Politique de confidentialité et protection des données personnelles

En bref

La Vie de Château (« LVC ») édite une plateforme SaaS destinée aux professionnels de la restauration, de l’hôtellerie et de l’hospitalité. La plateforme permet notamment la gestion des réservations, des clients, des plans de salle, des garanties de réservation, des statistiques et, lorsque le client final l’active, d’un Profil Réseau LVC utilisable dans les établissements membres.

Responsable de traitement et coordonnées

Pour les traitements décrits dans la présente politique pour lesquels LVC détermine les finalités et les moyens essentiels, le responsable de traitement est :

• La Vie de Château, exploitée par Enzo Tabonnet, entrepreneur individuel ;
• SIREN : 933 650 020 ; SIRET : 933 650 020 00045 ;
• Adresse : 55 Impasse des Dominicains, 84250 Le Thor, France ;
• Site : laviedechateauu.com ;
• Contact protection des données : laviedechateau.fr@gmail.com.

Pour les données traitées exclusivement pour le compte d’un établissement professionnel, l’établissement concerné peut agir en qualité de responsable de traitement et LVC en qualité de sous-traitant. Ces traitements sont encadrés par le DPA / Accord de traitement des données personnelles LVC.

La qualification juridique réelle dépend toujours du traitement effectivement mis en œuvre. Si une opération devait être qualifiée de responsabilité conjointe, LVC et l’établissement concerné organiseront leurs obligations conformément à l’article 26 du RGPD et mettront à disposition l’essentiel de cet accord lorsque la loi l’exige.

Personnes concernées et champ d’application

La présente politique s’applique notamment aux catégories de personnes suivantes :

• visiteurs du site LVC et personnes utilisant les formulaires de contact ou de démonstration ;
• dirigeants, salariés, réceptionnistes, managers et autres utilisateurs professionnels d’un établissement abonné ;
• clients finaux effectuant une demande ou une réservation via LVC, un widget LVC ou un établissement membre ;
• titulaires d’un Espace Client ou d’un Profil Réseau LVC ;
• personnes qui contactent le support, exercent un droit RGPD ou communiquent avec LVC ;
• prospects et contacts professionnels de LVC.

Mineurs - Le Profil Réseau LVC n’est pas conçu pour être activé pour une personne dont LVC sait qu’elle est mineure. LVC peut demander une confirmation d’âge ou désactiver un Profil Réseau lorsqu’un doute sérieux existe. Les mineurs peuvent être mentionnés comme convives dans une réservation dans la stricte mesure nécessaire à l’organisation du service, sans création automatique d’un profil réseau personnel.

Principes de protection des données

LVC applique les principes de licéité, loyauté, transparence, limitation des finalités, minimisation, exactitude, limitation de la conservation, intégrité, confidentialité et responsabilité (« accountability »). Concrètement, LVC vise notamment à :

• ne collecter que les données utiles à des finalités identifiées ;
• séparer les données locales d’un établissement des données Réseau ;
• limiter l’accès aux informations selon le rôle, le contexte de réservation et le besoin opérationnel ;
• documenter les consentements et leur retrait ;
• mettre en œuvre des mesures de sécurité adaptées au risque ;
• permettre l’exercice effectif des droits des personnes ;
• réévaluer la conformité lorsque le produit, l’architecture ou les finalités évoluent.

Catégories de données susceptibles d’être traitées

4.1 Données exclues du Réseau par défaut

Les catégories particulières de données au sens de l’article 9 du RGPD ne doivent pas être mutualisées dans le Profil Réseau ni utilisées pour le score par défaut. Cela inclut notamment les données de santé, allergies médicales, handicaps, données biométriques d’identification, opinions politiques, convictions religieuses, orientation sexuelle et autres informations sensibles. Si une donnée de ce type est nécessaire à un établissement pour fournir un service demandé, elle doit rester dans un cadre local et faire l’objet d’une base juridique et de protections adaptées.

Les notes libres internes, appréciations subjectives et commentaires opérationnels saisis par les équipes d’un établissement ne sont pas intégrés au Réseau LVC par défaut. LVC peut techniquement empêcher leur diffusion inter-établissements et contractuellement interdire leur extraction vers le réseau.

Origine des données

LVC peut recevoir des données :

• directement de la personne concernée lors d’une réservation, création de compte, activation du Réseau, demande de démonstration ou échange avec LVC ;
• d’un établissement membre lorsque celui-ci enregistre ou met à jour une réservation ou un événement client dans LVC ;
• d’une intégration autorisée par l’établissement, par exemple un système de réservation, outil de paiement, API ou autre logiciel ;
• des systèmes techniques de LVC lors de l’utilisation du site ou de la plateforme ;
• de calculs réalisés par LVC à partir de données sources licites, tels que fréquence, dépense moyenne, taux d’honoration ou score de fiabilité.

Lorsque les données n’ont pas été collectées directement auprès de la personne, LVC fournit les informations requises par l’article 14 du RGPD dans les conditions et délais applicables, sauf exception prévue par la réglementation.

Finalités et bases juridiques

La base juridique varie selon la finalité. Le tableau ci-dessous présente le cadre de référence de LVC ; la configuration réelle d’une fonctionnalité peut conduire à préciser ou modifier la base retenue avant sa mise en production.

Profil Réseau LVC - fonctionnement et consentement

Le Profil Réseau LVC constitue un service distinct de la simple conservation locale d’une réservation. Il vise à permettre une continuité d’expérience et de confiance entre établissements membres lorsque le client final choisit d’activer cette fonctionnalité.

