Politique de confidentialité

Mise à jour : septembre 2026

La protection des données en un coup d’œil

Informations générales

Les informations suivantes donnent un aperçu simple de ce qu’il advient de vos données personnelles lorsque vous visitez notre site. Sont personnelles toutes les données qui permettent de vous identifier. Pour des informations détaillées sur la protection des données, veuillez vous reporter à la politique de confidentialité exposée ci-dessous.

Responsable du traitement

Le responsable du traitement des données sur ce site au sens du Règlement général sur la protection des données (RGPD) est :

Biohotel Schweitzer
Pirktl Holiday GmbH & Co KG
Obermieming 141
6414 Mieming, Tyrol, Autriche
Tél. : +43 5264-5285
E-mail : info@biohotel.at
Site : www.biohotel.at

Le responsable du traitement est la personne physique ou morale qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données personnelles (noms, adresses e-mail ou données similaires).

Comment recueillons-nous vos données ?

D’une part, vos données sont recueillies lorsque vous nous les communiquez. Il peut s’agir, par exemple, de données que vous saisissez dans un formulaire de contact ou de réservation.

D’autres données sont collectées automatiquement par nos systèmes informatiques lors de votre visite. Il s’agit avant tout de données techniques (navigateur, système d’exploitation ou heure de consultation de la page). Ces données sont recueillies automatiquement dès que vous accédez à notre site.

À quoi utilisons-nous vos données ?

Une partie des données est recueillie afin d’assurer une mise à disposition du site exempte d’erreurs. D’autres données peuvent – sous réserve de votre consentement – servir à analyser votre comportement d’utilisation.

Quels droits avez-vous concernant vos données ?

Vous avez le droit d’obtenir à tout moment et gratuitement des informations sur l’origine, les destinataires et la finalité de vos données personnelles enregistrées. Vous avez également le droit d’en demander la rectification ou l’effacement. Si vous avez donné votre consentement à un traitement, vous pouvez le retirer à tout moment avec effet pour l’avenir. Vous disposez en outre, dans certaines conditions, du droit de demander la limitation du traitement de vos données personnelles. Vous disposez enfin d’un droit de réclamation auprès de l’autorité de contrôle compétente. Les détails figurent à la section « Vos droits ».

Chiffrement SSL ou TLS

Pour des raisons de sécurité et afin de protéger la transmission de contenus confidentiels, tels que les réservations ou les demandes que vous nous adressez en tant qu’exploitant du site, ce site utilise un chiffrement SSL ou TLS. Vous reconnaissez une connexion chiffrée au fait que la barre d’adresse du navigateur passe de « http:// » à « https:// » et au symbole de cadenas dans la barre de votre navigateur.

Lorsque le chiffrement SSL ou TLS est activé, les données que vous nous transmettez ne peuvent pas être lues par des tiers.

Hébergement & fichiers journaux du serveur

Hébergement externe (Netlify)

Ce site est hébergé par un prestataire externe. Le prestataire est Netlify, Inc., 512 2nd Street, Suite 200, San Francisco, CA 94107, États-Unis (« Netlify »). Les données personnelles recueillies lors de votre visite sont traitées sur les serveurs de Netlify ou sur son réseau de diffusion de contenu. Il peut s’agir avant tout d’adresses IP, de demandes de contact, de métadonnées et de données de communication, de données d’accès et d’autres données générées par un site web.

Netlify est utilisé dans l’intérêt d’une mise à disposition sûre, rapide et fiable de notre offre en ligne par un prestataire professionnel (art. 6, par. 1, point f) RGPD). Nous avons conclu avec Netlify un contrat de sous-traitance (DPA) qui garantit la protection de vos données. Dans la mesure où des données personnelles sont transférées aux États-Unis dans ce cadre, ce transfert repose sur les clauses contractuelles types de la Commission européenne conformément à l’art. 46 RGPD.

Protection contre la surcharge (Upstash)

Afin que des accès automatisés ne bloquent ni nos formulaires de réservation et de demande ni notre chat IA, nous limitons la fréquence des requêtes provenant d’une même connexion Internet. Pour cela, nous comptons les requêtes par adresse IP dans une mémoire tampon de Upstash, Inc., San Jose, Californie, États-Unis (« Upstash »), dont le serveur est situé à Francfort-sur-le-Main. Pour le chat IA, nous n’utilisons qu’une valeur de hachage abrégée au lieu de l’adresse IP. Les compteurs s’effacent d’eux-mêmes au plus tard au bout de deux heures.

Upstash agit en tant que sous-traitant pour notre compte ; le contrat de sous-traitance fait partie des conditions d’utilisation d’Upstash. Dans la mesure où Upstash traite des données depuis les États-Unis, nous nous fondons sur les clauses contractuelles types de la Commission européenne conformément à l’art. 46 RGPD. La base juridique est notre intérêt légitime à disposer d’une offre en ligne sûre et disponible (art. 6, par. 1, point f RGPD).

Fichiers journaux du serveur

Le fournisseur des pages collecte et enregistre automatiquement des informations dans des fichiers journaux du serveur, que votre navigateur nous transmet automatiquement. Il s’agit de :

• type et version du navigateur
• système d’exploitation utilisé
• URL de référence
• nom d’hôte de l’ordinateur accédant au site
• heure de la requête au serveur
• adresse IP

Ces données ne sont pas fusionnées avec d’autres sources de données.

