Les données que nous traitons et pourquoi
Dernière mise à jour : 23 octobre 2026 - Version : 1.3
Cette politique explique quelles données personnelles Onatea traite, pourquoi, sur quelles bases légales, avec qui elles sont partagées, et quels sont vos droits. Elle couvre les services suivants :
Le widget de réservation (book.onatea.app), utilisé par les voyageurs pour
réserver auprès d'un prestataire, fait l'objet d'une politique de
confidentialité distincte, accessible depuis le parcours de réservation.
Votre situation, et l'interlocuteur responsable de vos données, dépendent du service que vous utilisez (voir §2).
Onatea traite vos données dans le respect de la réglementation applicable, notamment le Règlement (UE) 2016/679 (RGPD) et la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (« Loi Informatique et Libertés »).
com.onatea.app)Onatea est un logiciel de réservation et de gestion destiné aux prestataires d'activités et d'excursions. Il réunit une messagerie unifiée avec triage et suggestions de réponses par intelligence artificielle, un planning et la gestion des réservations.
Onatea est un service strictement B2B : nos clients sont des professionnels (« prestataires »). Les clients finaux (voyageurs qui réservent) et les personnes qui écrivent au prestataire ne sont pas parties au contrat.
Le rôle d'Onatea change selon le service concerné. Deux cas de figure.
Sur onatea.com, aucun prestataire n'intervient : le visiteur s'adresse directement à nous. Onatea est ici seul responsable de traitement des données que vous nous transmettez (formulaire de contact) et de la mesure d'audience du site.
Si vous êtes un voyageur ou un correspondant, le prestataire avec qui vous êtes en relation est votre interlocuteur principal pour vos données (voir §11). Si vous nous contactez via le site vitrine, adressez-vous directement à Onatea.
| Donnée | Source | Détail |
|---|---|---|
| Email, mot de passe (haché) | Inscription | Identifiant de connexion |
| Téléphone, langue, rôle | Profil | owner / manager / staff |
| Établissement | Onboarding | Nom, coordonnées, latitude/longitude, fuseau, devise, description, horaires |
| Invitations d'équipe | Gestion d'équipe | Email invité + jeton (stocké haché SHA-256, expire sous 3 jours) |
| Jeton d'appareil (push) | Connexion | Token FCM + plateforme (iOS / Android / web) |
| Dernière connexion admin | Authentification | Horodatage last_login (connexions à l'interface d'administration) |
| Donnée | Détail |
|---|---|
| Identité / contact | Nom, prénom, email, téléphone, WhatsApp, nationalité, langue, notes libres |
| Identifiants Instagram et Messenger | Identifiant attribué par Meta à la personne qui écrit au prestataire (IGSID sur Instagram, PSID sur Messenger) et nom de profil (nom et nom d'utilisateur Instagram, prénom et nom Messenger), lus auprès de Meta pour nommer la conversation. La photo de profil n'est pas récupérée |
| Contenu des messages | Corps des emails, messages WhatsApp, Instagram et Messenger entrants et sortants, sujets, en-têtes, pièces jointes (images, vidéos, sons, documents) |
| Événements de conversation | Instagram et Messenger : réactions, modifications et suppressions de message, accusés de réception et de lecture |
| Réservations | Demandes spéciales, lieu et heure de prise en charge (pickup/hôtel), participants, preuve de consentement (terms_accepted_at) |
| Données extraites par IA | Nom / email / téléphone / nationalité extraits du message + réponse brute du modèle |
| Géolocalisation ponctuelle | Position partagée par un client via WhatsApp, stockée en texte dans le message |
| Historique WhatsApp repris | Si le prestataire connecte un numéro qu'il utilise déjà sur l'application WhatsApp Business et accepte le partage dans le parcours de Meta : ses conversations des 180 derniers jours au plus, limitées à la période qu'il choisit, ainsi que les noms de son carnet de contacts WhatsApp, utilisés uniquement pour nommer les conversations. Aucune copie du carnet n'est conservée |
Toute personne qui écrit au prestataire - même sans réserver - voit ses coordonnées et le contenu de ses messages stockés dans le service. Les réservations transmises par le widget (
book.onatea.app) alimentent cette même catégorie côté prestataire ; la collecte au moment de la réservation est décrite dans la politique de confidentialité dédiée au widget.
