Politique de confidentialité

Traitement des données personnelles - RGPD UE 2016/679 et Loi Informatique & Libertés

Préambule et engagements

PEAKSHI conçoit un service B2B destiné aux professionnels de l'hôtellerie. Nous appliquons strictement les principes du RGPD : licéité, loyauté, transparence, limitation des finalités, minimisation, exactitude, limitation de conservation, intégrité, confidentialité et responsabilité (art. 5 RGPD). Toute collecte est limitée au strict nécessaire à la fourniture du service (privacy by default, art. 25 RGPD).

Article 1, Données collectées

1.1 Données des utilisateurs professionnels

1.2 Ce que PEAKSHI ne collecte pas

• Aucune donnée de santé ou donnée sensible (art. 9 RGPD).
• Aucune donnée de mineur.
• Aucune revente, aucune location, aucun partage commercial de vos données à des tiers.
• Aucun profilage publicitaire, aucun cookie tiers marketing.

1.2 bis WhatsApp Business et chat du site des hôtels utilisant Abell

L'établissement est responsable du traitement des données de ses clients. PEAKSHI agit comme sous-traitant pour son compte et selon ses instructions (article 28 du RGPD). Les données traitées comprennent le numéro de téléphone WhatsApp, le contenu des messages reçus et des réponses, les coordonnées, dates et détails du séjour transmis par le client, et les messages vocaux transcrits lorsque cette option est activée.

Finalités : répondre aux questions sur l'établissement, enregistrer une demande de séjour et la transmettre à la réception, sans confirmer automatiquement un prix ou une disponibilité. Les demandes de réservation relèvent des mesures précontractuelles demandées par le client (article 6.1.b) ; les réponses et relances relèvent de l'intérêt légitime de l'établissement (article 6.1.f). Une relance unique peut être envoyée dans les 24 heures si elle est activée.

Conservation des conversations et demandes : 30 jours par défaut, ou 60 ou 90 jours selon le choix de l'établissement, indiqué dans sa notice validée. Les oppositions STOP sont conservées 12 mois afin de respecter le choix du client. Les numéros de carte bancaire sont masqués et ne sont pas conservés.

Sous-traitants intervenant dans Abell : Meta Platforms pour WhatsApp Business, Lovable Cloud pour l'hébergement, Lovable pour la passerelle IA et Google (Gemini) pour les réponses et traductions, Brevo pour les transmissions par e-mail à la réception. Seules les données nécessaires à la demande sont transmises. Certains prestataires peuvent traiter des données hors de l'Union européenne ; les garanties applicables doivent encadrer ces transferts, notamment les clauses contractuelles types de la Commission européenne.

Le client peut exercer ses droits d'accès, de rectification, d'effacement, d'opposition, de limitation et, lorsque applicable, de portabilité auprès de l'établissement, ou écrire à support@peakshi.com. PEAKSHI assiste l'établissement dans la réponse, dans un délai d'un mois. STOP interrompt les relances mais ne vaut pas demande d'effacement. Consultez lesinstructions de suppression des données.

1.3 Données d'usage produit

Dans le cadre du fonctionnement du service, PEAKSHI collecte des données d'usage produit rattachées à votre compte : audits lancés (date, hôtel audité, statut), contenus générés dans l'Atelier (outil utilisé, mode SEO/GEO/dual, horodatage), erreurs techniques rencontrées (fonction concernée, message d'erreur, horodatage) et fonctionnalités effectivement utilisées (pages consultées côté back-end, outils du Chat expert, connecteurs activés). Ces données ne contiennent aucun contenu de vos clients finaux.

Finalités :assurer le fonctionnement du service et le suivi de qualité (crédits, quotas, historique d'audits), améliorer le produit (identifier les fonctionnalités sous-utilisées ou en erreur, prioriser les correctifs) et fournir un support réactif aux utilisateurs professionnels, en particulier pendant les périodes de beta test.

Base légale : intérêt légitime du responsable de traitement à maintenir, sécuriser et améliorer un service B2B (art. 6.1.f RGPD). Aucune de ces données n'est utilisée à des fins publicitaires ni revendue. Durée de conservation : 24 mois glissants pour les logs d'usage détaillés, puis agrégation anonymisée. Vos droits : vous pouvez à tout moment demander l'accès à vos données d'usage ou leur suppression en écrivant à support@peakshi.com(voir Article 3).

Article 2, Sous-traitants et transferts

Chaque sous-traitant est lié par un accord de sous-traitance (DPA) conforme à l'article 28 RGPD. Tout changement significatif de sous-traitant est notifié aux clients au moins 30 jours avant sa mise en œuvre, avec possibilité de résiliation sans frais si le nouveau sous-traitant n'offre pas des garanties équivalentes.

Les transferts hors UE reposent sur les Clauses Contractuelles Types de la Commission européenne (décision 2021/914) et, lorsque disponibles, sur le Data Privacy FrameworkUE-USA. Des mesures supplémentaires (chiffrement, pseudonymisation, minimisation) sont mises en œuvre conformément aux recommandations du CEPD 01/2020.

Article 3, Vos droits

Pour exercer ces droits : support@peakshi.com. Délai de réponse : 30 jours (extensible à 3 mois pour les demandes complexes, art. 12.3 RGPD). Réponse gratuite sauf demande manifestement infondée ou excessive. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

Article 4, Sécurité et intégrité

• Chiffrement des données en transit (HTTPS / TLS 1.2+) et au repos (AES-256).
• Authentification sécurisée via Firebase Authentication.
• Contrôle d'accès strict (Row Level Security), moindre privilège, MFA pour les administrateurs.
• Journalisation des accès (audit log).
• Notification à la CNIL sous 72h en cas de violation de données (art. 33 RGPD) et information des personnes concernées si risque élevé (art. 34 RGPD).
• Sauvegardes quotidiennes avec rétention 30 jours.
• Secrets gérés côté serveur, jamais exposés dans le navigateur.
• Politique d'accès aux logs, revue trimestrielle des habilitations.

