Protection des données

Toutes les données sont chiffrées au repos et en transit : - Au repos : chiffrement AES-256 sur Cloudflare D1 - En transit : TLS 1.2 minimum sur toutes les connexions - Accès : authentification stricte et gestion des habilitations par rôle - Audit : journalisation des accès et actions sensibles à des fins de traçabilité

L'ensemble est conforme à l'article 32 du RGPD (sécurité du traitement).

Lyveon s'appuie sur cinq sous-traitants techniques pour fournir le service. Aucun ne vend ni ne cède vos données à des tiers commerciaux. Tous les transferts vers les États-Unis sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne le 4 juin 2021, conformément à l'article 46 RGPD :

• Twilio Inc. — acheminement des SMS
• Resend Inc. — acheminement des emails
• Stripe Inc. — empreintes bancaires (PCI-DSS)
• ElevenLabs Inc. — réceptionniste vocale IA
• Cloudflare Inc. — hébergement et base de données (Cloudflare D1, AES-256)

Chaque donnée a une durée de vie définie. À l'expiration, suppression définitive ou anonymisation irréversible : - Données de réservation et contact : 3 ans à compter du dernier contact (recommandation CNIL) - Données comptables et financières : 10 ans (Article L.123-22 du Code de commerce) - Journaux SMS et emails : 180 jours maximum - Logs vocaux IA (ElevenLabs) : 30 jours à compter de l'appel - Preuves de consentement (CGU, CRM Global, allergies) : 3 ans - Journaux d'audit et de sécurité : 5 ans - Données suite à demande d'effacement : suppression sous 30 jours

Les allergies alimentaires constituent des données de santé au sens de l'article 9 du RGPD. Leur traitement obéit à des règles renforcées : - Saisie strictement facultative - Consentement explicite recueilli au moment de la réservation (Art. 9(2)(a) RGPD) - Jamais partagées avec des tiers autres que le personnel du Restaurant concerné - Jamais incluses dans le profil CRM Global, quelle que soit la configuration choisie - Finalité unique : adaptation des prestations culinaires

Lorsqu'un Restaurant participe au réseau CRM Global et que vous y consentez expressément (case à cocher dédiée et distincte), nous partageons un profil limité avec les autres restaurants du réseau pour vous offrir un accueil personnalisé : - Données partagées : identification (nom, email, téléphone), historique simplifié des visites - Données jamais partagées : allergies, notes internes, données médicales

Le consentement est révocable à tout moment sans frais. Le retrait entraîne la suppression du profil partagé sous 30 jours.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, LYVEON s'engage à notifier la CNIL dans un délai maximum de 72 heures, conformément à l'article 33 du RGPD. Les personnes concernées sont également informées dans les meilleurs délais lorsque la violation présente un risque élevé.

Vous disposez sur vos données des droits d'accès, rectification, effacement, limitation, portabilité, opposition et retrait de consentement (Art. 15 à 22 RGPD).

Pour exercer vos droits, écrivez à contact@lyveon.fr — réponse sous 30 jours maximum.

Vous pouvez également introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr).

Le détail complet de vos droits, des bases légales et des finalités figure dans la Politique de confidentialité.

LYVEON SAS — Société par actions simplifiée 25 rue de Ponthieu, 75008 Paris SIREN : 999 657 026 — RCS Paris Contact : contact@lyveon.fr