Politique de confidentialité

Qui traite vos données

Pour les données de votre compte et de votre abonnement, HOP est responsable de traitement. Pour tout ce que vous saisissez dans l’application — vos salariés, vos plannings, vos réservations, vos registres — vous êtes responsable de traitement et nous sommes votre sous-traitant. Les conditions de cette sous-traitance figurent sur une page distincte.

Ce que nous traitons, et pourquoi

Votre compte. Adresse électronique, nom, mot de passe chiffré, date de dernière connexion.

• Pourquoi : vous identifier, sécuriser l’accès, vous écrire au sujet du service.
• Base légale : l’exécution du contrat qui nous lie.
• Durée : la vie du compte, puis douze mois.

Votre abonnement. Organisation, établissements, formule, historique de facturation.

• Pourquoi : facturer, et savoir ce à quoi vous avez droit.
• Base légale : le contrat, et nos obligations comptables.
• Durée : dix ans pour les pièces comptables, comme la loi l’impose.

Vos usages. Journaux techniques, écritures sensibles tracées dans l’application.

• Pourquoi : sécuriser le service, comprendre un incident, répondre à « qui a fait ça ».
• Base légale : notre intérêt légitime à exploiter un service sûr.
• Durée : douze mois pour les journaux techniques.

Ce que vous saisissez. Salariés, contrats, rémunérations, réservations, registres sanitaires.

• Pourquoi : parce que vous nous demandez de l’héberger. Nous n’en décidons ni la collecte ni l’usage.
• Durée : celle que vous fixez. Nous supprimons à votre demande.
• Deux durées sont toutefois appliquées d’office, parce qu’aucune raison ne justifie de garder au-delà : dix ans après la dernière venue pour une fiche client, et dix ans après le départ pour un salarié sorti. Dans les deux cas la personne est anonymisée, pas supprimée : le nombre de couverts, les no-show et l’historique des services subsistent, parce qu’ils ne désignent plus personne et qu’ils font tourner la maison.

Ce que nous ne faisons pas

• Nous ne vendons ni ne louons aucune donnée.
• Nous n’exploitons pas vos données à des fins publicitaires.
• Nous n’entraînons aucun modèle d’intelligence artificielle sur vos données.
• Notre équipe n’a pas accès au contenu de vos plannings, de vos rémunérations, de votre coffre RH ni de vos fichiers clients. Cette limite est posée dans la base de données elle-même, pas seulement dans nos écrans.

Les fonctions d’intelligence artificielle

Trois fonctions optionnelles envoient des données à un prestataire : la lecture d’étiquettes, la lecture de bons de livraison, et la proposition de planning. Ce qui part, dans chaque cas, est limité au strict nécessaire.

• Étiquettes et bons de livraison : l’image ou le fichier que vous déposez.
• Proposition de planning : les noms des salariés, leurs postes, leurs heures contractuelles et leurs dates d’absence — jamais le motif d’une absence, qui peut être une donnée de santé.

Le prestataire est Anthropic PBC. Il n’utilise pas ces données pour entraîner ses modèles. Ces fonctions ne s’activent que si votre installation est configurée pour ; sans clé, elles restent inertes et l’écran le dit.

Les données Google

HOP Suite peut se connecter à des services Google au moyen d’une autorisation OAuth. Cette section décrit exactement ce que nous lisons, ce que nous conservons, combien de temps, et comment tout cela s’efface.

Qui autorise quoi. Deux sortes de connexions coexistent. Celle du compte Google de HOP Suite lui-même, pour mesurer la visibilité de notre propre site — elle ne touche à aucune donnée de restaurateur. Et celle de la fiche d’établissement d’un restaurateur : il l’autorise lui-même, pour sa fiche seulement, et peut retirer cette autorisation à tout moment. Depuis le 6 octobre 2026, cette seconde connexion est ouverte et en service — voir « Fiche d’établissement » ci-dessous.

Search Console — portée webmasters.readonly, en lecture seule.

• Ce que nous lisons : les requêtes de recherche, les pages, les impressions, les clics et les positions moyennes du site.
• Pourquoi : rapprocher la visibilité dans la recherche des réservations réellement obtenues.
• Ce que nous conservons : jour, page, requête, impressions, clics, position. Ces chiffres sont agrégés par Google et ne désignent personne.
• Ce que nous ne faisons pas : nous ne modifions aucune propriété, ne soumettons aucun sitemap, ne demandons aucune indexation. La portée en écriture n’est pas demandée.

Google Ads — portée adwords, utilisée en lecture de rapports.

