Politique de confidentialité

Cette politique explique comment Karu Reserv collecte, utilise et protège les données personnelles, sur le site karu-reserv.fr, dans le backoffice app.karu-reserv.fr et dans l'application mobile. Elle est conforme au Règlement général sur la protection des données (RGPD, règlement UE 2016/679) et à la loi Informatique et Libertés.

1. Qui est responsable de vos données ?

Le service est édité par :

Francis Piqueur EI, nom commercial Kazedia
SIREN 132 440 017 — 47 rue Vivienne, 75002 Paris, France
Contact données personnelles : rgpd@karu-reserv.fr

Kazedia intervient avec deux rôles différents :

Responsable de traitement pour les données des visiteurs du site, des comptes des commerces abonnés (gestion du compte, facturation, assistance) et pour la sécurité du service.
Sous-traitant (article 28 du RGPD) pour les données que chaque commerce enregistre dans le service : ses clients, ses commandes, les comptes de ses employés. Le commerce reste responsable de ces données. Si vous êtes client d'un commerce qui utilise Karu Reserv, adressez vos demandes en priorité à ce commerce. Ce cadre est détaillé dans l'accord de sous-traitance.

Aucun délégué à la protection des données (DPO) n'est désigné : l'article 37 du RGPD ne l'impose pas pour notre activité.

2. Données collectées et finalités

2.1 — Création et gestion du compte d'un commerce

Nom, prénom et email de l'administrateur ; mot de passe (stocké haché, jamais en clair)
Informations du commerce : nom, secteur, SIRET, adresse, téléphone, email
Abonnement choisi et historique de facturation

Finalités : créer le compte, fournir le service, facturer, assister le commerce.

2.2 — Utilisation du service (données confiées par le commerce)

Clients du commerce : nom, téléphone, email, préférences, historique de commandes
Commandes : produits, quantités, montants, dates, statuts, historique des modifications
Employés du commerce : nom, email, identifiant, rôle, code PIN (haché), appareils utilisés

Finalité : permettre au commerce de gérer ses commandes, sa production et d'informer ses clients (emails, SMS si l'option est activée). Nous traitons ces données uniquement sur instruction du commerce.

2.3 — Sécurité et fonctionnement technique

Adresse IP, date et heure des connexions, navigateur et appareil
Journal des actions sensibles (connexion, modification de droits, suppression)

Finalités : protéger les comptes, détecter les abus et les incidents, assurer la continuité.

2.4 — Navigation sur le site

Préférences de langue, de thème et choix concernant les cookies

2.5 — Contact et prospection

Les messages que vous nous envoyez (email, formulaire « Membres fondateurs ») servent à vous répondre. Nous pouvons envoyer aux commerces des informations sur le service ; chaque message permet de s'y opposer en un clic.

3. Bases légales

Exécution du contrat (art. 6.1.b) : compte, fourniture du service, facturation, assistance.
Obligation légale (art. 6.1.c) : conservation des factures et pièces comptables, réponse aux autorités.
Intérêt légitime (art. 6.1.f) : sécurité du service, prévention de la fraude, prospection auprès de professionnels, amélioration du service.
Consentement (art. 6.1.a) : tout éventuel cookie non nécessaire, qui ne serait déposé qu'avec votre accord. Vous pouvez le retirer à tout moment.

Pour les données confiées par un commerce (2.2), la base légale est choisie par le commerce, responsable de ces traitements.

4. Qui reçoit vos données ?

Vos données ne sont jamais vendues ni louées. Elles sont accessibles à Kazedia pour le support et la maintenance, dans la limite du nécessaire, et à nos prestataires techniques ci-dessous. Chacun est lié par un contrat conforme à l'article 28 du RGPD.

