Politique de confidentialité

La présente politique explique comment les données personnelles des visiteurs du site internet d'AMA BUFFET sont collectées, utilisées, conservées et protégées.

Elle décrit également les traceurs et services tiers susceptibles d'être utilisés lors de la consultation du site, ainsi que les moyens permettant aux visiteurs d'exercer leurs droits.

Cette politique est établie conformément :

• au règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, dit « RGPD » ;
• à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée, notamment son article 82 ;
• aux recommandations applicables de la Commission nationale de l'informatique et des libertés, dite « CNIL ».

Le site est un site vitrine. Il ne comporte ni compte utilisateur, ni vente en ligne, ni réservation en ligne, ni formulaire de contact.

Le responsable des traitements réalisés au moyen du présent site est :

[DÉNOMINATION SOCIALE]
[FORME JURIDIQUE] au capital social de [CAPITAL SOCIAL]
Siège social : [SIÈGE SOCIAL]
SIRET : [SIRET]
RCS : [RCS ET VILLE D'IMMATRICULATION]
Numéro de TVA intracommunautaire : [NUMÉRO TVA INTRACOMMUNAUTAIRE]

Établissement exploité sous l'enseigne AMA BUFFET
1 bis Rue d'Iéna
49100 Angers
France

Téléphone : +33 2 41 00 18 88

Adresse électronique relative à la protection des données : dp@amabuffet.com

Les demandes relatives aux données personnelles doivent être envoyées directement au responsable du traitement à l'adresse indiquée ci-dessus.

AMA BUFFET veille à ce que les données personnelles soient :

• traitées de manière licite, loyale et transparente ;
• collectées pour des finalités déterminées, explicites et légitimes ;
• adéquates, pertinentes et limitées à ce qui est nécessaire ;
• exactes et, lorsque cela est nécessaire, mises à jour ;
• conservées pendant une durée qui n'excède pas celle nécessaire aux finalités poursuivies ;
• protégées contre les accès, utilisations, pertes ou divulgations non autorisés.

Aucune donnée personnelle n'est demandée au visiteur au moyen d'un formulaire sur le site.

Compte tenu du fonctionnement du site, les traitements susceptibles d'être mis en œuvre sont limités aux opérations décrites ci-dessous.

3.1. Fonctionnement technique et sécurité du site

Lors de la consultation du site, certaines informations techniques peuvent être traitées par le serveur web ou l'hébergeur afin d'afficher les pages, d'assurer la disponibilité du service et de détecter les incidents de sécurité.

Finalités : délivrance des pages demandées, administration technique, maintien en condition opérationnelle, prévention des accès non autorisés, détection des anomalies et sécurisation du site.

Base légale : intérêt légitime du responsable du traitement à exploiter et sécuriser son site internet, conformément à l'article 6, paragraphe 1, point f), du RGPD.

Catégories de données : adresse IP, date et heure de connexion, page demandée, code de réponse du serveur, type de navigateur, système d'exploitation, adresse de la page d'origine et données techniques comparables figurant dans les journaux du serveur.

Personnes concernées : visiteurs du site.

Destinataires : personnel habilité de [DÉNOMINATION SOCIALE], prestataire chargé de la maintenance du site et hébergeur, dans la limite de leurs missions respectives.

Durée de conservation : [DURÉE DE CONSERVATION DES JOURNAUX TECHNIQUES], sauf conservation plus longue rendue nécessaire par un incident de sécurité, une obligation légale ou la défense de droits en justice.

3.2. Mémorisation du choix relatif aux traceurs

Le site utilise une clé de stockage local intitulée ama_consent_v1 afin de mémoriser le choix du visiteur concernant les services et traceurs soumis à consentement.

Finalité : conserver le choix exprimé par le visiteur afin d'éviter de lui présenter le bandeau de consentement à chaque page ou à chaque visite.

Base légale : nécessité technique de conserver le choix de l'utilisateur. Ce traceur est strictement nécessaire au fonctionnement du dispositif de gestion du consentement et bénéficie, à ce titre, de l'exemption de consentement prévue par l'article 82 de la loi Informatique et Libertés.

