Politique de confidentialité

Version : pc-v1-2026-09-22

Dernière mise à jour : 22 septembre 2026.

Cette politique décrit les traitements réellement effectués par BOOK2WORK pour l'exploitation du studio de coworking beauté Studio Volta, 30 rue Volta, 75003 Paris, et des services book2work.com et app.book2work.com. Elle ne décrit pas les traitements que tu réalises, de ton côté, sur les données de ta propre clientèle : pour ceux-là, tu es responsable de traitement.

1. Qui est responsable de tes données

1.1. Le responsable de traitement est BOOK2WORK, société par actions simplifiée unipersonnelle au capital de 1 000 €, immatriculée au RCS de Paris sous le numéro 100 883 883, dont le siège social est situé CS70049, 42 rue de Maubeuge, 75009 Paris. Les noms commerciaux « BOOK2WORK » et « Studio Volta » désignent le même service.

1.2. Aucun délégué à la protection des données n'est désigné à ce jour, et cette politique n'en invente pas. Pour toute question relative à tes données ou pour exercer tes droits, écris à support@book2work.com (objet « Mes données ») ou à l'adresse postale du siège. La désignation éventuelle d'un DPO ou d'un point de contact dédié sera indiquée ici si elle intervient.

2. Ce que nous traitons, pourquoi, et sur quelle base

2.1. Compte professionnel et réservations

Données : nom, prénom, adresse e-mail, numéro de téléphone, activité déclarée (coiffure, barber, onglerie), lieu, réservations passées et à venir (date, heure, durée, poste, activité), soldes et mouvements d'heures, statut du profil, code d'apporteur éventuel. Les données de compte et de réservation sont hébergées dans notre base Supabase.
Finalité : créer ton compte, te permettre de réserver un poste, gérer tes heures et tes droits, t'afficher ton historique, gérer l'accès de l'équipe au dossier nécessaire.
Base légale : exécution du contrat conclu avec toi, et mesures précontractuelles à ta demande.
Caractère obligatoire : le nom, l'e-mail et le téléphone sont nécessaires pour confirmer une réservation et t'envoyer ton code d'accès. Sans eux, la réservation n'est pas possible.

2.2. Paiements

Données : montant, produit acheté, date, statut du paiement, identifiants de transaction et de client chez notre prestataire, éléments de facturation. Les paiements sont traités par Stripe, qui agit comme prestataire de paiement : les données de carte bancaire sont saisies chez Stripe et ne sont ni collectées ni stockées par BOOK2WORK.
Finalité : encaisser le prix de tes réservations, packs et Pass, gérer les remboursements, les impayés et les litiges de paiement, lutter contre la fraude au paiement.
Base légale : exécution du contrat ; obligation légale pour les mentions et pièces de facturation ; intérêt légitime à prévenir la fraude.

2.3. Codes d'accès au studio

Données : plage de validité du droit d'accès, réservation associée, identifiant technique de l'autorisation, code d'entrée généré, journal de création, d'envoi, de modification et de révocation. Le droit d'accès est créé dans le système de serrure connectée Nuki.
Finalité : te donner accès au local pour ta séance, révoquer un accès lorsqu'une réservation est annulée ou modifiée, assurer la sécurité du lieu et pouvoir établir, en cas d'incident, quel accès était actif.
Base légale : exécution du contrat pour la création et l'envoi du code ; intérêt légitime à la sécurité du local et des personnes pour les journaux d'accès. Les codes ne figurent jamais en clair dans les journaux d'audit ni dans les exports, et ne sont pas communiqués aux apporteurs d'affaires ni aux autres professionnels.

2.4. E-mails de service

Données : adresse e-mail, contenu du message envoyé, date, statut d'envoi et de remise, erreurs de remise. L'acheminement est assuré par MailerSend.
Finalité : t'envoyer les messages nécessaires à ton service - confirmation de réservation, code d'entrée, informations de paiement, modification ou annulation, invitation à finaliser ton profil, information sur une nouvelle version des conditions - et suivre leur bonne remise.
Base légale : exécution du contrat. Ces messages ne dépendent d'aucun abonnement marketing et continuent d'être envoyés même si tu t'opposes aux messages commerciaux.

2.5. Assistance

Données : les informations que tu nous transmets lorsque tu contactes l'assistance, par e-mail ou via WhatsApp, et l'historique de l'échange. Lorsque tu écris par WhatsApp, l'acheminement des messages passe par ce service, avec ses propres conditions ; tu peux toujours utiliser l'e-mail à la place.
Finalité : répondre à tes questions, traiter un incident d'accès, un problème de réservation ou de paiement, et conserver une trace de la réponse apportée.
Base légale : exécution du contrat lorsque la demande porte sur ta réservation ; intérêt légitime à traiter et documenter les demandes dans les autres cas. Ne transmets pas à l'assistance d'informations sur la santé ou les antécédents de ta clientèle : nous ne les collectons pas et elles n'ont pas à figurer dans nos outils.

