Politique de confidentialité d'Onatea

Dernière mise à jour : 9 juillet 2026 - Version : 1.0

Cette politique explique quelles données personnelles sont traitées lorsque vous réservez une activité via le service de réservation en ligne Onatea (book.onatea.app) : catalogue, fiche activité, formulaire de réservation et page de suivi de votre demande.

Elle ne couvre pas les outils internes utilisés par le professionnel pour gérer son activité (messagerie, planning), qui font l'objet d'une politique distincte.

Vos données sont traitées dans le respect du Règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 (« Informatique et Libertés »).

1. Qui traite vos données

Deux acteurs interviennent lorsque vous réservez.

Le prestataire auprès duquel vous réservez l'activité. C'est avec lui que vous concluez votre réservation. Il est responsable du traitement des données de votre demande de réservation.
Onatea, éditeur de l'outil de réservation, qui fournit la plateforme technique. Onatea traite les données de votre réservation - y compris l'envoi de l'email de confirmation - pour le compte du prestataire, et opère pour son propre compte uniquement la prévention des abus et la mesure d'audience anonyme.

Éditeur de la plateforme :

Éditeur : Onatea, SAS au capital de 1 000 €
Siège : 138 avenue Victor Hugo, 75016 Paris
Immatriculation : SIREN 106 095 078
Contact données personnelles : privacy@onatea.com

Répartition des rôles : le prestataire est responsable du traitement des données de réservation ; Onatea agit comme sous-traitant pour ces données, y compris l'envoi de l'email de confirmation, et comme responsable de traitement uniquement pour les traitements qu'il décide seul (anti-abus, mesure d'audience). Le §7 précise à qui adresser vos demandes selon le cas.

2. Données que nous traitons

2.1 Données que vous saisissez lors de la réservation

Obligatoires :

Prénom et nom ;
Adresse email (elle reçoit votre confirmation et le lien de suivi de la demande).

Facultatives :

Téléphone ;
Message ou demandes particulières (texte libre). Ce champ n'est pas destiné aux informations médicales détaillées (voir §2.4) ;
Demande de transfert et lieu de prise en charge, le cas échéant.

Données de réservation : activité choisie, date et créneau, nombre d'adultes et d'enfants.

Langue : la langue dans laquelle vous consultez le service au moment de la réservation est conservée avec votre fiche afin de vous adresser les emails ultérieurs (confirmation, validation, rappels) dans cette langue.

L'identité et les coordonnées du prestataire auprès duquel vous réservez (responsable de traitement principal) figurent sur la page de réservation.

Si vous avez déjà réservé auprès du même prestataire avec la même adresse email, votre fiche existante est réutilisée (aucun doublon n'est créé).

2.2 Données collectées automatiquement

Adresse IP : utilisée pour prévenir les abus (limitation du nombre de requêtes) et transmise à Cloudflare pour la vérification anti-robot (Turnstile). Elle n'est conservée que de façon éphémère dans nos caches techniques et, en cas de dépassement des seuils, dans nos journaux.
Horodatage d'acceptation des conditions : preuve de votre consentement au moment de la réservation.
Votre email est haché (transformé de façon irréversible) dans nos mécanismes techniques anti-abus, et n'y figure jamais en clair.
Des journaux techniques d'infrastructure (Cloudflare, hébergement) peuvent enregistrer des données de connexion à des fins de sécurité et de bon fonctionnement.

2.3 Ce que nous ne collectons pas

Aucune donnée de paiement. La réservation en ligne est une demande (request-to-book) : aucun paiement, aucune carte bancaire, aucun jeton de carte n'est collecté via le service. Un éventuel acompte est demandé ultérieurement par le prestataire, en dehors de la plateforme.
Aucun compte ni mot de passe : la réservation ne nécessite pas de créer un compte.
Ni date de naissance, ni adresse postale, ni nationalité.
Vos données de réservation ne sont pas traitées par de l'intelligence artificielle. (Si vous répondez ensuite à l'email de confirmation, votre message arrive dans la messagerie du prestataire, régie par la politique de confidentialité de son espace professionnel.)

2.4 Données de santé

Certaines activités, notamment la plongée et les activités nautiques, peuvent amener à évoquer une condition de santé (donnée particulière au sens de l'article 9 du RGPD). Si vous indiquez une telle information dans le champ de demandes particulières, elle est traitée pour le compte du prestataire, qui en est responsable et à qui il revient de recueillir votre consentement explicite.

Ce champ n'est pas destiné au détail médical : pour toute question d'aptitude ou condition de santé, contactez directement le prestataire, qui vous indiquera la marche à suivre.

3. Finalités et bases légales

Traiter votre demande de réservation et la transmettre au prestataire : exécution de la relation précontractuelle / contractuelle entre vous et le prestataire (Onatea agit comme sous-traitant sur ses instructions).
Vous envoyer l'email de confirmation et le lien de suivi : idem (sous-traitance pour le compte du prestataire).
Prévenir la fraude et les abus (limitation de requêtes, anti-robot) : intérêt légitime d'Onatea (responsable de ce traitement).
Mesure d'audience anonyme : intérêt légitime d'Onatea (responsable de ce traitement).
Conserver la preuve de votre acceptation des conditions : obligation légale / intérêt légitime.

Onatea ne prend aucune décision entièrement automatisée à votre égard au sens de l'article 22 du RGPD.

