Conditions générales d'utilisation

1. Éditeur et objet

Zoey est éditée par JCT Software Consulting, société par actions simplifiée unipersonnelle au capital de 1 000 €, immatriculée au RCS de Lyon sous le numéro 982 119 489, dont le siège est situé 102 route du Bas Privas, 69390 Charly, France.

Les présentes conditions définissent les droits et obligations applicables à l'accès et à l'utilisation de Zoey. Les conditions commerciales d'un éventuel abonnement payant feront l'objet d'une information et d'une acceptation distinctes avant tout achat.

2. Définitions

• Zoey ou le Service : l'application mobile, l'API de synchronisation, l'espace famille et les pages associées.
• Éditeur : JCT Software Consulting.
• Personne professionnelle : l'assistant ou l'assistante maternelle, ou toute personne autorisée par une structure de petite enfance qui ouvre un compte et utilise l'application dans le cadre de son activité.
• Structure : l'entité professionnelle au nom de laquelle le compte est utilisé.
• Famille : toute personne à laquelle la Personne professionnelle remet un accès au contenu relatif à son foyer.
• Utilisateur : la Personne professionnelle, un membre autorisé de sa Structure ou un membre de la Famille utilisant l'espace famille.
• Données confiées : les données personnelles saisies ou rendues accessibles dans Zoey par la Personne professionnelle pour les besoins de l'accueil des enfants.

3. Acceptation et opposabilité

La Personne professionnelle prend connaissance des présentes conditions et les accepte avant la première utilisation du Service. Elle déclare avoir le pouvoir d'engager la Structure pour laquelle elle agit, notamment pour l'accord de sous-traitance figurant en annexe.

Les Familles peuvent consulter les présentes conditions avant d'utiliser l'accès remis par la Personne professionnelle. L'utilisation de l'espace famille après leur affichage vaut acceptation des règles qui concernent cet espace. Aucune clause ne prive un consommateur d'un droit impératif que la loi lui reconnaît.

La version acceptée est conservée ou rendue téléchargeable. Si l'Utilisateur refuse les conditions, il ne doit pas utiliser le Service.

4. Accès au Service

4.1 Compte de la Personne professionnelle

La connexion s'effectue au moyen d'un code temporaire envoyé à l'adresse e-mail déclarée. Vérifier ce code lors d'une première connexion crée le compte et la Structure. L'adresse e-mail doit appartenir à la Personne professionnelle ou être placée sous son contrôle.

La Personne professionnelle protège l'accès à sa boîte e-mail et à son téléphone, ne communique pas ses codes ou jetons et informe sans délai l'Éditeur de tout accès suspect. Elle maintient ses informations exactes et désactive l'accès d'un membre qui n'est plus autorisé.

4.2 Accès des Familles

L'accès famille est remis par la Personne professionnelle sous forme d'un QR code ou d'un code court, à usage unique et de durée limitée. Son échange crée une session révocable sur l'appareil du membre de la Famille. L'accès est limité au foyer concerné et ne doit pas être transféré à un tiers.

La Personne professionnelle choisit les personnes auxquelles elle remet un accès et les informations qu'elle saisit dans Zoey. Le Service assure techniquement que chaque session famille n'affiche que les informations rattachées au foyer concerné ; l'Éditeur ne choisit pas les destinataires à la place de la Personne professionnelle.

La Personne professionnelle peut révoquer toutes les sessions d'un foyer. Un membre de la Famille peut se déconnecter de son appareil. En cas de perte, de changement d'appareil ou de doute, il demande un nouvel accès à la Personne professionnelle.

5. Fonctions et limites du Service

Zoey permet notamment à la Personne professionnelle :

• de préparer des menus, activités, sorties et rappels ;
• de tenir un journal quotidien par enfant, notamment pour les repas, biberons, changes, siestes, notes et demandes ;
• de gérer les profils d'enfants, leurs jours de présence, préférences et allergènes ;
• de travailler hors connexion puis de synchroniser les données lorsque le réseau revient ;
• de mettre à disposition de chaque foyer, en lecture, le menu, les activités et le journal qui le concernent.