2.6. Preuve de l'acceptation des conditions

Données : identifiant et version du document accepté, contenu exact archivé et son empreinte, libellé de la case affichée, date et heure d'acceptation enregistrées par le serveur, canal d'acceptation, identifiant de ton compte ou de ta réservation invité, niveau de vérification de l'identité, lien vers les commandes et réservations concernées, et photographie des conditions particulières de chaque commande.
Finalité : pouvoir établir quelles conditions t'ont été présentées et acceptées, et te permettre de les retrouver et de les conserver.
Base légale : exécution du contrat et intérêt légitime à constituer la preuve des engagements réciproques. Par défaut, nous n'enregistrons ni ton adresse IP, ni une empreinte de ton appareil, ni une copie d'une pièce d'identité au titre de cette preuve. Toute donnée supplémentaire de ce type devrait être justifiée séparément.

2.7. Vérification professionnelle, lorsqu'elle est demandée

Données : justificatifs que tu transmets lorsqu'une vérification ciblée est justifiée, par exemple une attestation d'assurance ou un élément relatif à ton activité, et la date de la vérification.
Finalité : vérifier, dans les cas prévus par les conditions, que les engagements pris sont tenus, notamment en cas d'anomalie ou d'exigence justifiée de l'assureur ou d'une autorité.
Base légale : intérêt légitime de l'exploitant à la sécurité et à la régularité de l'activité exercée dans ses locaux, et obligations contractuelles. Aucun justificatif n'est demandé à la simple inscription. La mention « justificatif vérifié » n'apparaît dans nos outils que lorsqu'une vérification a réellement eu lieu et a été documentée : elle ne se déduit jamais de la case d'acceptation.

2.8. Mesure d'audience du site et de l'app

Données : pages vues, source de visite, pays, type d'appareil et de navigateur, statistiques agrégées. Sur le site et dans l'app, nous utilisons Plausible, un outil de mesure d'audience sans cookie qui ne construit pas de profil individuel et ne suit pas les visiteurs d'un site à l'autre ; il fonctionne sans consentement parce qu'il ne dépose rien sur ton appareil. Sur le site book2work.com uniquement, et seulement si tu as cliqué « Tout accepter » dans le bandeau cookies, nous activons en plus Google Analytics 4 (via Google Tag Manager) et Microsoft Clarity (cartes de chaleur et enregistrement anonymisé des parcours). Si tu refuses, ces outils ne sont pas chargés et rien n'est déposé ; tu peux changer d'avis à tout moment via « Gérer mes cookies » en pied de page. Le détail figure sur la page Cookies du site.
Finalité : comprendre l'usage du site et de l'app pour les améliorer.
Base légale : intérêt légitime pour Plausible ; consentement pour Google Analytics et Clarity. Ton consentement aux cookies n'est jamais recueilli par la case d'acceptation des conditions : ce sont deux choix distincts.

2.9. Attribution publicitaire

Données : paramètres d'origine transmis par ton navigateur lorsque tu arrives depuis une publicité ou une campagne, notamment l'identifiant de clic Google (gclid) et les paramètres utm, la première page vue, la date, et le rattachement de ces éléments à ton inscription ou à ton premier achat.
Finalité : savoir quelles campagnes amènent des professionnels qui réservent réellement, mesurer l'efficacité de nos dépenses publicitaires et transmettre à Google Ads une information de conversion correspondant à une action réelle (inscription, réservation découverte, achat).
Ce qui est transmis à Google : le fait qu'une conversion a eu lieu, sa valeur, un identifiant de transaction et, pour les conversions dites « améliorées », ton adresse e-mail et ton numéro de téléphone sous forme hachée (irréversible) afin que Google les rapproche d'un clic publicitaire. Les balises Google ne sont chargées sur le site qu'avec ton consentement aux cookies de mesure.
Base légale : consentement pour les balises déposées sur le site ; intérêt légitime à mesurer l'efficacité de nos campagnes pour le rattachement d'une conversion à une campagne. Tu peux t'y opposer à tout moment, aux coordonnées de la section 6. Aucune donnée de santé, aucune donnée relative à ta clientèle et aucun contenu de tes échanges avec l'assistance n'entre dans ce traitement.

