Politique de confidentialité

La plateforme accessible sur hellobby.com est éditée par Teddy PROVIN (ci-après « Hellobby », « nous »), 9 rue des Écuries, 77700 Magny-le-Hongre, France.

Contact : privacy@hellobby.com ou 01 60 43 33 23

Responsable du traitement : Teddy PROVIN. Hellobby n'entre pas dans les cas où la désignation d'un délégué à la protection des données est obligatoire (art. 37 RGPD) : le responsable du traitement répond lui-même aux demandes. Les mentions d'identification complètes figurent sur la page Mentions légales.

Hellobby collecte les catégories de données suivantes :

• Données d'hôte : Email, nom affiché, photo de profil (via Google Sign-In ou inscription email/mot de passe). Configurations de vos logements (nom, adresse, photos, équipements, règles, contacts).
• Données de voyageur (syncées depuis vos PMS/OTAs) : Prénom, nom, e-mail, téléphone, langue, dates et heures de séjour, nombre de voyageurs, montant du séjour, numéro de réservation, plateforme d'origine. Importées depuis votre calendrier iCal (Airbnb, Booking, Vrbo, etc.) ou par l'API de votre channel manager (Smoobu, SuperHote) avec la clé que vous nous confiez, stockée dans vos identifiants protégés. Hellobby n'utilise cette clé qu'en lecture (propriétés et réservations) et n'importe jamais les notes internes ; une clé Smoobu ouvrant tout votre compte, créez-en une dédiée à Hellobby, révocable seule.
• Conversations chatbot voyageur : Messages échangés avec l'assistant IA Alfred (Google Gemini). Stockés pour permettre la reprise de conversation et le dashboard insights hôte.
• Imports Airbnb (PDF / JSON conversations historiques) : Si vous importez votre archive Airbnb pour pré-remplir la FAQ, nous traitons les messages pour extraire les questions récurrentes. Le fichier source est supprimé après traitement.
• Données techniques : Journaux techniques applicatifs (identifiants de compte et de logement, jamais d'adresse email) ; journaux de requêtes de la plateforme (adresse IP, navigateur) conservés 7 jours ; compteurs analytics first-party (pas de cookies tiers tracking).
• Mesure de consommation des fonctions IA : À chaque appel aux fonctions d'intelligence artificielle (assistant Alfred, génération de contenu, traduction), nous enregistrons des compteurs techniques : nombre d'appels, volume de texte traité, fonctionnalité et modèle utilisés, rattachés à votre compte et au logement concerné. Aucun contenu de message ni donnée de voyageur n'est enregistré dans ces compteurs. Ils ne sont consultables que par l'administrateur de la plateforme.
• Liste d'attente (avant lancement) : Adresse email que vous laissez volontairement sur la page d'inscription pour être prévenu de la disponibilité de Hellobby, avec la date d'inscription. Un email de confirmation vous est envoyé immédiatement ; il permet d'effacer l'adresse en un clic si elle a été saisie par erreur ou par un tiers. Aucune autre donnée n'est collectée. Cette liste n'est accessible qu'à l'administrateur de la plateforme.
• Newsletter (nouveautés Hellobby) : Si vous cochez la case ou cliquez le lien « oui » : votre email, la date, l'endroit et la version du texte de votre accord. Pour un compte hôte, s'y ajoutent votre prénom et votre formule, transmis à notre prestataire d'envoi pour personnaliser l'email. Chaque newsletter contient une image de mesure et des liens de suivi fournis par Brevo, réglés en mode anonyme : nous ne savons pas qui a ouvert ou cliqué, seulement combien de personnes l'ont fait, campagne par campagne.
• Données de facturation : Pour les abonnements payants (Solo, Multi, Conciergerie) et les options associées : identifiant Stripe customer + statut subscription. Les données de carte ne transitent JAMAIS par nos serveurs (gérées par Stripe). Aucune donnée bancaire n'est collectée pendant l'essai gratuit, qui ne demande pas de carte.
• Programme de fidélité voyageur : Si vous laissez volontairement votre adresse e-mail en fin de séjour pour recevoir un code de réduction, l'hôte du logement est responsable de ce traitement (envoi de votre code et de ses offres occasionnelles) et Hellobby agit comme sous-traitant : nous hébergeons cette adresse, la preuve de votre consentement et le code, et envoyons les e-mails pour le compte de l'hôte, sans jamais utiliser votre adresse pour nos propres communications.