Catégories de données : choix d'acceptation ou de refus et, selon l'implémentation technique, date du choix ou version du mécanisme de consentement.

Destinataires : [DÉNOMINATION SOCIALE] et le navigateur utilisé par la personne concernée. La clé est conservée localement sur le terminal.

Durée de conservation : six mois à compter du choix, sauf suppression anticipée par le visiteur ou renouvellement requis à la suite d'une modification substantielle des traitements.

3.3. Mesure d'audience avec Google Analytics 4

Sous réserve du consentement explicite du visiteur, le site utilise Google Analytics 4 afin d'obtenir des statistiques agrégées sur sa fréquentation.

Google Analytics 4 ne doit être chargé qu'après une action positive d'acceptation effectuée depuis le bandeau de consentement. Aucun tag Google Analytics ne doit être exécuté avant cette acceptation.

Finalité : mesurer la fréquentation du site, comprendre les parcours généraux de navigation, identifier les pages consultées et améliorer la présentation des contenus.

Base légale : consentement de la personne concernée, conformément à l'article 6, paragraphe 1, point a), du RGPD et à l'article 82 de la loi Informatique et Libertés.

Catégories de données : identifiants techniques et de mesure, informations relatives au navigateur et au terminal, pages consultées, date et heure de consultation, durée approximative des sessions, interactions avec le site, provenance générale du trafic et données de localisation approximative déduites de l'adresse IP.

Le paramétrage prévu pour AMA BUFFET comprend :

• la désactivation de Google Signals ;
• l'absence d'utilisation à des fins de publicité personnalisée ;
• l'absence de croisement volontaire avec des données issues d'un compte utilisateur ;
• la limitation de la collecte aux besoins de mesure d'audience ;
• l'application des mécanismes de traitement ou d'anonymisation de l'adresse IP proposés dans Google Analytics 4.

Destinataires : personnel habilité de [DÉNOMINATION SOCIALE], prestataire chargé du site ou de son analyse statistique et sociétés du groupe Google intervenant dans la fourniture du service.

Durée de conservation : les données liées aux utilisateurs et aux événements doivent être configurées dans Google Analytics pour une durée de [DURÉE DE RÉTENTION GA4 CONFIGURÉE], sans excéder la durée nécessaire à la finalité poursuivie.

Les traceurs déposés par Google Analytics ont les durées indiquées dans le tableau figurant à l'article 5, sous réserve du paramétrage réellement déployé et des évolutions apportées par Google.

3.4. Affichage de la carte Google Maps

Le site peut intégrer une carte Google Maps permettant de localiser le restaurant.

Le chargement direct d'une carte Google Maps intégrée en iframe peut entraîner la transmission à Google de données techniques concernant le visiteur, notamment son adresse IP, son navigateur, son terminal, la page consultée et, selon sa configuration ou sa connexion à un compte Google, des identifiants ou traceurs associés.

En conséquence, la carte Google Maps doit être bloquée par défaut et remplacée par un contenu d'attente tant que le visiteur n'a pas accepté son chargement.

Finalité : afficher une carte interactive et permettre au visiteur de localiser l'établissement ou de préparer son itinéraire.

Base légale : consentement de la personne concernée, conformément à l'article 6, paragraphe 1, point a), du RGPD et, lorsque des informations sont déposées ou lues sur le terminal, à l'article 82 de la loi Informatique et Libertés.

Catégories de données : adresse IP, informations relatives au navigateur et au terminal, page consultée, données d'interaction avec la carte, données de localisation approximative et identifiants techniques susceptibles d'être utilisés par Google.

Destinataires : [DÉNOMINATION SOCIALE] dans la mesure où elle accède à des informations liées au fonctionnement du site, ainsi que Google Ireland Limited, Google LLC et leurs prestataires autorisés.

Durée de conservation : les durées sont déterminées par Google selon la nature des données, le paramétrage de l'utilisateur et les services utilisés. Les durées précises doivent être vérifiées dans la documentation de Google applicable au moment de la mise en ligne.