7.1 Conditions d’activation

• le choix Réseau doit être présenté de manière distincte des CGU générales et des consentements marketing ;
• aucune case ne doit être précochée ;
• le client doit recevoir, avant l’activation, une information claire sur les finalités, les catégories de données, les destinataires, le score et le droit de retrait ;
• LVC doit conserver la preuve de la version du consentement et de l’information présentée ;
• l’activation ne doit pas être rendue obligatoire pour une réservation locale qui peut raisonnablement être fournie sans le partage réseau.

Protection de la preuve - LVC peut conserver un registre technique du consentement comprenant l’identifiant de la personne, la date et l’heure, le canal, la version du texte, la version de la politique, les finalités acceptées, le statut, le retrait éventuel et les traces nécessaires pour démontrer la conformité. Ce registre est distinct de l’exploitation commerciale du profil.

7.2 Données pouvant alimenter le Profil Réseau

• identité et coordonnées nécessaires à l’identification du client ;
• établissements membres fréquentés ou sollicités ;
• historique pertinent de réservation et de présence ;
• réservations honorées, annulations, annulations tardives et no-shows ;
• fréquence, ancienneté et régularité ;
• indicateurs de dépense, dont la dépense moyenne, lorsqu’ils sont transmis licitement ;
• préférences non sensibles utiles à l’accueil ;
• statuts, badges, fidélité et indicateurs de valeur ;
• score ou niveau de fiabilité et autres indicateurs dérivés.

7.3 Accès des établissements membres

L’activation du Profil Réseau n’accorde pas à tous les établissements un droit illimité de parcourir la base LVC. LVC peut conditionner l’affichage à un contexte légitime, par exemple une réservation, une demande de réservation, une venue, un client déjà identifié ou une action initiée par la personne concernée. Les accès peuvent être limités selon le rôle utilisateur, l’offre souscrite, le contexte, le niveau d’authentification et les règles de minimisation.

Les établissements reçoivent un droit d’accès fonctionnel et révocable aux informations Réseau nécessaires à l’utilisation normale du service. Ils n’acquièrent aucun droit de propriété sur la base Réseau LVC et ne peuvent pas aspirer, revendre, louer, publier, enrichir massivement ou reconstituer une base concurrente à partir des données Réseau.

7.4 Retrait du consentement Réseau

Le client peut retirer son consentement à tout moment depuis son Espace Client lorsqu’une commande dédiée est disponible ou, à défaut, en écrivant à laviedechateau.fr@gmail.com. Le retrait doit être aussi simple que l’activation. Il n’affecte pas la licéité des traitements effectués avant sa prise en compte.

Après retrait, LVC désactive le partage futur sans délai injustifié et procède à la suppression ou à l’anonymisation des données du Profil Réseau devenues sans base juridique, en principe dans un délai opérationnel maximal de trente (30) jours, sous réserve des données devant être conservées séparément pour satisfaire une obligation légale, établir la preuve d’un consentement ou d’un retrait, assurer la sécurité, prévenir la fraude ou défendre un droit en justice.

Le retrait du Profil Réseau n’oblige pas un établissement à supprimer les données de réservation qu’il traite légalement pour ses propres finalités indépendantes. En revanche, l’établissement perd l’accès futur aux enrichissements Réseau qui dépendaient du consentement retiré.

Score de fiabilité, profilage et aide à la décision

LVC peut produire un score, un niveau de fiabilité ou des indicateurs dérivés à partir d’éléments tels que les réservations honorées, no-shows, annulations tardives, ancienneté, fréquence, cohérence des événements et incidents liés aux garanties de réservation. Les données sensibles sont exclues du score par défaut.

Le score est conçu comme une aide à la décision destinée aux professionnels. Sauf mécanisme distinct ayant fait l’objet d’une validation juridique et d’une information adaptée, LVC ne conçoit pas le score comme l’unique fondement d’une décision entièrement automatisée produisant un effet juridique ou affectant significativement la personne. L’établissement doit conserver une intervention humaine réelle et pouvoir tenir compte du contexte.

LVC peut expliquer les principales catégories de facteurs qui influencent le score, la finalité du profilage et les conséquences attendues pour la personne, sans divulguer le code source, les seuils de sécurité, les mécanismes antifraude détaillés, les pondérations confidentielles ou toute information dont la divulgation permettrait de manipuler le système. Les droits RGPD de la personne restent pleinement applicables aux données personnelles associées au score.

Une personne peut contester un événement factuellement erroné utilisé par le score. LVC peut demander à l’établissement à l’origine de l’événement de le vérifier, signaler temporairement l’élément comme contesté, limiter son influence lorsque cela est justifié et corriger ou supprimer les données inexactes.

Pas d’utilisation hors hospitalité - Le Réseau et le score LVC ne sont pas destinés à être utilisés pour des décisions de crédit, assurance, emploi, logement, santé, accès à un service public ou toute autre finalité étrangère à l’hospitalité, à la réservation, à l’accueil et à la protection raisonnable contre les abus de réservation.

Données propres aux établissements et notes internes

Chaque établissement peut disposer de données propres à sa relation avec ses clients. Lorsque LVC traite ces données uniquement pour le compte de l’établissement, les instructions de l’établissement et le DPA LVC s’appliquent. Le fait qu’une personne possède un Profil Réseau ne transforme pas automatiquement l’ensemble du CRM local en donnée Réseau.

