LaBreak accorde une importance particulière à la protection de la vie privée et des données à caractère personnel des personnes qui utilisent le site labreak.app et, prochainement, l'application mobile LaBreak (ci-après ensemble le « Service »). L'application mobile est en cours de développement ; les stipulations qui la concernent s'appliqueront à compter de sa mise à disposition.
La présente Politique de confidentialité (ci-après la « Politique ») a pour objectif de vous informer, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée (« loi Informatique et Libertés »), sur la manière dont nous collectons, utilisons, partageons, conservons et protégeons vos données à caractère personnel, ainsi que sur les droits dont vous disposez à cet égard.
Elle s'applique à toute personne utilisant le Service, qu'il s'agisse d'un Utilisateur consultant les fiches restaurants, d'un Utilisateur inscrit publiant des avis, ou d'un Restaurateur gérant sa fiche établissement via LaVitrine.
Cette Politique complète nos Conditions Générales d'Utilisation et notre Politique de cookies, et doit être lue conjointement avec ces documents.
1. Responsable du traitement
Le responsable du traitement des données à caractère personnel collectées via le Service est :
- LaBreak [forme juridique à confirmer]
- [Capital social]
- RCS de Paris n° [SIRET en cours d'attribution]
- Siège social : [adresse complète à communiquer après immatriculation]
- Email : contact.labreak@gmail.com
Compte tenu de sa taille, LaBreak n'est pas tenue, à ce jour, de désigner un Délégué à la Protection des Données (DPO) au sens de l'article 37 du RGPD. Toute question relative à la protection des données peut néanmoins être adressée à l'adresse ci-dessus, qui fait office de point de contact dédié pour l'exercice de vos droits.
2. Données que nous collectons
2.1 Données fournies directement par vous
- Données de compte : adresse email, pseudonyme/nom d'affichage, mot de passe (stocké sous forme hachée, jamais en clair), photo de profil (facultative).
- Préférences de titres-restaurant : les marques de cartes de titres-restaurant que vous déclarez détenir, utilisées pour personnaliser la recherche et vous signaler les restaurants compatibles avec votre carte.
- Contenus publiés : avis, notes, commentaires, photographies, favoris, signalements.
- Données sociales (LaCrew) : vos abonnements et abonnés, vos demandes d'abonnement, le paramètre de visibilité de vos favoris et, selon ce paramètre, l'affichage à vos amis des restaurants que vous avez mis en favori (fonction « amis ayant mis en favori »).
- Données de contact : informations transmises via notre formulaire de contact ou par email (nom, adresse email, contenu du message).
- Données de messagerie et de support : les fils de discussion que vous ouvrez avec notre équipe de support ou qui découlent de vos signalements et revendications, y compris les messages échangés et les pièces jointes. Si vous nous écrivez sans être inscrit, un lien de suivi anonyme (« /track ») vous est adressé par email pour consulter la réponse ; ce lien reste valable 90 jours.
- Données Restaurateur : nom de l'établissement, coordonnées professionnelles, justificatifs d'exploitation (extrait Kbis ou équivalent) transmis lors de la revendication d'une Fiche Établissement, informations de facturation le cas échéant pour les fonctionnalités payantes de LaVitrine.
2.2 Données collectées automatiquement
- Données de connexion et d'usage : adresse IP, identifiants d'appareil, type de terminal et de navigateur, système d'exploitation, pages consultées, requêtes de recherche effectuées (y compris celles adressées à la fonctionnalité de recherche par intelligence artificielle), horodatage et durée des sessions, journaux techniques (logs) en cas d'incident de sécurité.
- Historique de connexion : chaque connexion à votre Compte est journalisée (type d'événement, adresse IP, résumé du navigateur et du système d'exploitation, empreinte technique de l'appareil). Cet historique est consultable depuis votre espace personnel et une alerte email peut vous être adressée en cas de connexion depuis un nouvel appareil.
