Politique de confidentialité

La présente politique décrit les traitements de données à caractère personnel réalisés par MORGANETTE, société exploitant la Crêperie Bigoudène, dans le cadre du site creperiebigoudene.com, des contacts, réservations, commandes, devis, prestations de restaurant, traiteur, livraison, privatisation et événementiel, ainsi que des opérations de fidélisation, jeux, enquêtes, communication et prospection.

Elle s'applique aux visiteurs du Site, clients, prospects, participants à un événement, représentants de clients professionnels, fournisseurs, partenaires, candidats et personnes apparaissant sur des contenus photographiques ou audiovisuels gérés par MORGANETTE.

Les services externes accessibles depuis le Site disposent de leurs propres politiques lorsqu'ils agissent pour leur compte. Lorsque MORGANETTE sélectionne un prestataire pour traiter des données en son nom, elle veille à l'encadrer contractuellement conformément à la réglementation applicable.

Le responsable du traitement est MORGANETTE, SARL au capital de 10 000 euros, immatriculée au RCS de Lyon sous le numéro 880 042 478, dont le siège et l'établissement principal sont situés 21 avenue Debourg, 69007 Lyon.

Toute question ou demande relative aux données personnelles peut être adressée à contact@creperiebigoudene.com ou par courrier postal à : MORGANETTE — Protection des données, 21 avenue Debourg, 69007 Lyon.

Compte tenu de la nature et de l'échelle actuelles de ses activités, MORGANETTE n'a pas désigné de délégué à la protection des données. Le point de contact ci-dessus assure le traitement des demandes.

• Collecte limitée aux données utiles et proportionnées à la finalité annoncée.
• Utilisation pour des finalités déterminées, explicites et légitimes.
• Exactitude et mise à jour raisonnable des informations.
• Conservation limitée, avec archivage séparé lorsqu'une obligation légale ou la défense de droits l'exige.
• Accès réservé aux personnes et prestataires qui en ont besoin.
• Mesures de sécurité adaptées au niveau de risque.
• Absence de vente ou de location de fichiers de données personnelles à des tiers.

• Identité et coordonnées : nom, prénom, civilité, société, fonction, adresse postale, email, téléphone.
• Réservation et fréquentation : date, heure, nombre de personnes, historique de réservation, préférences de placement, commentaires utiles, présence ou absence.
• Commande et prestation : produits, menus, quantité, adresse de livraison, lieu de l'événement, planning, devis, options, correspondances, demandes de service.
• Allergies et régimes : allergies déclarées, intolérances, restrictions ou régimes nécessaires à la préparation et au service en sécurité.
• Paiement et facturation : montant, mode de paiement, statut de transaction, référence de paiement, factures et écritures. MORGANETTE n'a pas vocation à conserver le cryptogramme ni le numéro complet de carte.
• Relation commerciale : demandes, réclamations, incidents, gestes commerciaux, préférences, consentements, opposition à la prospection.
• Fidélité, jeux et événements : inscription, participation, réponses à un quiz ou sondage, gains, date d'anniversaire si volontairement communiquée pour un avantage annoncé.
• Images et contenus : photographies, vidéos, témoignages, avis ou contenus transmis, uniquement dans le cadre décrit au moment de la collecte.
• Navigation et sécurité : adresse IP, journaux techniques, navigateur, terminal, horodatages, pages consultées, choix cookies, données de prévention des fraudes.
• Candidatures et partenaires : CV, parcours, disponibilité, coordonnées professionnelles, échanges et informations nécessaires à la relation fournisseur ou partenaire.

MORGANETTE demande de ne pas transmettre de données excessives, notamment de documents d'identité, données bancaires complètes ou informations médicales autres que celles strictement nécessaires à la sécurité alimentaire de la prestation.

Les données sont principalement collectées directement auprès de la personne, notamment lors d'un formulaire, d'un appel, d'un email, d'une réservation, d'une commande, d'un paiement, d'un devis, d'un échange au restaurant, d'une inscription à une communication ou d'un événement.

Elles peuvent également être communiquées par l'organisateur d'un événement, un employeur réservant pour ses salariés, un proche effectuant une réservation, une plateforme de réservation ou paiement, un partenaire, un réseau social ou un prestataire de formulaire. Dans ce cas, la personne qui transmet les données doit être autorisée à le faire et informer les personnes concernées lorsque nécessaire.