Les notes internes, commentaires libres, appréciations subjectives et informations spécifiques à l’exploitation d’un établissement restent privées à cet établissement par défaut. Elles ne doivent pas être utilisées pour alimenter le score Réseau et ne sont pas communiquées aux autres membres, sauf mécanisme futur distinct, licite, proportionné et clairement porté à la connaissance de la personne lorsque la loi l’exige.

Réservations, garanties, acomptes et paiements

Lorsqu’un établissement demande un acompte ou une garantie bancaire, les fonds sont destinés à l’établissement selon sa propre politique commerciale. LVC fournit l’interface technique et peut transmettre les informations nécessaires au prestataire de paiement et à l’établissement. LVC ne conserve pas le cryptogramme visuel ni le numéro complet de carte bancaire.

L’établissement demeure responsable de la licéité de ses règles d’annulation, de no-show, de débit, de remboursement et de traitement des contestations avec son client. Les informations relatives à un no-show ou une annulation tardive ne peuvent alimenter le Réseau que dans les conditions de base juridique, information, exactitude et gouvernance prévues par la présente politique.

Démonstrations, prospects et communications commerciales

Les demandes de démonstration et contacts commerciaux peuvent conduire LVC à traiter les coordonnées professionnelles, l’établissement, la fonction, le contenu de la demande et l’historique des échanges. Ces données sont utilisées pour répondre à la demande, organiser une démonstration, préparer une proposition commerciale et assurer un suivi raisonnable.

Le consentement au Profil Réseau est totalement distinct du consentement à recevoir des communications marketing. LVC ne doit pas déduire un accord marketing de l’activation du Réseau. Les personnes peuvent se désinscrire à tout moment des communications de prospection auxquelles elles ont droit de s’opposer.

Site internet, cookies, traceurs et journaux techniques

Le site et la plateforme peuvent utiliser des traceurs strictement nécessaires au fonctionnement, à l’authentification, à la sécurité et à la mémorisation de certains choix. Les traceurs non essentiels, notamment publicitaires ou certains outils de mesure d’audience, ne sont activés qu’après consentement lorsqu’il est requis. Les modalités détaillées sont précisées dans une politique cookies et un gestionnaire de préférences.

Les journaux techniques peuvent enregistrer des adresses IP, dates et heures, identifiants de session, actions d’administration, échecs de connexion, erreurs, événements de sécurité et autres données nécessaires au fonctionnement et à la protection du service. LVC peut utiliser ces traces pour détecter les abus, enquêter sur un incident, prévenir le scraping et démontrer la conformité ou l’intégrité d’une opération.

Destinataires des données

Selon la finalité, les données peuvent être accessibles :

• aux personnes autorisées au sein de LVC, dans la limite de leurs missions ;
• à l’établissement concerné par une réservation ou une relation client ;
• aux établissements membres autorisés lorsqu’un Profil Réseau est activé et que les conditions d’accès sont réunies ;
• aux sous-traitants et prestataires techniques nécessaires au fonctionnement de LVC, dans le cadre prévu par le DPA et la Liste des sous-traitants LVC ;
• aux prestataires de paiement et autres responsables indépendants lorsque leur propre rôle juridique l’exige ;
• aux conseils professionnels, assureurs, auditeurs ou prestataires de sécurité dans la mesure strictement nécessaire ;
• aux autorités, juridictions ou organismes légalement habilités lorsque la loi l’impose ou pour la défense de droits.

LVC n’autorise pas les établissements membres à revendre ou communiquer les Données Réseau à des tiers pour leurs propres finalités indépendantes. L’accès Réseau est lié à la fourniture du service LVC et peut être suspendu en cas d’usage abusif.

Prestataires, sous-traitants et transferts internationaux

LVC peut recourir à des prestataires d’hébergement, base de données, authentification, paiement, communication, cartographie, observabilité, sécurité, support et autres services techniques. La liste opérationnelle des principaux prestataires autorisés est tenue dans le document « Liste des sous-traitants LVC », mis à jour en fonction de l’architecture réelle.

Lorsque des données sont transférées hors de l’Espace économique européen, LVC s’appuie sur un mécanisme reconnu par le RGPD lorsqu’il est nécessaire : décision d’adéquation, clauses contractuelles types de la Commission européenne, mesures supplémentaires ou autre mécanisme valide. LVC privilégie, lorsque raisonnablement possible, les régions d’hébergement et configurations européennes pour les données cœur du service.

Durées de conservation

LVC ne conserve pas les données personnelles indéfiniment. Les durées ci-dessous constituent le cadre de référence ; une durée différente peut s’appliquer lorsqu’un texte l’impose, qu’un contentieux est en cours ou que la finalité nécessite une durée plus courte.

Les durées sont revues périodiquement. Une donnée devenue inutile pour la finalité active doit être supprimée, anonymisée ou, lorsque sa conservation reste justifiée pour une finalité distincte, déplacée vers un archivage intermédiaire à accès restreint.

Vos droits

Selon le traitement et la base juridique, toute personne concernée peut exercer les droits suivants :

• droit d’accès à ses données et à une copie ;
• droit de rectification des données inexactes ou incomplètes ;
• droit à l’effacement lorsque les conditions légales sont réunies ;
• droit à la limitation temporaire du traitement ;
• droit d’opposition aux traitements fondés sur l’intérêt légitime, pour des raisons tenant à la situation particulière, et droit d’opposition absolu à la prospection directe ;
• droit à la portabilité pour les données fournies par la personne et traitées de manière automatisée sur le fondement du consentement ou du contrat ;
• droit de retirer un consentement à tout moment, sans remettre en cause les traitements antérieurs ;
• droits applicables en matière de décision entièrement automatisée lorsqu’un tel mécanisme relève de l’article 22 du RGPD ;
• droit de définir des directives relatives au sort des données après le décès selon le droit français.