3.5. Chargement de Google Fonts

Le site utilise des polices Google Fonts chargées depuis les serveurs de Google.

Lorsqu'une police est appelée depuis un serveur tiers, le navigateur du visiteur transmet au minimum son adresse IP et certaines informations techniques nécessaires à la réception du fichier.

Finalité : assurer l'affichage typographique et l'identité visuelle du site.

Base légale retenue pour le chargement distant : consentement de la personne concernée, conformément à l'article 6, paragraphe 1, point a), du RGPD.

Catégories de données : adresse IP, informations relatives au navigateur, au terminal et à la ressource typographique demandée.

Destinataires : Google Ireland Limited, Google LLC et leurs prestataires autorisés.

Durée de conservation : selon les durées techniques et journaux appliqués par Google au service concerné.

Afin de réduire les transferts de données et de ne pas conditionner l'affichage du site à un consentement pour ses polices, AMA BUFFET est invité à héberger localement les fichiers de polices. En cas d'auto-hébergement complet, aucune requête vers les serveurs Google Fonts ne doit être émise par le navigateur.

3.6. Contacts téléphoniques

Le site ne collecte pas directement les informations communiquées lors d'un appel téléphonique. Toutefois, si une personne contacte le restaurant par téléphone, des données peuvent être traitées en dehors du site pour répondre à sa demande.

Finalités : répondre aux demandes de renseignements, gérer une demande de réservation effectuée par téléphone ou assurer le suivi d'une demande.

Base légale : mesures précontractuelles prises à la demande de la personne, lorsque l'appel concerne une réservation ou une prestation ; intérêt légitime à répondre aux demandes générales ; respect d'une obligation légale lorsque la conservation d'une information est imposée par la loi.

Catégories de données : numéro de téléphone, identité communiquée, date et heure souhaitées, nombre de personnes, informations pratiques et contenu de la demande.

Les personnes sont invitées à ne pas communiquer spontanément d'informations sensibles qui ne seraient pas nécessaires à leur demande.

Destinataires : personnel habilité du restaurant et, lorsqu'ils interviennent, prestataires nécessaires à la gestion de la demande.

Durée de conservation : pendant la durée nécessaire au traitement de la demande, puis, le cas échéant, pendant les délais légaux applicables à la preuve, à la comptabilité ou à la défense des droits de l'établissement.

4.1. Définition

Un cookie est un fichier ou une information susceptible d'être enregistré sur le terminal d'un utilisateur lors de la consultation d'un site internet.

Des technologies comparables, telles que le stockage local du navigateur, les pixels, balises, scripts ou identifiants techniques, peuvent également permettre de conserver ou d'accéder à des informations sur le terminal. Dans la présente politique, ces technologies sont désignées ensemble comme des « traceurs ».

4.2. Traceurs strictement nécessaires

Les traceurs strictement nécessaires au fonctionnement du site ou à la fourniture d'une fonctionnalité expressément demandée ne nécessitent pas le consentement préalable de l'utilisateur.

La clé ama_consent_v1 entre dans cette catégorie, car elle sert uniquement à mémoriser le choix effectué dans le bandeau de consentement.

4.3. Services soumis au consentement

Google Analytics 4, Google Maps et le chargement distant de Google Fonts ne doivent être activés qu'après le recueil d'un consentement valable, lorsqu'ils entraînent les traitements et transmissions décrits dans la présente politique.

Le consentement est libre, spécifique, éclairé et univoque. Le refus doit être aussi simple que l'acceptation.

L'absence de choix ou la fermeture du bandeau sans action positive ne vaut pas consentement.

Les noms et durées indiqués pour les traceurs Google correspondent à une configuration courante. Ils doivent être contrôlés au moyen d'un audit du site après sa mise en production, car Google peut modifier les noms, fonctions ou durées de ses traceurs.

6.1. Recueil initial

Lors de la première visite, un bandeau permet à l'utilisateur :

• d'accepter les services soumis à consentement ;
• de les refuser avec le même degré de simplicité ;
• d'obtenir des informations sur leurs finalités ;
• le cas échéant, de personnaliser ses choix par catégorie ou service.