- Mesure de consultation des fiches : les consultations de fiches restaurant sont comptabilisées à l'aide d'un identifiant de visiteur (cookie lb-visitor-id, soumis à votre consentement) et les scans des QR codes des établissements sont enregistrés. Ces données alimentent des statistiques agrégées mises à la disposition des Restaurateurs concernés ; elles ne leur permettent pas de vous identifier.
- Notifications : les notifications qui vous sont adressées au sein du Service (nouvel abonné, réponse d'un Restaurateur, etc.) sont conservées dans votre Compte.
- Preuves de consentement : nous conservons la trace des consentements que vous exprimez (cookies, communications), afin de pouvoir en justifier conformément à l'article 7.1 du RGPD.
- Données de modération : les signalements que vous effectuez ou dont vos contenus font l'objet, les mesures de modération prises, ainsi qu'un journal d'audit des actions réalisées par nos administrateurs sur les comptes et les contenus.
- Données anti-abus : mesures de limitation de débit (rate limiting) et adresse IP collectée lors de l'utilisation des formulaires publics, à des fins de prévention de la fraude et des abus.
- Données de localisation : avec votre consentement ou selon les paramètres de votre appareil, votre position géographique approximative ou précise, utilisée pour vous proposer des restaurants à proximité. Vous pouvez désactiver cette fonctionnalité à tout moment dans les paramètres de votre appareil.
- Cookies et traceurs : voir la section « Cookies et traceurs » ci-dessous et notre Politique de cookies dédiée.
2.3 Données provenant de sources tierces
Si vous choisissez de vous connecter via un service tiers (Google), nous recevons les informations que vous autorisez ce tiers à nous transmettre (généralement : nom, email, photo de profil). Nous n'avons pas accès à votre mot de passe sur ce service tiers.
2.4 Données sensibles
LaBreak ne collecte, ne sollicite ni ne traite intentionnellement de données dites « sensibles » au sens de l'article 9 du RGPD (origine raciale ou ethnique, opinions politiques, convictions religieuses, données de santé, orientation sexuelle, etc.). Nous vous invitons à ne pas inclure ce type d'informations dans les avis, commentaires ou messages que vous nous adressez.
3. Finalités et bases légales des traitements
Conformément au principe de minimisation posé par l'article 5 du RGPD, chaque traitement de données répond à une finalité déterminée, explicite et légitime, et repose sur l'une des bases légales suivantes.
| Finalité | Données concernées | Base légale |
|---|---|---|
| Création et gestion du Compte utilisateur | Email, pseudonyme, mot de passe | Exécution du contrat (art. 6.1.b RGPD) |
| Fourniture du Service (recherche, carte, favoris, personnalisation selon votre carte de titres-restaurant) | Données de compte, marques de titres-restaurant, requêtes de recherche, données de localisation | Exécution du contrat (art. 6.1.b RGPD) ; consentement pour la géolocalisation (art. 6.1.a RGPD et art. 82 de la loi Informatique et Libertés) |
| Fonctionnalités communautaires (LaCrew : abonnements, demandes d'abonnement, partage des favoris entre amis) | Données sociales, paramètre de visibilité des favoris | Exécution du contrat (art. 6.1.b RGPD) |
| Publication et modération des avis | Contenu Utilisateur, identifiant du Compte | Exécution du contrat ; intérêt légitime à la loyauté de la plateforme (art. 6.1.b et 6.1.f RGPD) |
| Gestion de la relation avec les Restaurateurs (LaVitrine) | Données professionnelles, justificatifs | Exécution du contrat / mesures précontractuelles (art. 6.1.b RGPD) |
| Statistiques de consultation mises à disposition des Restaurateurs (vues de fiche, scans de QR code), sous forme agrégée | Identifiant de visiteur, données de consultation | Intérêt légitime (art. 6.1.f RGPD) ; consentement pour le cookie de mesure (art. 6.1.a RGPD) |
