Politique de confidentialité

1. Qui sommes-nous

Comblo est un logiciel de réservation pour escape games et loisirs indoor, édité par Benjamin Lepaul, entrepreneur individuel (entreprise individuelle) (CreaWeb Conseil), SIRET 804 460 921 00039, 17 rue Jules Ferry, 25600 Nommay, France. Il est utilisé par des établissements de loisirs (les « exploitants ») pour gérer leurs réservations, cartes cadeaux, tables et communications avec leurs clients (les « joueurs »). Contact pour toute question relative à vos données : contact@comblo.fr.

2. Deux rôles distincts

• Pour les données des exploitants (compte, facturation), l’Éditeur est responsable de traitement.
• Pour les données des joueurs, l’exploitant chez qui vous réservez est responsable de traitement ; l’Éditeur agit comme sous-traitant, pour son compte et selon ses instructions (article 28 du RGPD, encadré par les CGV). Pour exercer vos droits sur une réservation, adressez-vous en priorité à l’établissement concerné ; nous lui transmettrons toute demande reçue directement.

3. Données traitées

• Exploitants et leurs équipes : e-mail de connexion, nom, coordonnées de l’établissement, données de facturation de l’abonnement, journaux de connexion. S’ils les fournissent : clés d’accès à leur service de paiement et jetons de connexion à Google et Facebook, stockés chiffrés.
• Joueurs et clients : nom, e-mail, téléphone, créneau, nombre de joueurs, montants et statut des paiements (jamais les numéros de carte, traités uniquement par le prestataire de paiement de l’exploitant), cartes cadeaux, commandes de table, avis et retours, préférences d’abonnement aux communications.
• Photos de fin de session : lorsque l’exploitant prend une photo d’équipe, elle n’est envoyée par e-mail ou publiée sur les réseaux sociaux qu’avec le consentement du groupe, recueilli et horodaté au moment de la partie.
• Professionnels contactés en prospection : nom de l’établissement, coordonnées professionnelles publiées sur son site, historique de nos échanges. Lorsqu’un professionnel ouvre le comparateur depuis le lien personnel d’un de nos e-mails : date et durée de la visite, réglages saisis dans le comparateur (logiciel actuel, nombre de salles, prix, options), sections consultées et liens cliqués. Ce suivi ne concerne que ce lien personnel : aucun cookie, aucun suivi des autres visiteurs du site.

4. Finalités et bases légales

• Gérer les réservations, paiements, cartes cadeaux et envoyer les e-mails ou SMS qui s’y rapportent (confirmation, rappel, demande d’avis) — exécution du contrat conclu avec l’exploitant.
• Envoyer des newsletters et offres de l’exploitant — consentement du joueur ou intérêt légitime pour ses clients existants ; un lien de désinscription figure dans chaque envoi.
• Diffuser les photos de fin de session — consentement du groupe.
• Gérer l’abonnement des exploitants, l’assistance et la facturation — exécution du contrat et obligations légales comptables.
• Prospecter des établissements de loisirs et préparer nos échanges commerciaux, y compris le suivi des visites du comparateur décrit à l’article 3 — intérêt légitime. Chaque e-mail comporte un lien de désinscription, et vous pouvez vous opposer à ce suivi à tout moment en nous écrivant.
• Assurer la sécurité du service et prévenir la fraude — intérêt légitime.

5. Prestataires et hébergement

Les données sont traitées avec les prestataires suivants :

• Supabase — base de données et fichiers, hébergés dans l’Union européenne (Paris).
• Vercel — hébergement de l’application, traitements exécutés en Europe (société américaine).
• Resend — envoi des e-mails (société américaine).
• Brevo — envoi des SMS (société française).
• Anthropic — fonctions d’intelligence artificielle utilisées par l’exploitant (rédaction de campagnes, réponses aux avis, lecture de fichiers) ; seules les données nécessaires à la génération demandée sont transmises (société américaine).
• Stripe — facturation de l’abonnement des exploitants.
• Selon les choix de l’exploitant : son prestataire de paiement (PayPlug, Stripe, Mollie ou SumUp), Google (fiche d’établissement et avis) et Meta (Page Facebook).

