Politique de confidentialité

Responsable du traitement

Le responsable du traitement est Charef El Kaid, établi à 149 avenue de Lespinet, 31400 Toulouse, France.

Données collectées

Le parcours Démarrer un projet collecte uniquement les informations nécessaires à la qualification initiale :

• activité, type de projet, besoins, calendrier et budget indicatif ;
• nom, email professionnel et, s’il est fourni, téléphone ;
• message libre, référence du projet et données techniques minimales de sécurité ;
• état et historique de traitement ajoutés par le propriétaire dans Control Lite.

Les réponses restent temporairement dans le stockage local du navigateur pendant le brouillon. Elles sont effacées après un envoi réussi ou peuvent être supprimées par la personne.

Pour fournir SILLAGE, e-Pilots traite également :

• l’identité professionnelle, l’adresse email et les données de connexion du client, y compris celles communiquées par Google avec son accord ;
• les choix de configuration, contenus, médias et informations légales du restaurant ;
• les références nécessaires à la commande, à l’abonnement et à la facturation, le paiement lui-même étant réalisé sur l’interface hébergée de Stripe ;
• lorsque le module est activé, les demandes de réservation reçues par le restaurant : nom, coordonnées, date, heure, nombre de personnes, message non sensible, statut et horodatages.

Le formulaire de réservation ne doit pas être utilisé pour communiquer une allergie, une donnée médicale ou une autre donnée sensible.

Pour le configurateur MATIÈRE, e-Pilots traite également :

• l’identité du compte Google choisie par la personne, limitée au nom, à l’adresse email vérifiée et à l’identifiant technique du compte ;
• les textes de présentation, projets, savoir-faire et coordonnées enregistrés volontairement dans le brouillon ;
• un identifiant technique de brouillon et les traces de connexion strictement nécessaires à la sécurité.

Essai RIVE avant connexion

La conservation de cet essai sur votre appareil permet de fournir la personnalisation que vous demandez. L’enregistrement dans le compte relève ensuite des mesures précontractuelles ou du contrat RIVE. Le détail des stockages figure dans la page Cookies et stockage local.

Finalités et bases juridiques

• répondre à la demande, qualifier le projet et préparer d’éventuelles mesures précontractuelles ;
• assurer le suivi de la demande dans Control Lite ;
• protéger le formulaire, limiter les abus et conserver les traces strictement nécessaires à la sécurité, sur la base de l’intérêt légitime.
• créer, administrer et sécuriser l’espace SILLAGE, exécuter l’abonnement et fournir le site commandé, sur la base du contrat ou des mesures précontractuelles ;
• créer, restaurer et sécuriser le brouillon MATIÈRE demandé par la personne, au titre des mesures précontractuelles ;
• respecter les obligations comptables et fiscales applicables à la facturation ;
• pour les demandes de réservation, agir uniquement comme sous-traitant du restaurant, sur ses instructions documentées. Le restaurant reste responsable du traitement et doit afficher sa propre information aux personnes qui réservent.

Destinataires et stockage

Les demandes sont enregistrées dans PostgreSQL et accessibles à l’unique propriétaire authentifié dans Control Lite. Les prestataires techniques nécessaires à l’hébergement et à la maintenance peuvent traiter les données dans les limites de leur mission. Aucun destinataire commercial tiers n’est prévu par défaut.

Les prestataires techniques actifs sont l’hébergeur Hetzner en Allemagne, Google Workspace pour les emails transactionnels et Stripe pour le paiement, l’abonnement et la facturation. Ils ne reçoivent que les données nécessaires à leur mission. Google et Stripe peuvent effectuer certains traitements hors de l’Espace économique européen selon leurs conditions et mécanismes de transfert applicables. Leurs engagements contractuels et la configuration du compte doivent être vérifiés et archivés avant la mise en vente.