| Amélioration du Service et statistiques d'usage | Données de navigation, logs techniques | Intérêt légitime (art. 6.1.f RGPD) |
| Sécurité, prévention de la fraude et des abus | Adresse IP, historique de connexion, logs, données anti-abus, signalements | Intérêt légitime ; obligation légale le cas échéant (art. 6.1.f et 6.1.c RGPD) |
| Communications marketing (newsletter, actualités) | Consentement (art. 6.1.a RGPD) | |
| Cookies de mesure d'audience et de personnalisation non essentiels | Identifiants de navigation | Consentement (art. 6.1.a RGPD) |
| Conservation de la preuve de vos choix en matière de consentement | Preuves de consentement | Obligation légale (art. 6.1.c RGPD, en application de l'art. 7.1 RGPD) |
| Réponse aux demandes de contact et exercice des droits | Données fournies dans la demande | Intérêt légitime ; obligation légale (art. 6.1.f et 6.1.c RGPD) |
| Respect des obligations légales, comptables et fiscales | Données de facturation le cas échéant | Obligation légale (art. 6.1.c RGPD) |
4. Destinataires des données
Vos données personnelles sont destinées, dans la limite de leurs attributions respectives, aux catégories de destinataires suivantes :
- les membres de l'équipe LaBreak habilités, dans la limite de leurs fonctions ;
- nos sous-traitants techniques, agissant sur nos instructions et dans le cadre d'un contrat conforme à l'article 28 du RGPD, listés dans le tableau ci-dessous ;
- les Restaurateurs, uniquement pour les avis et informations que vous choisissez de rendre publics sur leur Fiche Établissement et pour leur permettre d'y répondre, ainsi que sous forme de statistiques agrégées de consultation de leur fiche (vues, scans de QR code) qui ne permettent pas de vous identifier ;
- les autorités administratives ou judiciaires, sur réquisition, dans les cas et selon les modalités prévus par la loi.
| Sous-traitant | Service fourni |
|---|---|
| Supabase Inc. | Base de données, authentification et stockage des fichiers ; les données sont hébergées dans l'Union européenne (région eu-west-1) |
| Vercel Inc. | Hébergement du site et de l'infrastructure applicative |
| Brevo (Sendinblue SAS) | Envoi des emails transactionnels (alertes de connexion, décisions de revendication, réponses du support, etc.) |
| Mapbox Inc. | Carte interactive et géocodage d'adresses |
| Modèle d'intelligence artificielle Gemini utilisé pour la recherche en langage naturel (LaTrouvaille) | |
| Vercel Analytics | Mesure d'audience, soumise à votre consentement |
Les requêtes transmises au fournisseur de modèles d'intelligence artificielle sont limitées à ce qui est nécessaire au fonctionnement de la recherche.
LaBreak ne vend ni ne loue vos données personnelles à des tiers à des fins de marketing. Aucune donnée n'est cédée à des courtiers en données (« data brokers »).
5. Transferts de données hors de l'Union européenne
Vos données sont principalement hébergées au sein de l'Union européenne : la base de données, l'authentification et le stockage des fichiers sont opérés par Supabase dans la région eu-west-1.
Certains de nos sous-traitants (notamment Vercel Inc., Mapbox Inc. et Google) sont toutefois des sociétés de droit américain susceptibles de traiter des données dans des centres de données situés hors de l'Espace Économique Européen (EEE), notamment aux États-Unis.
Lorsqu'un transfert de données hors de l'EEE a lieu, LaBreak veille à ce qu'il soit encadré par des garanties appropriées au sens du Chapitre V du RGPD, telles que : les clauses contractuelles types adoptées par la Commission européenne (article 46.2.c du RGPD), une décision d'adéquation de la Commission européenne le cas échéant applicable, ou l'adhésion du sous-traitant au cadre de protection des données UE-États-Unis (« EU-U.S. Data Privacy Framework ») lorsque celui-ci y est certifié.
Vous pouvez obtenir une copie des garanties mises en œuvre en écrivant à contact.labreak@gmail.com.