2.10. Apporteurs d'affaires

Données transmises à un apporteur : le fait qu'un client ait été attribué à son code sous une forme pseudonymisée, la transaction concernée, le produit, le montant éligible, la règle et le taux appliqués, le statut de la commission.
Finalité : établir les relevés dus à l'apporteur au titre de son contrat.
Base légale : intérêt légitime à exécuter le contrat conclu avec l'apporteur et à établir des relevés vérifiables.
Périmètre strict : un apporteur ne reçoit ni ton nom, ni ton e-mail, ni ton téléphone, ni tes coordonnées, ni tes codes d'accès, ni tes réservations, ni ton solde d'heures, ni ton historique. La saisie de son code n'autorise aucune transmission de ton dossier et ne l'autorise pas à te prospecter. Les preuves individuelles d'acceptation ne figurent jamais dans les relevés partenaires ni dans les statistiques marketing.

2.11. Informations commerciales

Données : adresse e-mail professionnelle, activité, statut de ta relation avec le studio, opposition éventuelle.
Finalité : t'informer d'évolutions de l'offre du studio et te relancer si tu t'es inscrit sans réserver.
Base légale : intérêt légitime à informer des professionnels d'une offre qui correspond à leur activité, avec un droit d'opposition simple et exerçable dans chaque message. Cette base repose sur le caractère professionnel du destinataire et sur le lien direct entre le message et son activité. Lorsque ces conditions ne sont pas réunies, notamment pour une personne qui n'agit pas dans un cadre professionnel, ton consentement est recueilli au préalable et de manière distincte. L'acceptation des conditions de réservation et d'utilisation ne vaut pas accord à ces messages, et aucun consentement de ce type n'est créé par défaut. Ne relèvent pas de cette rubrique les messages nécessaires à ton service décrits au point 2.4.

2.12. Assistant de rédaction de l'équipe

Données : lorsqu'un membre de l'équipe prépare un message de contact à ton attention (par exemple après une réservation découverte), un assistant de rédaction reçoit ton prénom, ton activité et la date et l'heure de ta séance, et rien d'autre : ni ton nom complet, ni ton e-mail, ni ton téléphone. L'assistant reçoit aussi des indicateurs agrégés d'activité du studio (sans donnée individuelle) et les intitulés de tâches internes de l'équipe. Ce service est fourni par la passerelle IA de Lovable, qui s'appuie sur un modèle Google (Gemini).
Finalité : aider l'équipe à rédiger plus vite un message personnalisé, qui est relu par une personne avant envoi.
Base légale : intérêt légitime à organiser l'assistance et le suivi client. Aucune décision automatisée n'est prise à ton égard sur cette base.

2.13. Comptabilité et obligations légales

Données : factures, justificatifs de paiement, pièces comptables.
Finalité : établir et conserver les documents comptables et fiscaux.
Base légale : obligation légale.

3. Qui a accès à tes données

3.1. En interne, seules les personnes de l'équipe BOOK2WORK qui en ont besoin accèdent à ton dossier, selon des droits d'accès limités, notamment pour l'exploitation du studio, l'assistance et la comptabilité.

3.2. À l'extérieur, interviennent comme prestataires, chacun pour la finalité décrite plus haut : Supabase (hébergement de la base de données, authentification et fonctions serveur), Stripe (paiements), Nuki (serrure connectée et codes d'accès), MailerSend (envoi des e-mails de service), Plausible (mesure d'audience sans cookie), Google (Google Ads et, avec ton consentement sur le site, Google Tag Manager et Google Analytics ; modèle Gemini pour l'assistant de rédaction), Microsoft (Clarity, avec ton consentement sur le site), Meta (WhatsApp, lorsque tu choisis ce canal pour l'assistance), Vercel (hébergement du site book2work.com) et Lovable (hébergement de l'app app.book2work.com et passerelle IA). Nous ne faisons plus appel à Make, Notion ni Brevo.

3.3. Tes données peuvent être communiquées à une autorité ou à un auxiliaire de justice lorsque la loi l'impose, et à notre assureur ou à notre conseil en cas de sinistre ou de litige, dans la limite de ce qui est nécessaire.

3.4. Nous ne vendons pas tes données et ne les louons à personne.

4. Transferts hors de l'Union européenne

Plusieurs prestataires listés au point 3.2 sont établis aux États-Unis ou peuvent y traiter des données (notamment Supabase, Stripe, Vercel, Google, Microsoft, Meta et Lovable). Ces transferts sont encadrés par les garanties prévues par le RGPD : décision d'adéquation de la Commission européenne pour les prestataires certifiés au titre du cadre de protection des données UE–États-Unis, et clauses contractuelles types de la Commission européenne pour les autres. Tu peux nous demander, aux coordonnées de la section 6, quel mécanisme s'applique à un prestataire donné.

5. Combien de temps nous conservons tes données

Aucune donnée n'est conservée indéfiniment.