Le bouton de refus doit être présenté au même niveau que le bouton d'acceptation, sans parcours plus long ni présentation destinée à favoriser artificiellement l'acceptation.

Tant qu'aucun consentement n'a été donné :

• Google Analytics 4 ne doit pas être chargé ;
• l'iframe Google Maps doit rester bloquée ;
• les polices Google Fonts distantes ne doivent pas être appelées, sauf remplacement de ce chargement par un auto-hébergement local.

6.2. Retrait ou modification du consentement

L'utilisateur peut modifier ou retirer son consentement à tout moment, aussi facilement qu'il l'a donné.

Il peut utiliser le lien ou bouton « Gérer mes cookies » disponible dans le pied de page du site.

Le retrait du consentement ne remet pas en cause la licéité des traitements réalisés avant ce retrait.

Après retrait, les services concernés ne doivent plus être chargés lors des consultations suivantes. Les traceurs non nécessaires déjà présents doivent, dans la mesure techniquement possible, être supprimés ou invalidés.

6.3. Suppression manuelle

L'utilisateur peut également supprimer les cookies et données de stockage local depuis les paramètres de son navigateur. Cette opération peut entraîner la réapparition du bandeau de consentement lors d'une visite ultérieure.

6.4. Durée de mémorisation du choix

Le choix d'acceptation ou de refus est conservé pendant six mois. À l'expiration de cette période, le consentement peut être demandé de nouveau.

Une nouvelle demande peut intervenir avant ce délai si les finalités, les services utilisés ou les conditions du traitement sont modifiés de manière substantielle.

Les services Google Analytics, Google Maps et Google Fonts sont fournis notamment par :

Google Ireland Limited
Gordon House, Barrow Street
Dublin 4
Irlande

Selon le service, la configuration et les opérations concernées, Google Ireland Limited, Google LLC ou une autre société du groupe Google peut agir comme sous-traitant, responsable de traitement distinct ou, dans certains cas, selon une qualification définie par la documentation contractuelle applicable.

[DÉNOMINATION SOCIALE] doit vérifier et accepter les conditions de traitement de données applicables aux produits Google utilisés, notamment l'avenant relatif au traitement des données.

La présente politique ne remplace pas les informations fournies directement par Google concernant ses propres traitements. Le visiteur est invité à consulter les politiques de confidentialité et conditions des services Google.

L'utilisation de services fournis par Google peut conduire à un accès ou à un transfert de données personnelles vers des pays situés en dehors de l'Union européenne ou de l'Espace économique européen, notamment les États-Unis.

Lorsque le destinataire américain concerné bénéficie d'une certification valide au titre du EU-U.S. Data Privacy Framework, le transfert peut reposer sur la décision d'adéquation adoptée par la Commission européenne, dans la limite des activités couvertes par cette certification.

Lorsque cette décision d'adéquation n'est pas applicable au destinataire, au service ou au traitement concerné, le transfert doit être encadré par un autre mécanisme conforme au chapitre V du RGPD, notamment les clauses contractuelles types adoptées par la Commission européenne, complétées, si nécessaire, par des mesures additionnelles.

[DÉNOMINATION SOCIALE] doit vérifier périodiquement :

• la validité de la certification du destinataire ;
• les services couverts par cette certification ;
• les clauses contractuelles applicables ;
• la localisation effective des traitements ;
• les mesures techniques et organisationnelles proposées par le prestataire.

Une copie ou une description des garanties applicables peut être demandée à l'adresse [EMAIL DE CONTACT] , sous réserve des informations confidentielles ou protégées qui ne peuvent pas être communiquées.

Les données sont accessibles uniquement aux personnes et organismes qui en ont besoin pour les finalités décrites dans la présente politique.

Selon les traitements, peuvent notamment être destinataires :

• les représentants et salariés habilités de [DÉNOMINATION SOCIALE] ;
• l'hébergeur du site ;
• le prestataire chargé du développement ou de la maintenance ;
• Google Ireland Limited, Google LLC et leurs sous-traitants autorisés, lorsque l'utilisateur a consenti au chargement des services concernés ;
• les conseils professionnels, assureurs ou autorités, lorsqu'une communication est nécessaire à la défense de droits, au respect d'une obligation légale ou au traitement d'un incident.