OVH SAS (France — serveurs à Roubaix et Strasbourg) — Hébergement de l'API, des bases de données et des images
Vercel Inc. (États-Unis) — Hébergement du site karu-reserv.fr et du backoffice
Cloudflare, Inc. (États-Unis) — Protection contre les attaques et les robots devant l'API
Brevo (Sendinblue SAS) (France) — Envoi des emails du service et des SMS aux clients des commerces (si l'option est activée)

5. Combien de temps les gardons-nous ?

Compte du commerce et données du service : pendant toute la durée de l'abonnement. Après une demande de suppression, un délai de 30 jours permet d'annuler ; les données sont ensuite supprimées définitivement.
Factures et pièces comptables : 10 ans (article L.123-22 du Code de commerce).
Prospects et contacts : 3 ans après le dernier échange.
Journaux de connexion et de sécurité : 12 mois maximum.
Sessions de connexion : 8 heures (jeton d'accès) et 30 jours (jeton de renouvellement).
Choix concernant les cookies : 6 mois, puis nous vous redemandons.

6. Transferts hors de l'Union européenne

Les bases de données du service sont hébergées en France, chez OVH (Roubaix et Strasbourg). Certains prestataires sont établis aux États-Unis (Vercel, Cloudflare). Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne (Data Privacy Framework) ou, à défaut, par les clauses contractuelles types de la Commission européenne. Les échanges sont chiffrés (HTTPS).

7. Vos droits

Vous disposez des droits suivants sur vos données :

Accès : obtenir une copie de vos données.
Rectification : faire corriger des données inexactes.
Effacement : demander la suppression, sauf obligation légale de conservation.
Limitation et opposition, notamment à la prospection.
Portabilité : recevoir vos données dans un format réutilisable (fichier Excel ou CSV).
Retrait du consentement à tout moment, lorsque le traitement repose sur votre accord.
Directives sur le sort de vos données après votre décès.

Écrivez à rgpd@karu-reserv.fr. Nous répondons sous un mois. Nous pouvons vous demander de justifier votre identité en cas de doute raisonnable. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

8. Cookies et traceurs

Les cookies non nécessaires ne sont déposés qu'après votre accord, recueilli par la bannière affichée lors de votre première visite. Refuser est aussi simple qu'accepter et n'empêche pas d'utiliser le site.

8.1 — Nécessaires au fonctionnement (sans consentement)

kes_access_token, kes_refresh_token — maintien de votre connexion (8 h / 30 jours).
kes_company_code — identification de votre commerce à la connexion.
kes_cookie_consent — mémorise vos choix sur les cookies (6 mois).
NEXT_LOCALE — langue choisie (1 an).
Stockage local du navigateur : indicateur de session, nom du commerce affiché, thème clair ou sombre, préférences d'affichage du backoffice.

8.2 — Mesure d'audience

Aucun outil de mesure d'audience n'est utilisé. Si nous en ajoutons un, il ne sera activé qu'avec votre accord et cette page sera mise à jour.

8.3 — Publicité

Aucun cookie publicitaire ni pixel de réseau social n'est utilisé.

8.4 — Modifier vos choix

Vous pouvez changer d'avis à tout moment : , ou via le lien « Gérer les cookies » en bas de chaque page.

9. Sécurité

Une base de données séparée pour chaque commerce : aucune donnée partagée entre commerces.
Chiffrement de tous les échanges (HTTPS) et des informations de connexion aux bases.
Jetons de connexion chiffrés, mots de passe et codes PIN hachés.
Protection contre les tentatives répétées de connexion et contre les robots.
Journalisation des actions sensibles pour détecter les incidents.

En cas de violation de données présentant un risque, nous prévenons la CNIL sous 72 heures et les commerces concernés dans les meilleurs délais (articles 33 et 34 du RGPD).

10. Paiement

Lorsque les offres payantes seront ouvertes, le paiement sera confié à un prestataire de paiement agréé. Kazedia n'aura jamais accès à vos numéros de carte bancaire. Le prestataire retenu sera ajouté à la liste de la section 4 avant toute facturation.

11. Modifications

Nous pouvons faire évoluer cette politique, notamment en cas de nouveau prestataire. La date en haut de page indique la dernière version. En cas de changement important, les commerces abonnés sont prévenus par email.

12. Contact

Pour toute question sur vos données : rgpd@karu-reserv.fr — Kazedia, 47 rue Vivienne, 75002 Paris, France.