Conditions générales d’abonnement.

1Ce que nous fournissons

Convivos est un logiciel accessible en ligne, vendu par modules. Selon le ou les modules souscrits, il comprend :

1. un module de réservation public, intégré à votre site, où vos convives, vos voyageurs ou vos clients réservent en quelques instants, sans créer de compte ;
2. un carnet de réservation privé — vue du jour, planning des nuitées, agenda des praticiens, ajout manuel, statuts, recherche client, fermetures et capacité exceptionnelle ;
3. l’envoi automatique, par e-mail, des confirmations, des rappels et de la notification de chaque nouvelle réservation — et, en option payante pour les modules Table et Rendez-vous, le rappel par SMS (§ 5.2) ;
4. pour le propriétaire du carnet, l’export de vos réservations et de vos fiches clients au format CSV — l’export du carnet couvre les quatre-vingt-dix derniers jours et la totalité de l’à-venir, le fichier clients est exporté en entier — et la copie complète de toutes les données de l’établissement, en un fichier structuré (JSON) décrit sur la page le format de vos données, à tout moment pendant la durée du contrat, hors suspension (§ 6). Pour le rendez-vous, les notes de votre établissement ne figurent dans aucun des deux exports CSV : elles sortent dans le fichier de chaque client et dans la copie complète.

Le module Table raisonne en couverts et en créneaux de service ; le module Séjour raisonne en unités et en nuitées, et calcule la taxe de séjour d’après le montant par personne et par nuit que vous saisissez ; le module Rendez-vous raisonne en prestations et en praticiens, pour toute prestation de service sur rendez-vous, dans vos locaux ou chez votre client — il n’est pas destiné aux soins de santé ni au paramédical. Les pages de réservation et les messages à vos clients existent en français, en néerlandais, en anglais et en allemand.

Ce que le service ne fait pas, et qu’il ne faut pas attendre de lui :

• aucun éditeur graphique de salle en glisser-déposer, ni attribution automatique des tables : le plan de salle existe, vous y placez vos convives à la main, et il ne décide jamais d’une disponibilité — celle-ci reste comptée en couverts ;
• aucune liste d’attente, ni avis aux personnes en attente quand une place se libère ;
• aucun encaissement pour votre compte : si vous activez le paiement en ligne (§ 4.1), l’acompte ou les arrhes de vos clients sont réglés sur votre propre compte Stripe — nous ne recevons, ne détenons ni ne reversons aucune somme, et ne prélevons aucune commission. Aucune empreinte bancaire n’est proposée ;
• pour la table, aucune synchronisation avec les plateformes (TheFork et consorts) : Convivos y gère votre réservation directe, et ne connaît pas les réservations prises ailleurs. Pour la nuitée, vos calendriers se synchronisent en iCal, dans les deux sens, avec les plateformes qui le publient (Booking, Airbnb, Vrbo) — sans interface de réservation ni tarifs poussés ;
• aucune intégration de caisse ni de logiciel de gestion tiers.

1.1L’engagement de fond

Nous nous engageons sur un point, et nous nous y engageons fermement : le service ne confirme jamais une réservation qui dépasserait la capacité que vous avez fixée. Cela vaut pour une réservation prise en ligne comme pour une réservation ajoutée au carnet par votre équipe, et la capacité est celle de vos réglages, capacité exceptionnelle d’un jour comprise. Cet engagement porte sur ce que Convivos connaît : la note du § 1 dit ce qu’il en est des calendriers de plateformes.

2Conclusion du contrat

Le contrat est conclu lorsque vous validez le formulaire d’inscription en cochant la case d’acceptation des présentes conditions. Cette acceptation est horodatée et conservée, avec le numéro de version des conditions acceptées, pour l’organisation que vous représentez : elle vaut pour elle, même si vous cessez ensuite de l’administrer.

Vous déclarez agir dans le cadre de votre activité professionnelle et disposer du pouvoir d’engager l’entreprise que vous désignez.

3Période d’essai

L’abonnement débute par une période d’essai gratuite de quatorze jours d’usage. Vous disposez d’abord de sept jours pour installer votre établissement — horaires, capacité, lien posé sur votre site — sans consommer votre essai : les quatorze jours partent de votre première réservation enregistrée. Si rien n’a été enregistré dans cette fenêtre, l’essai prend fin au plus tard vingt et un jours après l’ouverture du module concerné — sauf demande d’abonnement en attente de notre réponse, ou prolongation que nous vous accordons par écrit.

Aucun moyen de paiement n’est demandé pour ouvrir l’essai. Aucune reconduction automatique en abonnement payant n’a lieu à son terme. Pour souscrire, vous déposez une demande d’abonnement depuis votre espace ; déposée avant la fin de l’essai, elle le prolonge jusqu’à notre réponse, que nous donnons sous cinq jours ouvrés ; l’abonnement payant commence le jour où nous l’acceptons. Si vous ne souscrivez pas, le carnet est fermé à la fin de l’essai et votre page de réservation cesse d’en prendre au plus tard le lendemain. Vos données suivent alors le sort prévu au § 12 : une copie vous est remise sur simple demande écrite pendant trente jours, puis elles sont supprimées. Pendant l’essai, vous les exportez vous-même depuis le carnet.

