Politique de confidentialité

Elle est rédigée conformément aux textes suivants : - Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données personnelles (RGPD) - Loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, telle que modifiée par la loi n° 2018-493 du 20 juin 2018 - Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN) - Article L.34-5 du Code des postes et des communications électroniques (CPCE) - Délibération CNIL n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives aux cookies et traceurs - Règlement (UE) 2024/1689 du Parlement européen et du Conseil (AI Act)

Le responsable du traitement des données collectées via le site lyveon.fr est : - LYVEON SAS - 25 rue de Ponthieu, 75008 Paris, France - SIREN : 999 657 026 - Email : contact@lyveon.fr

S'agissant des données traitées dans le cadre du service de réservation pour le compte d'un Restaurant partenaire, le Restaurant est responsable de traitement et LYVEON intervient en qualité de sous-traitant au sens de l'article 28 du RGPD.

Lorsque la fonctionnalité de profil client partagé (« CRM Global ») est activée avec le consentement de l'Utilisateur, LYVEON et les Restaurants participants agissent en qualité de responsables conjoints au sens de l'article 26 du RGPD. Les modalités de cette responsabilité conjointe sont définies par accord entre LYVEON et chaque Restaurant concerné ; un résumé est disponible sur demande à l'adresse contact@lyveon.fr.

LYVEON collecte et traite les données personnelles selon les finalités et bases légales spécifiées ci-après.

Lorsque le Restaurant participe au réseau CRM Global de LYVEON et que l'Utilisateur y a expressément consenti via une case à cocher dédiée et distincte lors de sa réservation, les données suivantes peuvent être partagées avec d'autres établissements du réseau LYVEON : - données d'identification : nom, prénom, numéro de téléphone, adresse email - historique simplifié des visites : date, nom du restaurant visité, heure, nombre de couverts, statut de la visite

Ce partage a pour unique finalité de permettre une reconnaissance et un accueil personnalisé lors des visites dans d'autres établissements du réseau.

Ce consentement est : - strictement facultatif et distinct de l'acceptation des CGU - révocable à tout moment, sans frais, soit en cliquant sur le lien de désactivation figurant dans les emails de confirmation de réservation, soit via le formulaire de contact disponible sur lyveon.fr, soit en écrivant à contact@lyveon.fr. Le retrait du consentement entraîne la suppression du profil partagé dans un délai de 30 jours et n'affecte pas la licéité des traitements effectués avant ce retrait.

Les données relatives aux allergies alimentaires ou à tout autre élément de nature médicale ne sont en aucun cas incluses dans le profil partagé CRM Global.

Données de réservation et de contact (clients actifs) — Pendant toute la durée de la relation, puis 3 ans à compter du dernier contact ou de la dernière réservation, conformément aux recommandations de la CNIL.

Données comptables et financières (transactions, empreintes bancaires) — 10 ans à compter de la clôture de l'exercice, conformément à l'article L.123-22 du Code de commerce.

Journaux de communication (SMS, emails) — 180 jours maximum.

Logs vocaux IA (ElevenLabs) — 30 jours à compter du traitement de l'appel.

Preuves de consentement (CGU, CRM Global, allergies) — 3 ans à compter du recueil du consentement.

Journaux d'audit et de sécurité — 5 ans.

Données suite à demande d'effacement — Suppression ou anonymisation dans un délai de 30 jours, sauf obligation légale de conservation.

À l'expiration de ces durées, les données sont supprimées définitivement ou anonymisées de manière irréversible.

LYVEON ne vend ni ne cède les données personnelles à des tiers à des fins commerciales.

Dans le cadre de la fourniture du service, LYVEON fait appel aux sous-traitants techniques suivants, susceptibles de traiter des données personnelles de l'Utilisateur :

Twilio Inc. — Acheminement des SMS de confirmation, rappel et notification — États-Unis — CCT, Art. 46 RGPD.

Resend Inc. — Acheminement des emails de confirmation, rappel et notification — États-Unis — CCT, Art. 46 RGPD.

Stripe Inc. — Traitement des garanties bancaires (empreinte CB) — certifié PCI-DSS — États-Unis — CCT, Art. 46 RGPD.

ElevenLabs Inc. — Réceptionniste vocale automatisée (IA) — traitement des appels entrants et transcriptions — États-Unis — CCT, Art. 46 RGPD.

Cloudflare Inc. — Hébergement, infrastructure cloud, base de données (Cloudflare D1 — chiffrement AES-256) — États-Unis / UE — CCT, Art. 46 RGPD.

Les transferts de données vers ces prestataires établis aux États-Unis sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne par décision du 4 juin 2021, conformément à l'article 46 du RGPD.