• Répondre aux demandes, préparer un devis ou une réservation — mesures précontractuelles et intérêt légitime.
• Exécuter une réservation, commande, prestation traiteur, privatisation ou événement — exécution du contrat.
• Livraison, installation, service et coordination — exécution du contrat ; intérêt légitime à une organisation efficace.
• Facturation, comptabilité, obligations fiscales — obligations légales et réglementaires.
• Gestion des paiements, impayés, remboursements et prévention de la fraude — exécution du contrat, obligations légales, intérêt légitime à sécuriser les transactions.
• Gestion des réclamations, incidents, contentieux et preuve — exécution du contrat, intérêt légitime, obligations légales.
• Traitement des allergies ou informations de santé — consentement explicite ; protection des intérêts vitaux en urgence.
• Newsletter et offres à des prospects particuliers — consentement préalable, retrait possible à tout moment.
• Offres relatives à des services analogues adressées à des clients existants — intérêt légitime et régime légal applicable, avec opposition simple.
• Prospection auprès de contacts professionnels en lien avec leur activité — intérêt légitime, sous réserve du droit d'opposition.
• Fidélisation, Club Bigoudène, avantages, jeux et tirages — exécution des conditions ; consentement lorsque nécessaire.
• Enquêtes de satisfaction et amélioration des services — intérêt légitime, avec droit d'opposition.
• Publication d'une photo, vidéo ou témoignage identifiable — consentement ou autorisation spécifique.
• Sécurité du Site, détection d'incidents, journaux techniques — intérêt légitime.
• Cookies non strictement nécessaires — consentement.
• Cookies strictement nécessaires — nécessité technique et intérêt légitime au fonctionnement.
• Gestion des candidatures — mesures précontractuelles et intérêt légitime.
• Gestion des fournisseurs et partenaires — exécution du contrat et intérêt légitime.

Les champs identifiés comme obligatoires sont nécessaires pour traiter la demande ou exécuter la prestation. À défaut, MORGANETTE peut être dans l'impossibilité de confirmer une réservation, établir un devis, livrer, facturer ou répondre utilement.

Les données facultatives permettent de personnaliser le service. La personne peut ne pas les fournir sans perdre l'accès au service principal, sauf lorsque l'information est objectivement nécessaire à la sécurité ou à la prestation demandée.

Une allergie ou une information de santé est susceptible de relever d'une catégorie particulière de données au sens du RGPD. MORGANETTE ne demande que les informations nécessaires à la sécurité de la préparation et du service.

La personne concernée, ou l'organisateur agissant avec son autorisation, doit déclarer l'allergie de manière claire. Lorsqu'un formulaire est utilisé, une case distincte permet de donner un consentement explicite au traitement de cette information pour la prestation concernée.

Ces informations ne sont jamais utilisées à des fins publicitaires, de profilage ou de sélection commerciale. Elles sont accessibles uniquement aux personnes qui doivent organiser ou réaliser la prestation. Elles sont supprimées rapidement après l'événement, sauf incident, réclamation ou obligation de preuve justifiant un archivage limité.

Le retrait du consentement reste possible avant la prestation ; toutefois, si l'information est indispensable pour servir la personne en sécurité, MORGANETTE pourra ne pas être en mesure de proposer la préparation concernée.

Dans la limite de leurs attributions, les données peuvent être accessibles à la gérance, aux équipes administratives, commerciales, de salle, cuisine et événementiel de MORGANETTE, ainsi qu'aux personnes autorisées chargées de la comptabilité, du support ou de la gestion des réclamations.

Elles peuvent également être communiquées aux catégories de destinataires suivantes, uniquement pour les besoins de leur mission :

• prestataires de conception, déploiement, hébergement, base de données, sécurité réseau et sauvegarde ;
• solutions de réservation, formulaire, emailing, SMS, fidélité, sondage ou billetterie effectivement utilisées ;
• prestataires de paiement, banques et services de lutte contre la fraude ;
• transporteurs, livreurs, loueurs, intervenants techniques ou partenaires nécessaires à l'événement ;
• cabinet comptable, conseil juridique, assureur, commissaire de justice ou prestataire de recouvrement ;
• administrations, autorités, juridictions ou organismes légalement habilités.

MORGANETTE ne communique pas les données à des partenaires pour leur propre prospection sans information appropriée et, lorsque requis, consentement valable.

