Le Service met en jeu deux catégories de traitements, avec deux rôles distincts :

• Données des comptes restaurateurs — création de compte, licence, facturation, support.
• L’Éditeur agit en responsable de traitement.
• Données des convives — personnes qui réservent une table auprès d’un restaurant.
• Le restaurant est responsable de traitement ; l’Éditeur agit en sous-traitant, pour le compte et sur instruction du restaurant, dans les conditions de l’ Accord de sous-traitance.

En pratique : si vous êtes un convive et souhaitez exercer vos droits, adressez-vous au restaurant auprès duquel vous avez réservé. Nous relayons toute demande reçue.

Réservations non prises en ligne. Une réservation peut être enregistrée par le restaurant lui-même — appel téléphonique, réservation au comptoir, reprise d’un fichier existant. Dans ces situations, les données ne sont pas recueillies auprès de vous par l’intermédiaire du Service, et c’est au restaurant qu’il revient de vous informer du traitement dans les conditions de l’article 14 du RGPD, ainsi que de s’assurer de la licéité de la collecte initiale. L’Éditeur met la présente politique à sa disposition à cette fin.

Convives (réservation en ligne, par téléphone, ou saisie par le restaurant)

• Identité : prénom, nom, éventuellement société pour une réservation professionnelle.
• Coordonnées : adresse email, téléphone et indicatif pays.
• Date de naissance, lorsqu’elle est renseignée.
• Détails de la réservation : date, heure, nombre de couverts, service, table attribuée, occasion (anniversaire, repas d’affaires, pot de départ…), motif de visite, commentaire libre, statut.
• Allergies et régimes alimentaires déclarés.
• Besoins d’accessibilité déclarés (accès à mobilité réduite).
• Historique et fidélité : nombre de visites, première et dernière visite, points et palier de fidélité, nombre d’annulations, nombre de non-présentations (no-shows).
• Notes internes rédigées par le personnel du restaurant, et étiquettes (« habitué », « VIP »…).
• Indicateur de liste noire et son motif, le cas échéant (voir §5).
• Consentements marketing (email, SMS) et leur date.
• Données de paiement lorsqu’une garantie de réservation est demandée : montant, statut, identifiants techniques de transaction.
• Aucune donnée de carte bancaire n’est collectée ni stockée par l’Éditeur — la saisie s’effectue directement auprès de Stripe.

Ce qui est obligatoire et ce qui ne l’est pas

Pour qu’une réservation puisse être enregistrée et confirmée, seuls sont nécessaires vos nom, prénom, adresse email et numéro de téléphone, ainsi que les éléments de la réservation elle-même (date, heure, nombre de couverts). Leur absence empêche la création de la réservation : ils permettent de vous identifier à votre arrivée et de vous joindre en cas de modification, d’annulation ou d’imprévu.

Toutes les autres informations sont facultatives : occasion, commentaire libre, date de naissance, préférence de salle, allergies et régimes alimentaires, besoins d’accessibilité. Vous pouvez réserver sans en renseigner aucune. Elles ne servent qu’à préparer votre venue dans de meilleures conditions, et leur absence n’a aucune conséquence sur la validité de votre réservation.

Les cases relatives aux communications commerciales (email, SMS) sont, elles aussi, entièrement facultatives : les refuser n’a aucun effet sur votre réservation, et vous pouvez revenir sur votre choix à tout moment.

Restaurateurs et membres du personnel

Adresse email et identifiants de connexion, rôle et établissement de rattachement, informations relatives à la licence et à la facturation, poste occupé pour les membres du personnel, journal des actions d’administration.

Les allergies et les besoins d’accessibilité constituent des données concernant la santé au sens de l’article 9 du RGPD. Elles sont traitées sur la base de votre consentement explicite, donné au moment où vous les renseignez, et dans le seul but d’assurer le bon déroulement de votre repas. Leur communication est facultative : vous pouvez réserver sans les renseigner. Elles sont accessibles au seul restaurant concerné.

Aucune autre catégorie de données sensibles n’est demandée par le Service. Les champs libres — commentaire de réservation, notes internes du personnel — ne doivent contenir aucune donnée sensible : les restaurants s’y engagent contractuellement, et il est recommandé de n’y inscrire que des informations strictement liées au service de restauration.

Le Service permet à un restaurant de comptabiliser les annulations et les non-présentations, et d’inscrire un client sur une liste noire assortie d’un motif.

Ce traitement repose sur l’intérêt légitime du restaurant à se prémunir contre des comportements répétés lui causant un préjudice économique. Il obéit à des règles strictes :

• l’inscription doit reposer sur des faits objectifs et documentés, jamais sur une appréciation subjective ou une caractéristique de la personne ;
• elle ne peut jamais être fondée sur une donnée sensible, une origine, une opinion ou l’état de santé ;
• la décision d’exclure une personne des réservations en ligne est prise par une personne physique, sur la base de faits objectifs et documentés ; le refus opposé ensuite par le formulaire en ligne est, lui, automatique. La personne concernée conserve à tout moment la faculté de s’adresser directement au restaurant, qui réexamine sa demande ;
• la personne concernée peut demander à en connaître l’existence et le motif, contester l’inscription et en demander la suppression ;
• la durée de conservation est limitée à deux (2) ans à compter de l’inscription.

