Politique de confidentialité

1. Responsable de traitement

Clicavis · Entrepreneur individuel français.
Contact : infos@clicavis.com

Clicavis n'a pas désigné de Délégué à la Protection des Données (DPO) car son activité ne l'impose pas au sens de l'article 37 du RGPD. Toutefois, pour toute demande relative à la protection de vos données, vous pouvez contacter directement l'adresse ci-dessus.

2. Données collectées

Trois types de données sont traités selon votre rôle (visiteur de la page marketing, client d'un hôtel partenaire utilisant la webapp guest, ou administrateur d'hôtel) :

• Côté visiteur public (page d'accueil hotel.clicavis.com) : aucune donnée nominative collectée. Seules les données techniques minimales (User-Agent, adresse IP anonymisée) figurent dans les journaux serveur OVH pour la sécurité du service.
• Côté guest (webapp lue depuis la chambre d'hôtel) : la géolocalisation est demandée uniquement si vous activez explicitement la fonction « Autour de moi » ; elle reste sur votre appareil. Votre langue préférée est stockée localement (localStorage). Le numéro de chambre et le prénom éventuellement présents dans le lien fourni par l'hôtel sont utilisés uniquement pour personnaliser l'affichage en local, sans transmission ni stockage côté Clicavis.
• Côté gérant d'hôtel (espace administrateur) : email professionnel, mot de passe haché (bcrypt), nom et prénom, code de l'établissement, plan tarifaire, date d'inscription et dernière connexion. Liste des arrivées clients fournies par l'hôtelier (nom, prénom, numéro de chambre, date d'arrivée/départ, préférences) : traitée comme sous-traitant pour le compte de l'hôtelier responsable du fichier.

3. Cookies et stockage local

Le site utilise uniquement des cookies techniques strictement nécessaires, exemptés de consentement au sens de l'article 82 de la loi Informatique et Libertés :

• clicavis_admin_token (cookie HTTP, HttpOnly, SameSite=Lax, durée 24h) : maintient la session de l'administrateur d'hôtel après connexion.
• localStorage côté guest : mémorise la langue choisie et l'éventuelle dismiss de la modale d'avis client. Aucune donnée nominative.

Aucun cookie de mesure d'audience, de profilage ou de tracking publicitaire n'est utilisé actuellement. Si une mesure d'audience était ajoutée à l'avenir, elle reposerait sur une solution RGPD-friendly sans cookies (type Plausible Analytics). Cette politique serait alors mise à jour et un consentement sollicité.

4. Base légale et finalités

Les traitements reposent sur trois bases légales selon le contexte :

• Exécution du contrat (art. 6.1.b RGPD) : pour les hôteliers ayant souscrit un abonnement Clicavis Hôtel — traitement des données nécessaires au fonctionnement de l'espace administrateur et de la webapp guest.
• Intérêt légitime (art. 6.1.f RGPD) : pour les journaux serveur (sécurité, prévention des abus, statistiques agrégées anonymes).
• Consentement explicite (art. 6.1.a RGPD) : pour la géolocalisation côté guest, demandée via le navigateur uniquement à l'activation de la fonction.

5. Durée de conservation

• Données guest (langue, géolocalisation, prénom) : conservées localement uniquement, supprimées dès vidage du cache navigateur. Aucune conservation côté Clicavis.
• Liste des arrivées clients : conservée pour la durée nécessaire au service, purgée automatiquement au-delà de 90 jours via cron quotidien.
• Comptes administrateurs : conservés tant que l'abonnement Clicavis Hôtel est actif, supprimés sur demande ou en cas de résiliation de l'abonnement (droit à l'effacement, art. 17 RGPD).
• Journaux d'audit (actions super admin et hôtelier) : conservés 6 mois maximum, avec adresse IP pseudonymisée (hash HMAC) pour conformité CNIL.
• Journaux serveur OVH : conservés au maximum 13 mois, conformément aux recommandations CNIL.

6. Sous-traitants et destinataires

Aucune donnée personnelle n'est transmise à des tiers à des fins commerciales. Les sous-traitants techniques utilisés sont :

• OVH (ovh.com) — Hébergement du site et envoi des emails transactionnels. Serveurs situés en France, certifié ISO 27001, conformité RGPD. Sous-traitant principal.
• API Open-Meteo (open-meteo.com) — Récupération de la météo locale à partir de la latitude/longitude de l'hôtel. Aucune donnée utilisateur transmise.
• Bunny Fonts (fonts.bunny.net) — Chargement des polices typographiques sans cookies ni collecte de données personnelles. Alternative RGPD-friendly à Google Fonts.
• jsDelivr (cdn.jsdelivr.net) — Chargement de la librairie de génération du QR code Wi-Fi côté navigateur, avec contrôle d'intégrité SRI. Aucune donnée utilisateur transmise.
• OpenStreetMap, Overpass, Nominatim (openstreetmap.org, overpass-api.de, nominatim.openstreetmap.org) — Affichage des points d'intérêt autour de l'hôtel et géocodage d'adresses publiques. Aucune donnée utilisateur transmise.
• OSRM (router.project-osrm.org) — Calcul d'itinéraires depuis l'hôtel vers les points d'intérêt publics. Aucune donnée utilisateur transmise.
• QR Server (api.qrserver.com) — Génération du QR code 2FA, exclusivement dans l'interface super administrateur Clicavis. Aucun accès depuis l'espace client.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15) — obtenir confirmation et copie des données vous concernant.
• Droit de rectification (art. 16) — corriger des données inexactes ou incomplètes.
• Droit à l'effacement (art. 17) — demander la suppression de vos données. Implémenté côté serveur via un endpoint dédié.
• Droit à la limitation du traitement (art. 18).
• Droit à la portabilité (art. 20) — récupérer vos données dans un format structuré (JSON).
• Droit d'opposition (art. 21).

Pour exercer ces droits, écrivez à infos@clicavis.com. Nous répondrons sous 30 jours maximum.

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (cnil.fr) si vous estimez que vos droits ne sont pas respectés.

8. Sécurité

Les mesures techniques et organisationnelles mises en place incluent :

• Chiffrement HTTPS strict (HSTS 1 an) sur l'ensemble du service.
• Mots de passe hachés en bcrypt (cost 12), jamais stockés en clair.
• Authentification à deux facteurs (2FA TOTP) obligatoire pour les super administrateurs, avec protection anti-rejeu.
• Magic-link à usage unique avec expiration 48h pour la création de compte.
• Headers de sécurité stricts (CSP, X-Content-Type-Options, X-Frame-Options, Referrer-Policy).
• Rate-limiting sur les endpoints sensibles (login, get-arrivee).
• Journal d'audit horodaté et pseudonymisé pour toute action administrative.
• Backups quotidiens chiffrés, hors webroot, rétention 30 jours.

9. Modification de la politique

Clicavis se réserve le droit de modifier la présente politique à tout moment, notamment pour refléter les évolutions techniques, légales ou organisationnelles. La date de dernière mise à jour figure en haut du document. Toute modification substantielle (nouveau sous-traitant, nouveau traitement, etc.) fera l'objet d'une notification aux utilisateurs concernés.