Politique de confidentialité

1. INTRODUCTION

Entité de la SAS CHG Participations, la SASU Hôtel Grand Barrail (« nous », « nos ») propose à ses clients et ses prospects (« vous », « vos ») des services hôteliers, ce qui inclut notamment des services d’hôtellerie, de restauration et de spa, ainsi que des offres spéciales, des coffrets cadeaux et des newsletters associées.

La présente politique de confidentialité décrit, pour l’ensemble de nos activités, nos pratiques de collecte, d’utilisation et de transfert de vos données personnelles.

Nous nous engageons à assurer la protection de vos données dans le respect du Règlement général sur la protection des données (no 2016/679) et de la Loi informatique et libertés (no 78-17).

Le Responsable de traitement est la société SASU Hôtel Grand Barrail, SAS immatriculée au RCS de Libourne sous le numéro de SIREN 503.714.222, élisant domicile pour tout sujet relatif aux données personnelles au 3343 Route de Libourne, 33330 Saint-Émilion.

Le représentant du Responsable de traitement est le Directeur Général de l’hôtel, Monsieur Benjamin Robic.

2. LA COLLECTE DE VOS DONNÉES

Vos données et celles des personnes vous accompagnant peuvent être collectées directement auprès de vous sur le site Internet du Château Hôtel Grand Barrail (via les formulaires d’information, de réservation ou les cookies), ou lors de votre séjour au Château Hôtel Grand Barrail (formulaire renseigné, données fournies à l’oral…).

En raison de la nature des services proposés, vos données peuvent être collectées par d’autres entités pour nous être transmises, et principalement les sites, prestataires et plateformes de réservation. Nous sommes aussi susceptibles de recueillir des données auprès d’entités affiliées, de partenaires commerciaux, de sous-traitants et de prestataires si leurs politiques de protection des données personnelles le permettent. En tout état de cause, vos données ne seront pas collectées depuis une source accessible au public.

Étant donné ce qui précède, la présente Politique de confidentialité a pour objet d’informer non seulement les personnes dont les données sont directement collectées, mais aussi celles dont les données sont indirectement collectées par et/ou pour le Château Hôtel Grand Barrail, conformément aux articles 13 et 14 du Règlement général sur la protection des données (no 2016/679).

3. DONNÉES PERSONNELLES QUE NOUS TRAITONS

Le terme « donnée personnelle » désigne toute information permettant d’identifier une personne physique de manière directe ou indirecte. C’est le cas pour un nom ou un prénom, mais aussi pour la langue sélectionnée sur le site, les détails de votre réservation, votre plaque d’immatriculation, etc.

Le terme « finalité » renvoie à la raison pour laquelle nous traitons vos données personnelles.

Le terme « base légale » renvoie au fondement juridique sur lequel le traitement de vos données est basé. Tout traitement doit obligatoirement reposer sur une base légale pour être licite.

Aucune donnée collectée et traitée par le Château Hôtel Grand Barrail ne fait l’objet d’un traitement pour une finalité ultérieure autre que celle indiquée dans les tableaux ci-dessous.

Tableau synthétique des catégories de données traitées, de la finalité du traitement et des durées de conservation

Finalités	Catégories de données traitées	Durée de conservation
Protection de l’établissement par vidéosurveillance	Images et toutes données déductibles de celles-ci	Quinze (15) jours sur les serveurs du Château Hôtel Grand Barrail
Réservation, fourniture et paiement des services proposés	Données d’identification et coordonnées Données bancaires Données de santé	Dix (10) ans à partir de l’opération (données de facturation) Les données nécessaires au paiement sont conservées de la prise d’empreinte CB (le cas échéant) au paiement effectif, et peuvent être conservées plus longtemps, avec consentement du client. Le temps de la fourniture du service, notamment de spa ou de restaurant, et conservation de la fiche de santé pour une durée de 13 mois, avec consentement du client.
Gestion et envoi d’une newsletter	Données d’identification, coordonnées, données relatives au suivi de la newsletter (e-mail ouvert, lien cliqué, etc.)	Tant que la personne est inscrite, avec une purge annuelle des « inactifs » Suppression de la base active à réception d’un retrait du consentement ou d’une demande en ce sens, conservation à fin probatoire pendant cinq (5) ans
Réalisation d’enquête de satisfaction par l’envoi de questionnaires	Données d’identification et coordonnées Réponses aux questionnaires (pré et postséjour)	Ces données sont anonymisées après leur traitement par le prestataire et avant publication de l’avis Trois (3) ans à compter de la dernière prestation ou du dernier contact.
Gestion des réclamations	Données d’identification, coordonnées, relatives au séjour, contenu de la réclamation	Pendant le traitement de la demande, puis cinq (5) ans à fin probatoire
Gestion du contentieux	Toute donnée pertinente dans le cadre du contentieux	Au plus tard jusqu’à la prescription de l’action correspondante Les décisions de justice sont conservées indéfiniment.
Marketing digital	Critères de ciblage retenus	Les données sont détenues par les prestataires de ce marketing (réseaux sociaux et moteurs de recherche) selon les durées définies par chacun.
Gestion des partenaires contractuels du Responsable de traitement	Données d’identification professionnelles des personnels des partenaires	Durée du contrat avec le partenaire contractuel, puis cinq (5) ans à fin probatoire
Gestion et fonctionnement du site Internet	Données de connexion obligatoires pour le bon fonctionnement du site et des cookies	Treize (13) mois maximum
Gestion des cookies	Données de cookies nécessaires, et notamment : la localisation, le suivi des pages, les liens cliqués…	Six (6) mois maximum
Gestion de la communication (réseaux sociaux)	Toute donnée publique mise en ligne par les utilisateurs de réseaux sociaux, et/ou messages échangés avec les comptes du Responsable de traitement	Données détenues et conservées par chaque réseau social, selon les modalités qui lui sont propres
Établissement d’une fiche de police	Données imposées par l’article R814-2 du code de l’entrée et du séjour des étrangers et du droit d’asile	Durée imposée par l’article R814-3 du code de l’entrée et du séjour des étrangers et du droit d’asile (6 mois)
Comptabilité générale	Éléments figurant sur les factures	Durée imposée par l’article L123-22 du code de commerce (10 ans)
Exercice des droits RGPD (rappelés ci-après)	Données d’identification et coordonnées, donnée pertinente dans le traitement de la demande	Le temps du traitement de la demande, puis cinq (5) ans à fin probatoire