Les fonctions effectivement disponibles dépendent de la version installée et du périmètre annoncé dans l'application. La photographie d'enfants, la gestion de médicaments, le conseil médical, la facturation et les formalités administratives ne font pas partie de la version couverte par les présentes conditions.

Les suggestions de repas et alertes d'allergènes sont des aides à l'organisation. Elles ne remplacent ni la vérification de la Personne professionnelle, ni les consignes des responsables légaux, ni l'avis d'un professionnel de santé. Zoey n'est pas un dispositif médical et ne doit pas servir à gérer une urgence.

6. Obligations des Utilisateurs

Chaque Utilisateur s'engage à :

• utiliser Zoey conformément à la loi, aux présentes conditions et à sa finalité professionnelle ou familiale ;
• ne pas tenter d'accéder aux données d'une autre Structure ou d'un autre foyer ;
• ne pas contourner les mesures de sécurité, perturber le Service, introduire un programme malveillant ou effectuer des tests d'intrusion sans accord écrit ;
• ne pas utiliser le Service pour publier un contenu illicite, injurieux, discriminatoire ou portant atteinte aux droits d'un tiers ;
• signaler rapidement toute erreur d'accès, perte d'appareil ou suspicion de compromission.

La Personne professionnelle s'engage en outre à :

• informer les responsables légaux de l'utilisation de Zoey et de l'hébergement des données ;
• disposer d'une base juridique valable pour les données saisies et d'une condition autorisant le traitement des données de santé ;
• ne collecter que les informations pertinentes et tenir les données à jour ;
• remettre l'accès famille à une personne qu'elle a identifiée et le révoquer à la fin de l'accueil ;
• répondre aux demandes d'exercice de droits des enfants, des responsables légaux et des contacts du foyer ;
• effectuer les vérifications professionnelles nécessaires, en particulier avant de servir un aliment.

7. Données et contenus

La Personne professionnelle et la Structure conservent leurs droits sur les contenus qu'elles saisissent. Elles accordent à l'Éditeur une autorisation limitée d'héberger, reproduire techniquement, synchroniser, sauvegarder et afficher ces contenus uniquement pour fournir, sécuriser et maintenir Zoey conformément aux présentes conditions et à l'annexe RGPD.

Pour les Données confiées, l'Éditeur ne détermine ni les informations saisies, ni leur exactitude, leur pertinence ou l'opportunité de les communiquer à une Famille. Il ne sélectionne, ne valide et ne modère pas les contenus partagés. Il fournit les moyens techniques de stockage, de synchronisation, de cloisonnement et d'affichage selon les actions et instructions de la Structure. Cette répartition ne limite pas les obligations propres de l'Éditeur en matière de sécurité, de confidentialité et de respect des instructions documentées.

L'Éditeur ne vend pas les Données confiées, ne les utilise pas pour entraîner un modèle d'intelligence artificielle et ne les exploite pas à des fins publicitaires.

La politique de confidentialité décrit les données traitées, leurs destinataires, leurs durées de conservation et les droits des personnes.

8. Disponibilité, maintenance et sauvegarde

L'Éditeur met en œuvre des moyens raisonnables pour assurer la disponibilité, la sécurité et la sauvegarde du Service. Des interruptions peuvent toutefois intervenir pour maintenance, mise à jour, incident de sécurité, défaillance d'un fournisseur ou cause extérieure.

Pour assurer la maintenance et suivre le bon fonctionnement de la plateforme, l'Éditeur recueille des mesures et journaux strictement techniques, sans identité directement lisible ni contenu saisi dans le carnet. Ces éléments sont anonymisés lorsque des mesures agrégées suffisent ou, lorsqu'une corrélation temporaire est nécessaire au diagnostic d'un incident, pseudonymisés au moyen d'identifiants techniques opaques. Les catégories concernées, les finalités et les durées de conservation sont détaillées dans la politique de confidentialité.