Conformément à l'article 6 du RGPD :

• Exécution du contrat (Art. 6.1.b) : Création de votre compte, gestion de vos logements, génération des liens guest, sync calendrier OTA, gestion de votre essai gratuit et traitement de votre abonnement.
• Intérêt légitime (Art. 6.1.f) : Sécurité de la plateforme (logs d'accès), prévention des abus (limitation de débit, mesure de la consommation des fonctions IA par compte et par logement), suivi du coût réel du service et de son équilibre économique, amélioration produit via analytics first-party agrégés.
• Consentement (Art. 6.1.a) : Génération de contenu IA (génération de règles, guide local, chatbot voyageur). Vous activez ces fonctionnalités explicitement dans l'admin.
• Consentement (Art. 6.1.a) : liste d'attente : Votre email est utilisé uniquement pour confirmer votre inscription puis pour vous prévenir du lancement de Hellobby (deux emails au total). Vous pouvez retirer votre consentement à tout moment via le lien de désinscription présent dans chacun de ces emails ou en écrivant à privacy@hellobby.com : votre adresse est alors supprimée immédiatement.
• Consentement (Art. 6.1.a et L34-5 CPCE) : newsletter : Les nouveautés Hellobby (1 à 2 emails par mois au plus) ne sont envoyées qu'aux personnes qui l'ont explicitement demandé, par une case jamais pré-cochée ou un lien « oui ». Vous pouvez vous désinscrire à tout moment : lien dans chaque email, interrupteur dans Mon compte, ou privacy@hellobby.com. Les inscrits de la liste d'attente ne reçoivent jamais la newsletter sans ce oui distinct.
• Consentement (Art. 6.1.a) : programme de fidélité voyageur : Votre adresse n'est utilisée que pour vous envoyer le code de réduction demandé et, quelques fois par an au plus, les offres de séjour de l'hôte concerné. Chaque e-mail contient un lien de désabonnement en un clic ; vous pouvez aussi demander la suppression complète de vos données depuis ce lien, auprès de l'hôte, ou via privacy@hellobby.com.