6. Durées de conservation
Conformément au principe de limitation de la conservation (article 5.1.e du RGPD), vos données sont conservées pour la durée strictement nécessaire aux finalités poursuivies, selon le barème suivant :
| Catégorie de données | Durée de conservation |
|---|---|
| Données de Compte actif | Pendant toute la durée de vie du Compte |
| Compte supprimé | 30 jours (délai de grâce), puis anonymisation irréversible (voir ci-dessous) |
| Contenu Utilisateur (avis, photos) | Jusqu'à suppression par l'auteur ou clôture du Compte, sous réserve des exploitations déjà réalisées |
| Logs de connexion, historique de connexion et historique de recherche | 12 mois maximum, conformément aux recommandations de la CNIL |
| Adresses IP collectées via les formulaires publics | 30 jours |
| Données anti-abus (limitation de débit) | 7 jours |
| Données transmises via le formulaire de contact | 3 ans à compter du dernier contact |
| Justificatifs Restaurateurs (Kbis, etc.) | Durée de la relation contractuelle, augmentée des délais de prescription légale applicables |
| Données de facturation (le cas échéant) | 10 ans conformément aux obligations comptables (art. L.123-22 Code de commerce) |
| Cookies | 13 mois maximum à compter du dépôt, conformément aux recommandations CNIL |
Ces durées sont appliquées automatiquement : une tâche quotidienne purge les logs de connexion et l'historique de recherche au-delà de 12 mois, les adresses IP des formulaires publics au-delà de 30 jours et les données de limitation de débit au-delà de 7 jours.
En cas de suppression de votre Compte, à l'issue du délai de grâce de 30 jours : votre compte est anonymisé ; votre avatar, vos justificatifs de revendication et les pièces jointes de vos échanges avec le support sont supprimés du stockage ; vos avis sont conservés sous forme anonymisée, sans lien avec votre identité, au titre de l'exercice du droit à la liberté d'expression et d'information (article 17.3.a du RGPD).
À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible, sous réserve des obligations légales de conservation plus longues (notamment comptables et fiscales, d'une durée de dix ans pour les pièces justificatives).
7. Sécurité des données
LaBreak met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre la perte, l'accès non autorisé, la divulgation, l'altération ou la destruction, conformément à l'article 32 du RGPD, notamment :
- chiffrement des communications entre votre terminal et nos serveurs (protocole HTTPS/TLS) ;
- stockage des mots de passe sous forme hachée, jamais en clair ;
- contrôle d'accès restreint aux données, limité aux personnes habilitées selon le principe du besoin d'en connaître ;
- journalisation des connexions à votre Compte, une alerte email pouvant vous être adressée en cas de connexion depuis un nouvel appareil ;
- sauvegardes régulières et mesures de continuité d'activité ;
- sélection de sous-traitants présentant des garanties suffisantes en matière de sécurité.
Aucun système n'étant infaillible, en cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, LaBreak s'engage à notifier la CNIL dans les 72 heures conformément à l'article 33 du RGPD et, si nécessaire, à vous en informer directement conformément à l'article 34 du RGPD.
8. Vos droits sur vos données personnelles
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :
- Droit d'accès (article 15 RGPD) : obtenir la confirmation que vos données sont traitées et en obtenir une copie ;
- Droit de rectification (article 16 RGPD) : faire corriger des données inexactes ou incomplètes ;
- Droit à l'effacement (article 17 RGPD) : demander la suppression de vos données, dans les cas prévus par la loi ;
- Droit à la limitation du traitement (article 18 RGPD) : demander le gel temporaire de l'utilisation de vos données ;
- Droit à la portabilité (article 20 RGPD) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, ou les faire transmettre à un autre responsable de traitement, lorsque le traitement repose sur le consentement ou l'exécution d'un contrat et est effectué à l'aide de procédés automatisés ;
- Droit d'opposition (article 21 RGPD) : vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur l'intérêt légitime, ou vous opposer sans motif à un traitement à des fins de prospection ;
- Droit de retirer votre consentement à tout moment, sans que cela n'affecte la licéité du traitement effectué avant ce retrait ;
- Droit de définir des directives relatives au sort de vos données après votre décès, conformément à l'article 85 de la loi Informatique et Libertés.