Les transferts hors de l’Union européenne sont encadrés par une décision d’adéquation (dont le cadre de protection des données UE–États-Unis) ou par les clauses contractuelles types de la Commission européenne. Aucune donnée n’est vendue ni utilisée à des fins publicitaires.

6. Connexion à Facebook et à Google

Lorsqu’un exploitant connecte sa Page Facebook, Comblo obtient uniquement l’autorisation de publier des photos sur cette Page. Nous ne lisons pas les messages privés, ne collectons pas la liste des amis et n’accédons à aucune donnée personnelle des abonnés de la Page.

Lorsqu’il connecte sa fiche Google, Comblo lit les avis publiés sur cette fiche afin de permettre à l’exploitant d’y répondre, et publie sur cette fiche les réponses que l’exploitant a validées ou qu’il a choisi de publier automatiquement. L’autorisation demandée à Google porte uniquement sur la gestion de la fiche d’établissement (avis et réponses) ; nous n’accédons ni à la messagerie, ni aux contacts, ni aux fichiers du compte Google.

Les membres de notre équipe commerciale peuvent aussi connecter leur agenda Google : Comblo y crée, à leur demande, l’événement d’un rendez-vous avec un lien de visioconférence Google Meet, et le supprime si le rendez-vous est annulé. Nous ne lisons pas leurs autres événements.

Utilisation des données issues des API Google. L’utilisation et le transfert à toute autre application des informations reçues des API Google respectent la politique relative aux données utilisateur des services d’API Google, y compris ses exigences d’utilisation limitée. Ces données servent uniquement à fournir les fonctions décrites ci-dessus : elles ne sont ni vendues, ni utilisées pour de la publicité, ni utilisées pour entraîner des modèles d’intelligence artificielle, et aucun membre de notre équipe ne les lit, sauf avec le consentement de l’exploitant, pour des raisons de sécurité ou d’obligation légale. Pour rédiger une proposition de réponse à un avis, le texte de cet avis est transmis à notre prestataire d’intelligence artificielle, qui agit comme sous-traitant et n’utilise pas ce contenu pour entraîner ses modèles.

Les jetons d’accès sont stockés chiffrés et peuvent être révoqués à tout moment via le bouton « Déconnecter » dans les paramètres, ou depuis les réglages Facebook ou Google de l’exploitant.

7. Durées de conservation

• Données des joueurs : pendant la durée de l’abonnement de l’exploitant, qui peut les supprimer à tout moment ; puis trente (30) jours après la fin de l’abonnement, avant suppression.
• Données de compte des exploitants : pendant la relation contractuelle, puis trente (30) jours ; éléments de facturation : dix (10) ans (obligation comptable).
• Données de prospection : trois (3) ans au plus après le dernier contact.
• Sauvegardes : effacées selon leur cycle de renouvellement.

8. Sécurité

Connexions chiffrées, cloisonnement des données entre établissements, droits d’accès par compte utilisateur, chiffrement au repos des secrets (clés de paiement, jetons Google et Facebook), hébergement des bases de données dans l’Union européenne.

9. Cookies

Comblo n’utilise pas de cookies publicitaires ni de mesure d’audience tierce. Seuls des cookies strictement nécessaires au fonctionnement sont déposés (session de connexion à l’espace de gestion, sécurité du paiement), ce qui ne requiert pas de consentement. Les prestataires de paiement peuvent déposer leurs propres cookies lors du règlement.

10. Vos droits

Conformément au RGPD, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité de vos données, ainsi que du droit de retirer votre consentement à tout moment. Écrivez à contact@comblo.fr ; une réponse vous est apportée dans un délai d’un mois. Les demandes de suppression de données provenant de Facebook sont également traitées automatiquement.

Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).