Politique de Confidentialité

Qui répond de vos données

Le responsable du traitement — celui qui décide comment et pourquoi vos données sont utilisées (art. 4(7) RGPD) — est la société familiale derrière NOS :

Responsable

Palazzo Scotto S.r.l.

Siège social

Via Trieste e Trento 30, 70011 Alberobello (BA), Italie

P.IVA / C.F.

07751560728

REA

BA-579682

Capital social

100 000,00 EUR entièrement libéré

PEC (courriel certifié)

palazzoscotto@pec.it

Contact protection des données

nosristorante@palazzoscotto.com

Nous n'avons pas de Délégué à la protection des données (DPO) : pour une maison comme la nôtre, l'article 37 du RGPD ne l'exige pas. Votre interlocuteur pour tout ce qui concerne vos données est Valerio Scotto, l'administrateur — vous le trouverez à nosristorante@palazzoscotto.com.

Ce que nous collectons, et pourquoi

Seulement ce qu'il faut pour vous répondre et faire tourner le site. Le voici, poste par poste, avec la base juridique que le RGPD nous demande d'indiquer (art. 6(1) ; pour les cookies, art. 5(3) de la directive ePrivacy) :

Une seule exception mérite son propre chapitre : le champ facultatif sur les allergies et intolérances de la page privée de réservation des petits groupes, que nous traitons uniquement avec votre consentement explicite (art. 9(2)(a) RGPD) — nous y venons juste après. Pour le reste, le site ne collecte ni données des catégories particulières (art. 9 RGPD) ni données relatives aux condamnations pénales et infractions (art. 10 RGPD). Nous vous demandons la courtoisie de ne pas saisir de données sensibles dans les champs libres des formulaires.

Quand vous nous écrivez via un formulaire

Quand vous envoyez une demande depuis le site — pour les petits groupes ou pour NOS Open Air — les données que vous saisissez (nom, e-mail, téléphone si vous le laissez, message) suivent deux chemins, tous deux les nôtres. Le premier : elles arrivent par e-mail à l'équipe NOS via Resend, notre fournisseur de courrier transactionnel, pour que nous puissions vous répondre. Le second : elles sont enregistrées chiffrées dans une base de données Supabase — chiffrement AES-256-GCM, illisibles sans la clé. La base juridique est votre demande elle-même (mesures précontractuelles, art. 6(1)(b)) et, pour la conservation, notre intérêt légitime à y donner suite (art. 6(1)(f)). Avant l'envoi, nous vous demandons de cocher une case de consentement éclairé — jamais pré-cochée — et les données des formulaires ne deviennent pas du marketing sans un autre oui de votre part.

Allergies et intolérances : un chapitre délicat

La page privée de réservation pour les petits groupes — celle que nous vous envoyons après avoir répondu à votre demande — comporte un champ facultatif pour les allergies et intolérances des convives du groupe ; le formulaire public « Petits Groupes » ne les demande pas. Si vous le remplissez, ces informations peuvent dire quelque chose de la santé : pour le RGPD, ce sont des données « particulières » (art. 9(1)), qui bénéficient d'une protection renforcée. Nous les traitons exclusivement sur la base de votre consentement explicite (art. 9(2)(a)) : remplir le champ et cocher la case dédiée est le geste par lequel vous le donnez. Elles ne servent qu'à une chose : permettre à la cuisine de préparer un menu sûr pour votre groupe et donner suite à votre demande. Jamais de marketing, jamais rien d'autre. Les catégories d'allergènes que vous sélectionnez, et l'éventuel texte libre, parviennent à l'équipe par e-mail pour que la cuisine s'organise, et reposent chiffrées dans la base de données (AES-256-GCM), visibles seulement de ceux qui suivent votre demande ; nous les supprimons dans les 30 jours suivant la date du service. Les indiquer est entièrement facultatif : vous pouvez laisser le champ vide et nous les dire plus tard, par téléphone ou par e-mail, sans que votre demande en pâtisse. Et vous pouvez retirer votre consentement quand vous voulez (art. 7(3) RGPD), en écrivant à nosristorante@palazzoscotto.com : le retrait ne touche pas à la licéité de ce qui a été fait avant.