4. Destinataires et sous-traitants

Prestataire - destinataire principal : reçoit votre demande et vos coordonnées, gère la réservation (région : selon le prestataire).
Google Cloud - hébergement de l'API, de la base de données et des photos d'activités (UE, europe-west1).
Cloudflare - hébergement/CDN du service, anti-robot (Turnstile), pare-feu applicatif ; voit l'IP et le trafic en transit (edge global).
Brevo - envoi de l'email de confirmation (email, prénom, récapitulatif) (UE, France).
PostHog - mesure d'audience anonyme (UE).
Google Maps Platform - affichage de la carte du point de rencontre, uniquement si le prestataire l'a configuré (US).

Aucun processeur de paiement n'intervient dans ce service (voir §2.3).

Nous ne vendons ni ne louons vos données à des tiers. En dehors des destinataires ci-dessus, elles ne sont communiquées que sur réquisition des autorités compétentes ou dans le cadre d'un contentieux. En cas de fusion, acquisition ou cession d'actifs, elles pourraient être transférées à l'entité concernée, tenue de les traiter conformément à la présente politique.

5. Cookies et traceurs

Le service ne dépose qu'un cookie fonctionnel de préférence de langue (onatea_widget_locale, durée 1 an), qui mémorise la langue que vous avez choisie et n'a aucune finalité de suivi : il est exempté de consentement.
La mesure d'audience (PostHog) fonctionne en mémoire uniquement : l'identifiant anonyme disparaît à la fermeture de l'onglet, sans profil persistant, sans enregistrement de session et sans donnée personnelle identifiante.
Cloudflare Turnstile (protection anti-robot) peut déposer ses propres cookies techniques, à finalité de sécurité - mesure strictement nécessaire.
Google Maps (carte du point de rencontre) est un service tiers de Google susceptible de déposer des cookies qui ne sont pas strictement nécessaires. La carte n'est donc chargée qu'après une action de votre part (clic sur « Afficher la carte ») : aucun cookie Google n'est déposé tant que vous ne l'activez pas.
Les polices de caractères sont hébergées par nos soins (pas d'appel à un service tiers).

En dehors de Google Maps, le périmètre (cookie de langue, PostHog en mémoire, Turnstile) relève de cookies fonctionnels ou strictement nécessaires et ne requiert pas de bandeau de consentement.

6. Durées de conservation

Lien de suivi de la réservation : le lien reçu par email expire 60 jours après la date de l'activité. Vos données de réservation restent alors en base chez le prestataire, mais l'accès par ce lien est coupé.
Fiche client et réservation : conservées par le prestataire pendant la durée de votre relation avec lui, puis archivées jusqu'à 5 ans après votre dernière activité (prescription commerciale).
Compteurs anti-abus (IP, email haché) : éphémères (quelques heures au maximum).

7. Vos droits et vos contacts

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, et pouvez définir des directives post-mortem.

Pour les données de votre réservation (dont le prestataire est responsable, y compris l'email de confirmation) : adressez votre demande au prestataire auprès duquel vous avez réservé. Onatea l'assiste en tant que sous-traitant.
Pour les traitements dont Onatea est responsable (prévention des abus, mesure d'audience) : contactez privacy@onatea.com.
Lorsqu'un traitement repose sur votre consentement (notamment le traitement d'une donnée de santé que vous auriez communiquée), vous pouvez le retirer à tout moment ; ce retrait s'exerce auprès du prestataire, responsable de ce traitement.
L'annulation d'une réservation n'est pas automatisée : elle passe par le prestataire.
Nous nous efforçons de répondre à toute demande dans un délai d'un mois.
Réclamation : vous pouvez saisir la CNIL (www.cnil.fr).

8. Transferts hors Union européenne

Le cœur du service est hébergé dans l'Union européenne (Google Cloud europe-west1, Brevo en France, PostHog dans l'UE). Certains traitements peuvent impliquer un transfert hors UE, notamment vers les États-Unis :

Google Maps (affichage de la carte, si configurée) ;
Cloudflare (réseau de diffusion mondial, sans résidence UE stricte par défaut).

Ces transferts sont encadrés par les clauses contractuelles types (CCT/SCC) et/ou le Data Privacy Framework (DPF).

9. Sécurité

HTTPS sur l'ensemble du service ; en-têtes de sécurité durcis (CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy).
Lien de suivi = jeton signé à durée limitée, masqué dans la mesure d'audience.
Anti-abus : anti-robot Turnstile, limitation de requêtes, email haché dans les caches.
Cloisonnement strict entre prestataires : chaque donnée est rattachée à un prestataire déterminé.

En cas de violation de données susceptible de présenter un risque pour vos droits, Onatea informe sans délai le prestataire concerné (responsable de traitement) et l'assiste dans la notification à l'autorité de contrôle et, si la réglementation l'exige, aux personnes concernées.

10. Mineurs

Le service de réservation s'adresse à des adultes réservant pour eux-mêmes ou pour leur groupe. Le formulaire enregistre un nombre de participants enfants, mais aucune donnée nominative les concernant n'est collectée à cette étape.

11. Modifications

Nous pouvons faire évoluer cette politique. Les changements substantiels applicables aux réservations à venir seront signalés sur le service, dans la mesure du possible au moins 30 jours avant leur entrée en vigueur. La date de dernière mise à jour figure en tête de document.

Le service de réservation est proposé en plusieurs langues (français, anglais, espagnol, italien, allemand, portugais). La présente politique est disponible au moins en français et en anglais ; en cas de divergence entre versions linguistiques, la version française fait foi.