Conditions d'utilisation et accord de sous-traitance
Ces textes régissent l'utilisation de SynCal par l'hôte, et le traitement des données de ses invités par ZRS pour son compte. Ils sont acceptés par une case à cocher dans le formulaire de création de compte ou de demande d'accès.
Version du 12 octobre 2026
Conditions d'utilisation
1. Éditeur
ZRS-Holding Sàrl, Le Chenit (Vaud), Suisse, contact@zrs-holding.com (« ZRS »).
2. Objet
Ces conditions régissent l'utilisation de SynCal, la page de réservation de rendez-vous éditée par ZRS (app.syncal.ch), par l'hôte, c'est-à-dire la personne ou l'entreprise qui ouvre un compte pour proposer des rendez-vous. Elles s'appliquent dès que l'hôte coche la case d'acceptation du formulaire de création de compte ou de demande d'accès.
3. Accès au service
L'hôte crée son compte lui-même, avec son e-mail et un mot de passe, ou se connecte avec son compte Infomaniak (option). Une demande d'accès reste possible pour être accompagné : ZRS l'examine et peut la refuser.
4. Offres et prix
Gratuit : 0 CHF, pour une personne, un type de rendez-vous, un agenda relié et 30 réservations confirmées par mois, avec la mention « avec SynCal » sur la page. Pro : 12 CHF HT par utilisateur et par mois, ou 120 CHF HT par an. Équipe : 19 CHF HT par utilisateur et par mois, ou 190 CHF HT par an, minimum 2 utilisateurs. Deux mois offerts en formule annuelle. Essai Pro de 14 jours sans carte de paiement : il démarre à la création du compte, puis retour automatique au plan Gratuit, sans prélèvement.
5. Passage à Pro ou Équipe
Il n'y a pas de paiement en ligne. L'hôte demande le passage depuis son espace, et ZRS active l'offre manuellement.
6. Facturation
Les factures sont payables à 30 jours net dès leur réception. À défaut, un intérêt moratoire de 5 % l'an peut être appliqué.
7. Résiliation
Plans mensuels : résiliation moyennant un préavis de 30 jours avant la prochaine échéance. Plans annuels : la résiliation prend effet à la fin de la période souscrite, sous réserve d'un préavis de 60 jours, sans remboursement au prorata. Le plan Gratuit peut être abandonné à tout moment ; la suppression du compte se demande à contact@zrs-holding.com.
8. Obligations de l'hôte
L'hôte utilise SynCal conformément au droit suisse. Il est responsable du contenu qu'il saisit (types de rendez-vous, questions, message d'accueil) et informe ses invités du traitement de leurs données, dont il est responsable (voir l'accord de sous-traitance ci-dessous).
9. Disponibilité
SynCal est fourni « tel quel », dans la limite des lois en vigueur. ZRS ne garantit aucune disponibilité chiffrée.
10. Propriété intellectuelle
L'ensemble du code, des marques, des logos et de la documentation est la propriété exclusive de ZRS-Holding Sàrl. Aucune cession ou licence n'est octroyée au-delà du strict usage du service.
11. Responsabilité
La responsabilité de ZRS est limitée au montant total facturé à l'hôte sur les douze derniers mois. ZRS ne répond pas des dommages indirects, des pertes de données ni des interruptions de service, sauf en cas de faute grave ou intentionnelle.
12. Données de l'hôte
L'hôte conserve la propriété de ses données et de celles de ses invités qu'il traite. Elles sont exportables via les fonctions prévues (export iCal et CSV, selon l'offre).
13. Droit applicable et for
Droit suisse. Tout litige relève de la compétence exclusive du Tribunal cantonal de Vaud.
14. Langue et version
Le français est la langue de référence ; en cas de divergence entre traductions, la version française prévaut. La version acceptée et la date de l'acceptation sont enregistrées.
