Politique de confidentialité

Océane Meurant, agissant sous le nom commercial Brunch En Bigorre, est le responsable de traitement au sens de l'article 4-7 du RGPD pour l'ensemble des données à caractère personnel collectées via le Site brunch-en-bigorre.fr.

Le Site brunch-en-bigorre.fr poursuit deux activités principales donnant lieu à des traitements distincts :

A. Mise en relation et exécution des prestations

Collecte des informations du devis, attribution de la commande à un Prestataire indépendant local (pâtissier, traiteur, livreur), transmission strictement limitée des informations nécessaires à l'exécution (identité, adresse, allergies, contenu, créneau).

B. Encaissement & facturation

Océane Meurant encaisse le paiement client — intégralement à la commande pour les box brunch, acompte de 50 % à la commande puis solde de 50 % à la livraison pour les brunchs d'événement — par CB via Stripe ou par virement bancaire, et émet la facture. Les coordonnées bancaires sont conservées dans un registre comptable sécurisé, jamais accessibles aux tiers.

• Identification : nom, prénom, email, téléphone, adresse de livraison.
• Commande : panier, kits, allergies, date et lieu de l'événement, nombre de convives, demandes particulières.
• Paiement carte : collecté directement par Stripe (PAN, CVV, expiration). La Société ne reçoit que le statut, l'ID de transaction, les 4 derniers chiffres et la marque.
• Paiement virement : nom du donneur d'ordre, IBAN visible sur le relevé bancaire.
• Communications transactionnelles : historique des emails (confirmation, rappels J-7 et J-1, suivi de commande) via Resend.
• Compte back-office (admins) : email, mot de passe haché (bcrypt), rôle, journal de connexion.
• Données techniques : adresse IP tronquée, user-agent, pages visitées, horodatage (sous réserve du consentement cookies).
• Pièce d'identité (cas spécifique) : uniquement en cas de doute raisonnable lors de l'exercice d'un droit ; détruite sous 30 jours.

Les tiers ci-dessous interviennent en qualité de sous-traitants au sens de l'article 28 du RGPD, sauf mention contraire.

Certains sous-traitants sont établis hors de l'Union européenne. Ces transferts sont encadrés par les Clauses Contractuelles Types de la Commission européenne (décision 2021/914) et, lorsque le sous-traitant y a adhéré, par l'EU-US Data Privacy Framework. Une analyse d'impact des transferts (TIA) est tenue à disposition de l'autorité de contrôle.

Vous disposez à tout moment des droits suivants :

• droit d'accès, de rectification, d'effacement (« droit à l'oubli ») ;
• droit à la limitation et à l'opposition au traitement ;
• droit à la portabilité ;
• droit de retirer votre consentement (cookies, newsletter) à tout moment ;
• droit de définir des directives post-mortem ;
• pour les résidents de Californie : droits CCPA/CPRA (right to know, delete, correct, opt-out of sale/sharing) ;
• droit d'introduire une réclamation auprès de la CNIL : www.cnil.fr.

Pour exercer vos droits : page dédiée « Exercer mes droits » ou par email à contact@brunch-en-bigorre.fr. Réponse motivée sous 30 jours (prorogeable de 2 mois pour les demandes complexes, art. 12.3 RGPD). Une pièce d'identité peut être demandée en cas de doute raisonnable.

Les services proposés sur le Site ne sont pas destinés aux mineurs de moins de 15 ans. Aucune donnée n'est sciemment collectée auprès de mineurs sans le consentement des titulaires de l'autorité parentale (art. 8 RGPD et art. 7-1 LIL). Si vous constatez qu'un mineur a transmis des données sans autorisation parentale, contactez-nous immédiatement à contact@brunch-en-bigorre.fr afin que les données soient supprimées.

Aucune décision produisant des effets juridiques ou affectant le Client de manière significative n'est prise sur la seule base d'un traitement automatisé, à l'exception du moteur anti-fraude Stripe visant à prévenir la fraude au paiement, conformément à l'article 22.2.a du RGPD (décision nécessaire à la conclusion ou à l'exécution du contrat). Le Client peut obtenir une intervention humaine en écrivant à contact@brunch-en-bigorre.fr.

• chiffrement TLS 1.3 en transit ;
• chiffrement au repos des bases de données (AES-256) ;
• hachage des mots de passe (bcrypt/argon2) ;
• politiques de contrôle d'accès strictes (Row Level Security) ;
• journalisation des accès administrateurs ;
• revue régulière des accès et des sous-traitants ;
• plan de continuité et sauvegardes quotidiennes chiffrées.

En cas de violation de données présentant un risque pour les droits et libertés des personnes concernées, Océane Meurant notifiera la CNIL dans le délai légal de 72 heures (art. 33 RGPD) et informera les personnes concernées dans les meilleurs délais lorsque le risque est élevé (art. 34 RGPD).

Le détail des cookies utilisés et la gestion de vos préférences font l'objet d'une politique dédiée. Le bandeau de consentement vous permet d'accepter, refuser ou personnaliser à tout moment.

La présente politique peut être modifiée à tout moment pour refléter l'évolution de nos pratiques ou de la réglementation. La version applicable est celle publiée sur le Site à la date de la consultation, avec un numéro de version et une date de mise à jour. En cas de modification substantielle, les Clients en seront informés par email ou bandeau sur le Site.