Ces données sont recueillies sur la base de l’art. 6, par. 1, point f) RGPD. L’exploitant du site a un intérêt légitime à une présentation techniquement irréprochable et à l’optimisation de son site – à cette fin, les fichiers journaux du serveur doivent être collectés.

Collecte de données sur notre site

Cookies et technologies comparables

Nos pages utilisent en partie des cookies ainsi que des technologies comparables (par exemple le stockage local du navigateur). Les cookies sont de petits fichiers texte enregistrés sur votre appareil ; ils ne causent aucun dommage. Ils servent à rendre notre offre plus conviviale, plus efficace et plus sûre.

Nous distinguons les procédés d’enregistrement techniquement nécessaires de ceux qui ne le sont pas. Les cookies ou entrées de stockage techniquement nécessaires sont indispensables au fonctionnement du site – cela comprend en particulier l’enregistrement du choix que vous avez effectué dans la fenêtre de consentement. Ils sont déposés sur la base de notre intérêt légitime à un site fonctionnel (art. 6, par. 1, point f) RGPD) ou, lorsque la loi le prévoit, pour la fourniture du service que vous avez expressément demandé.

Les cookies ou technologies non nécessaires servent des finalités allant au-delà, en particulier les statistiques, la mesure d’audience et le marketing. Nous n’utilisons de telles technologies qu’après votre consentement exprès (voir ci-dessous « Consentement avec notre outil de cookies » ainsi que la section « Outils d’analyse et publicité »). Vous pouvez également configurer votre navigateur de manière à être informé du dépôt de cookies, à n’autoriser les cookies qu’au cas par cas ou à les exclure de façon générale. La désactivation des cookies peut limiter le fonctionnement de ce site.

Consentement avec notre outil de cookies

Notre site utilise un outil de consentement que nous exploitons nous-mêmes afin de recueillir votre consentement à l’enregistrement de certains cookies et technologies comparables et de le documenter conformément à la réglementation sur la protection des données. Votre choix est enregistré sous forme versionnée exclusivement en local dans votre navigateur (dans le « localStorage ») et n’est transmis ni à nous ni à des tiers. Techniquement, nous utilisons le Google Consent Mode v2 : les services d’analyse et de marketing ne sont activés ou chargés qu’une fois que vous avez consenti à la catégorie correspondante. Sans votre consentement, le site reste exempt de services de statistiques et de marketing.

Vous pouvez révoquer ou modifier votre consentement à tout moment avec effet pour l’avenir. Pour cela, ouvrez de nouveau les paramètres des cookies via le bouton ci-dessous ou via le lien « Paramètres de confidentialité » dans le pied de page et adaptez votre choix. Vous pouvez également supprimer vous-même le choix enregistré dans votre navigateur.

Ouvrir les paramètres des cookies

Le consentement au dépôt de cookies non nécessaires ou à l’accès à des informations sur votre appareil est donné sur la base de l’article 165, al. 3 de la loi autrichienne sur les télécommunications 2021 (TKG 2021) ainsi que de l’art. 6, par. 1, point a) RGPD. Afin de satisfaire à nos obligations de preuve, nous documentons votre consentement ou son retrait ; les durées de conservation légales impératives demeurent inchangées.

Comptage anonyme des réponses à la bannière

Afin de savoir combien de visiteurs refusent notre bannière de consentement, nous comptons les réponses à la bannière sous forme de simple total. Pour chaque jour, chaque version linguistique, la largeur de la fenêtre (affichage étroit ou large) et la réponse donnée (bannière affichée, tout accepté, tout refusé, sélection personnelle enregistrée), nous augmentons un compteur de un.

AUCUNE donnée vous concernant personnellement n’est créée à cette occasion : seul ce nombre est enregistré — aucune adresse IP, aucun identifiant, aucune session, aucun horodatage plus précis que le jour calendaire, et rien de ce que vous saisissez. Toute conclusion sur des personnes individuelles est donc exclue ; il s’agit de statistiques anonymes au sens du considérant 26 du RGPD. Le comptage a lieu sur nos propres serveurs : aucun service d’analyse n’est chargé à cette fin et rien n’est enregistré sur votre appareil ni lu depuis celui-ci. Le principe énoncé ci-dessus reste ainsi inchangé — sans votre consentement, le site reste exempt de services de statistiques et de marketing.

Comptage anonyme des termes de recherche

Lorsque vous saisissez un terme dans la recherche de soins pendant votre réservation, nous comptons ce terme sous forme de simple total. Nous voyons ainsi ce que les clients cherchent sans le trouver chez nous. Pour chaque jour, chaque version linguistique et chaque terme de recherche, nous augmentons un compteur de un et notons combien de soins la recherche a trouvés.

Nous ne comptons que ce qui ressemble à un terme de recherche : trois mots au plus, composés de lettres. Les termes contenant des chiffres ou un @, comme des numéros de téléphone ou des adresses e-mail, ne sont pas comptés. Aucune donnée vous concernant personnellement n’est créée à cette occasion : aucune adresse IP, aucun identifiant, aucune session, aucun horodatage plus précis que le jour calendaire. Il s’agit de statistiques anonymes au sens du considérant 26 du RGPD. Le comptage a lieu sur nos propres serveurs, sans service d’analyse, et rien n’est enregistré sur votre appareil ni lu depuis celui-ci. Merci de ne saisir dans la recherche ni noms ni autres informations personnelles.