Accord de sous-traitance (art. 9 nLPD)
Cet accord complète les conditions ci-dessus. Il est conclu entre l'hôte, responsable du traitement, et ZRS-Holding Sàrl, sous-traitant, au sens de l'article 9 de la loi fédérale sur la protection des données (nLPD).
1. Rôles
L'hôte est responsable du traitement des données personnelles de ses invités. ZRS est sous-traitant : elle héberge ces données et les traite pour le compte de l'hôte, avec SynCal.
2. Objet, finalité et durée
Proposer des créneaux, enregistrer et confirmer les rendez-vous, envoyer les rappels et les annulations. L'accord dure aussi longtemps que l'hôte utilise SynCal.
3. Données et personnes concernées
Invités : nom, adresse e-mail, téléphone, entreprise, message, réponses aux questions de l'hôte, langue de la page, créneau choisi, lien de visioconférence, jeton d'annulation, dates de création, d'annulation et de confirmation de venue. Hôte : Nom et adresse e-mail du compte, langue, nom de l'organisation, adresse de sa page, titre, couleur, logo et mot d'accueil s'il les a posés ; version des conditions acceptées avec la date et l'heure ; dates de création du compte et de confirmation de l'adresse. Deux modes de connexion : par e-mail et mot de passe (le mot de passe n'est jamais stocké, seul un hachage l'est), ou par le compte Infomaniak (OIDC : SynCal ne voit jamais le mot de passe Infomaniak). Les accès à son agenda (mot de passe d'application CalDAV ou adresse iCal privée) sont stockés chiffrés.
4. Instructions
ZRS traite les données uniquement selon les instructions de l'hôte, c'est-à-dire pour faire fonctionner SynCal tel que décrit ici. Elle n'effectue que des traitements que l'hôte serait en droit d'effectuer lui-même. Aucune revente, aucune publicité.
5. Confidentialité
ZRS tient les données confidentielles et n'y donne accès qu'aux personnes qui en ont besoin pour faire fonctionner SynCal.
6. Sécurité
ZRS prend les mesures techniques et organisationnelles décrites dans l'annexe pour éviter toute violation de la sécurité des données (art. 8 nLPD).
7. Sous-traitant ultérieur
L'hôte autorise Infomaniak Network SA, Genève, Suisse, à intervenir comme sous-traitant ultérieur de ZRS : hébergement, e-mail, visioconférence kMeet, agenda et sauvegardes (Swiss Backup). ZRS n'en ajoute aucun autre sans l'autorisation préalable de l'hôte (art. 9 al. 3 nLPD).
8. Communication à l'étranger
Aucune par défaut. Si l'hôte choisit de faire lire un agenda Google ou Microsoft par adresse iCal, c'est son choix et sa responsabilité : Google et Microsoft ne sont pas des sous-traitants de ZRS.
9. Droits des personnes
ZRS aide l'hôte à répondre aux demandes d'accès, de rectification et de suppression. Une personne qui écrit à contact@zrs-holding.com reçoit une réponse sous trente jours ; elle peut aussi s'adresser à l'hôte.
10. Violation de la sécurité des données
ZRS annonce à l'hôte toute violation de la sécurité des données au plus tard 72 heures après l'avoir constatée (art. 24 al. 3 nLPD : dans les meilleurs délais). La personne à joindre côté ZRS est joignable par contact@zrs-holding.com. L'annonce au Préposé fédéral à la protection des données et à la transparence relève de l'hôte, lorsque la violation est susceptible d'entraîner un risque élevé pour les personnes (art. 24 al. 1 nLPD).
11. Conservation et suppression
Rendez-vous et données des invités : supprimés automatiquement douze mois après la fin du rendez-vous, quel que soit son statut. Demandes d'accès refusées : supprimées douze mois après le refus. À la fin du contrat, l'hôte peut demander la suppression de ses données en écrivant à contact@zrs-holding.com, et exporter ses rendez-vous avant (export iCal et CSV, selon l'offre). Un hôte peut supprimer son compte lui-même (Compte, en bas de page) : cela efface ses types, ses rendez-vous, les données de ses invités, ses jetons, son agenda relié et son logo ; les invités à venir sont prévenus.