Les demandes peuvent être envoyées à laviedechateau.fr@gmail.com. LVC peut demander les informations raisonnablement nécessaires pour confirmer l’identité du demandeur lorsqu’un doute existe, sans exiger de justificatif excessif. LVC répond en principe dans un délai d’un mois à compter de la réception d’une demande complète ; ce délai peut être prolongé conformément au RGPD en cas de complexité ou de nombre élevé de demandes.

Une demande manifestement infondée ou excessive, notamment en raison de son caractère répétitif, peut donner lieu aux mesures prévues par le RGPD. LVC informera alors la personne des motifs de sa décision et des voies de recours disponibles.

Portabilité, export et protection du Réseau LVC

Le droit d’accès ou de portabilité porte sur les données personnelles auxquelles la personne a droit selon le RGPD. Il ne confère pas un droit général d’obtenir le code source, les secrets d’affaires, les méthodes antifraude, les pondérations confidentielles, les informations de sécurité, les données de tiers ou les éléments qui porteraient atteinte aux droits et libertés d’autrui.

Lorsque cela est juridiquement requis, LVC fournit néanmoins les informations personnelles sous une forme intelligible et peut communiquer des informations significatives sur la logique générale du profilage. La protection des secrets d’affaires ne peut pas être utilisée pour vider les droits RGPD de leur substance.

Pour les établissements professionnels, la réversibilité de leurs propres Données Établissement est encadrée séparément par les CGV et le DPA. Un établissement qui quitte LVC ne peut pas exporter les profils, enrichissements, historiques inter-établissements ou données provenant d’autres membres auxquels il n’a aucun droit autonome.

Effacement, fermeture de compte et conséquences sur les établissements

Une demande d’effacement est appréciée selon la nature du traitement et les obligations applicables. LVC peut conserver certaines données si une obligation légale l’impose ou si elles sont strictement nécessaires à l’établissement, l’exercice ou la défense de droits en justice, à la sécurité ou à la prévention de la fraude.

La suppression du Profil Réseau LVC n’entraîne pas automatiquement la suppression des données que chaque restaurant détient licitement dans son propre fichier. Inversement, la suppression d’un dossier local par un restaurant n’entraîne pas nécessairement la disparition du Profil Réseau si LVC dispose encore d’une base juridique valable, par exemple des interactions avec d’autres établissements et un consentement Réseau non retiré.

Exactitude, contestation et intégrité du Réseau

Les données susceptibles d’influencer un score ou une appréciation de fiabilité doivent être exactes, traçables et rattachées à un événement identifiable. LVC peut mettre en place des mécanismes de validation, rapprochement, détection d’anomalies, limitations de fréquence et contrôles antifraude pour prévenir les erreurs ou manipulations.

En cas de contestation crédible, LVC peut demander des éléments à l’établissement ayant déclaré l’événement, indiquer qu’une information est contestée, en limiter temporairement l’utilisation et rectifier ou supprimer l’information lorsqu’elle est inexacte ou injustifiée. Les établissements ne doivent pas utiliser le Réseau pour sanctionner, diffamer ou inscrire arbitrairement un client sur une liste noire.

Sécurité et confidentialité

LVC met en œuvre des mesures techniques et organisationnelles proportionnées aux risques, compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature des données et des finalités. Ces mesures peuvent notamment inclure, selon l’architecture réellement déployée :

• chiffrement des communications et, lorsque pertinent, des données au repos ;
• authentification, gestion des rôles et principe du moindre privilège ;
• cloisonnement logique entre établissements et contrôles d’accès au Réseau ;
• journalisation des accès sensibles et actions d’administration ;
• sauvegardes, restauration, surveillance et gestion des incidents ;
• mises à jour, correctifs, gestion des vulnérabilités et contrôle des secrets ;
• mesures anti-scraping, limitation des exports et détection d’usages anormaux ;
• procédures internes de confidentialité et gestion des habilitations.

Aucun système n’offre une sécurité absolue. LVC ne garantit donc pas l’absence totale d’incident, mais s’engage à mettre en œuvre les mesures adaptées au risque et à réagir conformément aux obligations légales en cas d’incident.

Violations de données personnelles

En cas de violation de données personnelles relevant de sa responsabilité, LVC évalue le risque, documente l’incident et effectue les notifications requises auprès de l’autorité de contrôle et, lorsque la loi l’exige, auprès des personnes concernées. Lorsqu’un incident concerne des données traitées pour le compte d’un établissement, LVC coopère avec celui-ci conformément au DPA.

Anonymisation, statistiques, benchmarks et valorisation du réseau

LVC peut produire des statistiques agrégées, tendances, benchmarks, taux moyens, analyses de fréquentation, indicateurs de performance et autres résultats à partir de données traitées licitement. Lorsque ces résultats sont réellement anonymisés de manière à ne plus permettre l’identification d’une personne par des moyens raisonnablement susceptibles d’être utilisés, ils ne constituent plus des données personnelles au sens du RGPD.

LVC peut utiliser, publier, concéder sous licence ou commercialiser de tels résultats anonymisés et agrégés pour améliorer la Solution, produire des études de marché, comparer des performances, développer de nouveaux services ou fournir des analyses aux établissements, partenaires ou tiers. Cette valorisation ne doit pas permettre de réidentifier un client final ou de reconstituer son profil personnel.