Pour lire et envoyer les emails du prestataire, Onatea se connecte à sa boîte (Gmail via OAuth, Microsoft/Outlook via OAuth, ou IMAP/SMTP par mot de passe). Les jetons OAuth et mots de passe IMAP sont chiffrés au repos (Fernet). Un import initial de l'historique (0 / 7 / 30 / 90 jours, ou depuis une date choisie dans la limite de 6 mois) est proposé à la connexion, au choix du prestataire.
Pour recevoir et envoyer les messages WhatsApp, Instagram et Messenger du prestataire, Onatea se connecte, à sa demande, à son numéro WhatsApp Business (inscription intégrée de Meta), à son compte Instagram professionnel (Instagram Login) ou à sa Page Facebook (Facebook Login for Business). Le prestataire choisit le numéro, le compte ou la Page à connecter, et peut les déconnecter à tout moment depuis les paramètres de l'application.
| Donnée | Source | Détail |
|---|---|---|
| Numéro WhatsApp Business | Inscription intégrée de Meta | Identifiants du compte WhatsApp Business et du numéro, numéro affiché, nom de l'entreprise, modèles de messages du compte (synchronisés pour être proposés à l'envoi). Si le numéro est déjà utilisé sur l'application WhatsApp Business, l'historique repris est décrit au §3.2 |
| Compte Instagram professionnel | Instagram Login | Identifiant du compte, nom d'utilisateur (affiché dans les paramètres) et type de compte (pour signaler un compte personnel connecté par erreur). Le nom affiché est lu sans être conservé |
| Page Facebook | Facebook Login for Business | Identifiant et nom de la Page choisie. Pour proposer les Pages gérées dans un portefeuille Business, Onatea lit la liste des portefeuilles du prestataire et les identifiants de leurs Pages, sans rien en conserver |
| Jetons d'accès | Meta | Jeton du numéro WhatsApp, du compte Instagram ou de la Page connectée, chiffré au repos (Fernet). Le jeton du compte Facebook qui autorise une connexion Messenger n'est pas conservé ; quand plusieurs Pages sont proposées, leurs jetons sont gardés, chiffrés, le temps du choix (15 minutes au plus) |
Onatea ne lit ni les publications, ni les commentaires, ni les abonnés, ni les statistiques du compte ou de la Page, et ne publie rien en leur nom.
Sur WhatsApp, Instagram et Messenger, aucun message n'est envoyé automatiquement : chaque envoi est fait par une personne de l'équipe du prestataire, y compris lorsque l'IA en propose le brouillon (§6).
| Source | Données | Finalité |
|---|---|---|
| Formulaire de demande de démo | Adresse email | Vous recontacter pour organiser une démonstration du produit |
| Formulaire de qualification (étape facultative, après la demande de démo) | Nom de la structure, volume de réservations, outils de gestion actuels, et pays d'où la réponse est envoyée, déduit de l'adresse IP par notre hébergeur sans que l'adresse elle-même soit conservée | Préparer une démonstration adaptée à votre activité |
| Formulaire de contact | Nom (prénom et nom), activité, email, message | Répondre à votre demande |
| Serveur / anti-spam | Adresse IP | Limitation de requêtes et vérification anti-robot |
| Mesure d'audience (Umami) | Données de navigation anonymisées (pages, référent, pays, type d'appareil) | Statistiques de fréquentation |
Sur le site vitrine, nous ne collectons que ces données : pas de compte, pas de mot de passe, pas de paiement, aucune donnée sensible. Le message libre du formulaire de contact ne doit pas contenir de données sensibles.
Compte tenu de la nature des activités concernées (plongée, activités nautiques et outdoor), des données de santé - catégorie particulière au sens de l'article 9 du RGPD - peuvent apparaître dans les échanges, notamment dans les messages entrants ou dans les champs libres tels que les demandes spéciales d'une réservation (par exemple une condition médicale signalée par un client).