Demande par e-mail, téléphone ou formulaire de contact

Si vous nous contactez par e-mail, par téléphone ou via un formulaire de contact, votre demande ainsi que toutes les données personnelles qui en découlent (nom, adresse e-mail, le cas échéant numéro de téléphone, objet de votre demande) sont enregistrées et traitées par nos soins aux fins du traitement de votre demande. Nous ne transmettons pas ces données sans votre consentement.

Ces données sont traitées sur la base de l’art. 6, par. 1, point b) RGPD, dans la mesure où votre demande est liée à l’exécution d’un contrat ou est nécessaire à la mise en œuvre de mesures précontractuelles. Dans tous les autres cas, le traitement repose sur notre intérêt légitime à traiter efficacement les demandes qui nous sont adressées (art. 6, par. 1, point f) RGPD) ou sur votre consentement (art. 6, par. 1, point a) RGPD), lorsque celui-ci a été demandé.

Les données que vous nous transmettez restent chez nous jusqu’à ce que la finalité de leur conservation disparaisse (par exemple une fois votre demande entièrement traitée) ou que vous nous demandiez de les effacer. Les dispositions légales impératives – en particulier les durées de conservation légales – demeurent inchangées.

Réservation en ligne et demande de réservation

Vous pouvez, via notre site, vérifier les disponibilités et effectuer une réservation ou une demande de réservation. Pour la traiter, nous avons besoin de votre civilité, de vos nom et prénom, de votre adresse e-mail, de vos dates de voyage (arrivée et départ) ainsi que du produit ou de l’arrangement choisi. Dans certains cas, votre numéro de téléphone est demandé afin de pouvoir vous joindre rapidement, en particulier en cas d’imprévu concernant votre réservation.

Le calcul du prix de séjour applicable nécessite les données du séjour, le produit choisi, le nombre de personnes voyageant ainsi que l’indication s’il s’agit d’adultes ou d’enfants (pour les enfants, également leur âge). Les autres informations du formulaire sont facultatives.

La réservation est traitée via notre propre système de réservation ; l’infrastructure de base de données et de serveurs utilisée à cet effet (prestataire : Supabase, localisation des serveurs au sein de l’Union européenne) traite vos données en qualité de sous-traitant pour notre compte. Afin d’exécuter votre réservation, nous transmettons également les données nécessaires à notre système de gestion hôtelière. Nous avons conclu, lorsque cela était nécessaire, des contrats de sous-traitance avec les prestataires auxquels nous recourons.

Le traitement de vos données pour la réservation ou la demande de réservation s’effectue sur la base de l’art. 6, par. 1, point b) RGPD et sert à l’exécution d’un contrat ou à la mise en œuvre de mesures précontractuelles. Les données transmises restent chez nous jusqu’à ce que la finalité de leur conservation disparaisse. Les dispositions légales impératives – en particulier les durées de conservation légales – demeurent inchangées.

Envoi d’e-mails (Resend)

Pour l’envoi d’e-mails transactionnels – en particulier les confirmations de réservation, d’offre et d’annulation ainsi que les messages relatifs à votre demande – nous utilisons le service d’envoi d’e-mails Resend. Le prestataire est Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, États-Unis (« Resend »). Les données nécessaires à l’envoi sont traitées, en particulier votre nom, votre adresse e-mail et le contenu du message concerné (par exemple les détails de votre réservation).

Resend traite et conserve ces données pour notre compte sur des serveurs situés aux États-Unis. Nous avons conclu avec Resend un contrat de sous-traitance (DPA) ; le transfert vers les États-Unis repose sur les clauses contractuelles types de la Commission européenne conformément à l’art. 46 RGPD. La base juridique du traitement est l’art. 6, par. 1, point b) RGPD (exécution d’un contrat ou mise en œuvre de mesures précontractuelles) ainsi que notre intérêt légitime à un envoi d’e-mails fiable et sûr (art. 6, par. 1, point f) RGPD).

Vœux d’anniversaire

Si vous avez séjourné chez nous ou à l’Alpenresort Schwarz au cours des trois dernières années et indiqué votre date de naissance lors de la réservation, nous vous envoyons un message de vœux par e-mail le jour de votre anniversaire – de la part de l’établissement où vous avez séjourné le plus souvent. La base juridique est notre intérêt légitime à entretenir la relation avec nos hôtes (art. 6, par. 1, point f RGPD) ainsi que, pour les hôtes existants, l’art. 174, al. 4 de la loi autrichienne sur les télécommunications (TKG 2021). Votre date de naissance sert uniquement à déterminer le jour ; elle n’est transmise ni à Resend ni à des tiers. Vous pouvez vous opposer à ces vœux à tout moment – via le lien de désinscription figurant dans chacun de ces e-mails ou de manière informelle à info@biohotel.at ; l’opposition s’applique alors à tous les e-mails publicitaires des deux établissements.