Actif Réseau protégé - LVC conserve ses droits de propriété intellectuelle et, lorsque les conditions légales sont réunies, ses droits sur l’architecture de base de données, les taxonomies, méthodes de scoring, modèles, agrégats, interfaces et outils d’analyse. Ces droits ne réduisent jamais les droits RGPD des personnes sur leurs données personnelles.

Automatisation, intelligence artificielle et évolutions futures

LVC peut à l’avenir ajouter des fonctionnalités d’assistance, recommandation, détection d’anomalies ou intelligence artificielle. Avant toute utilisation de données personnelles pour une nouvelle finalité substantielle, LVC réévalue la base juridique, la minimisation, les destinataires, les transferts, la sécurité, l’information des personnes et la nécessité d’une AIPD ou d’un nouveau consentement.

Les Données Réseau personnelles ne doivent pas être mises à disposition d’un fournisseur d’IA tiers pour l’entraînement général de ses modèles par défaut. Si un traitement d’IA nécessite l’envoi de données personnelles, LVC sélectionne un cadre contractuel approprié, limite les données transmises et met à jour la liste des prestataires et l’information des personnes lorsque cela est requis.

Gouvernance RGPD, registre et analyse d’impact

LVC tient ou met en place les registres requis par l’article 30 du RGPD pour les traitements dont il est responsable et pour les catégories de traitements réalisées comme sous-traitant. Ces registres sont mis à jour lorsque les fonctionnalités, catégories de données, destinataires ou durées évoluent.

Compte tenu du scoring, du croisement de données inter-établissements et du potentiel de déploiement à grande échelle, le Traitement Réseau doit faire l’objet d’une analyse d’impact relative à la protection des données (AIPD) avant son déploiement à grande échelle lorsque les critères de l’article 35 du RGPD sont remplis. L’AIPD est ensuite réexaminée lorsque le risque, l’architecture ou les finalités changent sensiblement.

Évolution de l’activité, financement, cession ou restructuration

En cas de changement de forme juridique, apport, cession d’activité, fusion, acquisition, levée de fonds, transmission ou autre opération portant sur tout ou partie de LVC, certaines données et contrats peuvent être examinés ou transférés à des conseils, investisseurs, acquéreurs ou successeurs dans la mesure nécessaire à l’opération, sous obligations de confidentialité et dans le respect du RGPD. Lorsque le changement affecte substantiellement les finalités ou les droits des personnes, LVC fournit l’information requise et recueille un nouveau consentement si nécessaire.

Modification de la présente politique

LVC peut modifier la présente politique pour refléter une évolution légale, réglementaire, technique ou fonctionnelle. La date et la version sont indiquées en tête du document. En cas de modification substantielle d’un traitement fondé sur le consentement, LVC vérifie si le consentement existant demeure valable ; à défaut, un nouveau choix est sollicité avant de poursuivre le traitement concerné.

Réclamation et autorité de contrôle

Pour toute question ou demande relative à la protection des données : laviedechateau.fr@gmail.com.

Toute personne dispose également du droit d’introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) si elle estime que ses droits ne sont pas respectés.

Site de la CNIL : www.cnil.fr

Texte de consentement recommandé pour le Profil Réseau LVC

Cette annexe décrit le mécanisme cible. Le texte affiché dans l’interface doit rester lisible, court au premier niveau, complété par une information détaillée accessible avant le choix.

Premier niveau - case ou bouton non précoché

Texte recommandé - « J’active mon Profil Réseau La Vie de Château. J’accepte que LVC combine les données de mes réservations auprès des établissements membres afin de créer mon profil réseau, mes indicateurs de fréquentation et de fiabilité, et de les partager avec les établissements membres lorsque j’interagis avec eux, pour faciliter mes réservations et mon accueil. Je peux retirer mon accord à tout moment. »

Deuxième niveau - informations accessibles avant validation

• Responsable : La Vie de Château - coordonnées figurant à l’article 1 ;
• Finalités : continuité d’expérience, personnalisation, historique réseau, prévention raisonnable des abus de réservation et aide à la décision des établissements ;
• Données : identité, réservations, présence/no-show, annulations, fréquence, ancienneté, dépense moyenne, préférences non sensibles, statuts et score ;
• Destinataires : LVC et établissements membres autorisés dans un contexte légitime ;
• Pas de notes internes ni de données sensibles dans le Réseau par défaut ;
• Score : aide à la décision, sans refus entièrement automatisé significatif par défaut ;
• Retrait : depuis l’Espace Client ou par e-mail, sans affecter la licéité passée ;
• Durée : tant que le consentement reste valide et le profil actif, avec suppression/anonymisation après retrait selon l’article 15 ;
• Droits : accès, rectification, effacement, limitation, retrait, portabilité lorsque applicable et réclamation CNIL.

Le consentement Réseau ne doit pas être fusionné avec une acceptation de CGU, une autorisation marketing ou une autorisation de géolocalisation. Si LVC ajoute des finalités réellement distinctes, des choix séparés sont mis en place lorsque la granularité est requise.

Matrice de partage Réseau

Procédure LVC de gestion des droits

1. Réception de la demande et enregistrement de la date, du canal et de l’objet.
2. Vérification raisonnable de l’identité uniquement si nécessaire.
3. Qualification du rôle : LVC responsable, établissement responsable ou traitement partagé nécessitant coopération.
4. Gel temporaire des suppressions automatiques lorsque cela est nécessaire pour traiter correctement la demande.
5. Recherche dans le compte LVC, Profil Réseau, registres de consentement, support et systèmes pertinents.
6. Consultation de l’établissement source si une donnée contestée provient de lui.
7. Réponse dans le délai RGPD, avec explication des éventuelles limitations.
8. Exécution technique : rectification, export, limitation, désactivation Réseau, effacement ou opposition.
9. Traçabilité de l’action réalisée et conservation minimale de la preuve de traitement de la demande.