4Vos obligations

Vous êtes responsable :

• de l’exactitude des réglages de votre établissement — horaires, capacité, taille maximum d’un groupe, durée d’occupation, unités et tarifs. Le service applique ce que vous avez fixé ; il ne devine pas vos jours de fermeture ;
• de la confidentialité des accès de votre équipe, et du retrait des accès d’une personne qui quitte l’établissement ;
• du respect de vos obligations envers vos convives, vos voyageurs et vos clients : information sur le traitement de leurs données, respect des réservations acceptées, conditions d’annulation, obligations en matière d’allergènes, d’affichage des prix et de taxe de séjour ;
• de la licéité des contenus que vous nous confiez — nom commercial, logo, lien vers votre politique de confidentialité.

Vous vous interdisez de tenter de contourner les limites techniques du service, d’en extraire massivement les données par des moyens automatisés, ou de le revendre sous votre propre marque sans accord écrit. Lorsque vous créez ou demandez le compte d’un membre de votre personnel, vous l’informez que Convivos en est responsable, et où le lire (mentions légales, § 4.1 et § 4.2).

4.1Paiement en ligne de vos clients (facultatif)

Vous pouvez demander à vos clients, au moment où ils réservent en ligne, un acompte (table ou rendez-vous) ou des arrhes (hébergement), réglés par carte ou Bancontact sur la page sécurisée de Stripe. Cette fonction suppose un compte Stripe à votre nom : nous le créons à votre demande depuis vos réglages, puis vous le complétez et le gérez vous-même chez Stripe, sous les conditions de Stripe. Les paiements sont faits directement sur ce compte : Convivos ne reçoit, ne détient ni ne reverse jamais aucune somme, ne prélève aucune commission, et n’est ni partie à ces paiements ni intermédiaire de paiement. Vous pouvez délier ce compte à tout moment : le service cesse alors de demander des paiements, mais les remboursements dus sont encore exécutés sur ce compte tant que vous n’avez pas retiré à Convivos son accès depuis votre tableau de bord Stripe.

Vous fixez le montant et le délai de remboursement. Vous vous engagez à ce que l’acompte d’une table ne dépasse pas, par couvert, le prix du repas le moins cher que vous servez à ce service (un menu, ou une entrée et un plat) ; le service ne le vérifie pas et le borne seulement à 200 € par couvert. Les arrhes d’un séjour se calculent sur le prix de l’hébergement, hors taxe de séjour. Le service exige l’adresse e-mail de votre client dès qu’il lui demande un paiement — des arrhes à virer comprises, quand vous avez indiqué votre IBAN —, puisque c’est elle qui porte la confirmation et ses règles. Il dit à votre client, en votre nom, que l’acompte d’une table est déduit de l’addition et que, si l’addition est plus basse, vous lui rendez la différence — ce qui vous engage à l’en déduire et à la lui rendre — et que le solde d’un séjour se règle sur place ; il lui affiche ce délai avant son paiement, puis l’applique : une annulation faite en ligne par votre client avant ce délai lui est remboursée automatiquement ; après, ou si votre client ne vient pas, le service ne les rembourse pas. Si vous annulez vous-même une réservation dont l’acompte ou les arrhes ont été payés via Stripe, le service les rembourse toujours à votre client ; des arrhes reçues par virement, vous les remboursez vous-même. La durée du délai affichée au moment du paiement reste celle qui s’applique à cette réservation, même si vous modifiez ensuite votre réglage ; si vous déplacez la réservation à la demande de votre client — vous le cochez au carnet —, le délai se compte à partir de sa nouvelle date. Si vous modifiez de vous-même une table (son jour, son heure ou ses couverts) ou un séjour (ses dates, son logement ou son nombre de voyageurs), votre client peut refuser ce changement en annulant en ligne, et il est alors remboursé en entier jusqu’à l’heure de la table, ou jusqu’à la veille de son arrivée ; le service tient pour tel tout changement que vous n’avez pas marqué comme demandé par votre client. Ne déplacez une réservation ou un rendez-vous payé en ligne qu’à la demande ou avec l’accord de votre client ; s’il refuse le changement, annulez : l’acompte ou les arrhes lui sont remboursés en entier. Pour le rendez-vous, et par exception aux règles de montant et de délai qui précèdent — l’obligation d’annuler et de rembourser en entier si votre client refuse un changement demeure — : l’acompte est un montant fixe que vous choisissez pour chaque prestation, versé à valoir sur son prix — le service l’annonce à votre client comme déduit du prix, et l’acompte ne doit pas dépasser ce prix (le service refuse un acompte plus élevé quand le prix est affiché) ; le délai de remboursement est l’heure limite d’annulation en ligne de votre établissement, figée au moment de la réservation ; si vous réduisez ensuite ce délai, c’est l’heure limite la plus proche du rendez-vous qui s’applique à votre client. Passé cette heure, votre client ne peut plus annuler ni déplacer le rendez-vous en ligne ; s’il vous prévient ensuite et que vous annulez le rendez-vous, l’acompte lui est remboursé. Un déplacement en ligne par votre client garde l’acompte, et l’heure limite suit la nouvelle date. Si votre client est absent au rendez-vous, le service ne rembourse pas l’acompte ; vous pouvez le lui rembourser depuis la fiche du rendez-vous. S’il est payé après que le créneau a été libéré, il lui est remboursé automatiquement. Changer la prestation d’un rendez-vous ne change pas l’acompte déjà payé.