L'application est conçue pour permettre la saisie hors connexion. Une donnée enregistrée sur le téléphone n'est sauvegardée sur le serveur qu'après une synchronisation réussie. La Personne professionnelle consulte le voyant de sauvegarde et relance la synchronisation lorsqu'il signale une attente ou un blocage. Elle conserve son appareil protégé jusqu'à confirmation de la sauvegarde.

L'Éditeur peut suspendre immédiatement un accès lorsque cela est nécessaire pour protéger les données, prévenir un abus, respecter une obligation légale ou remédier à une violation des présentes conditions. Il informe l'Utilisateur lorsque la loi et la sécurité le permettent.

9. Propriété intellectuelle

L'Éditeur accorde à l'Utilisateur, pour la durée de son accès, un droit personnel, limité, non exclusif, non cessible et révocable d'utiliser Zoey conformément aux présentes conditions. Aucun droit de propriété sur le logiciel, la dénomination « Zoey », l'identité visuelle, les bases de référence ou la documentation n'est transféré.

Il est notamment interdit de copier, distribuer, vendre, louer, désassembler ou tenter d'extraire le code source, sauf droit impératif contraire ou autorisation écrite préalable.

10. Responsabilité

Chaque partie répond des dommages directs et prévisibles causés par ses manquements. Aucune stipulation n'exclut ou ne limite une responsabilité qui ne peut légalement l'être, notamment en cas de faute lourde ou dolosive, d'atteinte à l'intégrité physique, de violation des droits de propriété intellectuelle ou de manquement aux obligations de protection des données.

La Personne professionnelle reste seule responsable de ses décisions professionnelles, de la qualité et de la licéité des données saisies, de l'identification des personnes auxquelles elle remet un accès et de l'application des consignes relatives aux enfants. Elle ne doit pas se fier exclusivement à une suggestion, une alerte ou une information affichée par Zoey lorsqu'une vérification humaine est nécessaire.

Sous réserve des responsabilités qui lui incombent légalement, l'Éditeur n'est pas responsable de l'exactitude, de l'exhaustivité, de la pertinence ou de la licéité des contenus saisis par la Personne professionnelle, ni des conséquences de leur communication aux personnes auxquelles elle a remis un accès. Cette exclusion ne s'applique pas lorsqu'un dommage résulte d'un manquement de l'Éditeur à ses propres obligations, notamment de sécurité, de cloisonnement ou de traitement sur instruction.

L'Éditeur n'est pas responsable d'une indisponibilité ou d'une perte provenant d'un appareil compromis, d'identifiants communiqués, d'une absence prolongée de synchronisation, d'un réseau tiers, d'un usage contraire aux instructions ou d'un événement de force majeure, sauf si son propre manquement a contribué au dommage.

11. Durée, cessation et sort des données

Les présentes conditions s'appliquent pendant toute la durée d'utilisation du Service. L'Utilisateur peut cesser de l'utiliser et demander la clôture du compte à contact@zoey.fr. L'Éditeur peut résilier l'accès en cas de manquement grave non corrigé après mise en demeure raisonnable, ou immédiatement si la sécurité des personnes ou des données l'exige.

Avant la clôture, la Personne professionnelle peut demander un export des données. À sa demande, ou à défaut d'instruction après la fin du Service, les Données confiées sont supprimées de la base active selon la procédure décrite dans la politique de confidentialité. Les obligations qui doivent survivre par nature, notamment confidentialité, preuve, propriété intellectuelle, responsabilité et protection des données, restent applicables.

12. Modification des conditions

L'Éditeur peut modifier les présentes conditions pour tenir compte d'une évolution du Service, de la sécurité ou de la réglementation. Une modification substantielle est annoncée au moins trente jours avant son entrée en vigueur, sauf urgence légale ou de sécurité. Lorsque la modification exige un nouvel accord, le Service demande une nouvelle acceptation.

