Politique de Confidentialité

Document provisoire — base à faire valider par un professionnel du droit RGPD avant mise en production commerciale.

1. Responsable du traitement

Le responsable du traitement des données personnelles est [Entité juridique Loyavia — en cours de détermination], société éditrice et exploitante de la solution Loyavia.

Contact : support@loyavia.com

2. Données collectées

Nous collectons les données suivantes :

Données de compte (utilisateur hôtelier)

Nom et prénom
Adresse email
Nom de l'hôtel
Numéro de téléphone

Données de paiement

Informations de paiement, traitées et stockées par Stripe (non accessibles par Loyavia) — facturation pas encore active à ce jour
Historique des transactions, une fois la facturation activée

Données d'utilisation

Journaux de connexion et d'activité
Données des campagnes envoyées
Statistiques de réservations

Données de mesure d'audience (visiteurs du site) — non collectées à ce jour

Pages consultées et parcours de navigation sur nos pages publiques
Interactions avec les éléments de la page (clics, défilement)
Informations techniques : type d'appareil, navigateur, pays approximatif

Aucun outil de mesure d'audience n'est activé à ce jour sur Loyavia : aucune de ces données n'est collectée. S'il est activé (PostHog), il ne fonctionnera que si vous cliquez sur « Accepter » dans le bandeau cookies, et cette politique sera mise à jour auparavant. Aucune collecte si vous refusez ou avant votre choix. Ces outils ne tournent jamais dans votre espace hôtelier (tableau de bord) : ils ne touchent jamais les données de vos propres clients. Voir la politique cookies.

3. Finalités du traitement

Fourniture du service Loyavia
Gestion des abonnements et de la facturation (dès son activation)
Envoi d'emails transactionnels (confirmation, factures)
Support client et assistance technique
Amélioration du service (données anonymisées)
Mesure d'audience de notre site web (non activée à ce jour ; uniquement avec votre consentement si elle l'est)

4. Base légale

Conformément au Règlement Général sur la Protection des Données (RGPD), le traitement de vos données est fondé sur :

L'exécution du contrat (art. 6.1.b RGPD) : pour vous fournir le service souscrit
Le consentement (art. 6.1.a RGPD) : pour la mesure d'audience (si elle est activée) et les communications marketing, le cas échéant
L'intérêt légitime (art. 6.1.f RGPD) : pour améliorer le service et prévenir la fraude
L'obligation légale (art. 6.1.c RGPD) : pour la conservation des données de facturation

5. Durée de conservation

Données de compte : durée de l'abonnement + 3 ans après résiliation
Données de facturation : durée légale de conservation comptable applicable une fois l'entité juridique et son pays d'immatriculation connus (à confirmer)
Journaux d'activité : 12 mois
Données de mesure d'audience : sans objet à ce jour (aucune collecte) ; la durée sera précisée ici avant toute activation

6. Partage avec des tiers et transferts hors Union européenne

Vos données peuvent être partagées avec les prestataires suivants, dans la stricte limite de leur mission. Pour chaque prestataire situé hors de l'Union européenne, le mécanisme de transfert réellement documenté par le prestataire est indiqué :