• Compte hôte actif : Toutes vos données restent stockées tant que votre compte est actif. Compte inactif : un essai expiré sans abonnement est supprimé 12 mois après la fin de l'essai (et au moins 12 mois sans connexion) ; un ancien abonné, 3 ans après sa dernière connexion. Dans les deux cas, un email vous prévient 30 jours avant et une simple connexion conserve le compte ; il passe ensuite 30 jours en corbeille, restaurable sur demande, avant l'effacement définitif.
• Réservations voyageur : Synchronisées depuis votre PMS et purgées lorsqu'elles disparaissent de vos calendriers. Les liens voyageurs expirent 2 heures après le check-out.
• Conversations chatbot et questions voyageur : 90 jours après le dernier échange (suppression automatique). Les réponses validées par l'hôte sont conservées sous forme anonymisée dans sa base de connaissances.
• Journaux techniques : 30 jours pour les journaux applicatifs (sans adresse IP ni email) ; 7 jours pour les journaux de requêtes de la plateforme, qui contiennent l'adresse IP et le navigateur. Statistiques de fréquentation des livrets (compteurs sans identifiant) : 24 mois.
• Mesure de consommation des fonctions IA : Les compteurs rattachés à votre compte et à vos logements sont supprimés automatiquement 90 jours après leur enregistrement, et immédiatement si vous supprimez votre compte. Seuls des totaux journaliers agrégés, sans identifiant de compte ni de logement, sont conservés sans limite de durée à des fins de suivi technique et économique du service.
• Liste d'attente : Votre email est supprimé au plus tard 6 mois après l'annonce du lancement (ou immédiatement sur demande), et dans tous les cas au plus tard 3 ans après la collecte (suppression automatique). Si vous effacez votre adresse, seule une empreinte technique (sans l'adresse) est conservée pendant 3 ans, comme preuve du retrait et pour empêcher qu'un tiers ne vous réinscrive.
• Newsletter : Jusqu'à votre désinscription, et au plus 3 ans après votre inscription ou après votre dernier échange avec nous (réponse à un email, nouvelle demande). Passé ce délai, votre adresse est supprimée automatiquement. Après désinscription, seule une empreinte technique (sans l'adresse) est conservée 3 ans pour éviter toute réinscription par un tiers. Le consentement d'un compte hôte est supprimé avec le compte. Le texte de chaque newsletter envoyée et ses totaux d'ouverture et de clics (sans aucun identifiant) sont conservés sans limite de durée.
• Programme de fidélité voyageur : Votre adresse est conservée 3 ans après votre dernier contact, ou jusqu'à votre désabonnement (l'adresse est alors effacée, seule une empreinte reste pour éviter une réinscription par un tiers). Elle est supprimée avec le logement ou le compte de l'hôte.
• Messages au support : 12 mois après le dernier échange, 6 mois après la clôture du ticket ; supprimés avec le compte (les tickets encore ouverts sont anonymisés puis traités).
• Suivi de la relation client par l'éditeur : Notes internes de suivi rédigées par l'éditeur sur votre compte : supprimées avec le compte. Historique des actions d'administration effectuées sur votre compte (prolongation d'essai, changement de plan, suspension) : 3 ans ; preuves d'exercice de vos droits (export, suppression) : 5 ans (prescription civile).
• Compte supprimé : Suppression à votre demande (depuis votre compte, ou demande d'effacement art. 17) : effacement immédiat de toutes les données. Résiliation ou suppression à l'initiative de Hellobby : suspension immédiate (connexion et books désactivés, données gelées, accès administrateur seul) puis effacement définitif sous 30 jours, mesure de protection contre la destruction accidentelle. Exception dans les deux cas : documents de facturation conservés 10 ans (obligation comptable, art. 17(3)(b) RGPD). Les sauvegardes chiffrées de la base, destinées à la seule restauration après incident, peuvent contenir une donnée effacée pendant 8 semaines au plus.

Pour fournir le service, nous utilisons les sous-traitants suivants. Tous sont liés par contrat (DPA) et respectent le RGPD :

• Google Cloud / Firebase (hébergement, Auth, Firestore, Storage, Cloud Functions) : Datacenters europe-west3 (Francfort, UE). DPA Google Cloud actif.
• Stripe (paiements des abonnements) : Stripe Payments Europe Ltd (Irlande, UE). DPA Stripe actif.
• Brevo (emails transactionnels, confirmation d'inscription et email d'ouverture de la liste d'attente, newsletter des nouveautés pour les personnes qui l'ont demandée, codes de réduction et offres des hôtes à leurs anciens voyageurs) : Brevo SAS (Paris, France), données traitées dans l'Union européenne. Données traitées : email et prénom du destinataire, type de contact (hôte ou prospect) et formule pour les hôtes, contenu de l'email ; statistiques d'ouverture et de clics en mode anonyme (totaux par campagne, jamais par personne).
• Telegram (alertes hôte, optionnel) : Telegram FZ-LLC. Utilisé uniquement si l'hôte lie volontairement son compte Telegram pour recevoir les questions de ses voyageurs. Données : texte de la question, nom du logement.
• OpenAI (génération IA : équipements, règles, guide local, itinéraires, traduction en 7 langues, lecture de vos notices et instructions déposées en PDF ou en texte) : OpenAI (traitement aux États-Unis). Transfert hors UE encadré par les clauses contractuelles types (CCT) UE 2021. Données traitées : le texte et les captures d'écran d'annonce que vous soumettez à l'import, les configurations de logement, sans donnée voyageur (n'incluez pas les avis dans vos captures).
• Google Cloud Vertex AI (chatbot voyageur Alfred) : Google Cloud, région europe-west3 (Francfort, Allemagne), sous le contrat de sous-traitance Google Cloud. Les messages du voyageur y sont traités en temps réel et ne servent pas à entraîner les modèles. Quand la question sort du livret (itinéraire, horaires, commerce proche), l'assistant interroge en complément la recherche Google, service mondial : la question et l'adresse du logement sortent alors de l'Union européenne.
• Google Maps Platform (Places) : Recherche des commerces et lieux autour du logement et photos des fiches Google. Données envoyées : l'adresse du logement et le nom du lieu cherché. Service mondial, conditions Google Maps Platform.
• Base Adresse Nationale (État français) et OpenStreetMap Nominatim : Autocomplétion et géocodage d'adresse depuis votre navigateur lors de la saisie d'un logement : l'adresse tapée et votre adresse IP leur sont visibles.
• Photon (Komoot) / OpenStreetMap (recherche POI) : API publique, pas de donnée personnelle envoyée (juste le nom du lieu cherché).