Le Service ne met en œuvre aucun traitement automatisé produisant des effets juridiques ou vous affectant de manière significative au sens de l’article 22 du RGPD, et n’intègre aucun système d’intelligence artificielle. L’attribution automatique des

tables repose sur des règles déterministes (capacité, zone, durée du service) définies par le restaurant, et reste modifiable manuellement à tout moment.

Le refus opposé par le formulaire de réservation en ligne à une personne que le restaurant a exclue (voir § 5) est automatique, mais ne produit aucun effet juridique et n’affecte pas la personne de manière significative au sens de l’article 22 : il porte sur un établissement unique, et la personne conserve la faculté de s’adresser directement à lui pour que sa demande soit réexaminée.

Si une fonctionnalité fondée sur l’intelligence artificielle devait être introduite, la présente politique serait mise à jour et les personnes concernées informées préalablement.

Les données sont accessibles au restaurant concerné et à son personnel autorisé, strictement dans la limite de son propre établissement : le Service applique un cloisonnement au niveau de la base de données, de sorte qu’un restaurant ne peut jamais accéder aux données d’un autre.

La liste complète et à jour des sous-traitants figure dans le document Liste des sous-traitants ultérieurs : Supabase (hébergement,

Suisse), Vercel (application web, États-Unis), Resend (emails, États-Unis) et Stripe (paiements, Irlande).

Ressources chargées par votre navigateur. L’affichage des pages du Service, y compris du widget public de réservation, provoque le chargement de deux ressources hébergées par des tiers : les polices de caractères fournies par Google LLC et la bibliothèque Stripe.js fournie par Stripe, Inc., chargée dès l’ouverture du widget aux fins de prévention de la fraude au paiement. Ces tiers reçoivent de ce fait des données techniques de connexion — adresse IP, type de navigateur, adresse de la page consultée — mais aucune donnée relative à votre réservation. Ils n’agissent pas pour le compte de l’Éditeur et répondent de ces données en qualité de responsables de traitement distincts. Le détail figure dans la Politique cookies.

L’hébergement de la base de données est situé en Suisse, pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat (décision 2000/518/CE du 26 juillet 2000, dont le maintien a été confirmé par la Commission le 15 janvier 2024) : l’hébergement lui-même ne requiert donc aucune garantie supplémentaire. La société Supabase, Inc. étant établie aux États-Unis, les accès de son personnel depuis ce pays sont encadrés, en outre, par les clauses contractuelles types de la Commission européenne.

Les transferts vers les États-Unis (Vercel, Resend) sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification des prestataires au EU-US Data Privacy Framework.

Les données techniques de connexion transmises à Google LLC et à Stripe, Inc. du fait du chargement de ressources par votre navigateur (voir § 7) sont couvertes par la certification de ces sociétés au EU-US Data Privacy Framework.

Le traitement des paiements par Stripe Payments Europe s’effectue au sein de l’Union européenne.

Ces durées s’appliquent pendant toute la durée de la relation contractuelle entre le restaurant et l’Éditeur. La fin de cette relation déclenche un délai de trente (30) jours pendant lequel le restaurant peut récupérer ses données, à l’issue duquel l’ensemble des données de l’établissement est supprimé, y compris lorsque les durées ci-dessus ne sont pas écoulées.

À l’expiration de ces durées, les données sont supprimées ou anonymisées. La suppression d’un restaurant entraîne la suppression en cascade de l’ensemble de ses données.

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci, et du droit de définir des directives post-mortem. Vous pouvez vous opposer à la prospection commerciale à tout moment et sans motif.

• Données traitées par un restaurant : adressez-vous directement à l’établissement concerné, qui en est responsable.
• Traitements relevant de l’Éditeur : contact@cawastudio.fr, ou par courrier à CAWA STUDIO, 229 rue Saint-Honoré, 75001 Paris.
• Aucun délégué à la protection des données n’est désigné à ce jour.

Une réponse vous sera apportée dans un délai d’un mois. Vous pouvez à tout moment introduire une réclamation auprès de la CNIL (3 place de Fontenoy, 75007 Paris — www.cnil.fr).

Les mesures mises en œuvre sont décrites en annexe de l’Accord de sous-traitance. Elles comprennent notamment : cloisonnement strict des données par établissement au niveau de la base, chiffrement des échanges en transit, authentification des comptes, contrôle d’accès par rôle, journalisation des actions d’administration, minimisation des données exposées par l’interface publique de réservation, et validation systématique des saisies côté serveur.

Le Service n’utilise aucun cookie de mesure d’audience, de publicité ou de réseau social, et ne vous demande donc aucun consentement à ce titre. Seuls sont mis en œuvre des dispositifs strictement nécessaires au fonctionnement du Service ou à la prévention de la fraude au paiement, exemptés de consentement au titre de l’article 82 de la loi Informatique et Libertés. L’inventaire complet, les durées de conservation et les ressources tierces chargées par votre navigateur figurent dans la Politique cookies.

Toute modification substantielle de la présente politique est portée à la connaissance des personnes concernées. La date de dernière mise à jour figure en tête de document.