Ces données sont traitées pour le compte du prestataire, qui en est responsable et à qui il revient de disposer d'une base légale appropriée (notamment le consentement explicite prévu à l'article 9.2 du RGPD). Onatea, en qualité de sous-traitant, met en œuvre des mesures adaptées pour limiter et protéger ce traitement.
Le champ de demandes spéciales n'est pas destiné au détail médical : pour toute condition de santé, il est recommandé de contacter directement le prestataire.
| Finalité | Base légale |
|---|---|
| Fournir le service (compte, planning, réservations, messagerie) | Exécution du contrat |
| Triage IA des messages et suggestion de réponses | Exécution du contrat (sur instruction du prestataire, sous-traitance art. 28) |
| Notifications push (nouveau message / réservation) | Exécution du contrat ; l'affichage des notifications est en outre soumis à l'autorisation système de l'appareil |
| Emails transactionnels (reset mot de passe, invitations, confirmations) | Exécution du contrat |
| Analytics produit (sans donnée personnelle identifiante) | Intérêt légitime |
| Sécurité, prévention de la fraude, journaux d'erreurs | Intérêt légitime |
| Communications liées au service adressées aux clients (nouveautés, informations d'usage, via Brevo) | Intérêt légitime / exécution du contrat |
| Ajout à une liste de contact à des fins de marketing (Brevo) | Consentement |
| Formulaire de demande de démo (site vitrine) | Mesures précontractuelles pour traiter la demande ; intérêt légitime pour la prospection commerciale B2B qui peut suivre (avec droit d'opposition) |
| Formulaire de qualification (site vitrine) | Mesures précontractuelles : préparer la démonstration que vous avez demandée. Étape entièrement facultative : elle peut être quittée sans rien envoyer |
| Formulaire de contact (site vitrine) | Intérêt légitime (répondre à votre demande) |
| Limitation de requêtes et anti-spam (site vitrine) | Intérêt légitime |
| Mesure d'audience du site vitrine (sans cookie, sans PII) | Intérêt légitime |
Les permissions ci-dessous concernent l'application mobile. Sur l'application web, les fonctions équivalentes (appareil photo, sélection de fichier, géolocalisation) sont soumises aux autorisations demandées par votre navigateur, au cas par cas et sans accès en arrière-plan.
| Permission (mobile) | Usage réel | Détail |
|---|---|---|
| Notifications push | Alertes nouveau message / réservation | Capacitor + FCM (Android) / APNs (iOS) |
| Appareil photo | Joindre une photo à un message client | NSCameraUsageDescription |
| Photothèque | Joindre une image à un message client | NSPhotoLibraryUsageDescription |
| Géolocalisation | Bouton « ma position » du sélecteur d'adresse | navigator.geolocation, aucun suivi en arrière-plan |
| Badge, réseau, préférences locales | Confort d'usage | Aucune donnée personnelle |
Onatea n'accède ni aux contacts de votre appareil, ni au micro, ni aux données de santé.
Pour classer les messages entrants et proposer des réponses, Onatea envoie à des modèles de langage : le contenu du message (corps, sujet, expéditeur), l'historique de la conversation, la fiche client (nom, historique, canaux, nationalité) et le contexte de réservation. En sont exclus : la note interne que le prestataire peut saisir sur un client, ainsi que les demandes spéciales saisies par le client lors d'une réservation - ces deux champs ne sont jamais transmis aux modèles.
Chaîne de traitement (avec bascule automatique en cas d'indisponibilité) :
Deux des trois modèles traitent donc les données hors UE (États-Unis). Ces transferts sont encadrés (voir §8).
Lorsqu'un prestataire connecte une boîte Gmail ou Outlook, Onatea accède à ses emails via les API du fournisseur concerné, uniquement pour fournir les fonctionnalités de messagerie (lire, composer, envoyer et organiser les emails du prestataire).
