Responsable, sous-traitant et contact

SYNSETIO, 6 RUE D'ARMAILLE, 75017 PARIS, France, contact@odybook.com, détermine les finalités de ses traitements propres : comptes professionnels, abonnement, facturation, sécurité, support et relation commerciale.

Pour les réservations, participants, messages et données collectées pour une agence ou un guide, ce professionnel détermine les finalités. SYNSETIO agit alors comme sous-traitant sur instructions documentées.

Données, sources et caractère obligatoire

Les données de compte proviennent du professionnel ou de son organisation : identité, email, rôle, paramètres, société et facturation. Les champs requis sont nécessaires au compte, au contrat, à la sécurité ou à la facture; les champs de marque, contenus et intégrations sont facultatifs sauf besoin du service activé.

Les données voyageurs proviennent du voyageur, du professionnel ou d'une personne qui réserve pour un groupe : identité, coordonnées, dates, participants, messages, préférences et besoins communiqués. Les données nécessaires à une réservation sont distinguées des informations optionnelles. Elles comprennent aussi la réponse facultative à « Comment nous avez-vous connus ? » et, uniquement si le voyageur accepte « Origine de la réservation » dans les choix de cookies de la vitrine, ou la mesure d'audience dans ceux de la page de réservation, la façon dont il a trouvé le professionnel : balises de campagne du lien suivi (paramètres UTM), site d'origine et première page consultée. Le professionnel s'en sert, sur la base de ce consentement, pour savoir quels canaux apportent des réservations ; sans consentement, rien de cela n'est lu.

Les données techniques proviennent de l'usage du service : journaux, appareil, navigateur, erreurs, sécurité, préférences cookies et événements applicatifs.

Finalités et bases juridiques

Compte et abonnement professionnel : contrat avec le client personne physique; intérêt légitime pour gérer les représentants, employés ou collaborateurs d'une organisation cliente.
Facturation SYNSETIO : contrat et obligations légales comptables et fiscales.
Réservations et messages voyageurs : instructions du professionnel responsable de traitement; contrat ou base définie par ce professionnel envers le voyageur.
Support, sécurité, prévention des abus et preuve contractuelle : intérêt légitime, contrat ou obligation légale selon le contexte.
Prospection : consentement lorsqu'il est requis; intérêt légitime pour certaines communications B2B pertinentes, avec opposition simple.
Cookies analytiques ou publicitaires non exemptés : consentement préalable et révocable.

Destinataires et rôles des fournisseurs

Les données peuvent être traitées par Vercel pour l'hébergement, Supabase pour les données applicatives, Stripe comme prestataire de paiement pouvant aussi agir comme responsable indépendant pour ses obligations réglementaires, Resend pour les emails, Upstash/Redis pour des fonctions techniques, Functional Software Inc. / Sentry GmbH pour le suivi technique des erreurs et la stabilité applicative (données hébergées dans l'Union Européenne), Google Calendar si le client connecte ce service, OpenAI pour les fonctions d'assistance IA, Cloudflare pour les sauvegardes chiffrées de la base (préparées sur les serveurs d'exécution de GitHub), et des outils d'analyse seulement s'ils sont activés.

SYNSETIO ne vend pas les données personnelles à des régies publicitaires. Les lieux d’hébergement figurent dans la section suivante.

Lieux d’hébergement des données

Les lieux ci-dessous ont été vérifiés en production le 8 octobre 2026.

Application : Vercel, région Paris (France).
Acheminement des requêtes et fichiers statiques : réseau mondial de Vercel. Votre adresse IP, l’adresse demandée et les en-têtes techniques des requêtes sont traités dans un site Vercel, en général le plus proche de vous ; il peut se trouver hors de l’Espace économique européen, notamment lorsque vous naviguez depuis l’extérieur de celui-ci. Sur les pages de compte (connexion, inscription, tableau de bord et administration), ce site vérifie aussi votre session auprès de la base de données : votre identifiant de compte et votre adresse e-mail y transitent brièvement, sans y être conservés.
Base de données, authentification et fichiers stockés : Supabase, Francfort (Allemagne).
Codes de connexion temporaires, cache et limitation des abus : Upstash, Francfort (Allemagne).
Emails transactionnels : Resend, envoyés depuis sa région Irlande.
Surveillance des erreurs : Sentry, données hébergées en Allemagne.
Journaux techniques : Vercel, dont les principales installations de traitement sont aux États-Unis.
Paiements : Stripe Payments Europe Ltd (Irlande) ; Stripe peut aussi traiter des données aux États-Unis.
Sauvegardes de la base : préparées sur les exécuteurs de tâches GitHub (GitHub, Inc., États-Unis), puis chiffrées et stockées sur Cloudflare R2.
Assistance IA, lorsqu’elle est utilisée : OpenAI (États-Unis). Google Agenda, s’il est connecté : Google (États-Unis).