Durée de conservation

3 ans à compter du dernier échange

• les brouillons MATIÈRE inactifs sont conservés au maximum 90 jours avant leur expiration ;
• les demandes de réservation sont supprimées 30 jours après la date de service, conformément à l’instruction contractuelle du restaurant ;
• les données de l’environnement actif SILLAGE sont supprimées dans les 30 jours suivant la fin effective de l’abonnement, après la période d’export ;
• les factures et pièces comptables nécessaires sont archivées séparément pendant dix ans ; elles ne justifient pas de conserver l’ensemble du site ou des réservations ;
• les cookies et stockages du navigateur sont détaillés sur la page Cookies et stockage local.

Vos droits

Selon la réglementation applicable, vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou l’opposition, et exercer les droits pertinents à votre situation auprès de contact@e-pilots.com.

Pour une demande de réservation, la personne s’adresse en priorité au restaurant concerné. e-Pilots l’assiste pour répondre aux demandes portant sur les données traitées dans SILLAGE.

Si vous estimez que votre demande n’a pas été correctement traitée, vous pouvez consulter la procédure de réclamation de la CNIL.

Mesure facultative des Éditions

Avec votre consentement, e-Pilots mesure les visites et les clics de l’accueil, du catalogue et des fiches MATIÈRE, SILLAGE et RIVE pour comprendre les contenus consultés et améliorer le parcours de personnalisation. Aucun traceur publicitaire ni Google Analytics n’est utilisé.

Les données sont un identifiant aléatoire de session d’onglet, le chemin public parmi ces cinq pages, le clic vers la personnalisation d’une Édition, la date serveur, la catégorie de provenance et les libellés UTM source, medium et campagne. Aucun contenu d’éditeur, compte ou identifiant client, coordonnée ou terme de recherche n’est collecté par ce dispositif. L’adresse IP sert transitoirement à limiter les abus, par empreinte en mémoire pendant 5 minutes ; elle n’est pas enregistrée dans les événements statistiques.

La base légale de cette mesure facultative est le consentement. Les événements sont conservés 13 mois au maximum dans la base e-Pilots hébergée chez Hetzner en Allemagne, accessibles uniquement au propriétaire autorisé dans Control et aux intervenants techniques habilités. Aucun fournisseur publicitaire n’en est destinataire et aucun transfert hors de l’Union européenne n’est organisé pour ce dispositif.

Votre accord ou refus est mémorisé pendant 180 jours ; le contexte de mesure reste propre à l’onglet. Vous pouvez modifier votre choix ou retirer votre accord à tout moment, sans conséquence sur l’accès aux services et sans remettre en cause les traitements déjà effectués. Les droits et le contact indiqués dans cette politique s’appliquent. Les signaux Do Not Track et Global Privacy Control désactivent la mesure.

Les compteurs opérationnels de brouillons enregistrés et d’abonnements sont obtenus séparément à partir des données nécessaires au service et au contrat, déjà décrites dans cette politique. Les statistiques de navigation ne sont pas rapprochées de l’identité des clients ou des paiements.

RIVE — complément propre au service

Ces informations concernent RIVE, sans remplacer les règles des autres prestations. Elles complètent les conditions autonomes RIVE.

Information Rive D. Compte, paiement et contenus

Le prestataire identifié en tête du document est responsable des traitements nécessaires au compte, aux mesures précontractuelles, à l’abonnement, à la facturation, au support et à la protection du service. L’exécution du contrat ou des mesures demandées fonde la gestion du service ; les obligations légales fondent les pièces obligatoires ; l’intérêt légitime de protection du service fonde les traces de sécurité proportionnées. Cette information n’est pas un consentement publicitaire et aucune décision commerciale n’est prise exclusivement par un profilage automatisé.

Le compte traite le nom, l’e-mail vérifié et l’identifiant de connexion Google ou les éléments d’accès par e-mail prévus par le service, ainsi que les références techniques de session. Le client choisit lui-même son compte Google. Le service ne demande ni accès à ses contacts, ni lecture de sa boîte Gmail. Les références de commande, d’abonnement et de facture ne comprennent pas le numéro complet de carte : le paiement est saisi chez Stripe. Les informations obligatoires sont nécessaires au compte et à l’abonnement ; leur absence peut empêcher la fourniture du service.

