Confidentialité

Responsable et portée

Le responsable du traitement est la société identifiée ci-dessus. Son adresse juridique est distincte de l’adresse d’exploitation du restaurant. Pour exercer un droit relatif aux données, utilisez la page Contact et sélectionnez « Confidentialité / données personnelles ». La demande est suivie dans l’administration ; une vérification d’identité limitée au nécessaire peut être demandée avant toute action.

Données, caractère volontaire et finalité

Les formulaires collectent le nom, un moyen de contact et le message. Le formulaire de contact collecte aussi la catégorie de la demande ; le formulaire groupe collecte la date, l’heure, le nombre de personnes et le type d’événement. Les données sont fournies volontairement et servent uniquement à traiter la demande et à recontacter son auteur. Sans nom ni moyen de contact, l’équipe ne peut pas répondre.

Le concierge enregistre les messages échangés, la langue, les réponses et le statut du traitement. Pour une demande nécessitant une réponse ultérieure, l’adresse email et l’accord transactionnel sont enregistrés afin d’envoyer uniquement la réponse validée et un lien sécurisé de reprise, sans marketing. Pour une demande de groupe, les informations sont enregistrées progressivement et les coordonnées ne sont demandées qu’à la fin du parcours. Pour un besoin alimentaire ou d’accessibilité, indiquez uniquement le besoin pratique, sans diagnostic ni détail médical.

Le chat ne doit contenir ni nom, email, téléphone, paiement, pièce d’identité, information médicale ni détail sur une allergie grave ; le formulaire séparé sert aux coordonnées. Les données ne sont pas réutilisées à des fins commerciales.

Destinataires et sécurité

L’accès est limité aux personnes autorisées du restaurant et aux prestataires nécessaires : OpenAI pour ChatGPT Sites et l’API du concierge, l’infrastructure Cloudflare et sa base D1, Resend (Plus Five Five, Inc.) pour les alertes et réponses transactionnelles, et Google pour la boîte Gmail interne. Pour générer une réponse, le site transmet à l’API OpenAI le message libre et un contexte récent filtrés, la langue, un identifiant technique pseudonyme et uniquement les informations publiques validées utiles. Les champs séparés nom, email et téléphone sont exclus ; les coordonnées détectables dans le texte sont refusées avant enregistrement. Une réponse libre sur un besoin alimentaire ou d’accessibilité est traitée une fois comme message, puis sa valeur structurée est retirée du contexte ultérieur. La requête utilise store:false. OpenAI n’a accès ni à l’administration, ni à Ontopo, ni aux données non publiées.

Une alerte interne contient seulement la catégorie, le niveau d’urgence, une référence et un lien restreint vers l’administration ; elle ne contient aucun nom, aucune coordonnée ni contenu de conversation.

Le site utilise HTTPS, une administration restreinte et des journaux d’envoi. Aucune mesure de sécurité ne supprime tout risque ; les accès et prestataires doivent être revus régulièrement.

Conservation et suppression

La politique active depuis le 2 septembre 2026 s’applique uniquement aux données enregistrées à compter de son activation. Elle efface automatiquement le texte libre 30 jours après la clôture, une demande close 90 jours après le plus tardif entre sa création et l’événement, toute demande restante après 365 jours selon ce même repère, et les événements statistiques individuels après 90 jours. Les données antérieures sont exclues de la purge automatique. Un journal technique conserve seulement les dates, statuts et compteurs agrégés, sans contenu personnel. Des copies temporaires de restauration peuvent subsister selon les délais techniques de Cloudflare D1 ; Resend annonce conserver ses données d’e-mail pendant 30 jours par défaut.

Une demande d’accès, de correction ou de suppression applicable peut être envoyée avec l’objet « Confidentialité / données personnelles » sur la page Contact. Une conservation plus longue peut être nécessaire pour un litige ou une obligation distincte.

Pour les nouvelles conversations, les messages et informations structurées sont effacés 30 jours après résolution ou clôture ; le dossier restant — email de suivi, preuve de consentement, alertes, décisions, statuts d’envoi et liens de reprise — est supprimé après 90 jours. Une conversation non clôturée est supprimée après 365 jours sans mise à jour. Le cookie HttpOnly strictement nécessaire expire après 365 jours ; un lien envoyé ou remis au client expire après 90 jours. Ces jetons sont cryptographiquement sûrs et seule leur empreinte est conservée. Les empreintes anti-abus ne sont plus utilisées après 48 heures ; elles deviennent alors éligibles à la suppression lors de la première purge quotidienne déclenchée par une activité ultérieure. Aucune suppression rétroactive n’est appliquée.

Statistiques et transferts

Le code du site n’intègre ni publicité, ni pixel marketing, ni outil d’analyse tiers. Il enregistre individuellement des événements de première partie limités au type d’action, à la langue et à un emplacement autorisé dans le site, sans nom, coordonnées ni message ; seuls leurs totaux sont affichés dans l’administration.

ChatGPT Sites ne garantit pas une résidence des données en Israël ; des traitements hors d’Israël sont donc possibles. Par défaut, l’API OpenAI peut conserver des journaux de surveillance des abus jusqu’à 30 jours et n’utilise pas les données API pour entraîner ses modèles sauf accord explicite. Resend conserve les données d’e-mail et journaux 30 jours sur ses offres courantes et traite les données aux États-Unis ; Google peut aussi traiter l’alerte Gmail hors d’Israël. Ces prestataires, leurs garanties contractuelles et leurs sous-traitants doivent être revus périodiquement.

Droits et cadre

La loi israélienne prévoit notamment des droits d’accès et de correction lorsque des données sont incorrectes, incomplètes, peu claires ou non à jour. Toute demande est vérifiée avant exécution. Cette page décrit le fonctionnement réel du site ; elle ne constitue pas une garantie juridique générale.