Architecture de séparation des données et gouvernance des rôles

LVC applique une architecture de séparation logique entre (i) les Données Établissement, traitées pour les besoins propres de chaque établissement, (ii) les Données Réseau, utilisées pour le Profil Réseau lorsque leur mise en commun repose sur une base juridique valide, et (iii) les Données Dérivées LVC, correspondant aux indicateurs, scores, agrégats et signaux calculés par LVC.

Cette séparation a un double objectif : respecter la limitation des finalités et la minimisation, tout en permettant à LVC d'offrir une continuité de service inter-établissements. Le fait qu'une donnée existe dans le CRM d'un restaurant ne signifie donc pas automatiquement qu'elle est disponible dans le Réseau.

• Données Établissement : réservations locales, CRM local, notes internes, préférences propres à l'établissement, communications locales et paramètres de service.
• Données Réseau : uniquement les catégories prévues par la présente politique et activées pour le Profil Réseau dans les conditions applicables.
• Données Dérivées LVC : scores, indicateurs de fréquence, fiabilité, valeur, tendances et autres calculs générés à partir de données sources licites.
• Données Anonymisées : données transformées de manière à ne plus permettre raisonnablement l'identification d'une personne, utilisées pour statistiques, benchmarks, sécurité, recherche produit et valorisation commerciale.

Aucun établissement ne reçoit, du seul fait de son abonnement, un droit d'accès global au Réseau. Les accès sont contextuels, limités au besoin de service, journalisables et révocables.

Modèle de consentement Réseau et preuve opposable

Lorsque le traitement Réseau repose sur le consentement, LVC organise le recueil comme une action positive distincte. Le consentement n'est pas fusionné avec l'acceptation des CGU, l'inscription marketing, la géolocalisation ou une préférence de cookies. Une réservation locale ne doit pas être refusée au seul motif que le client n'active pas son Profil Réseau lorsqu'elle peut raisonnablement être fournie sans ce partage.

Pour chaque consentement, LVC peut conserver un journal de preuve comprenant notamment :

• identifiant du client et, lorsque nécessaire, identifiant technique de session ;
• date et heure du consentement ;
• version du texte de premier niveau et de la notice détaillée ;
• finalités et catégories de données couvertes ;
• canal et interface de recueil ;
• version des paramètres Réseau applicables ;
• date, heure et canal d'un éventuel retrait ;
• éléments techniques raisonnablement nécessaires pour démontrer l'acte positif, sans créer une collecte disproportionnée.

LVC peut renouveler ou solliciter à nouveau le consentement lorsqu'une évolution substantielle modifie la finalité, la nature du partage, les catégories de données, les destinataires ou l'effet attendu du profilage. Une simple évolution éditoriale sans incidence substantielle ne nécessite pas automatiquement un nouveau consentement.

En cas d'inactivité prolongée du Profil Réseau, LVC peut placer le profil en état dormant et demander une reconfirmation avant une réactivation complète. Cette mesure vise à éviter de considérer comme actif un choix devenu ancien ou déconnecté de l'usage réel du service.

Accès contextuel aux données Réseau

Le partage Réseau est conçu selon un principe de need-to-know. LVC peut mettre en place des niveaux de visibilité variables selon le contexte, le rôle professionnel, la réservation en cours, l'historique de relation et le degré de nécessité de l'information.

LVC peut masquer certains champs, présenter des fourchettes plutôt que des montants exacts, afficher des indicateurs plutôt que des événements détaillés, ou imposer des seuils d'ancienneté lorsque cela réduit le risque sans dégrader excessivement le service.

Gouvernance renforcée du scoring et des événements de fiabilité

Le score LVC doit être fondé sur des événements objectivables, traçables et pertinents au regard de la finalité de gestion de réservation et de prévention raisonnable des abus. Il ne doit pas intégrer directement ou indirectement des catégories sensibles, ni chercher à inférer des caractéristiques protégées sans base juridique spécifique.

Principes de gouvernance du score :

• traçabilité de chaque événement contributif et de son établissement source ;
• pondération proportionnée des événements récents et possibilité de décroissance de leur influence avec le temps ;
• distinction entre annulation régulière, annulation tardive et no-show ;
• prise en compte de la qualité et de la fiabilité de la source ;
• mécanisme de contestation et correction des données factuelles ;
• possibilité de neutraliser temporairement un événement litigieux ;
• surveillance des biais manifestes et des usages détournés ;
• intervention humaine réelle lorsqu'une décision significative repose substantiellement sur le score.

LVC peut conserver confidentiels le code source, les pondérations exactes, les seuils antifraude, les signaux de détection d'abus et les mécanismes de sécurité. Cette confidentialité ne doit toutefois pas empêcher de fournir à la personne les informations significatives légalement requises sur la logique générale, les catégories de facteurs utilisées et les conséquences prévues du profilage.

Les établissements ne doivent pas présenter le score comme une vérité absolue, un classement moral ou un droit de refus automatique. Ils restent responsables de leurs décisions commerciales et doivent tenir compte des informations disponibles, du contexte et, lorsque nécessaire, des explications fournies par le client.