Pour les contenus personnels confiés à l’hébergement du site, le client reste responsable du traitement et e-Pilots agit comme sous-traitant dans les limites des annexes A à C. Aucun module de réservation ou de paiement pour les visiteurs n’est inclus dans Rive. Les visiteurs du site du client ne deviennent pas automatiquement des prospects d’e-Pilots.

Information Rive E. Destinataires, durées et droits

L’Owner habilité et les prestataires nécessaires n’accèdent qu’aux informations utiles à leurs missions. Le registre déclaré ci-après précise les traitements, rôles, lieux, accords et éventuelles garanties de transfert. L’hébergement, la connexion Google, le courrier et le paiement sont des missions distinctes : un accord concernant l’une ne justifie pas l’envoi de tous les contenus aux autres. Les informations ne sont ni vendues ni utilisées pour entraîner une IA par e-Pilots.

La fermeture d’un seul site Rive ne supprime pas un compte encore nécessaire à une autre Édition. Les durées du compte commun, des sessions, des journaux, du support, des preuves commerciales et des marqueurs sont déclarées séparément ci-après, avec leur finalité et point de départ. Une session est inutilisable après trente jours d’inactivité et, en tout état de cause, quatre-vingt-dix jours depuis son émission ; cette expiration d’accès n’est pas, à elle seule, la suppression de la ligne en base. Une archive de preuve ne contient pas par commodité toutes les photos du site. Une conservation exceptionnelle pour contentieux reste ciblée et assortie d’un réexamen.

Les personnes peuvent exercer leurs droits d’accès, de rectification, d’effacement, de limitation, d’opposition et, dans les cas prévus, de portabilité auprès du contact de confidentialité indiqué en tête du document. Pour les contenus du site, elles s’adressent en priorité au client responsable, qu’e-Pilots assiste. Une vérification d’identité proportionnée peut être nécessaire. Une réclamation peut être adressée à la CNIL sur cnil.fr ; l’exercice d’un droit ne suppose pas l’achat d’un autre service. Aucun traceur publicitaire ou outil d’audience nécessitant un consentement n’est activé par défaut.

Information déclarée — Registre des prestataires et transferts

Hetzner Online GmbH héberge l’application, la base, les contenus, les versions et les sauvegardes serveur dans le périmètre européen convenu ; accord de sous-traitance v1.2 conclu le 17 octobre 2026. Google Workspace, avec Google Cloud France SARL identifiée sur la facture par le propriétaire, traite le courrier et l’assistance ; ATDC accepté le 26 septembre 2026. Des traitements internationaux restent possibles selon les garanties contractuelles applicables. La connexion Google OpenID Connect est distincte : elle utilise openid, email et profile, sans lecture Gmail ni contacts ; Google Ireland Limited est le responsable généralement annoncé pour les utilisateurs EEE. L’accord Workspace ne couvre pas automatiquement cette connexion. Stripe traite l’abonnement et le paiement, sans recevoir les photographies Rive ; Stripe Payments Europe, Limited et, selon les services, Stripe Technology Europe, Limited interviennent au titre du SSA et du DPA incorporé. Stripe agit comme sous-traitant pour certaines opérations et comme responsable distinct notamment pour la fraude et la conformité. Les garanties de transferts des prestataires s’appliquent sans promesse de localisation exclusivement européenne de tous les traitements. Les avis contractuels sont suivis sur les comptes professionnels existants. Une copie indépendante chiffrée est conservée sous la garde interne du propriétaire sur son Mac ; ce n’est pas un fournisseur supplémentaire.