Article 5, Décisions automatisées et profilage

Le service PEAKSHI ne prend aucune décision produisant des effets juridiquesou vous affectant de manière significative de façon purement automatisée (art. 22 RGPD). Les scores et recommandations générés par IA sont des outils d'aide à la décision : l'utilisateur professionnel reste seul décisionnaire de ses actions marketing, tarifaires et commerciales.

Article 6, Conservation et suppression

Lorsqu'aucun abonnement ne reste actif, les données produit du compte (contenus de l'établissement, conversations, données clients et analyses) sont supprimées ou anonymisées 30 jours après la fin du dernier abonnement. Un contrôle quotidien applique cette échéance, avec un délai maximal supplémentaire de 24 heures. Un e-mail est prévu au jour 23 : « Vos données seront supprimées dans 7 jours », avec un lien de réactivation. Toute réactivation avant la suppression annule celle-ci. Les pièces de facturation sont conservées pendant la durée légale et une ligne minimale de compte est maintenue.

À l'expiration des durées de conservation indiquées, les données sont supprimées ou anonymisées de manière irréversible. Les données comptables et de facturation sont archivées en base d'archivage intermédiaire pour la durée légale (10 ans, art. L.123-22 du Code de commerce). Vous pouvez à tout moment demander la suppression anticipée de votre compte : les données non soumises à obligation légale sont supprimées sous 30 jours, sauvegardes rotationnelles incluses. Les demandes envoyées via le formulaire « Signaler un problème » (catégorie, description, email, nom, référence et, si vous êtes connecté, identifiant de compte, plan et hôtel) servent uniquement à traiter votre demande (intérêt légitime) et sont supprimées automatiquement 12 mois après leur envoi. Une empreinte non réversible de l'adresse IP est conservée avec la demande pour limiter les abus.

Article 7, Registre, DPIA et gouvernance

• Tenue d'un registre des activités de traitement (art. 30 RGPD).
• Analyses d'impact (DPIA) réalisées pour tout nouveau traitement à risque (art. 35).
• Confidentialité contractuelle imposée à tous les collaborateurs et sous-traitants.
• Formation régulière des équipes à la protection des données.
• Revue annuelle de la présente politique et des mesures de sécurité.

Article 8, Cookies et traceurs

Le site utilise uniquement des cookies strictement nécessaires au fonctionnement et, sous réserve de votre consentement, des cookies de mesure d'audience anonymisée. Le détail complet est disponible dans notre Politique cookies. Aucun cookie publicitaire tiers n'est déposé.

Article 9, Données Google (GA4, Google Business Profile) - Limited Use

Lorsque vous connectez volontairement votre compte Google Analytics 4 ou Google Business Profileà PEAKSHI via OAuth 2.0, nous accédons à vos données Google strictement pour vous fournir les fonctionnalités demandées.

9.1 Scopes Google demandés et finalités

9.2 Conformité à la Google API Services User Data Policy - Limited Use

L'utilisation par PEAKSHI des informations reçues des Google APIs respecte la Google API Services User Data Policy, y compris les exigences de Limited Use. Concrètement :

Peakshi's use of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements.

• Nous utilisons vos données Google uniquement pour fournir ou améliorer les fonctionnalités visibles par l'utilisateur dans PEAKSHI (Trafic IA, GBP posts, insights de visibilité).
• Nous ne transférons vos données Google à aucun tiers, sauf si nécessaire pour fournir ou améliorer ces fonctionnalités, pour nous conformer à la loi applicable, ou dans le cadre d'une fusion/acquisition avec notification préalable.
• Nous n'utilisons pas vos données Google à des fins publicitaires, y compris la publicité personnalisée, le reciblage ou le profilage marketing.
• Nous n'autorisons aucun humain à lire vos données Google, sauf : (a) avec votre consentement explicite préalable, (b) à des fins de sécurité (enquête sur un abus), (c) pour se conformer à la loi applicable, ou (d) lorsque les données sont agrégées et anonymisées pour nos opérations internes.
• Aucun modèle d'IA générative n'est entraîné sur vos données Google.

9.3 Stockage, chiffrement et rétention

• Les tokens OAuth (access et refresh) sont chiffrés au repos (AES-256) dans notre base sécurisée et ne sont jamais exposés côté client.
• Les données GA4 sont récupérées quotidiennement, agrégées par jour et par source, stockées 60 jours glissants puis anonymisées.
• Les données GBP sont récupérées à la demande et ne sont pas persistées au-delà de la session sauf pour l'historique des posts publiés.
• Vous pouvez révoquer l'accès à tout moment depuis Réglages > Intégrations, ou depuis votre compte Google (myaccount.google.com/permissions). La révocation supprime immédiatement les tokens de nos serveurs.

9.4 Suppression sur demande

Pour supprimer l'intégralité des données Google collectées par PEAKSHI, écrivez à support@peakshi.com: suppression effective sous 30 jours, sauvegardes rotationnelles incluses.

Article 10, Modifications et contact

Toute modification substantielle de la présente politique fait l'objet d'une information préalable par email et d'une mise à jour de la mention de version en tête de document. Pour toute question relative à la protection de vos données : support@peakshi.com. Droit applicable : droit français, RGPD UE 2016/679, Loi n° 78-17 du 6 janvier 1978 modifiée.