Les prestataires agissant pour le compte de [DÉNOMINATION SOCIALE] doivent être soumis à des obligations contractuelles de confidentialité, de sécurité et de protection des données conformes à l'article 28 du RGPD.

Aucune donnée n'est demandée au moyen d'un formulaire sur le site.

Les données techniques nécessaires à l'établissement de la connexion et à l'affichage des pages sont traitées automatiquement par les systèmes informatiques utilisés. À défaut de ces échanges techniques, le site ne pourrait pas être affiché correctement.

Le consentement aux services Google Analytics, Google Maps et Google Fonts distantes est facultatif.

Le refus de Google Analytics n'empêche pas la consultation du site. Le refus de Google Maps empêche uniquement l'affichage de la carte interactive. Le visiteur conserve l'accès à l'adresse du restaurant sous forme de texte.

Si Google Fonts demeure chargé à distance, son refus doit conduire à l'utilisation d'une police locale ou d'une police système de remplacement, sans empêcher l'accès au contenu.

Dans les conditions prévues par le RGPD et la loi Informatique et Libertés, toute personne concernée peut exercer les droits suivants.

11.1. Droit d'accès

La personne peut demander confirmation qu'un traitement de ses données personnelles est ou n'est pas réalisé et, lorsqu'un traitement existe, obtenir l'accès aux données et aux informations prévues par la réglementation.

11.2. Droit de rectification

La personne peut demander la correction de données personnelles inexactes ou la complétion de données incomplètes.

11.3. Droit à l'effacement

La personne peut demander l'effacement de ses données dans les cas prévus par l'article 17 du RGPD, notamment lorsque les données ne sont plus nécessaires ou lorsque le consentement est retiré et qu'aucune autre base légale ne permet de poursuivre le traitement.

Ce droit ne s'applique pas lorsqu'une conservation demeure nécessaire au respect d'une obligation légale, à l'exercice de la liberté d'expression et d'information, à l'exécution d'une mission d'intérêt public ou à la constatation, à l'exercice ou à la défense de droits en justice.

11.4. Droit à la limitation

La personne peut demander le gel temporaire de l'utilisation de ses données dans les situations prévues par l'article 18 du RGPD.

11.5. Droit d'opposition

La personne peut s'opposer, pour des raisons tenant à sa situation particulière, aux traitements fondés sur l'intérêt légitime du responsable, sauf si celui-ci démontre l'existence de motifs légitimes et impérieux ou si le traitement est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice.

11.6. Droit à la portabilité

Lorsque les conditions de l'article 20 du RGPD sont remplies, la personne peut recevoir les données qu'elle a fournies dans un format structuré, couramment utilisé et lisible par machine, ou demander leur transmission à un autre responsable.

Ce droit concerne uniquement les traitements automatisés fondés sur le consentement ou sur un contrat.

11.7. Retrait du consentement

Lorsqu'un traitement repose sur le consentement, celui-ci peut être retiré à tout moment, sans justification et sans que ce retrait remette en cause les opérations antérieurement réalisées de manière licite.

Pour les traceurs, le retrait s'effectue au moyen du lien « Gérer mes cookies » disponible dans le pied de page.

11.8. Directives après le décès

Dans les conditions prévues par la loi française, une personne peut définir des directives relatives à la conservation, à l'effacement et à la communication de ses données après son décès.

Les demandes peuvent être adressées :

• par courrier électronique à [EMAIL DE CONTACT] ;
• ou par courrier postal à : [DÉNOMINATION SOCIALE] – Exercice des droits RGPD – [SIÈGE SOCIAL].

Afin de permettre le traitement de la demande, la personne doit indiquer clairement :

• son identité ;
• la nature du droit qu'elle souhaite exercer ;
• les informations permettant d'identifier le traitement concerné ;
• l'adresse à laquelle elle souhaite recevoir la réponse.