Information déclarée — Compte commun et demandes de fermeture

Le profil courant d’un compte ayant acheté est conservé pendant les services puis 90 jours après la plus tardive de la fin du dernier service et de la clôture des transferts ou restitutions, avec information 30 jours avant fermeture. Pour un compte n’ayant jamais acheté : deux ans sans action volontaire, avec information 30 jours avant. La fermeture de Rive ne ferme pas une autre Édition encore nécessaire. Les demandes anticipées applicables sont examinées. L’essai Rive suit son délai distinct de 90 jours sans modification et son préavis de sept jours complets ; une version retirée suit son délai de 30 jours depuis retrait. Restitution et transfert disposent chacun de leur délai propre d’au moins 30 jours après l’événement vérifié pertinent.

Information déclarée — Connexions et journaux de sécurité

Les événements minimaux de sécurité sont conservés six mois depuis l’événement. Un extrait ciblé pour incident peut être gelé sur justification, avec réexamen tous les 90 jours ; cela n’autorise pas l’archivage de secrets, jetons, photos, contenus du site ou requêtes complètes. Une session expire après 30 jours d’inactivité et au plus tard 90 jours après émission ; une transaction Google expire après dix minutes. L’expiration d’accès n’est pas la suppression physique de la ligne en base. Aucun nettoyage physique automatique sous 24 heures n’est annoncé comme actif.

Information déclarée — Échanges d’assistance

Les échanges nécessaires à l’assistance sont conservés pendant le traitement puis douze mois après clôture. Les pièces jointes de diagnostic sont conservées au plus 30 jours après clôture, sauf justification ciblée. Seule la réouverture humaine du même incident peut faire évoluer son échéance ; une relance automatique ne la repousse pas. Toute la boîte de courrier n’est pas archivée par commodité.

Information déclarée — Preuves commerciales sélectives

Le contrat, sa version, l’acceptation et les références nécessaires sont conservés dans une archive restreinte cinq ans après la fin effective de la relation concernée ; les instructions et demandes de droits, cinq ans après clôture du dossier. Les prescriptions particulières et interruptions font l’objet d’un examen ciblé. Les octets d’acceptation déjà enregistrés ne sont pas reconstruits depuis de nouvelles conditions. Les pièces comptables authentiques nécessaires sont conservées dix ans depuis clôture de l’exercice ; une référence Stripe ne recrée pas une facture. L’identification liée à l’hébergement porte uniquement sur les données réellement détenues : identité et coordonnées, cinq années calendaires après fin du contrat ; identifiants et références de paiement, un an après fin du contrat concerné ; données d’origine et de protocole d’une opération de contenu, un an depuis l’opération seulement si effectivement collectées. Aucune collecte supplémentaire de pièce d’identité ou d’IP n’est ajoutée à ce titre ; les photos ne sont pas conservées cinq ans pour cette finalité. Une horloge historique absente n’est pas inventée et bloque une suppression fondée sur cette horloge.

Information déclarée — Marqueurs de clôture et de routage

Les marqueurs minimaux de clôture et de routage restent conservés jusqu’à neutralisation attestée de chaque copie restaurable et mécanisme de rejeu concernés, puis 30 jours. Une cible de 60 jours n’est applicable que si toutes les copies sont réellement bornées à 30 jours et qu’aucun autre rejeu n’est possible. Un inventaire incomplet ou une autorité indépendante absente bloque la purge et la réouverture d’une ancienne copie. Le besoin est réexaminé de façon motivée tous les 90 jours, sans prolongation de l’usage commercial des contenus. Les objectifs de reprise sont sept jours sur serveur et 30 jours hors serveur depuis la capture d’origine, sous réserve des lots protégés ou partagés. Les copies historiques partagées ne sont pas déclarées supprimées : aucun délai global de disparition de toutes les sauvegardes n’est garanti sans vérification de leur inventaire et de leur rotation effective.

Sécurité et mises à jour

L’accès privé repose sur une session serveur, la base de données n’est pas exposée publiquement et les entrées externes sont validées côté serveur. Ces mesures réduisent les risques sans constituer une garantie absolue. La présente politique, version du 26 septembre 2026, est mise à jour lorsque les traitements ou prestataires évoluent.