Certains Restaurants partenaires peuvent activer la fonctionnalité de réceptionniste vocale automatisée fournie par ElevenLabs Inc. Lorsque cette fonctionnalité est active : - l'Utilisateur est informé en début d'appel qu'il interagit avec un système automatisé d'intelligence artificielle et non avec une personne physique, conformément au règlement (UE) 2024/1689 (AI Act) et à l'article 13 du RGPD - les données vocales et transcriptions générées lors de l'appel sont traitées par ElevenLabs Inc. dans le cadre de l'accord de sous-traitance encadrant la relation entre LYVEON et ElevenLabs - ces données sont supprimées dans un délai maximum de 30 jours à compter du traitement de l'appel

Conformément aux articles 15 à 22 du RGPD et à la loi n° 78-17 du 6 janvier 1978 modifiée, l'Utilisateur dispose des droits suivants sur ses données personnelles : - Droit d'accès (Art. 15 RGPD) : obtenir la confirmation que des données le concernant sont traitées et en obtenir une copie - Droit de rectification (Art. 16 RGPD) : faire corriger des données inexactes ou incomplètes - Droit à l'effacement (Art. 17 RGPD) : obtenir la suppression de ses données dans les cas prévus par la réglementation (« droit à l'oubli ») - Droit à la limitation du traitement (Art. 18 RGPD) : demander la suspension temporaire du traitement de ses données - Droit à la portabilité (Art. 20 RGPD) : recevoir ses données dans un format structuré, couramment utilisé et lisible par machine (CSV ou JSON) - Droit d'opposition (Art. 21 RGPD) : s'opposer à tout moment au traitement de ses données fondé sur l'intérêt légitime, notamment à des fins de prospection commerciale - Droit de retrait du consentement (Art. 7(3) RGPD) : retirer à tout moment un consentement précédemment donné, sans que cela ne remette en cause la licéité des traitements effectués avant ce retrait

Ces droits peuvent être exercés : - Auprès du Restaurant directement, en sa qualité de responsable de traitement, pour les données relatives à la réservation - Auprès de LYVEON par email à l'adresse contact@lyveon.fr, accompagné d'un justificatif d'identité si nécessaire à la vérification de la demande

LYVEON s'engage à répondre à toute demande dans un délai maximum d'un mois à compter de la réception, conformément à l'article 12 du RGPD.

L'Utilisateur dispose également du droit d'introduire une réclamation auprès de la CNIL : Commission Nationale de l'Informatique et des Libertés 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 www.cnil.fr — Tél. : 01 53 73 22 22

Le service de réservation et le site lyveon.fr n'utilisent que des cookies et traceurs strictement nécessaires au bon fonctionnement du service (maintien de session, sécurité du formulaire de réservation, préférences de langue). Ces cookies sont exemptés de consentement préalable conformément aux lignes directrices de la CNIL du 17 septembre 2020 et à l'article 82 de la loi Informatique et Libertés, dès lors qu'ils sont exclusivement destinés à permettre ou faciliter la communication par voie électronique.

LYVEON ne dépose aucun cookie analytique, publicitaire ou de profilage. Aucun bandeau de consentement relatif aux cookies n'est donc requis.

L'Utilisateur peut à tout moment supprimer les cookies déposés via les paramètres de son navigateur, sans que cela n'affecte l'utilisation du service.

LYVEON met en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité et la confidentialité des données personnelles, conformément à l'article 32 du RGPD, notamment : - chiffrement des données au repos (AES-256, Cloudflare D1) et en transit (TLS 1.2 minimum) - contrôle strict des accès aux données par authentification et gestion des habilitations - journalisation des accès et des actions sensibles à des fins d'audit - notification à la CNIL dans les 72 heures en cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, conformément à l'article 33 du RGPD

LYVEON se réserve le droit de modifier la présente Politique de confidentialité à tout moment, notamment pour l'adapter aux évolutions légales, réglementaires ou fonctionnelles du service. La version en vigueur est celle publiée à l'adresse https://lyveon.fr/confidentialite, avec indication de la date de dernière mise à jour.

En cas de modification substantielle affectant les droits des Utilisateurs, LYVEON s'engage à en informer les Utilisateurs par tout moyen approprié préalablement à l'entrée en vigueur de la modification.

Pour toute question relative à la présente Politique de confidentialité ou à l'exercice de vos droits :

LYVEON SAS 25 rue de Ponthieu, 75008 Paris Email : contact@lyveon.fr Site : https://lyveon.fr

Politique de confidentialité rédigée conformément au droit français et au RGPD. Version applicable à compter du 25 mars 2026.