Newsletter : envoi et mesure des résultats

Nous envoyons notre newsletter via le prestataire d’envoi Resend (voir ci-dessus) depuis le domaine expéditeur news.biohotel.at. Afin de savoir si nos newsletters arrivent et quels contenus vous intéressent, nous enregistrons, pour chaque destinataire, si un message a été remis, s’il a été ouvert (au moyen d’un pixel de suivi, une petite image chargée depuis le serveur à l’ouverture du message) et quels liens du message ont été cliqués. À cette fin, les liens de nos newsletters passent par le sous-domaine links.news.biohotel.at, qui enregistre le clic et vous redirige immédiatement vers la page cible. Seuls la date et l’heure, le type d’événement et, en cas de clic, l’adresse cible du lien sont conservés ; votre adresse IP et les informations relatives à votre logiciel de messagerie ne sont pas enregistrées. Aucun cookie n’est déposé à cet effet.

Pour évaluer l’effet de nos newsletters, nous vérifions en outre si, dans les 30 jours suivant un clic sur un lien de la newsletter, une demande ou une réservation nous est parvenue sous la même adresse e-mail. La base juridique de cette mesure est votre consentement à recevoir la newsletter (art. 6, par. 1, point a du RGPD) ou, pour les hôtes existants qui reçoivent la newsletter sur la base de l’art. 174, al. 4 de la loi autrichienne sur les télécommunications (TKG 2021), notre intérêt légitime à évaluer nos newsletters (art. 6, par. 1, point f du RGPD). Vous pouvez vous opposer à tout moment à cette mesure en vous désinscrivant via le lien figurant à la fin de chaque newsletter ; la mesure prend fin avec la désinscription. Les données de mesure sont conservées pour l’évaluation de nos newsletters et ne sont pas transmises à des tiers.

Messagerie client et page de conversation personnelle

Pour la correspondance personnelle autour de votre séjour, nous tenons une messagerie client : un historique continu des messages échangés entre vous et notre hôtel. À cette fin, nous enregistrons pour chaque message l’heure, le sens (de nous vers vous ou de vous vers nous), l’objet et le texte, ainsi que – à titre d’indication d’origine – la réservation ou la demande dont il est issu. Ce qui nous parvient par téléphone ou de vive voix peut y être consigné dans sa substance et est signalé comme ajouté par nos soins. L’historique est tenu sous votre adresse e-mail.

Nos messages vous parviennent par e-mail. Cet e-mail contient un lien personnel vers votre page de conversation, où vous pouvez relire l’historique et répondre directement. Vous n’avez besoin ni d’un compte utilisateur ni d’un mot de passe : le lien contient une clé d’accès sécurisée par cryptographie, valable 14 jours. Passé ce délai, la page n’affiche plus aucun contenu ; vous pouvez alors, d’un seul clic, faire envoyer un nouveau lien à la même adresse e-mail, ou nous appeler. Traitez ce lien comme un mot de passe et ne le transmettez pas – quiconque le détient peut consulter votre historique.

Adresse e-mail partagée : l’historique est lié à l’adresse e-mail et non à une personne déterminée. Si deux personnes – un couple, par exemple – utilisent la même adresse, toutes deux voient le même historique, et un effacement à la demande porte sur les messages des deux. Si vous préférez l’éviter, veuillez nous communiquer des adresses e-mail distinctes.

Nous recourons à Resend en tant que sous-traitant pour l’envoi des e-mails de notification correspondants (voir ci-dessus). Veuillez noter : si nous effaçons votre historique de messages de notre côté, les e-mails déjà envoyés n’en sont pas affectés – ni dans votre propre boîte de réception, ni dans les journaux d’envoi de Resend, qui y sont soumis à ses propres durées de conservation.

La base juridique du traitement est l’art. 6, par. 1, point b) RGPD dans la mesure où l’échange concerne votre réservation ou votre demande de réservation, et, pour le reste, notre intérêt légitime à une correspondance client traçable (art. 6, par. 1, point f) RGPD). Nous conservons l’historique des messages pendant la durée de la relation d’affaires ; il n’est pas effacé automatiquement à l’issue d’un délai fixe, car il fait partie de notre correspondance courante avec vous. Nous l’effaçons intégralement à votre demande. Les dispositions légales impératives – en particulier les durées de conservation légales – demeurent inchangées.

Chat IA « Questions et conseils »

Sur notre site, vous pouvez écrire à un assistant IA. Il répond aux questions sur notre hôtel, sur la région et sur les établissements de la Schwarz Company, vérifie sur demande les prix et les disponibilités dans notre système de réservation et prépare pour vous une réservation, une offre par e-mail, une demande à notre service des réservations ou la transmission d’une question à notre équipe. L’assistant ne réserve et n’envoie rien lui-même : une réservation n’existe qu’une fois la réservation en ligne finalisée, et une offre, une demande ou une question ne part qu’une fois le formulaire correspondant envoyé. Dans la fenêtre du chat, l’assistant est signalé comme IA. Ses réponses sont générées automatiquement et peuvent contenir des erreurs ; les prix et conditions ne sont contraignants que dans votre réservation ou dans notre offre.