12. Information et contrôle
Sur demande écrite, ZRS fournit à l'hôte les informations nécessaires pour vérifier le respect de cet accord.
13. Droit applicable et for
Droit suisse. Tout litige relève de la compétence exclusive du Tribunal cantonal de Vaud.
Annexe : mesures de sécurité (état au 12 octobre 2026)
Mesures réellement en place, relevées par l'équipe SynCal. Les limites connues sont indiquées.
Hébergement
Serveur à Genève, chez Infomaniak. Ce serveur héberge aussi d'autres produits ZRS.
Chiffrement en transit
Tout passe en HTTPS ; le HTTP est redirigé ; HSTS d'un an ; le serveur n'accepte que TLS 1.2 et 1.3 (configuration).
Chiffrement au repos
Les identifiants d'agenda (mot de passe d'application CalDAV, adresse iCal privée) et les données des invités (nom, e-mail, téléphone, entreprise, message, réponses aux questions, ainsi que le nom et l'e-mail de la liste d'attente) sont chiffrés par l'application (AES-256-GCM), la clé étant hors base, dans la configuration du serveur, et sauvegardée chiffrée hors site. Cela protège contre la lecture d'une copie de la base ; cela ne protège pas contre une personne qui contrôlerait le serveur de l'application. Les noms et adresses e-mail des hôtes et les dates des rendez-vous restent lisibles. Le chiffrement du disque n'a pas été relevé.
Contrôle d'accès
Base PostgreSQL joignable uniquement en local, avec un rôle applicatif dédié. Accès au serveur par clé SSH uniquement (mot de passe désactivé), avec un compte d'administration. Les connexions SSH sont journalisées ; les lectures de la base ne le sont pas. Pare-feu local actif : entrée refusée par défaut, seuls SSH et le web (ports 80 et 443) sont ouverts.
Authentification des hôtes
Connexion par e-mail et mot de passe, ou par le compte Infomaniak (OIDC : SynCal ne voit jamais le mot de passe Infomaniak). Pour un compte e-mail et mot de passe : au moins 12 caractères, mots de passe triviaux refusés, mot de passe jamais stocké (hachage scrypt avec sel aléatoire par mot de passe) ; adresse confirmée par un lien à usage unique valable 24 heures ; mot de passe oublié par un lien à usage unique valable 1 heure ; verrouillage de 15 minutes après 5 échecs de suite et limitation des tentatives par adresse IP ; réponses identiques que l'adresse existe ou non. La double authentification n'est pas disponible pour ces comptes aujourd'hui ; pour la connexion Infomaniak, elle dépend du compte Infomaniak de l'hôte.
Séparation entre hôtes
Chaque requête de l'espace hôte est filtrée sur l'hôte connecté. Cela est couvert par des tests automatiques et a été revu lors de l'audit de sécurité interne de ZRS du 16 septembre 2026. Il n'y a pas eu d'audit externe.
Accès à l'agenda et minimisation
Lecture de l'agenda : périodes libres ou occupées seulement, sans titre, participant ni détail. Le fuseau horaire et l'adresse IP de l'invité ne sont pas enregistrés.
Cookies
Aucun cookie posé aux invités, aucun outil de mesure d'audience. Un cookie de session technique est posé à la connexion d'un hôte.
Sauvegardes
Sauvegarde quotidienne de la base chez Infomaniak (Swiss Backup), avec contrôle quotidien et alerte. Une restauration a été éprouvée le 12 septembre 2026.
Journaux
Erreurs et envois d'e-mail (code et domaine) sans contenu de message ; journaux d'accès du serveur conservés 14 jours.
Suppression automatique
Passage quotidien qui supprime les données arrivées au terme de leur durée de conservation, avec un journal qui ne contient que des nombres.