L'utilisation et le transfert par Onatea des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences de Limited Use. Les données issues de ces API ne sont utilisées que pour fournir et améliorer les fonctionnalités visibles par l'utilisateur, ne sont pas vendues, ne servent pas à de la publicité, et ne sont accessibles à un humain que dans les cas restreints autorisés par cette politique (consentement explicite, sécurité, conformité légale, ou opérations internes sur données agrégées ou anonymisées).
De la même manière, l'utilisation des informations reçues des API Microsoft (Outlook) est limitée à la fourniture de ces mêmes fonctionnalités de messagerie, sans réutilisation à des fins publicitaires ni revente.
Les informations reçues des API Meta (WhatsApp, Instagram et Messenger) ne servent qu'à fournir la messagerie du prestataire : recevoir les messages que ses clients lui adressent, afficher les conversations dans son inbox, et envoyer les réponses écrites par son équipe. Elles sont traitées conformément aux Conditions de la plateforme Meta : elles ne sont pas vendues, ne servent pas à de la publicité ni au profilage, ne sont pas utilisées pour entraîner des modèles, et ne sont partagées qu'avec les sous-traitants nécessaires au service (§7), notamment les modèles d'IA qui proposent un brouillon de réponse (§6).
| Sous-traitant | Rôle | Région |
|---|---|---|
| Google Cloud (Cloud Run, Cloud SQL, Cloud Storage, Pub/Sub) | Hébergement de l'ensemble des données | UE (europe-west1) |
| Google Vertex AI (Gemini) | IA de triage et de réponse (principal) | UE (multi-région) |
| Anthropic (Claude) | IA de réponse (secours) | US |
| OpenAI | IA de réponse (dernier secours) | US |
| Meta (WhatsApp Cloud API) | Messagerie WhatsApp | US |
| Meta (Instagram API, Messenger Platform) | Messagerie Instagram et Messenger | US |
| Brevo | Emails transactionnels, communications liées au service, liste de contact, formulaires du site vitrine (demande de démo, qualification et contact) | UE (France) |
| Firebase Cloud Messaging (Google) et Apple Push Notification service | Notifications push, contenant le nom de l'expéditeur et un extrait du message | US |
| Sentry | Journalisation d'erreurs (ID interne, sans PII) | UE |
| PostHog | Analytics produit (sans PII) | UE |
| Umami | Mesure d'audience du site vitrine (sans cookie, sans PII) | UE |
| Cloudflare | Anti-bot (Turnstile) + CDN frontend | Edge global |
| Google Maps Platform | Sélecteur d'adresse | US |
Les boîtes email (Gmail / Outlook / IMAP) sont les fournisseurs choisis par le prestataire lui-même, et non des sous-traitants d'Onatea.
Paiements : Onatea n'intègre aucun processeur de paiement. Les paiements sont déclaratifs : le prestataire note lui-même le règlement (espèces, carte, virement…). Aucune donnée de carte bancaire n'est collectée, stockée ni transmise.
La liste technique complète et à jour des sous-traitants est tenue séparément et mise à disposition des prestataires.
Nous ne vendons ni ne louons vos données personnelles à des tiers à des fins de marketing. En dehors des sous-traitants ci-dessus, vos données ne sont communiquées à des tiers que sur réquisition des autorités légalement compétentes ou dans le cadre d'un contentieux.
En cas de fusion, acquisition ou cession d'actifs d'Onatea, les données pourraient être transférées à l'entité concernée, laquelle serait tenue de les traiter conformément à la présente politique. Vous en seriez informé le cas échéant.
Les données sont hébergées dans l'Union européenne (Google Cloud
europe-west1). Certains traitements impliquent toutefois un transfert vers les
États-Unis :
Ces transferts sont encadrés par les clauses contractuelles types (CCT/SCC) de la Commission européenne et/ou par le Data Privacy Framework (DPF), via les accords de traitement conclus avec chaque fournisseur.