• Lovable Labs Incorporated — conception et déploiement applicatif du Site. États-Unis ; transferts encadrés conformément au chapitre V du RGPD.
• Supabase, Inc. — base de données, authentification, fonctions backend, stockage technique. États-Unis ; transferts encadrés le cas échéant.
• Cloudflare, Inc. — sécurité réseau, CDN, routage et journaux techniques. Réseau international ; garanties contractuelles applicables.
• Prestataire de réservation / paiement / emailing — gestion de la fonction activée et des messages nécessaires. Le nom du prestataire effectivement utilisé est indiqué dans l'interface, le formulaire ou le relevé de paiement.

La liste des prestataires peut évoluer. MORGANETTE met la présente politique à jour en cas de changement significatif et tient à disposition, sur demande légitime, des informations complémentaires sur les catégories de sous-traitants utilisées.

Certains prestataires techniques ou leurs sous-traitants peuvent être établis ou opérer hors de l'EEE, notamment aux États-Unis. Dans ce cas, MORGANETTE veille à ce que le transfert repose sur un mécanisme autorisé : décision d'adéquation applicable, certification pertinente, clauses contractuelles types de la Commission européenne, mesures supplémentaires appropriées ou dérogation légale ponctuelle.

La personne concernée peut demander des informations sur les garanties applicables à un transfert en écrivant à contact@creperiebigoudene.com, sous réserve de la protection des informations confidentielles et de sécurité.

• Demande de contact ou prospect sans contrat : jusqu'à 3 ans à compter du dernier contact actif.
• Devis non accepté : jusqu'à 3 ans après le dernier échange utile.
• Réservation, commande et relation client : pendant la relation ; jusqu'à 3 ans après sa fin, puis archivage probatoire limité si nécessaire.
• Contrats, devis acceptés, preuves et réclamations : jusqu'à 5 ans en archivage intermédiaire pour la preuve.
• Factures et pièces comptables : 10 ans à compter de la clôture de l'exercice.
• Données de paiement : aucun numéro complet de carte ni cryptogramme conservé. Le prestataire conserve les données nécessaires selon les délais légaux (13 mois après le débit, 15 mois pour une carte à débit différé).
• Allergies et données sensibles : jusqu'à 30 jours après la prestation, puis suppression.
• Prospection auprès d'un client : jusqu'à 3 ans après la fin de la relation ou le dernier contact actif.
• Prospection auprès d'un prospect : jusqu'au retrait du consentement ou 3 ans maximum.
• Opposition à la prospection : au moins 3 ans dans une liste d'opposition.
• Jeux et concours : généralement 3 ans ; justificatifs comptables 10 ans le cas échéant.
• Photographies / vidéos autorisées : durée de l'autorisation ou jusqu'au retrait du consentement.
• Journaux techniques et sécurité : 6 à 12 mois, sauf incident.
• Candidatures non retenues : jusqu'à 2 ans après le dernier contact.
• Choix cookies : en principe 6 mois.
• Cookies / traceurs : durée indiquée dans le gestionnaire de consentement.

À l'issue de la durée active, certaines données peuvent être placées en archivage intermédiaire avec accès limité lorsqu'elles sont nécessaires à une obligation légale, un contrôle, un contentieux ou la défense de droits. Elles sont ensuite supprimées ou anonymisées.

Les prospects particuliers reçoivent des communications électroniques uniquement après un consentement valable, sauf autre base légale applicable. Les clients peuvent recevoir des offres portant sur des produits ou services analogues à ceux déjà commandés, sous réserve d'avoir été informés et de pouvoir s'y opposer facilement.

Les contacts professionnels peuvent recevoir des messages en lien avec leur activité ou leur fonction sur le fondement de l'intérêt légitime, avec droit d'opposition à tout moment.

Chaque message électronique commercial comporte un moyen simple et gratuit de se désinscrire. Le retrait du consentement ou l'opposition n'affecte pas les communications indispensables à une réservation, une commande, une facture, un rappel de sécurité ou l'exécution d'un contrat.

MORGANETTE ne transmet pas une adresse à un tiers pour sa prospection propre sans consentement lorsque celui-ci est requis.

Les photographies de plats, buffets, décors ou installations ne permettant pas d'identifier une personne peuvent être utilisées pour présenter l'activité. Les images sur lesquelles une personne est clairement identifiable ne sont publiées à des fins de communication qu'avec une autorisation appropriée ou un autre fondement légal clairement expliqué.

Une personne peut retirer son consentement pour les utilisations futures en contactant MORGANETTE. Le retrait ne remet pas en cause la licéité des publications antérieures et peut ne pas permettre le retrait immédiat de supports imprimés déjà diffusés ; MORGANETTE cessera néanmoins les nouveaux usages dans un délai raisonnable.