Qualité des données, déduplication et identité Réseau

Afin d'éviter qu'une même personne possède plusieurs profils contradictoires ou qu'un événement soit attribué à la mauvaise personne, LVC peut utiliser des mécanismes de rapprochement et de déduplication fondés sur des données d'identification proportionnées, par exemple e-mail, téléphone, identifiant de compte ou combinaison de critères.

Les rapprochements à faible confiance ne doivent pas provoquer automatiquement la fusion irréversible de profils. LVC peut utiliser des états de correspondance probable, demander une vérification complémentaire ou conserver temporairement des profils séparés. Les opérations de fusion significatives peuvent être journalisées afin de permettre une correction ultérieure.

LVC peut mettre en place des mécanismes antifraude visant les créations multiples de profils, usurpations, manipulations de no-shows ou tentatives de contourner des garanties de réservation, sous réserve de la proportionnalité et de l'information requise.

Dépense moyenne, valeur client et indicateurs économiques

Lorsque les établissements transmettent licitement des informations de dépense, LVC peut calculer une dépense moyenne, une fourchette, une tendance ou un indicateur de valeur. Ces informations servent à personnaliser l'expérience, produire des statistiques et aider les établissements à comprendre la relation avec le client.

Par défaut, LVC privilégie l'affichage de métriques utiles plutôt que la révélation systématique du détail de chaque addition dans les autres établissements. LVC peut ainsi exposer une moyenne, une fourchette, une tendance ou un niveau de valeur, sauf lorsqu'un détail plus précis est nécessaire, licite et expressément prévu.

Les indicateurs économiques ne doivent pas être utilisés pour refuser automatiquement un client, fixer des prix discriminatoires sur la base de caractéristiques protégées, ou prendre des décisions de crédit, d'assurance ou d'emploi. Ils sont limités aux usages d'hospitalité prévus par LVC et aux finalités communiquées.

Restrictions d'usage imposées aux établissements membres

Pour protéger les personnes et l'intégrité du Réseau, LVC impose aux établissements membres des restrictions contractuelles et techniques. Le non-respect de ces règles peut entraîner limitation, suspension ou suppression de l'accès Réseau, indépendamment des autres recours disponibles.

• interdiction d'aspirer, scraper, copier massivement ou indexer le Réseau ;
• interdiction de constituer une base concurrente ou parallèle de profils provenant de plusieurs établissements ;
• interdiction de revendre, louer, céder ou publier des données Réseau personnelles ;
• interdiction d'utiliser les données Réseau pour de la prospection non autorisée ;
• interdiction de saisir volontairement des informations fausses, vexatoires, discriminatoires ou sans rapport avec la réservation ;
• interdiction de contourner les contrôles d'accès, partager des identifiants ou créer des accès de complaisance ;
• obligation de signaler les erreurs factuelles et incidents de sécurité dont l'établissement a connaissance.

LVC peut appliquer des limitations d'API, quotas, contrôles anti-automatisation, alertes de volume, détection d'export anormal et autres mesures de sécurité raisonnables destinées à empêcher l'exfiltration ou la reconstitution de la base Réseau.

Données anonymisées, benchmarks et développement du produit

LVC peut transformer des données en statistiques ou ensembles anonymisés afin de mesurer les performances du réseau, améliorer le produit, produire des benchmarks sectoriels, développer des fonctionnalités prédictives, détecter des tendances et proposer des analyses commerciales.

L'anonymisation doit être distinguée de la pseudonymisation. Une donnée pseudonymisée demeure une donnée personnelle si la ré-identification reste raisonnablement possible. Seuls les résultats réellement anonymisés peuvent être exploités sans être soumis au régime des données personnelles.

Sous réserve de cette anonymisation effective, LVC peut utiliser, publier, concéder sous licence, vendre ou intégrer ces résultats à des offres commerciales, études, tableaux de bord, benchmarks, services B2B ou partenariats. Aucun partenaire ne reçoit, sur ce fondement, le droit de réidentifier les personnes ou d'obtenir la base personnelle Réseau.

LVC peut fixer des seuils minimaux d'agrégation, supprimer des catégories rares, arrondir des valeurs, introduire des fourchettes ou appliquer d'autres techniques destinées à réduire le risque de ré-identification dans les résultats publiés.

Privacy by design et contrôle des évolutions produit

Toute nouvelle fonctionnalité susceptible d'élargir le partage Réseau, d'introduire une nouvelle donnée, de modifier le scoring ou d'ajouter un nouveau destinataire doit faire l'objet d'une revue privacy by design avant mise en production.

La revue doit au minimum examiner :

• finalité exacte et bénéfice utilisateur ;
• rôle juridique de LVC et de l'établissement ;
• base juridique applicable ;
• nécessité et minimisation des données ;
• information à fournir et éventuel besoin d'un nouveau consentement ;
• durée de conservation et règle de purge ;
• contrôles d'accès et journalisation ;
• prestataires et transferts internationaux ;
• risques d'usage secondaire, scraping, discrimination ou ré-identification ;
• nécessité de mettre à jour l'AIPD, le registre, le DPA, les CGU ou la présente politique.

Registre minimal de preuve du consentement Réseau

La preuve de consentement est une donnée distincte du contenu du Profil Réseau : le retrait du consentement peut justifier la conservation limitée de la preuve du choix et de son retrait pour répondre à une obligation de responsabilité ou défendre des droits, sans maintenir pour autant le partage Réseau.

