Politique de Confidentialité

Document provisoire — base à faire valider par un professionnel du droit RGPD avant mise en production commerciale.

1. Responsable du traitement

Le responsable du traitement des données personnelles est [Entité juridique Loyavia — en cours de détermination], société éditrice et exploitante de la solution Loyavia.

Contact : support@loyavia.com

2. Données collectées

Nous collectons les données suivantes :

Données de compte (utilisateur hôtelier)

Nom et prénom
Adresse email
Nom de l'hôtel
Numéro de téléphone

Données de paiement

Informations de paiement, traitées et stockées par Stripe (non accessibles par Loyavia) — facturation pas encore active à ce jour
Historique des transactions, une fois la facturation activée

Données d'utilisation

Journaux de connexion et d'activité
Données des campagnes envoyées
Statistiques de réservations

Données de mesure d'audience (visiteurs du site, uniquement avec votre consentement)

Pages consultées et parcours de navigation sur nos pages publiques
Interactions avec les éléments de la page (clics, défilement)
Informations techniques : type d'appareil, navigateur, pays approximatif

Collectées via PostHog uniquement si vous cliquez sur « Accepter » dans le bandeau cookies. Aucune collecte si vous refusez ou avant votre choix. Ces outils ne tournent jamais dans votre espace hôtelier (tableau de bord) : ils ne touchent jamais les données de vos propres clients. Voir la politique cookies.

3. Finalités du traitement

Fourniture du service Loyavia
Gestion des abonnements et de la facturation (dès son activation)
Envoi d'emails transactionnels (confirmation, factures)
Support client et assistance technique
Amélioration du service (données anonymisées)
Mesure d'audience de notre site web (uniquement avec votre consentement)

4. Base légale

Conformément au Règlement Général sur la Protection des Données (RGPD), le traitement de vos données est fondé sur :

L'exécution du contrat (art. 6.1.b RGPD) : pour vous fournir le service souscrit
Le consentement (art. 6.1.a RGPD) : pour la mesure d'audience (PostHog) et les communications marketing, le cas échéant
L'intérêt légitime (art. 6.1.f RGPD) : pour améliorer le service et prévenir la fraude
L'obligation légale (art. 6.1.c RGPD) : pour la conservation des données de facturation

5. Durée de conservation

Données de compte : durée de l'abonnement + 3 ans après résiliation
Données de facturation : durée légale de conservation comptable applicable une fois l'entité juridique et son pays d'immatriculation connus (à confirmer)
Journaux d'activité : 12 mois
Données de mesure d'audience (PostHog) : durée définie par les paramètres du compte PostHog de Loyavia ; supprimées immédiatement si vous refusez le dépôt de cookies non essentiels

6. Partage avec des tiers et transferts hors Union européenne

Vos données peuvent être partagées avec les prestataires suivants, dans la stricte limite de leur mission. Pour chaque prestataire situé hors de l'Union européenne, le mécanisme de transfert réellement documenté par le prestataire est indiqué :