Données traitées : nous enregistrons vos messages, les réponses de l’assistant, la langue de la conversation ainsi que les informations de voyage qu’il en retient (arrivée et départ, nombre de personnes, âge des enfants, souhaits de chambre et de pension) et les résultats de ses vérifications (chambres, prix, disponibilités). Pour chaque réponse, nous consignons en outre le temps de réponse et les coûts générés. Pour la conversation, nous créons un identifiant aléatoire que votre navigateur conserve uniquement pour l’onglet ouvert (sessionStorage) ; il n’y a pas de compte utilisateur. L’assistant ne vous demande ni nom, ni adresse, ni numéro de téléphone : vous saisissez vous-même ces informations dans les formulaires, et elles ne sont pas transmises au service d’IA. Si vous passez du chat à la réservation en ligne, nous reprenons votre sélection et, si vous l’avez écrite dans le chat, votre adresse e-mail dans la page de réservation ; l’adresse e-mail n’est conservée à cet effet que brièvement dans le sessionStorage de votre navigateur et y est supprimée à l’ouverture de la page de réservation. Merci de ne pas écrire dans le chat d’informations sur votre santé ni d’autres données particulièrement sensibles. Pour ces questions, utilisez la transmission à notre équipe ou appelez-nous.

Service d’IA OpenAI : les réponses sont générées par un modèle de langage de OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irlande (« OpenAI »), qui agit en tant que sous-traitant pour notre compte. À cet effet, notre serveur transmet à OpenAI le déroulement de la conversation (vos messages, les réponses précédentes et les résultats des vérifications) ainsi que nos instructions. Nous ne transmettons ni votre adresse IP ni les informations des formulaires. OpenAI traite les données également aux États-Unis ; nous fondons ce transfert sur les clauses contractuelles types de la Commission européenne conformément à l’art. 46 RGPD, qui font partie de notre contrat de sous-traitance avec OpenAI. OpenAI n’utilise pas les données pour entraîner ses modèles. Nous avons désactivé l’enregistrement des requêtes chez OpenAI ; OpenAI peut toutefois les conserver jusqu’à 30 jours pour détecter les abus.

Durée de conservation : nous enregistrons l’historique du chat dans notre base de données (prestataire : Supabase, serveurs situés dans l’Union européenne) et le supprimons automatiquement 30 jours après le dernier message. Il ne reste que des chiffres journaliers anonymes, sans identifiant ni contenu, comme le nombre de conversations, les temps de réponse et les coûts. Si vous envoyez depuis le chat une demande, une question à notre équipe ou une demande d’offre, ou si vous réservez après le chat, nous enregistrons avec celle-ci un extrait des six derniers messages du chat, de 400 caractères au plus chacun, afin que notre équipe comprenne votre demande. Cet extrait est conservé aussi longtemps que la demande, l’offre ou la réservation elle-même (voir ci-dessus). Sur une réservation issue du chat, nous notons en outre un identifiant indiquant qu’elle provient du chat, afin de mesurer l’utilité du chat. Chez nous, les conversations complètes ne sont consultées que par un cercle restreint de personnes responsables du chat, à des fins d’assurance qualité. Nous ne transmettons pas l’identifiant de la conversation à des services d’analyse.

Protection contre les abus : afin que des requêtes automatisées ne bloquent pas le chat et n’occasionnent pas de coûts, nous limitons les messages et les nouvelles conversations par conversation et par connexion Internet (voir « Protection contre la surcharge (Upstash) »). Si une conversation se distingue par un abus, nous pouvons la bloquer. En cas d’utilisation inhabituelle, une confirmation qu’une personne écrit peut en outre apparaître (voir « Cloudflare Turnstile »).

Base juridique : dans la mesure où le chat prépare votre réservation, une offre ou une demande, la base juridique est l’art. 6, par. 1, point b RGPD (mesures précontractuelles prises à votre demande). Pour le reste, nous traitons les données sur la base de notre intérêt légitime à répondre rapidement à vos questions, à garantir la qualité du chat et à le protéger contre les abus (art. 6, par. 1, point f RGPD) ; vous pouvez vous opposer à ce traitement conformément à l’art. 21 RGPD. L’utilisation du chat est facultative : la réservation, les demandes et le contact vous restent ouverts sans lui, via la réservation en ligne, le formulaire de demande, par e-mail ou par téléphone. Le chat ne prend aucune décision fondée exclusivement sur un traitement automatisé au sens de l’art. 22 RGPD : les prix et disponibilités proviennent de notre système de réservation selon les mêmes règles que la réservation en ligne, vous décidez vous-même de réserver, et notre équipe décide des demandes. Pour plus d’informations sur le traitement des données par OpenAI, consultez https://openai.com/policies/eu-privacy-policy/.

Cloudflare Turnstile (protection du chat IA et du formulaire de demande)

Nous protégeons notre chat IA « Questions et conseils » contre les abus automatisés. Si l’utilisation paraît inhabituelle, par exemple parce qu’un très grand nombre de messages ou de nouvelles conversations proviennent d’une même connexion en peu de temps, nous vous demandons dans la fenêtre du chat de confirmer brièvement qu’une personne écrit. Nous utilisons pour cela le service Turnstile de Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, États-Unis.

Nous protégeons de la même manière notre formulaire de demande, car chaque demande déclenche des e-mails vers nous et vers l’adresse indiquée. Si plusieurs demandes proviennent d’une même connexion en peu de temps, ou un nombre inhabituel au total, nous vous demandons la même confirmation avant l’envoi.