Le service annonce ces règles à votre client en votre nom, avant son paiement, et elles vous engagent envers lui. Convivos n’est pas partie au contrat qui vous lie à votre client ; il vous appartient de vérifier que ces règles sont compatibles avec vos propres conditions et avec le droit qui s’applique à votre activité. Dans les limites du § 9, nous répondons de ce que le service applique et annonce tel que le décrit le présent § 4.1.

Les remboursements que déclenche le service le sont en votre nom, depuis votre compte Stripe. Un remboursement que Stripe ou la banque refuse vous est signalé sur la fiche de la réservation ; il vous revient alors de le régler depuis votre tableau de bord Stripe. Sans préjudice de notre responsabilité au titre du § 9, les litiges et contestations de paiement, les frais de Stripe et les obligations comptables ou fiscales liés à ces paiements relèvent de vous et de Stripe.

Pour ces paiements, le service transmet à Stripe l’adresse électronique de votre client s’il l’a donnée, le montant, un libellé de la réservation — votre enseigne, la date, l’heure et le nombre de couverts, les dates du séjour, ou la date et l’heure du rendez-vous —, sa référence et des identifiants techniques, ainsi que la langue de la page. Votre client saisit ses données de paiement sur la page de Stripe, jamais chez nous. À la création de votre compte, nous transmettons aussi à Stripe une adresse électronique de contact, le pays et notre identifiant interne de votre établissement. Stripe nous notifie les paiements et remboursements de votre compte ; ces avis portent aussi le nom du titulaire, son pays et les derniers chiffres de sa carte ou de son compte : le service n’en retient que l’issue, le montant et les identifiants du paiement, et ignore sans rien enregistrer ceux qui concernent un paiement qu’il n’a pas demandé. Stripe traite ces données pour votre compte, en vertu de votre propre contrat Stripe : le § 10.8 précise sa place.

5Prix

Les prix en vigueur sont ceux affichés sur la page tarifs au jour où l’abonnement payant commence (§ 3). Ils s’entendent hors TVA, en euros.

5.1Modification des prix

Nous pouvons faire évoluer nos prix. Dans ce cas :

1. vous êtes prévenu par écrit au moins deux mois avant la date d’effet ;
2. la nouvelle grille ne s’applique qu’aux périodes postérieures à cette date ;
3. vous pouvez résilier sans frais ni préavis jusqu’à la date d’effet ; l’abonnement prend alors fin à la date que vous indiquez, au plus tard à cette date, et la nouvelle grille ne vous est pas appliquée.

5.2L’option des rappels par SMS

Le rappel par SMS est une option des modules Table et Rendez-vous, désactivée par défaut. Un propriétaire du carnet l’active ou la coupe dans les réglages du carnet, où son prix est affiché à côté ; chaque activation, chaque coupure et chaque changement de plafond est noté avec sa date, le compte qui l’a fait et le prix affiché, et conservé pendant le contrat. Elle ne peut être activée qu’une fois l’abonnement souscrit — pendant l’essai gratuit (§ 3), aucun SMS n’est envoyé — et jamais pendant une intervention d’assistance de notre part (une intervention au sens du § 10.4).

• elle est facturée au SMS envoyé — c’est-à-dire dès que notre prestataire d’acheminement l’accepte, qu’il soit ou non remis au téléphone du client, ce que le service ne suit pas —, au prix affiché sur la page tarifs ; un rappel écarté avant l’envoi n’est pas facturé ;
• vous fixez un plafond de SMS par mois dans les mêmes réglages : au-delà, aucun SMS ne part plus ce mois-là — abaissé en cours de mois, il retient aussi ceux qui attendaient leur heure —, le rappel par e-mail continue, et rien n’est facturé au-delà du plafond ;
• le SMS part au client qui a laissé un numéro de mobile belge ou français : quatre heures avant une réservation de table prise avant ce moment, la veille d’un rendez-vous pris plus de vingt-quatre heures avant. Les autres ne reçoivent que le rappel par e-mail, s’ils ont laissé une adresse ;
• coupée, l’option n’envoie plus aucun SMS, même ceux qui attendaient leur heure.

6Facturation et paiement

Les factures sont émises mensuellement à terme échu, sous forme de facture électronique structurée transmise via le réseau Peppol, conformément à l’obligation applicable depuis le 1er janvier 2026 aux opérations entre assujettis établis en Belgique. Vous nous communiquez à cette fin les données nécessaires à votre identification sur ce réseau.

Le paiement intervient dans les trente jours de la date de facture, par virement sur le compte qu’elle indique. Lorsque le contrat prend fin en cours de mois, quelle qu’en soit la cause, le dernier mois est facturé au prorata des jours courus.

Les SMS de l’option (§ 5.2) sont facturés avec l’abonnement, à terme échu, d’après le relevé du mois civil écoulé, à l’heure de Bruxelles. Le nombre de SMS du mois figure sur la facture, et se conserve avec elle.

En cas de retard, et après une mise en demeure restée sans effet pendant quinze jours, sont dus de plein droit les intérêts au taux prévu par la loi du 2 août 2002 concernant la lutte contre le retard de paiement dans les transactions commerciales, ainsi qu’une indemnité forfaitaire de recouvrement de 40 €. La suspension du service ne peut intervenir qu’après cette mise en demeure, et jamais un vendredi, un samedi, ni la veille d’un jour férié légal belge — nous n’éteignons pas un carnet à l’entrée d’un service. Pendant une suspension, votre carnet est fermé, et une copie complète de vos données vous est remise sur simple demande écrite, sans frais, dans la forme que décrit le § 12 : c’est la seule période du contrat où vous ne l’exportez pas vous-même.