Tableau synthétique des bases légales associées à chaque finalité

Base légale	Finalités associées	Précisions
Exécution contractuelle	Réservation, fourniture et paiement des services Gestion des partenaires contractuels	N/A
Intérêt légitime	Protection de l’établissement par vidéosurveillance Fourniture d’une connexion Wi-Fi sur l’ensemble des locaux Enquête de satisfaction Gestion des cookies nécessaires ou exemptés de consentement Gestion des traceurs et technologies de suivi en ligne assimilées (hors cookies) Gestion des réseaux sociaux Gestion des réclamations et contentieux Marketing digital	Sécurité des biens et des personnes Amélioration du service par la fourniture d’accès Internet Recherche de l’amélioration du service par rétro-information Bon fonctionnement du site et mesure d’audience Gestion de la communication externe et réalisation de publicité personnalisée Suivi, recherche et amélioration de l’expérience client Défense des intérêts du Responsable de traitement en justice Gestion de la commercialisation externe par l’emploi de la publicité ciblée
Consentement	Toute donnée de santé nonobstant la finalité Toute donnée bancaire pour conservation au-delà de l’exécution du service nonobstant la finalité Gestion des cookies (non nécessaires) Gestion et envoi d’une newsletter	N/A
Obligation légale	Comptabilité générale Fiche de police Tenue d’un registre unique du personnel Exercice des droits des personnes garantis par le RGPD	Cela inclut les données de facturation résultant de certaines exécutions contractuelles.

Nous vous recommandons également de fournir de vous-même le moins d’informations possible sur d’autres personnes que vous-même ou sur votre santé et la leur, lors de votre navigation sur le site et, de façon générale, lors de votre séjour.

4. COOKIES ET AUTRES TECHNOLOGIES WEB

Nous collectons des données via des témoins de connexion, traceurs, cookies et autres technologies similaires (balises Web).

Les « cookies » sont des petits fichiers textes qui sont copiés automatiquement sur votre ordinateur ou votre appareil mobile lorsque vous consultez un site Web. Ces « cookies » contiennent des informations de base sur l’utilisation que vous faites d’Internet. Votre navigateur envoie ces « cookies » à notre site Web chaque fois que vous le consultez afin que votre ordinateur ou appareil mobile soit reconnu et que votre expérience de navigation soit personnalisée et améliorée.

Certains cookies sont dits « nécessaires », c’est-à-dire que le site Internet ne peut fonctionner et s’afficher sur votre terminal.

Les autres sont dits « non nécessaires », et visent à établir des statistiques de fréquentation, ou à personnaliser et améliorer votre expérience de navigation et le ciblage des publicités que vous voyez. Ceux-là ne seront déposés sur votre navigateur que si vous l’acceptez expressément.

Vous pouvez contrôler votre consentement aux cookies non nécessaires par un bandeau déroulant s’affichant lors de votre première visite sur le site, puis ensuite à tout moment en cliquant sur la barre « Paramètres des cookies » qui s’affiche en bas à droite de votre écran lors de la navigation sur notre site.

Les listes des cookies et traceurs, ainsi que leurs finalités, ainsi que celle des partenaires les installant, sont disponibles dans les onglets « paramétrer vos choix » et « voir les partenaires » du bandeau déroulant.

Par ailleurs, notre site Web peut comporter des liens vers des sites Web, des applications et des plugiciels tiers. Si vous accédez à d’autres sites Web à partir des liens fournis sur notre site Web, les opérateurs de ces sites peuvent recueillir ou partager des informations vous concernant. Ces informations seront utilisées par ces opérateurs conformément à leur politique de confidentialité, qui peut différer de la nôtre. Nous vous invitons à lire ces politiques de confidentialité et à vous adresser directement à ces tiers si vous avez des questions concernant leurs pratiques.

