diff --git a/watchtower/docker-compose.yml b/watchtower/docker-compose.yml
index 24f6e23..f095faf 100644
--- a/watchtower/docker-compose.yml
+++ b/watchtower/docker-compose.yml
@@ -16,7 +16,10 @@ services:
       # Sans eux, Watchtower échoue à tirer luz-backend/luz-webapp :main
       # (« unauthorized: reqPackageAccess ») et ne recrée jamais les conteneurs
       # — le déploiement reste bloqué en silence (Updated=0, mais /v1/update → 200).
-      # Un PAT en LECTURE seule (scope read:package) sur l'org Luz suffit.
+      # Un PAT en LECTURE seule (scope read:package) suffit — mais il lui faut
+      # accès aux DEUX organisations qui publient des images ici : Luz et, depuis
+      # que la stack bonsai tire bonsai-api du registre, Bonsai. Un PAT limité à
+      # Luz laisserait la prod Bonsai bloquée sur son ancienne image, en silence.
       # Remplace l'ancien montage de /root/.docker/config.json, qui côté hôte
       # ne contenait aucune auth (le docker login du CI a lieu sur le runner).
       REPO_USER: ${REGISTRY_USER}