Vous pouvez exercer ces droits directement depuis votre espace personnel (rubrique Confidentialité) ou en écrivant à contact.labreak@gmail.com, en joignant un justificatif d'identité en cas de doute raisonnable sur votre identité. LaBreak s'engage à répondre dans un délai maximal d'un (1) mois à compter de la réception de la demande, délai pouvant être porté à trois (3) mois pour les demandes complexes ou nombreuses, dont vous seriez alors informé.
Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous disposez du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
10. Fonctionnalités d'intelligence artificielle
La fonctionnalité LaTrouvaille utilise des traitements automatisés, incluant des modèles d'intelligence artificielle (modèle Gemini, fourni par Google), pour interpréter vos requêtes de recherche en langage naturel et vous proposer des résultats pertinents.
Ce traitement ne constitue pas une décision individuelle automatisée produisant des effets juridiques vous concernant ou vous affectant de manière significative au sens de l'article 22 du RGPD : il s'agit d'une aide à la recherche, dont les résultats n'emportent aucune conséquence juridique et que vous restez libre de suivre ou d'ignorer. LaBreak ne réalise pas de profilage à des fins de décision automatisée au sens de cet article.
Les requêtes de recherche transmises au fournisseur tiers du modèle d'intelligence artificielle ne sont utilisées que pour générer la réponse à votre requête et ne sont pas conservées par LaBreak à des fins d'entraînement de modèles sans information préalable.
11. Protection des mineurs
Le Service est réservé aux personnes âgées d'au moins 15 ans, conformément à l'article 8 du RGPD relatif au consentement des mineurs aux services de la société de l'information. Les utilisateurs âgés de 15 à 17 ans doivent disposer de l'autorisation de leur représentant légal pour créer un Compte. Cette condition d'utilisation est déclarative : en créant un Compte, vous certifiez la remplir. LaBreak ne collecte pas votre date de naissance et ne procède à aucune vérification d'âge ni demande de justificatif.
Si nous venions à découvrir que des données ont été collectées à l'insu d'un représentant légal auprès d'un mineur de moins de 15 ans, nous procéderions à leur suppression dans les meilleurs délais. Un parent ou tuteur légal qui aurait connaissance d'une telle situation est invité à nous contacter immédiatement à contact.labreak@gmail.com.
12. Vos choix et paramètres
Vous gardez à tout moment la maîtrise de plusieurs paramètres :
- Communications marketing : vous pouvez vous désinscrire de nos emails promotionnels à tout moment via le lien de désabonnement présent dans chaque email, ou depuis votre espace personnel.
- Géolocalisation : activable ou désactivable à tout moment depuis les paramètres de votre appareil ou de votre navigateur.
- Visibilité de vos favoris (LaCrew) : le paramètre de visibilité de vos favoris est modifiable à tout moment depuis votre profil.
- Notifications push : l'application mobile LaBreak est à venir ; lorsqu'elle sera disponible, les notifications push seront paramétrables depuis les réglages de votre appareil.
- Suppression du compte : disponible à tout moment depuis votre profil, avec un délai de grâce de trente (30) jours avant anonymisation définitive, conformément à nos Conditions Générales d'Utilisation.
13. Modification de la présente Politique
LaBreak peut être amenée à modifier la présente Politique, notamment pour tenir compte des évolutions légales, réglementaires, jurisprudentielles ou techniques. Toute modification substantielle vous sera notifiée par email et/ou par notification sur le Service avant son entrée en vigueur. La date de dernière mise à jour figure en en-tête du présent document.
Nous vous invitons à consulter régulièrement cette page pour rester informé de la manière dont nous protégeons vos données.
14. Contact
Pour toute question relative à la présente Politique ou au traitement de vos données personnelles, ou pour exercer vos droits, vous pouvez nous contacter :
- par email : contact.labreak@gmail.com
- par courrier : [adresse postale à communiquer après immatriculation]
Autorité de contrôle compétente : Commission Nationale de l'Informatique et des Libertés (CNIL) — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.