Les interactions réalisées directement sur les réseaux sociaux sont également soumises aux politiques des plateformes concernées, qui peuvent agir comme responsables de traitement distincts.

Lorsqu'un avis ou témoignage est collecté directement, MORGANETTE peut le publier avec l'accord ou l'information appropriée, en limitant les informations d'identification. La personne peut demander la correction, l'anonymisation ou le retrait dans les limites légales.

Les avis déposés sur une plateforme tierce sont traités selon les règles de cette plateforme. MORGANETTE peut répondre publiquement sans divulguer d'informations confidentielles sur la réservation ou le litige.

Un cookie ou traceur est une information enregistrée ou lue sur le terminal d'un utilisateur. Certains sont indispensables au fonctionnement du Site ; d'autres servent à mesurer l'audience, afficher une carte, lire une vidéo, faciliter une réservation, personnaliser un contenu ou mesurer une campagne.

16.1 Catégories utilisées ou susceptibles d'être utilisées

16.2 Gestion du consentement

16.3 Paramétrage du navigateur

MORGANETTE met en œuvre des mesures techniques et organisationnelles proportionnées : contrôle des accès, mots de passe et authentification adaptés, mises à jour, sauvegardes, chiffrement des flux lorsque disponible, limitation des habilitations, sensibilisation des équipes, contrats de sous-traitance et procédures de gestion des incidents.

Aucun système ne garantit une sécurité absolue. En cas de violation susceptible d'engendrer un risque pour les droits et libertés, MORGANETTE évalue l'incident, le documente et procède aux notifications requises auprès de la CNIL et, lorsque le risque est élevé, des personnes concernées.

L'utilisateur doit éviter d'envoyer des informations sensibles par un canal non sécurisé et signaler rapidement toute suspicion d'usage frauduleux ou d'accès non autorisé.

MORGANETTE ne prend pas, dans le cadre courant de ses services, de décision produisant des effets juridiques ou affectant significativement une personne sur le seul fondement d'un traitement automatisé. Des outils peuvent aider à classer des demandes, détecter une fraude ou mesurer une campagne, mais une intervention humaine est possible lorsque la situation l'exige.

Selon la base juridique et les conditions prévues par la réglementation, toute personne dispose des droits suivants :

• droit d'accès à ses données et à des informations sur leur traitement ;
• droit de rectification des données inexactes ou incomplètes ;
• droit à l'effacement dans les cas prévus par la loi ;
• droit à la limitation temporaire du traitement ;
• droit d'opposition, notamment à toute prospection commerciale ;
• droit à la portabilité des données fournies, dans les cas prévus ;
• droit de retirer son consentement à tout moment, sans effet rétroactif ;
• droit de définir des directives relatives au sort des données après le décès.

Pour exercer vos droits, écrivez à contact@creperiebigoudene.com. Une vérification d'identité peut être demandée. Réponse dans un délai d'un mois (prolongeable à 3 mois pour les demandes complexes).

Réclamation auprès de la CNIL : www.cnil.fr — 3 Place de Fontenoy, 75007 Paris.

Le Site et les services de réservation sont destinés en priorité aux adultes. MORGANETTE ne cherche pas à collecter directement des données de mineurs sans l'intervention d'un représentant légal. Les inscriptions à un jeu, une communication ou une publication d'image concernant un mineur sont encadrées par les autorisations nécessaires.

Lorsqu'un adulte réserve pour un enfant, il ne transmet que les informations strictement nécessaires à la prestation, notamment une allergie ou un besoin alimentaire utile à la sécurité.

Le Site peut contenir des liens vers des services de cartographie, réservation, paiement, avis, réseaux sociaux ou billetterie. Un simple lien externe n'entraîne pas nécessairement une transmission de données avant le clic. Un contenu intégré peut en revanche permettre au tiers de recevoir des données techniques ; il est alors bloqué jusqu'au consentement lorsque celui-ci est requis.

MORGANETTE invite l'utilisateur à consulter la politique du service tiers. Elle n'est pas responsable des traitements que ce tiers réalise pour ses propres finalités.

La présente politique peut être mise à jour pour tenir compte d'évolutions techniques, légales ou des services. La version applicable est celle publiée sur le Site à la date de consultation. Toute modification substantielle est portée à la connaissance des personnes concernées par un moyen approprié.