7Durée et résiliation

Le contrat est conclu pour une durée indéterminée. Il n’y a ni engagement minimum, ni reconduction tacite d’une période fixe.

• Vous pouvez résilier à tout moment, sans motif et sans indemnité, depuis votre espace ou par simple courriel. La résiliation prend effet à la fin du mois civil en cours — ou à la fin de votre essai, s’il se termine avant. Jusqu’à cette date, votre carnet et ses exports restent ouverts, et votre page de réservation continue de prendre des réservations, sauf celles qui tombent, même en partie, après la fin du contrat ; ensuite, le carnet est fermé et le § 12 s’applique. Les sommes déjà exigibles pour les périodes écoulées restent dues ; aucune indemnité de sortie n’est due.
• Nous pouvons résilier moyennant un préavis écrit de trois mois, sauf résiliation pour manquement dans les conditions ci-dessous.
• Résiliation pour manquement : en cas de manquement grave persistant plus de quinze jours après une mise en demeure écrite, chaque partie peut résilier de plein droit.

8Disponibilité, maintenance et sauvegardes

Nous visons une disponibilité de 99,5 % par mois, hors maintenances planifiées. Est comptée indisponible la période pendant laquelle vos pages de réservation ne répondent pas ; elle est mesurée par notre sonde externe, dont le relevé vous est communiqué sur demande.

Les maintenances planifiées sont annoncées au moins 48 heures à l’avance et réalisées, sauf urgence de sécurité, entre 3 h et 6 h du matin.

Les bases de données sont sauvegardées toutes les quinze minutes en fonctionnement normal ; ces sauvegardes sont chiffrées et répliquées hors du serveur, en Union européenne. La fenêtre maximale de perte de données visée est de quinze minutes. Le § 10.5 décrit la copie locale, non chiffrée, prise avant chaque mise à jour.

Si la disponibilité mensuelle descend sous 99,5 %, vous pouvez demander, dans les trente jours, un avoir proportionnel à la durée d’indisponibilité, plafonné à un mois d’abonnement.

9Responsabilité

Nous sommes tenus d’une obligation de moyens quant au fonctionnement du service.

Notre responsabilité contractuelle et extracontractuelle, toutes causes confondues et par période de douze mois, est plafonnée au montant hors TVA effectivement facturé au cours des douze mois précédant le fait générateur.

Ce plafond ne s’applique pas en cas de dol, de faute lourde, d’atteinte à l’intégrité physique, ni dans les cas où la loi l’interdit.

Les limitations et exonérations prévues au présent article bénéficient également à nos préposés, gérants et sous-traitants, dans les mêmes limites — clause stipulée compte tenu du Livre 6 du Code civil, entré en vigueur le 1er janvier 2025.

Ne sont pas de notre responsabilité :

• les conséquences d’un réglage erroné de vos horaires, de votre capacité, de vos unités ou de vos tarifs ;
• les réservations prises sur une plateforme tierce et non reportées dans votre planning ;
• l’indisponibilité de votre propre site ou de votre accès à Internet ;
• les défaillances des réseaux et des opérateurs que ni nous ni nos prestataires ne contrôlons — boîte de réception du destinataire, filtres, réseau mobile ;
• l’usage que vous faites des données de vos convives, de vos voyageurs et de vos clients ;
• les réservations que vous choisissez d’accepter ou de refuser.

10Protection des données — contrat de sous-traitance

Ce paragraphe vaut contrat de sous-traitance au sens de l’article 28 du RGPD. Il n’y a pas d’annexe séparée à signer : vous l’acceptez, avec les pages auxquelles il renvoie expressément (§ 14, « Intégralité »), en même temps que le reste des présentes conditions.

Pour les données de vos convives, de vos voyageurs et de vos clients, vous êtes responsable du traitement et nous sommes sous-traitant. Pour les données de votre propre compte — connexion, facturation, journaux techniques —, c’est nous qui sommes responsables du traitement ; le détail figure aux mentions légales.

Si vous nous soumettez votre propre accord de sous-traitance et que nous le signons, c’est lui qui s’applique et il prévaut sur le présent paragraphe.

10.1Ce que nous traitons pour vous

Vos obligations et vos droits. Vous déterminez les finalités et les moyens du traitement. Vous informez les personnes concernées au moment où vous collectez leurs données, vous disposez d’une base légale, et vous répondez à leurs demandes — nous vous y aidons (§ 10.6). Vous pouvez à tout moment nous donner des instructions écrites et contrôler leur exécution (§ 10.9).

10.2Nous n’agissons que sur vos instructions

Nous ne traitons ces données que sur vos instructions documentées, et jamais pour nos propres finalités. Les présentes conditions et la configuration que vous choisissez dans le service valent instructions documentées.