Prestataire	Rôle	Localisation & mécanisme de transfert
Supabase	Base de données & authentification	Données stockées à Francfort, Allemagne (UE). Supabase Inc. est une société américaine : les accès techniques éventuels depuis les États-Unis (support, maintenance) relèvent des clauses contractuelles types (modules 2 et 3) intégrées au DPA de Supabase. Supabase n'est pas certifiée EU-US Data Privacy Framework et met à disposition une analyse d'impact des transferts. L'acceptation formelle de ce DPA par Loyavia n'est pas encore finalisée.
Vercel	Hébergement du site	États-Unis — clauses contractuelles types (art. 46.2.c RGPD) + participation au cadre EU-US Data Privacy Framework
Resend	Emails transactionnels	États-Unis — clauses contractuelles types + EU-US Data Privacy Framework
Meta (WhatsApp)	Envoi de messages de campagne	États-Unis — EU-US Data Privacy Framework, clauses contractuelles types en mécanisme de repli
OpenRouter	Génération de messages assistée par IA	États-Unis (et infrastructure des fournisseurs de modèles tiers sollicités par OpenRouter) — décisions d'adéquation (art. 45 RGPD) et clauses contractuelles types (art. 46 RGPD) prévues par la politique de confidentialité générale d'OpenRouter, applicables à toutes les offres. Le compte utilisé par Loyavia est de niveau « pay-as-you-go » : aucun accord de sous-traitance (DPA) mutuellement signé n'est en place, ce document contractuel n'étant proposé par OpenRouter qu'aux comptes « entreprise ». Le routage régional UE (eu.openrouter.ai) n'est pas disponible sur l'offre actuellement utilisée par Loyavia ; cette fonctionnalité est proposée sur les offres Business et Enterprise.
Stripe (prévu, non activé)	Paiements d'abonnement	Entité européenne Stripe Payments Europe Limited (Irlande) ; transferts vers les États-Unis couverts par un addendum de transfert de données (clauses contractuelles types + EU-US Data Privacy Framework)
PostHog (non activé)	Mesure d'audience du site, si elle est activée (uniquement avec consentement, jamais dans le tableau de bord hôtelier)	Aucune donnée transmise à ce jour : l'outil n'est pas configuré sur Loyavia. En cas d'activation : hébergement UE (Francfort) proposé par PostHog, ou États-Unis couverts par la certification EU-US Data Privacy Framework de PostHog.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

Droit à l'information : être informé de manière claire des traitements réalisés (objet de la présente politique)
Droit d'accès : obtenir une copie de vos données
Droit de rectification : corriger des données inexactes
Droit à l'effacement : demander la suppression de vos données
Droit à la limitation du traitement : demander la suspension temporaire d'un traitement dans certains cas prévus par le RGPD
Droit à la portabilité : recevoir vos données dans un format structuré et couramment utilisé
Droit d'opposition : vous opposer à certains traitements, notamment ceux fondés sur l'intérêt légitime
Droit de retirer votre consentement à tout moment : pour les traitements dont le consentement est la base légale (par exemple la mesure d'audience, si elle est activée), sans affecter la licéité du traitement effectué avant ce retrait

Décision entièrement automatisée (art. 22 RGPD) :Loyavia utilise une segmentation automatique et une génération de messages assistée par IA, mais ce sont des outils d'aide à la décision pour l'hôtelier. Aucune décision individuelle entièrement automatisée produisant des effets juridiques vous concernant ou vous affectant de manière significative n'est mise en œuvre à ce jour. Ce point sera réévalué si les fonctionnalités du service évoluent.

Pour exercer ces droits, contactez-nous à : support@loyavia.com. Vous disposez également du droit d'introduire une réclamation auprès de l'autorité de protection des données de votre pays de résidence au sein de l'Union européenne (art. 77 RGPD). L'autorité de contrôle chef de file compétente pour Loyavia sera précisée une fois l'entité juridique définitivement établie.

8. Sécurité

Nous mettons en oeuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, perte ou destruction (chiffrement en transit et au repos, cloisonnement des données par hôtel, accès restreints, authentification sécurisée).

9. Gestion des violations de données

Pour les données dont Loyavia est responsable de traitement (données de compte hôtelier, de facturation, visiteurs du site), en cas de violation de données personnelles présentant un risque pour vos droits et libertés, Loyavia notifiera l'autorité de contrôle compétente dans un délai de 72 heures après en avoir eu connaissance (art. 33 RGPD), et vous informera directement si cette violation présente un risque élevé pour vos droits et libertés (art. 34 RGPD).

Pour les données des clients finaux d'un hôtel importées dans Loyavia, dont l'hôtel est responsable de traitement et Loyavia sous-traitant, un régime distinct s'applique : voir l'accord de sous-traitance (DPA).

10. Délégué à la protection des données

Aucun délégué à la protection des données (DPO) n'est désigné à ce stade. Cette désignation sera réévaluée en fonction de l'évolution de l'activité et du volume réel des traitements, conformément aux critères de l'article 37 du RGPD. Dans l'attente, toute question ou demande relative à vos données peut être adressée à support@loyavia.com.