Une modification de l'annexe de sous-traitance ne peut diminuer le niveau de protection exigé par l'article 28 du RGPD.

13. Droit applicable et règlement des différends

Les présentes conditions sont régies par le droit français. En cas de difficulté, les parties recherchent d'abord une solution amiable en écrivant à contact@zoey.fr.

Pour un litige entre professionnels, à défaut d'accord amiable dans un délai raisonnable, les tribunaux compétents du ressort de Lyon sont seuls compétents, y compris en cas de pluralité de défendeurs ou d'appel en garantie. Cette stipulation ne s'applique pas lorsqu'une règle impérative désigne une autre juridiction, notamment pour une personne agissant comme consommateur.

Annexe — Accord de sous-traitance des données personnelles

Cette annexe fait partie intégrante des CGU. Elle lie la Structure, responsable du traitement, et JCT Software Consulting, sous-traitant, dès l'acceptation des CGU par une personne habilitée. En cas de contradiction sur la protection des Données confiées, cette annexe prévaut.

A.1 Objet, durée, nature et finalités

A.2 Instructions documentées

JCT Software Consulting traite les Données confiées uniquement sur instruction documentée de la Structure. Constituent de telles instructions : les présentes conditions, les actions effectuées dans l'interface par les personnes habilitées et les demandes écrites compatibles avec le Service adressées au contact de l'Éditeur.

Si une instruction paraît contraire au RGPD ou à une autre règle applicable, l'Éditeur en informe sans délai la Structure et peut suspendre son exécution jusqu'à clarification. Si le droit impose un traitement ou un transfert, l'Éditeur informe préalablement la Structure, sauf interdiction légale motivée par un intérêt public important.

A.3 Confidentialité

L'Éditeur veille à ce que les personnes autorisées à traiter les Données confiées soient soumises à une obligation de confidentialité, formées aux règles applicables et n'accèdent aux données que dans la mesure nécessaire à leur mission. Aucun accès courant au contenu des carnets n'est mis à disposition de l'Éditeur.

A.4 Sécurité

Compte tenu de l'état de l'art, des coûts, de la nature des données et des risques, l'Éditeur met notamment en œuvre :

• le chiffrement des communications et les mécanismes de chiffrement des services Azure ;
• un cloisonnement logique par Structure et, pour l'espace famille, par foyer ;
• une authentification sans mot de passe avec codes courts, limites d'essais, jetons aléatoires, hachage et rotation ;
• des sessions famille révocables, des liens de remise temporaires et à usage unique et des cookies sécurisés ;
• une gestion restrictive des droits techniques, des identités de service et des secrets ;
• des journaux et mesures techniques qui excluent les prénoms, notes, contenus de carnet et autres textes libres ;
• des sauvegardes, une restauration dans le temps, des contrôles de santé et une surveillance des synchronisations bloquées ;
• des tests du cloisonnement, du protocole de synchronisation et des opérations de suppression.

Les mesures sont réévaluées selon l'évolution des risques. L'Éditeur peut les remplacer par des mesures procurant un niveau de sécurité au moins équivalent.

A.5 Sous-traitants ultérieurs

La Structure donne une autorisation générale au recours aux sous-traitants ultérieurs nécessaires au Service. La liste à jour figure dans la politique de confidentialité. Pour les Données confiées, le sous-traitant ultérieur principal est Microsoft Ireland Operations Limited, qui fournit les services Azure d'hébergement, de base de données, de stockage, de messagerie technique et de supervision.

L'Éditeur informe la Structure au moins trente jours avant l'ajout ou le remplacement d'un sous-traitant susceptible de traiter les Données confiées. La Structure peut présenter une objection motivée par la protection des données pendant ce délai. Les parties recherchent une solution raisonnable ; à défaut, la Structure peut résilier la partie affectée du Service.