Turnstile n’apparaît qu’en cas d’utilisation inhabituelle. Ce n’est qu’à ce moment que votre navigateur charge le programme de vérification de Cloudflare ; il n’est pas chargé lors de la visite de notre site, pendant un échange ordinaire ni lors de l’envoi ordinaire d’une demande. Au lieu de confirmer, vous pouvez toujours attendre le délai affiché, puis continuer à écrire ou envoyer votre demande sans confirmation.

Selon Cloudflare, la vérification traite votre adresse IP, une empreinte technique de la connexion chiffrée (TLS), l’identifiant de votre navigateur (user agent) ainsi que l’identifiant de notre widget et l’adresse de notre site, afin de distinguer les personnes des programmes automatisés. Cloudflare agit à cet égard en tant que sous-traitant pour notre compte ; dans la mesure où Cloudflare utilise ces signaux pour améliorer sa détection des robots, Cloudflare en est lui-même responsable. Cloudflare nous indique uniquement si la vérification a réussi. Pour contrôler ce résultat, notre serveur transmet à Cloudflare le résultat de vérification de votre navigateur et votre adresse IP. Nous comptons le nombre de confirmations d’une conversation sous l’identifiant aléatoire de celle-ci ; le compteur expire de lui-même au bout de 24 heures. Nous comptons le nombre de demandes provenant d’une même connexion sous une valeur de hachage de votre adresse IP ; ce compteur expire de lui-même deux heures après la dernière demande. Nous comptons le nombre de confirmations d’une même connexion sous la même valeur de hachage ; ce compteur expire au bout de 24 heures.

La base juridique est notre intérêt légitime à protéger notre chat contre les abus et contre les coûts de requêtes automatisées, et notre formulaire de demande contre son détournement pour l’envoi d’e-mails indésirables (art. 6, par. 1, point f) RGPD). Nous ne demandons pas de consentement à cet effet, car la vérification n’apparaît qu’en cas d’utilisation inhabituelle et l’attente reste toujours possible. Le transfert vers les États-Unis repose sur la certification de Cloudflare au titre de l’EU-US Data Privacy Framework. Vous trouverez de plus amples informations sur https://www.cloudflare.com/turnstile-privacy-policy/ et dans la politique de confidentialité de Cloudflare sur https://www.cloudflare.com/privacypolicy/.

Traitement des paiements par un prestataire de paiement (hobex)

Pour le paiement en ligne de votre réservation, nous recourons au prestataire de paiement hobex AG, Josef-Brandstätter-Straße 2b, 5020 Salzbourg, Autriche. Le paiement s’effectue via un champ de paiement chiffré, intégré directement à notre parcours de réservation ; pour confirmer le paiement (par exemple 3-D Secure), vous pouvez être brièvement redirigé vers votre banque ou l’émetteur de votre carte.

Les données nécessaires au paiement (par exemple le nom, les données de paiement ou de carte de crédit, le montant de la facture) sont traitées par hobex sous sa propre responsabilité, conformément à ses dispositions relatives à la protection des données, que vous pouvez consulter sur hobex.at/datenschutz. Parallèlement, hobex traite ces données pour satisfaire à ses propres obligations légales et réglementaires ainsi qu’à des fins de prévention de la fraude.

La base juridique du traitement des données est l’art. 6, par. 1, point b) RGPD (exécution d’un contrat). Les transactions de paiement sont réalisées exclusivement via une connexion chiffrée SSL ou TLS. Vos données ne sont transmises à hobex que dans la mesure nécessaire au traitement du paiement.

Pourboire en ligne (« Un merci pour l’équipe »)

Sur la page « Un merci pour l’équipe » (biohotel.at/fr/merci, également accessible via les codes QR dans l’hôtel), vous pouvez donner un pourboire à toute notre équipe. Pour cela, nous traitons vos nom et prénom, votre adresse e-mail, le montant et, si vous en écrivez un, votre message à l’équipe. Le paiement s’effectue via hobex (voir ci-dessus). Nous vous envoyons la confirmation par e-mail via Resend. Vos données sont enregistrées dans notre propre système de réservation (Supabase, serveurs situés dans l’Union européenne).

Nous rattachons ensuite le pourboire à votre profil client chez nous à l’aide de votre adresse e-mail. Si vous l’avez donné pendant votre séjour ou jusqu’à 14 jours après votre départ, nous le rattachons également à ce séjour. Nous savons ainsi à quel séjour se rapporte votre remerciement et pouvons traiter correctement les questions et les remboursements. Nous ne transmettons rien à notre système de gestion hôtelière à cette occasion.

La base juridique du paiement et de la confirmation est l’art. 6, par. 1, point b) du RGPD. Pour le rattachement à votre profil client et à votre séjour, il s’agit de notre intérêt légitime à entretenir la relation avec nos hôtes et à décompter les pourboires de manière transparente (art. 6, par. 1, point f) du RGPD). Vous pouvez vous opposer à ce rattachement à tout moment, sans formalité, à l’adresse info@biohotel.at. Nous conservons les données aussi longtemps que nécessaire à ces fins. Les obligations légales de conservation restent inchangées.

Polices de caractères locales

Pour un affichage homogène des polices, ce site utilise exclusivement des fichiers de police (web fonts) stockés localement sur notre serveur. Lors de la consultation d’une page, ces polices sont chargées depuis notre propre serveur. Aucune connexion à des serveurs tiers (tels que Google Fonts) n’a lieu ; aucune donnée personnelle n’est transmise à des tiers.