Prestataire	Rôle	Localisation & mécanisme de transfert
Supabase	Base de données & authentification	Données hébergées à Frankfurt, Allemagne (UE) — pas de transfert hors UE pour le stockage. Société éditrice basée aux États-Unis, DPA avec clauses contractuelles types disponible.
Vercel	Hébergement du site	États-Unis — clauses contractuelles types (art. 46.2.c RGPD) + participation au cadre EU-US Data Privacy Framework
Resend	Emails transactionnels	États-Unis — clauses contractuelles types + EU-US Data Privacy Framework
Meta (WhatsApp)	Envoi de messages de campagne	États-Unis — EU-US Data Privacy Framework, clauses contractuelles types en mécanisme de repli
OpenRouter	Génération de messages assistée par IA	États-Unis (et infrastructure des fournisseurs de modèles tiers sollicités par OpenRouter) — décisions d'adéquation (art. 45 RGPD) et clauses contractuelles types (art. 46 RGPD) prévues par la politique de confidentialité générale d'OpenRouter, applicables à toutes les offres. Le compte utilisé par Loyavia est de niveau « pay-as-you-go » : aucun accord de sous-traitance (DPA) mutuellement signé n'est en place, ce document contractuel n'étant proposé par OpenRouter qu'aux comptes « entreprise ». Le routage régional UE (eu.openrouter.ai) n'est pas disponible sur l'offre actuellement utilisée par Loyavia ; cette fonctionnalité est proposée sur les offres Business et Enterprise.
Stripe (prévu, non activé)	Paiements d'abonnement	Entité européenne Stripe Payments Europe Limited (Irlande) ; transferts vers les États-Unis couverts par un addendum de transfert de données (clauses contractuelles types + EU-US Data Privacy Framework)
PostHog	Mesure d'audience du site (uniquement avec consentement, jamais dans le tableau de bord hôtelier)	États-Unis (aucun hébergement UE configuré à ce jour pour Loyavia ; PostHog propose une option d'hébergement UE à Frankfurt, non activée) — clauses contractuelles types + participation de PostHog au cadre EU-US Data Privacy Framework.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

Droit à l'information : être informé de manière claire des traitements réalisés (objet de la présente politique)
Droit d'accès : obtenir une copie de vos données
Droit de rectification : corriger des données inexactes
Droit à l'effacement : demander la suppression de vos données
Droit à la limitation du traitement : demander la suspension temporaire d'un traitement dans certains cas prévus par le RGPD
Droit à la portabilité : recevoir vos données dans un format structuré et couramment utilisé
Droit d'opposition : vous opposer à certains traitements, notamment ceux fondés sur l'intérêt légitime
Droit de retirer votre consentement à tout moment : pour les traitements dont le consentement est la base légale (mesure d'audience PostHog), sans affecter la licéité du traitement effectué avant ce retrait

Décision entièrement automatisée (art. 22 RGPD) :Loyavia utilise une segmentation automatique et une génération de messages assistée par IA, mais ce sont des outils d'aide à la décision pour l'hôtelier. Aucune décision individuelle entièrement automatisée produisant des effets juridiques vous concernant ou vous affectant de manière significative n'est mise en œuvre à ce jour. Ce point sera réévalué si les fonctionnalités du service évoluent.

Pour exercer ces droits, contactez-nous à : support@loyavia.com. Vous disposez également du droit d'introduire une réclamation auprès de l'autorité de protection des données de votre pays de résidence au sein de l'Union européenne (art. 77 RGPD). L'autorité de contrôle chef de file compétente pour Loyavia sera précisée une fois l'entité juridique définitivement établie.

8. Sécurité

Nous mettons en oeuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, perte ou destruction (chiffrement en transit et au repos, cloisonnement des données par hôtel, accès restreints, authentification sécurisée).

9. Gestion des violations de données

Pour les données dont Loyavia est responsable de traitement (données de compte hôtelier, de facturation, visiteurs du site), en cas de violation de données personnelles présentant un risque pour vos droits et libertés, Loyavia notifiera l'autorité de contrôle compétente dans un délai de 72 heures après en avoir eu connaissance (art. 33 RGPD), et vous informera directement si cette violation présente un risque élevé pour vos droits et libertés (art. 34 RGPD).

Pour les données des clients finaux d'un hôtel importées dans Loyavia, dont l'hôtel est responsable de traitement et Loyavia sous-traitant, un régime distinct s'applique : voir l'accord de sous-traitance (DPA).

10. Délégué à la protection des données

Aucun délégué à la protection des données (DPO) n'est désigné à ce stade. Cette désignation sera réévaluée en fonction de l'évolution de l'activité et du volume réel des traitements, conformément aux critères de l'article 37 du RGPD. Dans l'attente, toute question ou demande relative à vos données peut être adressée à support@loyavia.com.