Transferts internationaux

La plupart de ces fournisseurs appartiennent à des groupes établis hors de l’Espace économique européen, principalement aux États-Unis : des données hébergées dans l’Union européenne peuvent donc être consultées depuis l’extérieur, par exemple pour le support, la sécurité ou des demandes légales. Garanties : Vercel est certifié au titre du cadre de protection des données UE-États-Unis (Data Privacy Framework) et son accord de traitement des données inclut les clauses contractuelles types de la Commission européenne ; Supabase Pte. Ltd (Singapour) s’appuie sur les clauses contractuelles types ; Sentry s’appuie sur le Data Privacy Framework et les clauses contractuelles types ; les autres fournisseurs s’appuient sur une décision d’adéquation ou sur les clauses contractuelles types prévues par leurs conditions de traitement, assorties si nécessaire de mesures complémentaires. Pour connaître les destinataires et pays applicables à votre utilisation et obtenir une copie des garanties, contactez contact@odybook.com. Les droits des tiers peuvent nécessiter des occultations.

Durées de conservation

Compte professionnel : durée du compte, puis période de sortie raisonnable pour export, clôture et preuve, sauf archive légale ou litige.
Factures et pièces comptables : 10 ans à compter de la clôture de l'exercice concerné.
Preuves contractuelles, acceptations, incidents et créances : durée nécessaire à l'exécution, à la preuve et à la défense des droits selon les prescriptions applicables.
Prospection : au maximum trois ans après la collecte ou le dernier contact venant du prospect, sauf retrait ou opposition plus tôt. Une liste d’opposition minimale peut être conservée pour éviter une nouvelle sollicitation.
Journaux techniques et sauvegardes : durées limitées par le besoin de sécurité, de diagnostic, de continuité et par les cycles techniques documentés.
Rapports d'erreurs et de performances (Sentry) : 30 jours, puis suppression automatique.
Réservations non finalisées (brouillons) : 30 jours après la dernière modification.
Inscriptions en liste d'attente : 90 jours après la date demandée.
Statistiques d'utilisation du produit et comptage de l'usage de l'IA : 25 mois. Les requêtes et réponses de l'IA ne sont pas conservées.
Statistiques de visite des vitrines (totaux quotidiens par page, type d'appareil et pays, sans identifiant de visiteur ni provenance) : 25 mois.
Origine de la réservation (balises de campagne du lien suivi, site d'origine et première page consultée) : 25 mois après la réservation, puis suppression. La réponse à « Comment nous avez-vous connus ? » reste avec la réservation. L'effacement des données d'un voyageur supprime les deux.
Notifications de l'application Guide Companion : 90 jours.
Historique d'audit des droits de l'équipe : 2 ans.
Demandes de contact : 3 ans après le dernier échange.

Droits des personnes

Les personnes concernées peuvent demander accès, rectification, effacement, limitation, opposition, portabilité ou retrait lorsque ces droits s'appliquent. Les demandes sont adressées à contact@odybook.com; lorsqu'elles concernent un professionnel vendeur, SYNSETIO peut transmettre ou assister ce professionnel.

SYNSETIO répond dans un mois. En cas de complexité ou de nombreuses demandes, une prolongation motivée de deux mois au maximum est notifiée dans le premier mois. Une réclamation peut être introduite auprès de la CNIL : https://www.cnil.fr/.

Cookies, mineurs et assistance IA

Les cookies nécessaires permettent le fonctionnement du service. Les traceurs non exemptés ne sont déposés qu'après choix, et ce choix peut être modifié depuis l'interface prévue.

Les vitrines comptent les pages vues pour le professionnel sans cookie, sans identifiant de visiteur ni bandeau de consentement, dans les conditions fixées par la CNIL pour la mesure d'audience : seuls la page, le type d'appareil et le pays sont conservés, sous forme de totaux quotidiens. Le site d'origine ne sert qu'un instant à distinguer une nouvelle visite d'une page vue et n'est jamais conservé, et l'adresse IP n'est utilisée qu'un instant contre les abus et n'est jamais conservée. SYNSETIO agit en sous-traitant, ne met jamais ces statistiques en commun entre professionnels et ne les réutilise jamais. Les visiteurs peuvent s'y opposer depuis la politique de confidentialité de la vitrine, et les navigateurs qui envoient Global Privacy Control ne sont pas comptés.

Lorsque vous suivez un lien d'invitation, un cookie propre au site conserve le code de parrainage pendant 30 jours afin que l'invitation s'applique à votre inscription. Il est nécessaire au service que vous avez demandé et ne sert pas au suivi.

Le suivi des erreurs et des performances (Sentry) fonctionne aussi dans le navigateur, sans cookie ni stockage local. Sur la base de l'intérêt légitime de SYNSETIO à la sécurité et à la stabilité du service, il transmet des données techniques : adresse de la page sans paramètres sensibles, type de navigateur et d'appareil, détails de l'erreur et, pour un échantillon des pages vues, des temps de chargement et de réactivité. Les adresses IP et l'identité du compte ne sont pas conservées dans ces rapports. Vous pouvez vous y opposer en écrivant à contact@odybook.com.

Odybook s'adresse aux professionnels, mais une réservation familiale peut contenir des données de mineurs. Les besoins de santé, handicap ou allergie doivent être limités à ce qui est nécessaire à l'activité et traité selon le cadre du professionnel responsable.

Les fonctions d'assistance IA doivent minimiser les données envoyées et éviter les informations sensibles tant que les contrats, fournisseurs et paramètres n'autorisent pas ce traitement.