Outils d’analyse et publicité

Nous utilisons les services d’analyse, de mesure d’audience et de marketing décrits ci-après exclusivement sur la base de votre consentement conformément à l’art. 6, par. 1, point a) RGPD. Avant que vous ne donniez votre consentement dans la fenêtre de cookies, ces services ne sont ni chargés ni exécutés. Votre consentement peut être retiré à tout moment avec effet pour l’avenir (voir « Consentement avec notre outil de cookies »). L’intégration s’effectue techniquement via le Google Consent Mode v2. Dans la mesure où des données personnelles sont transférées aux États-Unis, nous indiquons pour chaque service la base de transfert applicable.

Google Analytics 4

Ce site utilise – après votre consentement à la catégorie « Statistiques & analyse » – des fonctions du service d’analyse web Google Analytics 4. Le prestataire est Google Ireland Limited (« Google »), Gordon House, Barrow Street, Dublin 4, Irlande.

Google Analytics nous permet d’analyser le comportement des visiteurs du site. Nous recevons à cette occasion différentes données d’utilisation, telles que les pages consultées, la durée de visite, les systèmes d’exploitation utilisés et la provenance des utilisateurs. Google Analytics recourt à des technologies permettant de reconnaître l’utilisateur aux fins de l’analyse de son comportement (par exemple des cookies ou l’empreinte d’appareil). Les informations collectées par Google sur l’utilisation de ce site sont en règle générale transmises à un serveur de Google aux États-Unis et y sont conservées.

L’utilisation repose sur votre consentement conformément à l’art. 6, par. 1, point a) RGPD et à l’article 165, al. 3 TKG 2021. Le consentement peut être retiré à tout moment. Nous avons conclu un contrat de sous-traitance avec Google. Le transfert de données vers les États-Unis repose sur l’EU-US Data Privacy Framework ; la société mère Google LLC y est certifiée (décision d’adéquation de la Commission européenne conformément à l’art. 45 RGPD).

Google Signals

Si vous avez en outre consenti à la catégorie « Marketing », nous utilisons Google Signals. Google Analytics peut ainsi collecter, entre autres, la localisation, l’historique de recherche et l’historique YouTube ainsi que des données démographiques (données de visiteurs). Si vous disposez d’un compte Google et y avez consenti à la publicité personnalisée, ces données de visiteurs peuvent être associées à votre compte Google, tous appareils et sessions confondus, et utilisées à des fins de publicité personnalisée. La base juridique est votre consentement conformément à l’art. 6, par. 1, point a) RGPD.

Vous trouverez de plus amples informations sur le traitement des données des utilisateurs par Google Analytics dans la politique de confidentialité de Google : https://support.google.com/analytics/answer/6004245?hl=fr.

Google Ads avec suivi des conversions

Après votre consentement à la catégorie « Marketing », nous utilisons Google Ads. Le prestataire est Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. Google Ads nous permet de diffuser des annonces dans le moteur de recherche Google ou sur des sites tiers et de mesurer, au moyen du suivi des conversions, si les utilisateurs arrivés sur notre site via une annonce Google y ont effectué une action déterminée (par exemple une réservation).

Si vous accédez à notre site via une annonce Google, un cookie de conversion est déposé ; il perd sa validité au bout d’un certain temps et ne sert pas à vous identifier personnellement. Ni nous ni les autres clients publicitaires de Google ne recevons d’informations permettant de vous identifier. Des données personnelles, y compris votre adresse IP, peuvent être transférées à Google aux États-Unis dans ce cadre.

La base juridique est votre consentement conformément à l’art. 6, par. 1, point a) RGPD et à l’article 165, al. 3 TKG 2021 ; le consentement peut être retiré à tout moment. Le transfert de données vers les États-Unis repose sur l’EU-US Data Privacy Framework (Google LLC y est certifiée). Vous trouverez de plus amples informations sur https://business.safety.google/privacy/.

Microsoft Clarity

Après votre consentement à la catégorie « Statistiques & analyse », nous utilisons Microsoft Clarity, un service d’analyse et d’enregistrement de sessions. Le prestataire pour les utilisateurs de l’Espace économique européen est Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlande.

Microsoft Clarity nous permet de mieux comprendre l’utilisation de notre site en évaluant les interactions telles que les mouvements de souris et de défilement, les clics ainsi que les pages consultées, sous forme de statistiques agrégées et de relectures de session pseudonymisées. Les saisies dans les champs de formulaire y sont masquées par défaut. Le traitement des données peut également avoir lieu sur des serveurs situés aux États-Unis.

La base juridique est votre consentement conformément à l’art. 6, par. 1, point a) RGPD et à l’article 165, al. 3 TKG 2021 ; le consentement peut être retiré à tout moment. Un éventuel transfert de données vers les États-Unis est encadré par la certification de Microsoft au titre de l’EU-US Data Privacy Framework. Vous trouverez de plus amples informations dans la politique de confidentialité de Microsoft : https://privacy.microsoft.com/fr-fr/privacystatement.

PostHog

Après votre consentement à la catégorie « Statistiques & analyse », nous utilisons le service d’analyse produit PostHog. Le prestataire est PostHog, Inc., 2261 Market Street #4008, San Francisco, CA 94114, États-Unis. Nous exploitons PostHog via l’infrastructure cloud américaine du prestataire ; le traitement a lieu sur des serveurs situés aux États-Unis.