L'Éditeur impose au sous-traitant ultérieur des obligations de protection au moins équivalentes à celles de la présente annexe et reste responsable envers la Structure de leur exécution.

A.6 Localisation et transferts

Les ressources qui contiennent les Données confiées sont configurées en France Central. Tout transfert hors de l'Espace économique européen ne peut intervenir que sur instruction de la Structure ou dans le cadre des garanties prévues par le droit applicable, notamment une décision d'adéquation ou les clauses contractuelles types de la Commission européenne, complétées si nécessaire par des mesures additionnelles.

A.7 Assistance à la Structure

Compte tenu de la nature du traitement et des informations disponibles, l'Éditeur assiste la Structure pour :

• répondre aux demandes d'accès, rectification, effacement, limitation, opposition et portabilité ;
• assurer la sécurité du traitement et documenter les violations de données ;
• réaliser, lorsque nécessaire, une analyse d'impact et consulter l'autorité de contrôle ;
• exporter et supprimer les données à la fin de l'accueil d'un enfant ou à la fin du Service.

Si une personne concernée contacte directement l'Éditeur au sujet des Données confiées, l'Éditeur transmet la demande à la Structure et ne répond sur le fond que sur instruction, sauf obligation légale contraire.

A.8 Violations de données

L'Éditeur notifie à la Structure toute violation de Données confiées dans les meilleurs délais après en avoir pris connaissance. La notification décrit, dans la mesure où les informations sont disponibles, la nature de la violation, les catégories de données et de personnes concernées, ses conséquences probables, les mesures prises ou proposées et un point de contact. Des informations complémentaires peuvent être communiquées par étapes.

La Structure décide des notifications à la CNIL et aux personnes concernées lorsqu'elle agit comme responsable du traitement. L'Éditeur lui fournit les informations et l'assistance raisonnablement nécessaires.

A.9 Sort des données

Au choix de la Structure, formulé avant ou lors de la fin du Service, l'Éditeur restitue les Données confiées dans un format structuré couramment lisible puis les supprime, ou les supprime directement. Les suppressions se propagent aux appareils et sont purgées de la base active dans un délai maximal de 90 jours. Les copies de sauvegarde sont isolées, ne sont pas remises en production sauf incident et disparaissent par rotation dans le délai indiqué par la politique de confidentialité.

L'Éditeur peut conserver les données dont la loi impose la conservation, uniquement pendant la durée et pour la finalité exigées, avec un accès restreint.

A.10 Informations et audits

L'Éditeur met à disposition de la Structure les informations raisonnablement nécessaires pour démontrer le respect de la présente annexe et de l'article 28 du RGPD. La Structure peut réaliser, une fois par an sauf incident ou demande d'une autorité, un audit elle-même ou par un auditeur indépendant non concurrent, sous réserve d'un préavis raisonnable, de la confidentialité, de la sécurité des autres clients et d'une perturbation minimale du Service.

L'audit est à la charge de la Structure, sauf s'il révèle un manquement significatif de l'Éditeur. Les rapports ou certifications de tiers disponibles sont examinés en priorité afin d'éviter un audit redondant.

A.11 Obligations de la Structure

La Structure s'engage à :

• respecter le RGPD, la loi Informatique et Libertés et les règles propres à son activité ;
• documenter les finalités, bases juridiques et, pour les données de santé, l'exception applicable au titre de l'article 9 du RGPD ;
• informer les personnes concernées de manière claire et au moment approprié ;
• ne confier que des données adéquates, pertinentes et limitées au nécessaire ;
• gérer les habilitations, les remises d'accès famille et les révocations ;
• documenter toute instruction complémentaire et superviser le traitement ;
• réaliser l'analyse d'impact requise lorsque le traitement envisagé est susceptible d'engendrer un risque élevé.

A.12 Contact protection des données

Les demandes relatives à la présente annexe sont adressées à contact@zoey.fr ou au siège de JCT Software Consulting. Cette adresse constitue le point de contact dédié à la protection des données.