Une pièce d'identité ne sera demandée qu'en cas de doute raisonnable sur l'identité de la personne. Seules les informations strictement nécessaires à la vérification seront alors demandées.

Le responsable du traitement répond dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois lorsque la complexité ou le nombre de demandes le justifie. La personne est alors informée de cette prolongation et de ses motifs dans le délai initial d'un mois.

L'exercice des droits est en principe gratuit. En cas de demande manifestement infondée ou excessive, notamment en raison de son caractère répétitif, le responsable peut, dans les conditions prévues par le RGPD, demander le paiement de frais raisonnables ou refuser de donner suite.

Si une personne estime, après avoir contacté [DÉNOMINATION SOCIALE], que ses droits ne sont pas respectés ou qu'un traitement n'est pas conforme à la réglementation, elle peut introduire une réclamation auprès de la CNIL.

Commission nationale de l'informatique et des libertés – CNIL
3 place de Fontenoy
TSA 80715
75334 Paris Cedex 07
France

La réclamation peut également être réalisée au moyen des services en ligne proposés sur le site officiel de la CNIL.

Les données traitées au moyen du site ne font l'objet d'aucune décision produisant des effets juridiques ou affectant significativement une personne sur la seule base d'un traitement automatisé.

AMA BUFFET ne met en œuvre aucun profilage commercial ou publicitaire au moyen du site.

Google Signals est désactivé et les données de Google Analytics ne sont pas volontairement utilisées pour personnaliser des publicités ou créer des audiences publicitaires.

[DÉNOMINATION SOCIALE] met en œuvre des mesures techniques et organisationnelles appropriées au regard de la nature des données traitées, des risques identifiés et de l'état des connaissances.

Ces mesures peuvent notamment comprendre :

• l'utilisation du protocole HTTPS ;
• la mise à jour régulière du serveur, des composants et des dépendances du site ;
• la limitation des accès administratifs aux seules personnes habilitées ;
• l'utilisation de mots de passe robustes et, lorsque disponible, d'une authentification multifacteur ;
• la journalisation des événements techniques et de sécurité ;
• la sauvegarde et la restauration contrôlées des éléments nécessaires au fonctionnement du site ;
• la sélection de prestataires présentant des garanties suffisantes ;
• la limitation des données collectées et des services tiers chargés ;
• la suppression ou l'anonymisation des données devenues inutiles ;
• la mise en place d'une procédure de gestion des incidents et violations de données.

Aucun système ne pouvant garantir une sécurité absolue, [DÉNOMINATION SOCIALE] s'engage à traiter les incidents détectés dans les meilleurs délais et, lorsqu'une violation de données présente les conditions prévues par les articles 33 et 34 du RGPD, à notifier la CNIL et à informer les personnes concernées.

Le site peut contenir des liens vers des sites ou services exploités par des tiers.

Lorsque l'utilisateur quitte le site d'AMA BUFFET, les traitements réalisés sur le site tiers relèvent de la politique de confidentialité et de la responsabilité de son exploitant.

L'utilisateur est invité à consulter les informations fournies par chaque service externe avant de lui communiquer des données personnelles.

Le site ne propose aucun service nécessitant la création d'un compte ou la collecte volontaire de données personnelles auprès de mineurs.

Si une information concernant un mineur était communiquée par téléphone dans le cadre d'une demande particulière, elle ne devrait être conservée que si elle est strictement nécessaire au traitement de cette demande.

La présente politique peut être modifiée afin de tenir compte :

• d'une évolution du site ou des services tiers ;
• d'une modification des traitements de données ;
• d'une évolution législative, réglementaire, jurisprudentielle ou doctrinale ;
• d'une recommandation de la CNIL ou d'une autre autorité compétente ;
• d'une modification des engagements contractuels des prestataires.

En cas de modification substantielle affectant les finalités, les bases légales ou les services soumis au consentement, une nouvelle information sera fournie et, lorsque cela est nécessaire, un nouveau consentement sera demandé.

Dernière mise à jour : [DATE DE DERNIÈRE MISE À JOUR]