5.1. Compte et profil : pendant toute la durée de la relation, puis suppression ou anonymisation. Le compte est supprimé ou anonymisé 3 ans après ton dernier contact actif, par exemple une réservation, un achat ou une demande d'assistance.

5.2. Réservations, mouvements d'heures et lots achetés : pendant la durée de validité des droits, puis conservation à titre de preuve contractuelle. Cette conservation dure 5 ans à compter de la fin de la réservation ou de l'expiration du lot.

5.3. Preuve d'acceptation des conditions, document archivé et conditions particulières des commandes : conservation liée aux engagements qu'elles justifient. Elles sont conservées pendant la durée de la relation, puis 5 ans.

5.4. Factures et pièces comptables : 10 ans, au titre des obligations comptables et fiscales.

5.5. Codes d'accès : le code est supprimé ou révoqué dans le système de serrure après la fin de sa plage de validité. Le code est supprimé du système de serrure dans les 30 jours suivant la fin de sa validité ; le journal d'accès associé est conservé 6 mois pour les besoins de sécurité, puis supprimé.

5.6. Journaux techniques et journaux d'envoi des e-mails : 6 mois pour les journaux techniques et de sécurité, 12 mois pour les statuts d'envoi et de remise des e-mails.

5.7. Échanges avec l'assistance : 12 mois après la clôture de la demande, sauf si l'échange se rattache à un litige, auquel cas il est conservé jusqu'à son issue.

5.8. Justificatifs transmis lors d'une vérification professionnelle : la date et le résultat de la vérification sont conservés pendant la durée de la relation ; la pièce justificative elle-même est supprimée dès que la vérification est effectuée, sauf obligation contraire de notre assureur, auquel cas tu en es informé.

5.9. Données d'attribution publicitaire : 13 mois à compter de la visite, puis conservation d'un indicateur agrégé sans rattachement individuel.

5.10. Mesure d'audience Plausible : statistiques agrégées, sans donnée permettant de te réidentifier ; aucune conservation de profil individuel.

5.11. Prospection et relances commerciales : 3 ans après ton dernier contact, puis suppression de l'adresse de la base de prospection. Ton opposition, elle, est conservée aussi longtemps que nécessaire pour être respectée.

5.12. En cas de demande d'effacement, les données strictement nécessaires à la défense d'un droit, à une obligation légale ou à la preuve d'un engagement contractuel sont conservées jusqu'au terme prévu ci-dessus, sans aucune poursuite de la prospection te concernant.

6. Tes droits

6.1. Tu disposes d'un droit d'accès à tes données, de rectification, d'effacement, de limitation du traitement, d'opposition aux traitements fondés sur l'intérêt légitime - notamment l'attribution publicitaire et les messages commerciaux - et d'un droit à la portabilité des données que tu nous as fournies et qui sont traitées sur la base du contrat ou de ton consentement. Lorsqu'un traitement repose sur ton consentement, tu peux le retirer à tout moment, sans que cela remette en cause ce qui a été fait avant.

6.2. Pour exercer ces droits, écris à support@book2work.com (objet « Mes données »). Nous pouvons avoir besoin de vérifier que la demande vient bien de toi, de manière proportionnée : cette vérification ne sert qu'à éviter qu'un tiers accède à ton dossier. Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe, auquel cas tu en es informé.

6.3. L'exercice de ton droit d'opposition aux messages commerciaux ne supprime pas les messages nécessaires à tes réservations : confirmation, code d'accès, paiement, annulation, incident.

6.4. Si tu estimes que tes droits ne sont pas respectés, tu peux introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

7. Sécurité

7.1. L'accès aux données est limité par des droits d'accès, les échanges avec le site et l'app sont chiffrés en transit, et les codes d'accès sont protégés et masqués dans les journaux et les exports.

7.2. Les liens sécurisés envoyés par e-mail, par exemple pour gérer une réservation ou finaliser un profil, ont une portée limitée, expirent, et ne déclenchent aucune action irréversible par simple ouverture. Une adresse e-mail saisie dans un formulaire ne donne jamais accès à un compte existant, à ses réservations ou à ses moyens de paiement.

7.3. Aucun enregistrement vidéo ne fait partie des traitements décrits ici. Si un dispositif de vidéosurveillance était mis en place dans le studio, il ferait l'objet d'une information spécifique sur place et dans cette politique.

8. Modifications de cette politique

Cette politique est versionnée. En cas de modification importante, tu en es informé, et la version en vigueur reste accessible depuis le formulaire d'inscription, depuis le récapitulatif de commande et depuis ton compte. Une évolution de cette politique n'est jamais présentée comme une acceptation de nouvelles conditions contractuelles : l'information sur les données n'est pas une case à cocher.