamais vendues ni utilisées à des fins publicitaires.

5. Transferts hors Union européenne

Certains prestataires de l'application sont établis aux États-Unis (notamment Clerk, Stripe, Vercel, Resend, Upstash, Daily.co, Sentry, Apple, Google). Les transferts éventuels sont encadrés par des garanties appropriées : clauses contractuelles types de la Commission européenne et/ou certification au Data Privacy Framework UE–États-Unis. Une copie de ces garanties peut être obtenue en écrivant à contact@zoma-app.fr. Les messages envoyés par le formulaire de contact du site zoma-app.fr transitent par Web3Forms (Inde, serveurs aux États-Unis) avant de nous parvenir. La base de données et les photos sont hébergées dans l'Union européenne.

6. Durées de conservation

  • Données de compte professionnel : pendant la durée de l'abonnement ou de l'essai, puis 12 mois après la fin de l'accès (essai expiré, abonnement résilié ou arrivé à terme) ; un e-mail d'avertissement est envoyé 30 jours avant la suppression définitive. Se réabonner avant cette date conserve l'ensemble des données.
  • Suppression du compte par le professionnel : effacement immédiat des données du professionnel et de ses clients.
  • Prévention des essais gratuits multiples : une empreinte irréversible de l'adresse e-mail du professionnel (et non l'adresse elle-même) est conservée 3 ans après la suppression du compte, afin qu'un même professionnel ne bénéficie qu'une fois de l'essai gratuit — intérêt légitime.
  • Factures d'abonnement émises par Zoma : conservées 10 ans (obligation comptable de Zoma).
  • Données des clients : supprimées automatiquement 3 ans après le dernier rendez-vous (les rendez-vous passés sont conservés sans nom dans les statistiques du professionnel), 30 jours après une réservation en ligne jamais aboutie, et au plus tard avec le compte du professionnel ou à l'issue de la période de 12 mois ci-dessus. Le professionnel peut supprimer une fiche à tout moment ; les factures qu'il a émises sont conservées au titre de ses obligations comptables.
  • Inscriptions en liste d'attente : supprimées 3 mois après leur clôture.
  • Conversations : supprimées après 6 mois sans nouveau message, le client étant prévenu par e-mail 2 jours avant.
  • Journaux techniques et rapports d'erreur : conservés selon les durées de rétention de nos hébergeurs (Vercel, Sentry), qui n'excèdent pas 6 mois.
  • Adresses IP utilisées pour la limitation de débit : 48 heures au plus.
  • Preuve de l'acceptation des conditions (date, heure, version, adresse IP) : pendant toute la durée du compte, supprimée avec lui.
  • Jetons de notification de l'application mobile : jusqu'à la suppression du compte ou jusqu'à ce que le service de notifications d'Apple les signale comme invalides.
  • Demandes de contact et échanges par e-mail avec Zoma (prospects, support) : 3 ans après le dernier échange.

Les sauvegardes techniques de l'hébergeur sont effacées au terme de leur cycle de rotation.

7. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, du droit de retirer votre consentement et de définir des directives relatives au sort de vos données après votre décès.

  • Professionnels : depuis Paramètres → Mes données ou, après la fin de votre accès, depuis la page affichée à la connexion, vous pouvez télécharger vos factures et vos données et supprimer votre compte (voir Supprimer son compte Zoma).
  • Clients : pour exercer vos droits sur les données détenues par un professionnel, contactez directement ce professionnel (responsable de traitement), qui dispose dans Zoma des outils pour exporter, rectifier ou supprimer votre fiche. Vous pouvez aussi nous écrire : nous transmettrons votre demande au professionnel concerné. Vous pouvez à tout moment vous désinscrire des e-mails de relance grâce au lien qu'ils contiennent. Voir aussi les conditions d'utilisation pour les clients.

Pour toute demande : contact@zoma-app.fr ou par courrier à ZOMA, 55 rue Grignan, 13006 Marseille. Une réponse est apportée dans un délai d'un mois. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

8. Cookies et traceurs

Zoma n'utilise que des cookies et traceurs strictement nécessaires au fonctionnement du service, qui ne requièrent pas de consentement : authentification des professionnels (Clerk), session de l'espace client et de la messagerie, sécurité. Aucun cookie de mesure d'audience ou de publicité n'est déposé, et aucun enregistrement de votre navigation n'est réalisé.

Sur les pages de réservation, la carte Google Maps n'est chargée que si vous cliquez sur « Afficher la carte ». Tant que vous ne cliquez pas, aucune donnée n'est transmise à Google ; après ce clic, Google peut déposer ses propres cookies et collecter des données selon sa politique de confidentialité.

9. Sécurité

Zoma met en œuvre des mesures techniques et organisationnelles : hébergement des données dans l'UE, cloisonnement strict des données par professionnel, contrôle d'accès, liens signés et à durée limitée, chiffrement des communications (HTTPS), limitation de débit, journalisation et suivi des erreurs.

10. Modifications

La présente politique peut évoluer ; la date de mise à jour figure en haut de page. Les modifications substantielles sont portées à la connaissance des professionnels.