Ni nous ni nos sous-traitants ultérieurs ne transférons de données traitées pour vous hors de l’Espace économique européen, à deux exceptions près, décrites ci-dessous : le paiement en ligne facultatif et l’option des rappels par SMS. Une troisième exception, qui ne concerne que nos propres données de facturation et aucune donnée de vos convives, de vos voyageurs ni de vos clients, est décrite aux mentions légales (§ 2). Si cela devait changer, nous vous en informerions à l’avance et n’y procéderions qu’avec un cadre de transfert valable. Le paiement en ligne facultatif fait exception pour les seules données transmises à Stripe, votre propre prestataire, qui peut les traiter hors de l’Union dans les conditions du § 10.8.

L’option des rappels par SMS (§ 5.2) fait exception pour les seules données d’un SMS — le numéro du client et le texte du rappel — et seulement si vous l’activez : notre prestataire Brevo les fait acheminer par l’un des opérateurs de routage qu’il liste comme ses sous-traitants, choisi selon le pays du numéro. Pour un mobile belge ou français, ce sont iBasis (établi au Liechtenstein, serveurs en Autriche et en Allemagne), Vonage (établi aux États-Unis, serveurs dans l’Union) et Telnyx (établi en Irlande, serveurs dans l’Union et aux États-Unis). Brevo encadre les transferts que ce routage peut comporter par les clauses contractuelles types de la Commission européenne et des mesures supplémentaires (liste des sous-traitants de Brevo, version du 1er octobre 2025). Un SMS ne part que vers un mobile belge ou français.

Si une obligation légale nous imposait un traitement que vous n’avez pas demandé, nous vous en informerions avant de le faire, sauf si cette même loi nous l’interdit pour un motif important d’intérêt public.

Si une de vos instructions nous paraît contraire au RGPD ou à une autre règle de protection des données, nous vous le signalons sans délai, et au plus tard sous deux jours ouvrés.

10.3La durée de conservation, qui est votre instruction

Vous fixez, depuis vos Réglages, la durée de conservation des fiches inactives ; elle est appliquée automatiquement : passé cette durée, la fiche est anonymisée — ses données identifiantes sont effacées, l’enregistrement subsiste (§ 10.6). Vous pouvez la porter entre un et cent vingt mois. Il vous appartient de la fixer conformément au principe de limitation de la conservation.

À défaut de choix de votre part, elle est de trente-six mois d’inactivité. Si vous videz ce champ, l’anonymisation automatique est désactivée et les fiches sont conservées jusqu’à anonymisation manuelle ou fin du contrat : c’est alors votre instruction, et vous en assumez la conformité.

Pour le module Rendez-vous, la durée est de vingt-quatre mois à défaut de choix, et l’anonymisation automatique ne peut pas être désactivée : chaque nuit, une fiche sans rendez-vous depuis cette durée, ni récent ni à venir, est anonymisée. La fiche commune des clients de passage, qui ne porte ni nom, ni coordonnée, ni note, n’est pas concernée. Le rendez-vous d’une fiche anonymisée reste au carnet, sans nom ni coordonnée ; s’il portait un acompte payé en ligne, sa ligne garde le montant, l’état et les dates du paiement, mais ses identifiants Stripe et le motif d’un remboursement refusé sont effacés avec les données de la fiche, sauf tant qu’un remboursement reste à exécuter. Le paiement lui-même demeure dans votre compte Stripe, sous votre responsabilité (§ 4.1).

10.4Confidentialité, et qui accède à vos données de notre côté

Seules les personnes de notre côté qui en ont besoin pour exploiter le service et vous porter assistance accèdent à vos données. Elles sont tenues à la confidentialité par écrit, et cet engagement survit à la fin de leurs fonctions.

Toute intervention d’assistance sur votre carnet est réservée à des opérateurs explicitement habilités, exige un motif écrit enregistré avant l’ouverture, est limitée à vingt minutes, est tracée dans un journal — y compris lorsqu’un geste est refusé —, et ne permet ni de connaître ni de changer votre mot de passe ou votre adresse de connexion, ni de télécharger d’un coup toutes vos données — seule la remise du § 12, sur votre demande écrite, extrait l’ensemble.

Les gestes du § 12 — la remise d’une copie complète de vos données, à la fin du contrat ou pendant une suspension (§ 6), le report de leur suppression, leur suppression avant le terme — ne sont faits de notre côté que sur votre demande écrite, par un opérateur habilité, avec un motif écrit, et chacun est tracé dans ce même journal ; la destruction de notre exemplaire d’une copie remise l’est aussi. Pendant le contrat, vos exports sont les vôtres (§ 11).

10.5Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles requises par l’article 32 du RGPD. Nous pouvons les faire évoluer, à condition que le niveau de protection reste au moins équivalent ; au jour de la présente version, elles comprennent au moins :