Matrice renforcée de visibilité des données Réseau

Cycle de vie renforcé des données

Procédure de contestation d’un événement réseau

1. Réception de la contestation et identification de l'événement concerné.
2. Vérification de l'identité du demandeur lorsque nécessaire.
3. Marquage de l'événement comme contesté si son influence peut causer un préjudice pendant l'examen.
4. Demande d'éléments factuels à l'établissement source, sans transmettre inutilement d'autres données du client.
5. Évaluation de l'exactitude, de la pertinence et de la proportionnalité de l'événement.
6. Correction, suppression, maintien motivé ou neutralisation de l'événement.
7. Recalcul du score lorsque la modification est susceptible de l'affecter.
8. Information du client sur l'issue, sous réserve des limitations légales et de la protection des tiers.
9. Traçabilité minimale de la décision et prévention des réintroductions erronées.

Journalisation et détection d’abus

LVC peut journaliser les opérations sensibles nécessaires à la sécurité, à la preuve, à la conformité et à la détection d'abus. Les logs ne doivent pas devenir une source de surveillance disproportionnée des utilisateurs professionnels ou des clients.

LVC peut déclencher des alertes lorsqu'un compte consulte un volume anormal de profils, tente des recherches séquentielles, réalise des exports répétés ou présente d'autres signaux cohérents avec une extraction abusive.

Gouvernance des sous-traitants et transferts

LVC maintient une Liste des sous-traitants distincte et mise à jour. Avant l'ajout d'un fournisseur susceptible d'accéder aux données personnelles, LVC vérifie notamment la finalité, le rôle, les garanties contractuelles, la localisation, les sous-traitants ultérieurs, les mesures de sécurité et les mécanismes de transfert international lorsqu'ils sont nécessaires.

Le Réseau personnel LVC ne doit pas être transmis par défaut à un prestataire tiers pour ses propres finalités, sa prospection, l'enrichissement de ses bases ou l'entraînement général de modèles. Toute exception nécessiterait une analyse juridique, une transparence adaptée et, lorsque requis, un choix spécifique de la personne.

Checklist de mise en production d’une fonctionnalité Réseau

• La finalité est-elle précisément décrite et compréhensible pour un client ?
• La fonctionnalité peut-elle fonctionner avec moins de données ?
• Les données locales et Réseau sont-elles techniquement séparées ?
• La base juridique est-elle documentée ?
• Le consentement est-il distinct, positif, non précoché et retirable lorsque cette base est utilisée ?
• La preuve de consentement est-elle versionnée ?
• Les notes internes et données sensibles sont-elles exclues par défaut ?
• Les accès sont-ils contextuels et journalisés ?
• Le score peut-il être contesté et corrigé ?
• Les durées de conservation et la purge sont-elles implémentées ?
• Les sous-traitants et transferts sont-ils documentés ?
• L'AIPD et le registre ont-ils été mis à jour si nécessaire ?
• Les CGU, DPA, politique de confidentialité et texte d'interface sont-ils cohérents ?
• Les tests empêchent-ils le scraping, l'énumération et l'accès inter-tenant non autorisé ?

Règles de valorisation du Réseau compatibles avec la protection des données

Le modèle LVC peut tirer une valeur économique du Réseau sans transformer la donnée personnelle en marchandise librement cessible. La stratégie privilégiée repose sur l'accès fonctionnel, les services calculés et l'anonymisation plutôt que sur la vente de fichiers de personnes.

• facturation de l'accès aux fonctionnalités Réseau et aux outils de scoring ;
• benchmark anonymisé par segment, zone, type d'établissement ou période ;
• indicateurs agrégés de no-show et fidélité ;
• analyses de fréquentation et tendances non identifiantes ;
• outils de personnalisation activés dans le cadre du Profil Réseau ;
• services de qualité de données, déduplication et prévention des abus ;
• produits statistiques ou études construits sur des données réellement anonymisées.

La revente de profils identifiables, la prospection par des partenaires à partir du Réseau ou toute réutilisation substantiellement différente des finalités annoncées ne sont pas couvertes par le consentement Réseau décrit dans la présente version et nécessiteraient un cadre juridique et une information distincts.

Références juridiques et doctrine

• Règlement (UE) 2016/679 - RGPD
• CNIL - Consentement : conditions de validité
• CNIL - Profilage et décision entièrement automatisée
• CNIL - Durées de conservation des données
• CNIL - Analyse d’impact relative à la protection des données (AIPD)
• CNIL - Registre des activités de traitement
• CNIL - Article 32 : sécurité du traitement
• CNIL - Les durées de conservation des données (mise à jour 2 avril 2026)
• CNIL - Prospection B2C : transmission de données à des partenaires (10 juin 2026), pour distinguer le Réseau de toute future prospection partenaire
• RGPD - articles 5, 6, 7, 12 à 22, 25, 28, 30, 32 à 35 et 44 et suivants

Clause de cohérence documentaire

La présente politique doit être lue avec les CGV B2B LVC, le DPA / Accord de traitement des données personnelles, la Liste des sous-traitants LVC, les CGU applicables aux clients finaux et la politique cookies. En cas de contradiction sur une opération donnée, la qualification juridique réelle du traitement, le RGPD et les règles impératives prévalent.

Version de lancement - Cette version est conçue pour protéger LVC tout en permettant un effet réseau fort. Avant activation à grande échelle du partage Réseau et du scoring, LVC doit vérifier que le parcours de consentement, le registre des consentements, les contrôles d’accès, l’audit des événements, la procédure de contestation, les durées de purge et l’AIPD correspondent réellement aux mécanismes décrits ici.