Politique de confidentialité

1. Préambule

La présente Politique de Confidentialité a pour objet d'informer les utilisateurs de la plateforme hub. for hotels et de Room Directory numérique (ci-après le « Service ») des modalités de traitement des données personnelles dans le cadre de leur utilisation du Service, conformément au Règlement Général sur la Protection des Données (RGPD – Règlement (UE) 2016/679) et à la législation française applicable.

2. Rôles et responsabilités : sous-traitant et responsable de traitement

GROW.DIGITAL agit en qualité de sous-traitant au sens du RGPD, dans les conditions prévues par les Conditions Générales de Vente conclues avec l'établissement client.

L'établissement hôtelier client (ci-après « le Client »), qui souscrit au Service pour ses besoins propres, est responsable de traitement des données qu'il intègre ou fait intégrer dans le Service, notamment :

• les données relatives à ses collaborateurs (trombinoscope, fiches collaborateurs, agenda RH, habilitations Administrateur / Direction / Manager Room Directory / Manager réception / Manager housekeeping / Manager maintenance / Manager restauration / Réceptionniste / Housekeeping / Technicien / Équipier polyvalent / Équipier restauration / Partenaire externe) ;
• lorsque le Module SIRH est activé, les données de gestion des temps, des plannings et des absences de ses collaborateurs, y compris les justificatifs d'absence (article 11 ci-dessous) ;
• les données relatives à ses clients (via le module Room Directory, notamment les échanges via la messagerie/chat) ;
• plus généralement, toute donnée saisie, transmise ou générée dans le cadre de l'utilisation quotidienne du Service par ses équipes.

GROW.DIGITAL intervient comme prestataire technique et intermédiaire : elle met le logiciel à disposition du Client, accompagne la prise en main et la formation des équipes, héberge et sécurise les données, mais n'agit que sur instruction du Client et pour les finalités que celui-ci détermine. GROW.DIGITAL n'utilise pas les données saisies dans le Service pour son propre compte, en dehors des cas décrits à l'article 3 ci-dessous.

Conséquence pratique pour l'utilisateur final : si vous êtes un collaborateur d'un établissement hôtelier utilisant hub. for hotels, c'est votre employeur — l'établissement hôtelier client — qui est responsable de traitement de vos données professionnelles saisies dans le Service, et qui doit être votre premier interlocuteur pour toute question ou demande d'exercice de vos droits. GROW.DIGITAL reste à votre disposition en complément, dans les conditions de l'article 7 ci-dessous.

3. Données traitées par GROW.DIGITAL pour son propre compte

Indépendamment des données gérées pour le compte du Client, GROW.DIGITAL traite, en qualité de responsable de traitement, certaines données nécessaires à la fourniture et à la facturation du Service, notamment :

• les données d'identification et de connexion des comptes Administrateur et Super-Administrateur nécessaires à la gestion du contrat (nom, prénom, e-mail professionnel) ;
• les données de facturation de l'établissement client ;
• les données techniques de connexion et journaux d'utilisation (logs) ;
• les adresses e-mail des Utilisateurs, aux fins d'organisation et de suivi des sessions de formation à l'utilisation du Service, ainsi que d'information sur les évolutions et nouvelles fonctionnalités du Service.

4. Finalités du traitement

Les données mentionnées à l'article 3 sont traitées par GROW.DIGITAL afin de :

• assurer la fourniture, la maintenance et la sécurité du Service ;
• gérer la relation contractuelle et la facturation avec le Client ;
• assurer le support technique et l'assistance à la prise en main du Service ;
• assurer la formation des équipes du Client à l'utilisation du Service, notamment par l'envoi d'informations relatives aux sessions de formation aux adresses e-mail des utilisateurs concernés ;
• informer les Utilisateurs des évolutions, nouvelles fonctionnalités et intégrations du Service, par l'envoi d'e-mails d'information. Chaque e-mail comporte un lien permettant de se désabonner à tout moment.

Les données saisies par le Client dans le Service (fiches collaborateurs, données RH, échanges via Room Directory, etc.) sont traitées par GROW.DIGITAL exclusivement sur instruction du Client, pour les finalités que celui-ci détermine dans le cadre de son activité hôtelière.

5. Base légale des traitements

• L'exécution du Contrat conclu entre GROW.DIGITAL et le Client, pour les données mentionnées à l'article 3, à l'exception de l'information sur les évolutions du Service ;
• L'intérêt légitime de GROW.DIGITAL à assurer la sécurité et le bon fonctionnement du Service ;
• L'intérêt légitime de GROW.DIGITAL à informer les Utilisateurs des évolutions du Service qu'ils utilisent ;
• Les instructions du Client, responsable de traitement, pour les données qu'il intègre dans le Service.

6. Durée de conservation

Les données sont conservées pendant la durée du Contrat conclu avec le Client.

Les adresses e-mail utilisées pour l'information sur les évolutions du Service ne sont plus utilisées à cette fin dès le désabonnement de l'Utilisateur.

À l'expiration du Contrat, pour quelque cause que ce soit, un export des données du Client peut être demandé dans un délai de trente (30) jours suivant la date de résiliation, dans un format structuré et couramment utilisé. Passé un délai de quatre-vingt-dix (90) jours suivant la fin du Contrat, les données pourront être définitivement supprimées, sauf obligation légale de conservation plus longue.

7. Droits des utilisateurs

Si vous êtes un utilisateur final du Service (collaborateur d'un établissement client), vous disposez, conformément au RGPD, des droits d'accès, de rectification, d'effacement, d'opposition, de limitation du traitement et de portabilité de vos données.