• Ce que nous lisons : par jour et par campagne, les impressions, les clics, le coût et les conversions.
• Pourquoi : calculer un coût d’acquisition que ni Google Ads ni HOP Suite ne peuvent établir seuls.
• Ce que nous conservons : ces mêmes chiffres. Aucune donnée personnelle : une campagne n’est pas une personne.
• Ce que nous ne faisons pas : nous ne créons, ne modifions et n’interrompons aucune campagne, et n’engageons aucune dépense. Google Ads n’expose pas de portée en lecture seule distincte ; adwords est la seule disponible, et c’est la raison pour laquelle elle apparaît ici sous cette forme.

Fiche d’établissement — portée business.manage. Google nous a accordé l’accès à ses interfaces Business Profile le 6 octobre 2026, et la fonction est en service depuis.

• Ce que nous lisons : les avis laissés sur la fiche — nom d’auteur tel que Google le publie, note, texte, date —, les informations de la fiche, et ses statistiques de consultation. Le nom d’un auteur d’avis est une donnée personnelle : il est public sur Google, il ne l’est pas davantage chez nous.
• Pourquoi : permettre au restaurateur de répondre à ses avis depuis HOP Suite, de maintenir le lien de réservation de sa fiche, et de voir sa visibilité à côté de ses chiffres de réservation.
• Ce que nous conservons : les avis et leurs réponses, pour que l’historique de la relation client reste consultable dans l’application.
• Ce que nous ne faisons pas : publier quoi que ce soit sans action explicite du restaurateur. Les réponses aux avis sont rédigées par lui. Un établissement ne peut jamais atteindre la fiche d’un autre — ce cloisonnement est posé dans la base de données, pas seulement dans nos écrans.

Les jetons d’autorisation. Nous conservons le jeton de rafraîchissement que Google nous délivre, parce que c’est lui qui permet la collecte quotidienne sans vous redemander votre accord chaque matin. Il est stocké dans notre base, dans l’Union européenne, et n’est jamais transmis à un tiers. Votre mot de passe Google, lui, ne nous est jamais communiqué : c’est Google qui vous authentifie, pas nous.

Combien de temps. Les chiffres collectés — Search Console et Google Ads — sont conservés tant que le compte existe : ils ne désignent personne, et c’est leur accumulation dans le temps qui fait leur utilité, une courbe sur trois mois ne disant rien qu’une courbe sur trois ans ne dise mieux. Les avis et leurs réponses sont conservés tant que l’établissement les garde dans son espace.

Comment cela s’efface. Déconnecter le compte Google depuis HOP Suite supprime le jeton de notre base — la ligne entière est détruite, pas seulement vidée — et la collecte s’arrête le jour même. Vous pouvez en outre révoquer l’accès directement depuis votre compte Google, sans passer par nous : nous perdons alors tout accès sans aucune action de notre part. Pour l’effacement des chiffres déjà collectés, écrivez à hello@hopsuite.fr.

Qui d’autre voit ces données

• OVH — hébergement du serveur, en France.
• Supabase — base de données et authentification, dans l’Union européenne.
• Anthropic — uniquement pour les fonctions d’IA décrites ci-dessus, et seulement si elles sont activées.
• Google — uniquement si vous connectez un compte Google, et dans ce seul sens : ce qui part vers Google est la réponse à un avis que vous avez rédigée, et le lien de réservation à poser sur votre fiche. Rien d’autre ne sort d’ici vers Google.

Aucun autre destinataire. Aucun transfert hors de l’Union européenne pour l’hébergement.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Écrivez à hello@hopsuite.fr : nous répondons sous un mois.

Si vous êtes salarié d’un établissement utilisant HOP Suite et que votre demande porte sur vos données de travail, adressez-vous d’abord à votre employeur : c’est lui qui en décide. Nous l’assisterons.

Votre interlocuteur sur ces questions est hello@hopsuite.fr. Nous n’avons pas désigné de délégué à la protection des données : nous n’entrons dans aucun des trois cas qui l’imposent. C’est un choix, pas un oubli — et il n’enlève rien à vos droits ni à nos obligations.

Vous pouvez enfin saisir la CNIL, 3 place de Fontenoy, 75007 Paris.

Sécurité

• Chiffrement en transit sur toutes les pages, sans exception.
• Cloisonnement par établissement appliqué dans la base de données, pas seulement dans l’application : une erreur d’écran ne peut pas ouvrir les données d’un autre client.
• Mots de passe hachés, vérifiés contre les fuites connues.
• Traçabilité nominative des écritures sensibles et des ouvertures du coffre RH.

En cas de violation de données susceptible d’engendrer un risque pour vos droits, nous vous en informons dans les meilleurs délais, et la CNIL sous soixante-douze heures.