1. le trafic entre les personnes qui utilisent le service et nos serveurs est chiffré (TLS) ; les échanges internes entre nos composants et les bases de données ne quittent pas le réseau privé du serveur, qui n’est pas exposé à Internet ;
2. cloisonnement par établissement : chaque lecture et chaque écriture sont filtrées par établissement dans l’application, l’identifiant venant de la session et jamais de l’adresse demandée ; des contraintes d’intégrité en base empêchent en outre qu’un enregistrement soit rattaché au mauvais établissement ;
3. les mots de passe ne sont jamais conservés en clair : seule une empreinte scrypt est enregistrée, accompagnée d’un sel aléatoire tiré à chaque enregistrement, donc distinct pour chaque utilisateur ; la vérification s’effectue par comparaison à temps constant ;
4. les sessions expirent automatiquement — au plus tard trente jours après leur ouverture, et après huit heures sans activité ; chacun peut mettre fin à sa session à tout moment, et toutes les sessions d’un compte sont détruites lors d’une réinitialisation de mot de passe ou de l’effacement du compte ;
5. les sauvegardes sont chiffrées pour une clé dont la partie privée n’est pas conservée à demeure sur le serveur, et déposées toutes les quinze minutes, en fonctionnement normal, chez un fournisseur distinct de l’hébergeur, en Union européenne ; avant chaque mise à jour du service, une copie non chiffrée de la base est en outre conservée sur le serveur lui-même, lisible par les seuls comptes d’administration de ce serveur, pour permettre de revenir immédiatement à l’état d’avant la mise à jour, et effacée au plus tard trente jours après ;
6. serveur durci : pare-feu, accès par clé, conteneurs non privilégiés, journaux rotés et plafonnés, qui ne contiennent ni corps de requête, ni en-tête, ni lien d’annulation.

Une procédure de restauration documentée est en place, et nous l’éprouvons au moins une fois par trimestre, sur chacune des bases, à partir d’une archive hors-site déchiffrée. Le § 8 décrit la disponibilité du service ; il ne remplace pas le présent point, qui porte sur la protection des données.

10.6Assistance aux droits des personnes

Nous vous aidons, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité.

Concrètement : pendant toute la durée du contrat, hors suspension (§ 6), vous exportez vos données depuis votre carnet, et vous anonymisez une personne directement depuis votre carnet. L’anonymisation efface les données identifiantes — nom, prénom, téléphone, adresse électronique, adresse d’intervention, véhicule, notes libres — sans supprimer l’enregistrement, y compris dans la file d’envoi des messages ; la réservation, le séjour ou le rendez-vous subsiste sous forme anonyme, ce qui préserve la cohérence de votre carnet et de vos statistiques. Elle satisfait donc une demande d’effacement dès qu’elle est faite — sauf tant qu’une réservation en cours ou à venir de cette personne porte un acompte ou des arrhes payés en ligne, ou qu’un paiement reste à dénouer (§ 12) : annulez-la ou clôturez-la, puis refaites l’anonymisation ; les sauvegardes et les copies décrites au § 10.5, prises avant l’anonymisation, conservent ces données jusqu’au terme de leur rotation, qui n’excède pas trente jours — plus longtemps seulement si l’envoi des sauvegardes hors du serveur est interrompu, jusqu’à sa reprise (§ 12).

Pour ce que le service ne fait pas seul, nous vous répondons dans un délai de cinq jours ouvrés (§ 14). Une demande qui nous parviendrait par erreur vous est transmise sans que nous y répondions nous-mêmes : l’interlocuteur de la personne concernée, c’est vous.

10.7Violations de données, analyses d’impact

Nous vous aidons à respecter les articles 32 à 36 du RGPD :

1. nous vous notifions toute violation de données concernant vos traitements sans délai indu après en avoir pris connaissance, et en principe sous quarante-huit heures, avec les informations dont nous disposons : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, mesures prises. C’est vous qui notifiez à l’Autorité de protection des données et, s’il y a lieu, aux personnes concernées ;
2. nous vous fournissons, sur demande, les éléments nécessaires à une analyse d’impact (article 35) et à une consultation préalable de l’autorité (article 36), dans la limite des informations dont nous disposons ;
3. nous tenons le registre des catégories de traitements effectués pour votre compte (article 30.2) et vous le communiquons sur demande.

10.8Sous-traitants ultérieurs

Vous nous autorisez de manière générale à recourir à des sous-traitants ultérieurs. La liste à jour, avec leur rôle et leur localisation, figure aux mentions légales ; ils sont tous établis dans l’Union européenne et nous déclarent n’y traiter vos données que dans l’Union — sauf les opérateurs de routage auxquels Brevo confie les SMS de l’option de rappel (§ 10.2) —, et nous vous informons de tout changement comme il est dit ci-dessous.

Pour l’option des rappels par SMS, Brevo recourt à ses propres sous-traitants de routage — iBasis, Vonage et Telnyx pour un mobile belge ou français (§ 10.2) ; ils figurent aussi aux mentions légales.

Nous vous informons de tout ajout ou remplacement au moins trente jours à l’avance — pour les opérateurs de routage auxquels Brevo confie les SMS de l’option (§ 10.2), qu’il choisit et change lui-même, dès que Brevo nous en informe. Vous pouvez vous y opposer pour un motif légitime et raisonnable dans ce délai. À défaut d’accord, vous pouvez résilier sans indemnité avec effet à la date du changement, et le § 12 s’applique.

Nous imposons à chaque sous-traitant ultérieur, par contrat, des obligations équivalentes à celles du présent paragraphe, et nous restons pleinement responsables envers vous de leur exécution.

Stripe n’est pas un de nos sous-traitants ultérieurs. Si vous activez le paiement en ligne (§ 4.1), Stripe traite les paiements de vos clients pour votre compte, en vertu du contrat que vous concluez directement avec lui, et agit aussi comme responsable de traitement pour ses propres finalités, comme la lutte contre la fraude. Nous ne lui transmettons, sur votre instruction, que ce que décrit le § 4.1. Le groupe Stripe peut traiter ces données hors de l’Union européenne, notamment aux États-Unis, sous le cadre de protection des données UE–États-Unis (Data Privacy Framework) et les clauses contractuelles types de la Commission européenne.