Les bases de données et fichiers du service (Firestore, Storage, Cloud Functions) sont hébergés par Google Cloud dans l'Union européenne, région europe-west3 (Francfort, Allemagne). Certains services Google (Firebase Authentication, mesure d'audience) peuvent traiter des données aux États-Unis. Chaque sous-traitant est lié par ses conditions de traitement des données (Google Cloud Data Processing Addendum, OpenAI Data Processing Addendum, Brevo Data Processing Agreement), qui intègrent les clauses contractuelles types de la Commission européenne pour les transferts hors Union européenne. Une copie de ces garanties peut être obtenue sur demande à privacy@hellobby.com ou consultée sur les pages de conditions de traitement de chaque prestataire.

Vous disposez des droits suivants sur vos données :

• Droit d'accès (Art. 15) : Obtenir une copie de toutes vos données.
• Droit de rectification (Art. 16) : Corriger les données inexactes directement dans l'admin Hellobby.
• Droit à l'effacement (Art. 17), le droit à l'oubli : Supprimer votre compte et toutes vos données. Accessible immédiatement depuis "Mon compte" > "Supprimer mon compte définitivement".
• Droit à la portabilité (Art. 20) : Exporter toutes vos données au format JSON depuis "Mon compte" > "Télécharger mon JSON".
• Droit de limitation (Art. 18) : Restreindre temporairement le traitement. Contact privacy@hellobby.com.
• Droit d'opposition (Art. 21) : Vous opposer au traitement fondé sur notre intérêt légitime, pour des raisons tenant à votre situation particulière, et, pour toute prospection (nouveautés, relances), à tout moment et sans motif : lien dans chaque email, interrupteur dans Mon compte ou privacy@hellobby.com.
• Retrait du consentement (Art. 7.3) : À tout moment, aussi simplement que vous l'avez donné (case, interrupteur, lien), sans effet sur la licéité du traitement passé.
• Droit de réclamation : Saisir la CNIL (cnil.fr) si vous estimez vos droits non respectés.

Hellobby met en œuvre des mesures techniques et organisationnelles pour protéger vos données :

L'éditeur peut accéder aux données de votre compte pour le support, la maintenance et la sécurité du service, et uniquement dans ce cadre. Il tient à ce titre des notes internes de suivi sur votre compte et un historique des actions d'administration qu'il y effectue ; ces éléments vous sont communiqués sur demande d'accès.

• Chiffrement en transit : HTTPS forcé via HSTS sur tous les domaines.
• Chiffrement au repos : Données Firestore et Storage chiffrées par défaut (Google Cloud KMS).
• Authentification : Firebase Authentication (mots de passe hashés bcrypt/scrypt, ou Google OAuth).
• Isolation multi-tenant : Règles Firestore strictes : un hôte ne peut accéder qu'à ses propres données.
• Audits sécurité : Revue de code régulière, audit OWASP, dependabot pour les vulnérabilités de dépendances.

Cette politique peut évoluer. Les modifications substantielles vous seront notifiées par email. La date de dernière mise à jour est indiquée en haut de cette page.

Pour toute question sur vos données personnelles : privacy@hellobby.com