Nous conservons les données pendant la durée nécessaire aux finalités décrites, puis les supprimons selon le calendrier suivant.
| Situation | Durée |
|---|---|
| Compte professionnel actif | Durée de la relation contractuelle |
| Données des clients finaux (messages, réservations, extractions IA) | Traitées pour le compte du prestataire, selon ses instructions, au plus pendant la durée de son contrat |
| Fin de contrat - période d'export | 30 jours pour exporter / récupérer les données (restitution RGPD) |
| Fin de contrat - suppression | Suppression définitive sous 90 jours maximum, sauf données soumises à une obligation légale de conservation (voir ligne suivante). L'effacement physique chez notre hébergeur intervient au plus tard 180 jours après la suppression |
| Données à conservation légale (comptabilité, facturation) | Conservées selon les obligations légales applicables, au-delà de la suppression du compte |
| Sauvegardes | Les données supprimées peuvent subsister dans nos sauvegardes chiffrées : jusqu'à 14 jours pour les sauvegardes courantes, et jusqu'à 12 mois pour les archives froides, avant écrasement. Ces sauvegardes sont isolées, à accès restreint, et ne sont utilisées que pour la restauration en cas d'incident |
| Déconnexion d'un canal WhatsApp, Instagram ou Messenger | Au choix du prestataire : soit l'historique des conversations est conservé (le jeton d'accès est effacé et plus rien n'est reçu ni envoyé), soit la connexion, ses conversations et leurs pièces jointes sont supprimées |
| Jetons d'invitation d'équipe | 3 jours (expiration automatique) |
| Site vitrine - email de demande de démo | 3 ans à compter du dernier contact, ou jusqu'à votre opposition |
| Site vitrine - réponses au formulaire de qualification | Rattachées à la demande de démo correspondante, donc même durée |
| Site vitrine - message de contact | 2 ans après la clôture de la demande |
| Site vitrine - IP (anti-spam) | Éphémère : quelques secondes à quelques minutes (mécanisme en mémoire) |
| Journaux techniques (Cloudflare) | Selon la rétention du fournisseur (à titre indicatif, de l'ordre de quelques jours) |
| Journaux d'erreurs (Sentry) | 30 jours |
La durée de 2 ans parfois mentionnée dans nos CGVU concerne uniquement la survie de l'obligation de confidentialité entre les parties - ce n'est pas une durée de conservation des données personnelles.
sslmode=verify-full selon le mode de connexion.En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, Onatea notifie l'autorité de contrôle compétente (la CNIL) dans les délais réglementaires et, lorsque la réglementation l'exige, informe les personnes concernées. Lorsqu'Onatea agit comme sous-traitant pour le compte d'un prestataire, elle informe ce prestataire sans délai injustifié afin de lui permettre de remplir ses propres obligations.
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives post-mortem sur vos données.
Lorsqu'un traitement repose sur votre consentement (par exemple l'inscription à une liste marketing), vous pouvez retirer ce consentement à tout moment, sans que cela remette en cause la licéité du traitement effectué avant le retrait. Les emails marketing comportent un lien de désinscription permettant de vous retirer directement.
Nous nous efforçons de répondre à toute demande d'exercice de vos droits dans un délai d'un mois.
Aucun de nos services n'utilise de cookies publicitaires ni de traceur tiers à des fins de ciblage.
Ce périmètre cookieless ne nécessite pas de bannière de consentement. Toute évolution vers des cookies non strictement nécessaires ferait l'objet d'une mise à jour de cette section et, le cas échéant, d'un recueil de consentement.
Le service s'adresse exclusivement à des professionnels. Dans le cadre de la gestion des réservations, le prestataire peut être amené à renseigner des données relatives à des mineurs (participants aux activités : nom, prénom, âge, et le cas échéant taille/poids pour l'équipement).
Le prestataire, en tant que responsable de traitement, s'engage à obtenir le consentement préalable des titulaires de l'autorité parentale, conformément à la réglementation en vigueur. Onatea traite ces données uniquement sur instruction du prestataire, en qualité de sous-traitant.
Nous pouvons faire évoluer cette politique afin de l'adapter aux évolutions légales, réglementaires ou de nos services. Les changements substantiels seront notifiés dans l'application ou par email, dans la mesure du possible au moins 30 jours avant leur entrée en vigueur. La date de dernière mise à jour figure en tête de document.