10.9Preuve du respect de ce paragraphe, et audits

Nous mettons à votre disposition, sur demande écrite, les informations nécessaires pour démontrer le respect des obligations du présent paragraphe.

Vous pouvez faire réaliser un audit, par vous-même ou par un auditeur que vous mandatez et qui ne soit pas un de nos concurrents : une fois par an au plus, sur préavis écrit de trente jours, sur pièces d’abord — questionnaire, registre, journal des restaurations éprouvées —, et par inspection sur place seulement si les pièces ne suffisent pas. L’audit a lieu les jours ouvrés, pendant les heures de bureau, sans perturber le service, et sous condition de confidentialité. Les frais sont à votre charge, sauf s’il révèle un manquement de notre part. Un audit supplémentaire est possible à la suite d’une violation de données ou à la demande d’une autorité de contrôle.

10.10Fin du contrat

Le sort de vos données à la fin du contrat est réglé au § 12. Le présent paragraphe reste applicable tant que nous détenons des données pour votre compte.

11Portabilité et changement de fournisseur

Conformément au règlement (UE) 2023/2854 (« Data Act »), applicable aux services de traitement de données depuis le 12 septembre 2025 :

• vous pouvez changer de fournisseur ou récupérer vos données à tout moment, sans obstacle contractuel ni technique ;
• vos réservations et vos fiches clients sont exportables à tout moment pendant la durée du contrat, au format CSV, depuis le carnet, sans intervention de notre part ni demande préalable, dans l’étendue que décrit le § 1 — hors suspension (§ 6), où la copie complète vous est remise sur demande écrite ; le propriétaire du carnet y télécharge aussi la copie complète de toutes les données de l’établissement, un fichier JSON dont les rubriques, les formats et les exclusions sont décrits sur la page le format de vos données. Chaque téléchargement de la copie complète ou de l’un de ces exports CSV est noté — quand, quoi, depuis quel compte — et reste visible douze mois des administrateurs de votre espace et de notre équipe (mentions légales, § 4.2). Une fois le contrat ou l’essai terminé, le carnet est fermé et la restitution se fait sur demande écrite, dans les conditions du § 12 ;
• nous vous assistons pendant une période de transition maximale de trente jours, prolongeable à votre demande dans les limites du règlement ;
• aucun frais de sortie, de migration ni de restitution n’est facturé.

12Sort des données en fin de contrat

Exportez vos données avant de résilier : les exports et la copie complète sont disponibles depuis votre carnet, en libre-service, tant que votre abonnement ou votre essai court.

À la fin du contrat — une résiliation, un essai terminé sans abonnement, la fermeture de votre espace —, votre carnet est fermé, et vous nous indiquez ce que vous voulez : que nous vous remettions une copie complète de vos données, ou que nous les supprimions. À défaut d’indication de votre part dans les trente jours, nous les supprimons, automatiquement. Pendant ce délai, une copie vous est remise sur simple demande écrite, sans frais : la copie complète que votre carnet vous offrait, un fichier structuré (JSON) qui porte toutes les données de votre établissement, votre logo compris, hormis les secrets et les moyens d’accès, la file technique d’envoi des messages et les comptes de connexion de votre équipe, qui vivent sur votre espace — la page le format de vos données donne la liste exhaustive de ces exclusions, et dit ce que la copie garde des anciens comptes de carnet (rubrique « personnel », sans mot de passe). Nous détruisons ensuite l’exemplaire que nous avons préparé pour vous la remettre — au plus tard sept jours après l’envoi, et jamais après la suppression de vos données ; si vous nous signalez dans ce délai ne pas l’avoir reçue, et tant que vos données ne sont pas supprimées, nous la renvoyons et le délai repart —, et le notons (§ 10.4). Sur votre demande écrite, la suppression peut aussi être faite plus tôt, ou reportée de trente jours, autant de fois que vous le demandez avant son échéance. Les réservations déjà prises pour une date postérieure à la fin du contrat ne sont plus rappelées à vos clients après cette fin et disparaissent avec vos données : avant l’échéance, honorez-les par vos propres moyens ou annulez-les — un acompte ou des arrhes payés en ligne sont alors remboursés à votre client (§ 4.1).

La suppression attend qu’un paiement en ligne en cours soit dénoué — une page de paiement encore ouverte, un remboursement demandé et pas encore fait — : supprimer sa trace ferait oublier une somme due à l’un de vos clients. Et si vous rouvrez un module après la suppression, c’est un carnet neuf, à la même adresse : l’historique supprimé ne revient pas.

La suppression est irréversible, et elle s’achève avec la rotation des sauvegardes : elle porte sur nos systèmes actifs, puis sur les sauvegardes — chiffrées hors du serveur, ou copies conservées sur le serveur avant une mise à jour — au terme de leur cycle de rotation, qui n’excède pas trente jours. Si l’envoi des sauvegardes hors du serveur est interrompu, celles qui s’y trouvent déjà sont conservées jusqu’à sa reprise, puis effacées au même rythme. Pour qu’une restauration de sauvegarde ne fasse jamais revenir des données supprimées, nous tenons, hors des bases, un journal des suppressions : il ne garde que l’identifiant technique de l’établissement ou du compte effacé, le métier et la date, pendant quatre-vingt-dix jours — et au plus quatre-vingt-dix jours de plus dans les copies chiffrées de nos fichiers d’exploitation, qui tournent au même rythme —, et il est rejoué après toute restauration.