5. LA (LES) SOURCE(S) À LAQUELLE (AUXQUELLES) VOS DONNÉES SONT SOUMISES ET LES PERSONNES AUXQUELLES LES DONNÉES SONT SOUMISES

Quand nous ne collectons pas directement vos données, celles-ci nous sont transmises par nos sous-traitants et nos partenaires, c’est-à-dire essentiellement les plateformes de réservation qui proposent nos services : agences de voyages, voyagistes, plateformes de réservation en ligne…

Au sein de la société Hôtel Grand Barrail, vos données ne sont accessibles qu’aux personnes ayant strictement besoin d’en connaître. Elles pourront être partagées aux catégories de destinataires suivantes :

- Instances officielles : afin de remplir et satisfaire à nos obligations légales, vos données peuvent être transmises à de telles instances, comme :

Les services de police (exemple : images de vidéosurveillance remises à un officier de police judiciaire, sur réquisition) ;

Les organismes de justice (exemple : tous les éléments nécessaires à la défense en justice du Château Hôtel Grand Barrail comme la facture et le détail du séjour) ;

Les organismes de contrôle (exemple : éléments de facturation pour les commissaires aux comptes).

- Site Internet : vos données peuvent être partagées avec nos prestataires qui font fonctionner notre site Web (exemple : mesure d’audience) ou nous permettent d’offrir nos services en ligne (exemple : redirection automatique vers notre prestataire de paiement en ligne).

- Enquêtes de satisfaction et newsletter : vos données sont susceptibles d’être transmises à nos prestataires qui nous offrent ces services.

6. SÉCURITÉ DES DONNÉES ET TRANSFERTS INTERNATIONAUX

Nous avons mis en place des mesures techniques et organisationnelles appropriées à la sensibilité des données personnelles pour assurer l'intégrité et la confidentialité des données et les protéger contre les intrusions malveillantes, la perte, l'altération ou la divulgation à des tiers non autorisés.

Nous effectuons des audits réguliers pour vérifier que les règles de sécurité des données soient correctement appliquées au niveau opérationnel.

Pour respecter ces engagements, nos prestataires de services et sous-traitants sont soigneusement sélectionnés et doivent assurer un niveau de protection des données personnelles équivalent au nôtre.

Par exemple, notre prestataire Whip (la bannière qui vous permet de faire vos choix en matière de cookies) a été choisi parce qu'il anonymise les données collectées par les cookies inutiles avant de les transmettre à Google Analytics.

Ainsi, vos données ne transitent pas par les Etats-Unis (pays considéré comme n'offrant pas un niveau de protection des données équivalent à celui de l'UE).

Certains prestataires de services transfèrent des données en dehors de l'Union européenne vers des pays qui ne sont pas soumis aux décisions d'adéquation de la Commission européenne, tels que les États-Unis.

Dans ces cas, nous ne choisissons que des prestataires de services qui ont adopté des Clauses Contractuelles Types (CCN) ou obtenu des certifications (par exemple, Data Privacy Framework) pour protéger vos données le plus efficacement possible.

Nous mettons également en place des mesures organisationnelles pour limiter et sécuriser au maximum les transferts de données.

7. VOS DROITS

Conformément à la règlementation pour la protection des données, vous bénéficiez des droits suivants concernant vos données personnelles :

- Droits d’accès, de rectification et à l’effacement ;

- Droit à la limitation du traitement ;

- Droit d’opposition au traitement ;

- Droit à la portabilité de vos données ;

- Droit de ne pas faire l’objet d’un traitement automatisé ou d’un profilage. Néanmoins, concernant les traitements effectués par (ou pour) le Château Hôtel Grand Barrail, aucun ne constitue un traitement automatisé ou un profilage ayant un impact juridique conséquent pour vous.

Vous pouvez exercer vos droits ou demander un complément d’information par les biais suivants :

- Par email en contactant contact@grand-barrail.com ;

- Par courrier à l’adresse postale suivante : 3343 Route de Libourne, 33330 Saint-Émilion ;

- À la réception de l’hôtel.

Si vous souhaitez plus d’information ou que vous estimez, malgré nos réponses, que ces dernières sont insuffisantes, ou bien qu’un traitement de données est illicite, vous pouvez contacter la Commission nationale informatique et libertés (https://www.cnil.fr/fr/plaintes).

8. MODIFICATIONS DE LA POLITIQUE DE PROTECTION DE LA VIE PRIVEE

Nous pouvons être amenés à modifier, mettre à jour et/ou remplacer cette politique de confidentialité notamment en cas d’évolution de la règlementation en matière de

protection des données à caractère personnel. Nous vous recommandons donc de consulter régulièrement la présente politique de protection des données à caractère personnel afin de prendre connaissance de sa dernière version.