La newsletter

En bas du site, vous pouvez nous laisser votre e-mail pour recevoir les nouvelles de NOS. C'est un traitement à part, distinct des formulaires de demande : la base juridique est votre consentement (art. 6(1)(a) RGPD), que vous donnez librement en vous inscrivant, et la finalité est unique — vous écrire. L'e-mail est enregistré chiffré (AES-256-GCM) et n'est pas cédé à des tiers pour leur propre marketing. Vous pouvez retirer votre consentement à tout moment (art. 7(3)), via le lien de désinscription présent dans chaque message ou en écrivant à nosristorante@palazzoscotto.com : nous le conservons tant que vous restez inscrit et le supprimons quand vous partez. Le retrait ne touche pas à ce qui a été envoyé avant.

Quand vous réservez une table

Les réservations et certaines fonctions du site passent par Plateform, la plateforme de réservation dont nous nous servons, qui traite les données nécessaires selon sa propre notice, en tant que sous-traitant ou responsable autonome. Son widget peut apparaître sur une page du site dans un iframe et déposer ses propres cookies techniques — ceux dont il a besoin pour fonctionner. Certaines pages proposent aussi un formulaire de réservation intégré au site : ce que vous saisissez est transmis de façon sécurisée à Plateform pour créer la réservation, avec la protection anti-bot de Cloudflare Turnstile pour tenir à distance les envois automatiques et les abus.

Ceux qui nous donnent un coup de main

Quelques prestataires techniques traitent des données pour notre compte, chacun désigné sous-traitant lorsque c'est requis (art. 13(1)(e) et 28 RGPD). La colonne « Statut » dit les choses comme elles sont : certains outils travaillent en permanence, d'autres — statistiques et marketing — restent au repos tant que vous n'avez pas dit oui via le bandeau.

Un mot de plus sur le formulaire « Demander les disponibilités » de la page « Au-delà de la table » : c'est celui avec lequel vous demandez une chambre à Palazzo Scotto. Quand vous l'envoyez, les données que vous saisissez (dates, nombre d'hôtes, vos coordonnées) sont collectées et traitées via Mr PRENO, le système de réservation fourni par Titanka dont Palazzo Scotto se sert, dans le seul but de vous répondre sur la disponibilité. Le consentement et la notice spécifiques de ce formulaire vivent à l'intérieur du formulaire lui-même, selon la notice de Mr PRENO / Titanka. Juste à côté se trouve l'encadré « Réserver maintenant » : il utilise le widget officiel de Bedzzle, le moteur de réservation de Palazzo Scotto, qui ne se charge que lorsque vous commencez à l'utiliser. Les dates et le nombre d'hôtes que vous indiquez sont transmis à Bedzzle pour vous montrer prix et disponibilités ; l'éventuelle réservation se poursuit sur les systèmes de Bedzzle, selon sa propre politique.

Combien de temps nous les conservons

Rien ne reste pour toujours. Chaque donnée a sa date de péremption, comme le veut le principe de limitation de la conservation (art. 5(1)(e) RGPD) :

Ce temps passé, les données sont supprimées ou anonymisées de manière irréversible.

Si les données voyagent hors d'Europe

Certains prestataires — Resend, Google LLC, Meta Platforms Inc. et Cloudflare en particulier — peuvent traiter des données sur des serveurs aux États-Unis ou, en tout cas, hors de l'Espace économique européen. Quand cela arrive, cela n'arrive pas à la légère (art. 44 et s. RGPD) : avec chacun d'eux valent les Clauses contractuelles types adoptées par la Commission européenne (Décision d'exécution (UE) 2021/914 du 4 juin 2021), accompagnées de mesures supplémentaires techniques (chiffrement), organisationnelles (accès restreints) et contractuelles, en ligne avec les Recommandations 01/2020 de l'EDPB ; et lorsque le prestataire est certifié au titre de l'EU-US Data Privacy Framework, la décision d'adéquation de la Commission du 10 juillet 2023 s'applique aussi. Quant aux transferts liés aux statistiques ou au marketing, ils ne partent que si vous avez dit oui via le bandeau cookies.