Nous ne conservons au-delà que les données de votre compte et nos journaux d’assistance et des téléchargements, pour les durées indiquées aux mentions légales (§ 4.2), le journal des suppressions décrit ci-dessus, et nos propres documents comptables et contractuels — factures d’abonnement, preuve de l’acceptation des présentes conditions et des avis de leurs modifications. Ces données et documents vous concernent en tant que client et ne contiennent aucune donnée nominative de vos convives, de vos voyageurs ni des clients de vos rendez-vous ; nos journaux techniques (mentions légales, § 4.2) gardent au plus douze mois l’adresse IP de toute requête, sans lien direct avec une réservation. Les factures sont conservées le temps qu’impose la loi comptable et fiscale belge ; la preuve de votre acceptation et des avis de modification (§ 13), pendant la durée du contrat et dix ans après.

13Modification des présentes conditions

Toute modification des présentes conditions porte un nouveau numéro de version. Une modification substantielle — qui ajoute une obligation à votre charge, réduit un de nos engagements ou change un prix (§ 5.1) — vous est notifiée par écrit au moins deux mois avant son entrée en vigueur. Vous pouvez alors résilier sans frais ni préavis jusqu’à cette date ; l’abonnement prend fin à la date que vous indiquez, au plus tard à cette date, et les nouvelles conditions ne vous sont pas appliquées. À défaut de résiliation, elles s’appliquent aux périodes postérieures. Une modification qui n’est pas substantielle vous est signalée dans votre espace à sa publication et s’applique aux périodes postérieures ; dans le doute, nous la traitons comme substantielle.

Les versions successives sont conservées et communiquées sur demande.

14Divers

Force majeure

Aucune partie n’est responsable d’un manquement causé par un événement échappant à son contrôle raisonnable. Si l’empêchement dure plus de trente jours, chaque partie peut résilier sans indemnité.

Recours à des prestataires, et cession

Nous pouvons confier à des prestataires l’hébergement et l’acheminement des messages ; nous en restons responsables envers vous, dans les limites du § 9. Le recours à des sous-traitants ultérieurs au sens de l’article 28 du RGPD est réglé au § 10.8. Le contrat ne peut être cédé sans l’accord écrit de l’autre partie, sauf en cas de transmission universelle de patrimoine.

Référence commerciale

Nous ne citons votre nom comme référence qu’avec votre accord écrit préalable, révocable à tout moment.

Nullité partielle

Si une clause est jugée nulle, notamment en application des articles VI.91/4 ou VI.91/5 du Code de droit économique, elle est réputée non écrite et les autres clauses demeurent applicables.

Intégralité

Les présentes conditions et la grille tarifaire en vigueur forment l’intégralité de l’accord entre les parties, avec, pour ce à quoi elles renvoient expressément, le § 4.4 des mentions légales — la liste des sous-traitants ultérieurs — et la page le format de vos données, dans leur version en vigueur au jour de votre acceptation ; la liste change selon le § 10.8 ; la page, selon son propre § 7 : un ajout de rubrique ou de champ ne modifie pas l’accord, un retrait ou un changement de sens suit le § 13. Si les parties ont signé un accord de sous-traitance distinct, celui-ci en fait partie et prévaut sur le § 10.

Vocabulaire

Votre organisation est l’entreprise qui a accepté les présentes ; votre espace est le compte qu’elle tient chez nous, et ses administrateurs sont les membres de votre équipe qui le gèrent — modules, équipe, facturation. Un établissement est un restaurant, un hébergement ou une activité de service sur rendez-vous de votre organisation ; il ouvre un ou plusieurs modules (Table, Séjour, Rendez-vous), dont le carnet est l’outil privé ; un ou plusieurs propriétaires en répondent, et les autres membres n’y accèdent que si un accès de personnel leur est donné. La fermeture de votre espace met fin à tous vos contrats : vous nous la demandez par écrit ; sans abonnement en cours, un administrateur seul dans son organisation peut aussi la faire depuis l’espace, et elle efface alors son compte. Un abonnement en cours se résilie d’abord (§ 7).

Heures, jours et délais

Sauf mention contraire, les heures, les jours et les mois s’entendent à l’heure de Bruxelles — celle de votre établissement, en Belgique comme en France — ; « la veille » court jusqu’à 23 h 59 ; un jour ouvré est un jour du lundi au vendredi qui n’est pas un jour férié légal belge.

Demandes écrites

Une demande écrite — une résiliation (§ 7), une instruction (§ 10.2), la remise d’une copie, le report ou l’avancement d’une suppression (§ 12) — nous parvient depuis votre espace, ou par courriel d’un administrateur de votre organisation, envoyé depuis l’adresse de son compte. Nous en accusons réception ; avant une suppression anticipée, nous en vérifions l’origine auprès de vous.

15Droit applicable et juridiction

Le contrat est régi par le droit belge.

Les parties s’efforcent de régler tout différend à l’amiable. À défaut d’accord dans les trente jours d’une réclamation écrite, les cours et tribunaux de l’arrondissement judiciaire dans le ressort duquel se trouve le siège ou l’unité d’établissement de l’éditeur — tel qu’indiqué en tête des présentes et aux mentions légales au jour de votre acceptation — sont seuls compétents.