PostHog nous permet d’évaluer sous forme pseudonymisée l’utilisation de notre site (par exemple les pages consultées, les boutons cliqués et le déroulement de l’utilisation au sein du parcours de réservation) afin d’améliorer notre offre. Les saisies dans les champs de formulaire ne sont pas enregistrées. La base juridique est votre consentement conformément à l’art. 6, par. 1, point a) RGPD et à l’article 165, al. 3 TKG 2021 ; le consentement peut être retiré à tout moment. Le transfert de données personnelles vers les États-Unis lié à cette utilisation repose sur les clauses contractuelles types de la Commission européenne conformément à l’art. 46 RGPD. Vous trouverez de plus amples informations sur https://posthog.com/privacy.

Vos droits

Information, effacement et rectification

Dans le cadre des dispositions légales applicables, vous avez à tout moment le droit d’obtenir gratuitement des informations sur vos données personnelles enregistrées, leur origine, leurs destinataires et la finalité de leur traitement, ainsi que, le cas échéant, un droit de rectification ou d’effacement de ces données. Pour cela et pour toute autre question relative aux données personnelles, vous pouvez nous contacter à tout moment à l’adresse indiquée dans les mentions légales.

Droit à la limitation du traitement

Vous avez le droit de demander la limitation du traitement de vos données personnelles. Pour cela, vous pouvez nous contacter à tout moment à l’adresse indiquée dans les mentions légales. Le droit à la limitation du traitement existe dans les cas suivants :

Si vous contestez l’exactitude des données personnelles que nous avons enregistrées, nous avons généralement besoin de temps pour le vérifier. Pendant la durée de cette vérification, vous avez le droit de demander la limitation du traitement de vos données personnelles. Si le traitement de vos données personnelles a eu lieu ou a lieu de manière illicite, vous pouvez demander la limitation du traitement au lieu de l’effacement.

Si nous n’avons plus besoin de vos données personnelles mais que vous en avez besoin pour exercer, défendre ou faire valoir des droits en justice, vous avez le droit de demander la limitation du traitement de vos données personnelles au lieu de leur effacement. Si vous avez formé opposition conformément à l’art. 21, par. 1 RGPD, une mise en balance de vos intérêts et des nôtres doit être effectuée. Tant qu’il n’a pas été déterminé quels intérêts prévalent, vous avez le droit de demander la limitation du traitement de vos données personnelles.

Si vous avez fait limiter le traitement de vos données personnelles, ces données ne peuvent – hormis leur conservation – être traitées qu’avec votre consentement, ou pour la constatation, l’exercice ou la défense de droits en justice, ou pour la protection des droits d’une autre personne physique ou morale, ou encore pour des motifs importants d’intérêt public de l’Union européenne ou d’un État membre.

Retrait de votre consentement au traitement des données

De nombreuses opérations de traitement ne sont possibles qu’avec votre consentement exprès. Vous pouvez retirer à tout moment un consentement déjà donné. La licéité du traitement effectué jusqu’au retrait n’en est pas affectée.

Droit d’opposition à la collecte de données dans des cas particuliers et à la prospection directe (art. 21 RGPD)

Lorsque le traitement des données repose sur l’art. 6, par. 1, point e) ou f) RGPD, vous avez le droit de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, au traitement de vos données personnelles ; cela vaut également pour un profilage fondé sur ces dispositions. La base juridique sur laquelle repose chaque traitement figure dans la présente politique de confidentialité. Si vous formez opposition, nous ne traiterons plus les données personnelles concernées, à moins de pouvoir démontrer des motifs légitimes impérieux pour le traitement, qui prévalent sur vos intérêts, droits et libertés, ou que le traitement serve à la constatation, à l’exercice ou à la défense de droits en justice (opposition au titre de l’art. 21, par. 1 RGPD).

Si vos données personnelles sont traitées à des fins de prospection directe, vous avez le droit de vous opposer à tout moment au traitement des données personnelles vous concernant à de telles fins ; cela vaut également pour le profilage, dans la mesure où il est lié à cette prospection directe. Si vous formez opposition, vos données personnelles ne seront plus utilisées à des fins de prospection directe (opposition au titre de l’art. 21, par. 2 RGPD).

Droit de réclamation auprès de l’autorité de contrôle compétente

En cas de violation du RGPD, les personnes concernées disposent d’un droit de réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre de leur résidence habituelle, de leur lieu de travail ou du lieu de la violation présumée. Ce droit de réclamation existe sans préjudice de tout autre recours administratif ou juridictionnel. L’autorité de contrôle compétente en Autriche est :

Österreichische Datenschutzbehörde (autorité autrichienne de protection des données)
Barichgasse 40–42
1030 Wien
E-mail : dsb@dsb.gv.at
Site : www.dsb.gv.at

Droit à la portabilité des données

Vous avez le droit d’obtenir que les données que nous traitons de manière automatisée sur la base de votre consentement ou en exécution d’un contrat vous soient remises, ou soient remises à un tiers, dans un format courant et lisible par machine. Si vous demandez la transmission directe des données à un autre responsable du traitement, celle-ci n’aura lieu que dans la mesure où elle est techniquement réalisable.