Ces droits s'exercent en priorité auprès de votre employeur, l'établissement hôtelier client, responsable de traitement des données saisies dans le Service.

Vous pouvez également contacter GROW.DIGITAL à l'adresse suivante pour toute question relative aux données traitées par GROW.DIGITAL pour son propre compte (article 3) : support@grow-group.fr

Chaque Utilisateur peut à tout moment s'opposer à la réception des e-mails d'information, via le lien de désabonnement présent dans chaque e-mail ou en écrivant à support@grow-group.fr.

Vous disposez enfin du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — www.cnil.fr.

8. Sécurité des données

GROW.DIGITAL met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :

• le contrôle des accès aux données ;
• le chiffrement des données ;
• la réalisation de sauvegardes régulières ;
• l'hébergement des données sur des serveurs situés au sein de l'Union européenne.

En cas de violation de données à caractère personnel, GROW.DIGITAL s'engage à en informer le Client dans les meilleurs délais.

9. Responsabilité de l'utilisateur

Chaque utilisateur du Service est responsable des actions réalisées depuis son compte, quel que soit son niveau d'habilitation. Il lui appartient notamment de :

• préserver la confidentialité de ses identifiants de connexion ;
• ne pas partager son compte avec un tiers, y compris un autre collaborateur ;
• signaler sans délai à son établissement et/ou à GROW.DIGITAL toute utilisation suspecte ou non autorisée de son compte ;
• utiliser le Service, et notamment les données auxquelles il a accès, conformément à sa destination professionnelle et dans le respect de la confidentialité des informations traitées (données RH, informations clients, données financières).

10. Visiteurs de Room Directory (clients de l'établissement)

Si vous consultez le livret d'accueil digital ou utilisez la messagerie de Room Directory en tant que client de l'établissement hôtelier (et non en tant que collaborateur), les informations suivantes s'appliquent à vous :

• L'établissement hôtelier où vous séjournez est responsable du traitement de vos données lorsque vous consultez Room Directory ou échangez via sa messagerie. GROW.DIGITAL intervient uniquement en tant que prestataire technique fournissant l'outil à l'établissement.
• Les données susceptibles d'être traitées dans ce cadre sont limitées aux informations que vous transmettez volontairement via la messagerie, ainsi qu'à des données techniques de navigation nécessaires au bon fonctionnement du service.
• Pour toute question sur l'utilisation de vos données dans ce cadre, ou pour exercer vos droits (accès, rectification, effacement), nous vous invitons à vous adresser directement à l'établissement dans lequel vous séjournez.

11. Module SIRH

Lorsque le Client active le Module SIRH, les informations suivantes s'appliquent en complément de la présente politique.

Rôles. Le Client est responsable du traitement des données du Module SIRH. GROW.DIGITAL agit en qualité de sous-traitant, exclusivement sur instruction du Client, et n'utilise pas ces données pour son propre compte, notamment pas pour l'envoi d'e-mails d'information.

Données traitées.

• plannings des Équipes et affectations ;
• pointages horodatés réalisés dans l'application, historique des modifications (auteur, date, valeur initiale) et compteurs d'heures ;
• Feuilles de pointage signées électroniquement ;
• absences déclarées et, pour une absence pour raison médicale, le justificatif transmis (arrêt de travail).

Finalités. Organiser le planning des Équipes, enregistrer et décompter les heures travaillées, suivre les absences et produire les Feuilles de pointage.

Base légale. Le respect des obligations légales de l'employeur en matière de décompte du temps de travail, et l'exécution du contrat de travail liant l'Utilisateur au Client. Pour les justificatifs d'absence pour raison médicale, qui constituent des données de santé, le traitement est nécessaire au respect des obligations du Client en matière de droit du travail (article 9.2.b du RGPD).

Données de santé. Les justificatifs d'absence pour raison médicale sont stockés dans un espace distinct des autres données du Service. Leur accès est réservé aux personnes du Client habilitées à traiter les dossiers du personnel (fonction Ressources Humaines ou Direction). Un manager opérationnel voit uniquement que l'Utilisateur est absent, sans accès au document ni au motif médical.

Dispositif de pointage. Le pointage s'effectue directement dans l'application, depuis le compte personnel de l'Utilisateur et au moyen de ses identifiants. Aucun dispositif physique de pointage n'est utilisé. Le Service ne recourt ni à un dispositif biométrique ni à la géolocalisation de l'Utilisateur.

Plusieurs établissements. Lorsqu'un Utilisateur travaille pour plusieurs établissements utilisant le Service, ses données SIRH sont cloisonnées par établissement et accessibles uniquement au Client concerné par la période travaillée.

Durée de conservation. Les données du Module SIRH sont conservées pour les durées légales applicables (article 6). Les justificatifs médicaux ne sont conservés que pour la durée nécessaire à la gestion de l'absence et au respect des obligations légales de conservation des documents sociaux, puis supprimés.

Droits. L'Utilisateur exerce ses droits sur les données du Module SIRH auprès du Client, notamment toute demande de rectification des heures enregistrées. GROW.DIGITAL apporte son concours au Client pour y répondre.

12. Modification de la présente politique

GROW.DIGITAL se réserve le droit de modifier la présente Politique de Confidentialité à tout moment afin de tenir compte des évolutions législatives, réglementaires ou techniques.

La version en vigueur est celle en application au moment de la connexion de l'utilisateur au Service.