Comment nous les protégeons

Avec des mesures techniques et organisationnelles adaptées au risque, comme le demande l'article 32 du RGPD — et avec un soin supplémentaire bien à nous. Les données identifiantes des formulaires et les éventuelles informations sur allergies et intolérances sont chiffrées au repos en AES-256-GCM : sans la clé, gardée séparée des données et à accès restreint, elles restent illisibles. Tout ce qui voyage entre votre navigateur et nos serveurs passe en HTTPS/TLS. Les clés qui permettent de lire la base de données ne touchent jamais le navigateur et restent côté serveur, selon le principe du moindre privilège ; nous tenons un registre des accès et des procédures pour gérer d'éventuels incidents. Et quand le marketing est actif et que vous avez consenti, l'e-mail et le téléphone utilisés pour mesurer les conversions ne partent qu'en forme hachée (SHA-256) : les plateformes reçoivent une empreinte, jamais la donnée en clair. Il en va de même pour l'IP dans la limite anti-abus des formulaires.

Vos droits, tous

Le RGPD (art. 15–22) vous reconnaît une série de droits sur vos données. Ils sont à vous, et vous pouvez les exercer envers nous à tout moment :

• Savoir quelles données nous détenons sur vous et en recevoir copie (accès, art. 15) ;
• Faire corriger ce qui est inexact ou compléter ce qui est incomplet (rectification, art. 16) ;
• Nous demander de les supprimer, dans les cas prévus — le « droit à l'oubli » (effacement, art. 17) ;
• Nous demander d'en suspendre l'usage, dans les cas prévus (limitation, art. 18) ;
• Les recevoir dans un format structuré et lisible par machine, et les emporter ailleurs (portabilité, art. 20) ;
• Vous opposer aux traitements fondés sur notre intérêt légitime (opposition, art. 21) ;
• Retirer un consentement déjà donné, quand vous voulez et sans effet sur ce qui a été fait avant (retrait, art. 7) ;
• Ne pas subir de décisions fondées uniquement sur un traitement automatisé (art. 22).

Pour les exercer, il suffit de nous écrire : nosristorante@palazzoscotto.com, par PEC à palazzoscotto@pec.it, ou par courrier au siège social (Via Trieste e Trento 30, 70011 Alberobello). Pour protéger vos données, nous pourrons d'abord vous demander de confirmer votre identité. Nous répondons sans retard injustifié, et en tout cas dans le mois ; pour des demandes particulièrement complexes ou nombreuses, le délai peut s'allonger de deux mois, mais nous vous le dirons dans le premier. Tout est gratuit, sauf demandes manifestement infondées ou excessives. Pour les cookies et la newsletter, vous irez plus vite tout seul : le bandeau et le lien de désinscription sont là pour ça.

Si quelque chose vous chiffonne

Parlez-en d'abord avec nous, si vous voulez — nosristorante@palazzoscotto.com — et nous chercherons une solution amiable. Votre droit de vous adresser à l'autorité de contrôle reste de toute façon intact : pour l'Italie, c'est le Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Rome — tél. (+39) 06.696771, e-mail protocollo@gpdp.it, PEC protocollo@pec.gpdp.it, www.garanteprivacy.it.

Et les cookies ?

Le site utilise des cookies techniques pour fonctionner, toujours. Les outils de statistiques et de marketing sont en place, mais ils n'écrivent rien tant que vous n'avez pas dit oui via le bandeau. Tous les détails, nom par nom, sont dans la Politique relative aux cookies.

Si cette page change

Cela peut arriver : des lois qui évoluent, des outils qui changent. Quand cela arrive, nous mettons à jour cette page et la date que vous voyez en haut. Cela vaut la peine d'y repasser, de temps en temps.