Politique de confidentialité

1. Responsable du traitement

Société: RestoEat SAS
Adresse: [Adresse complète — à compléter]
Email de contact RGPD: privacy@restoeat.fr
Délégué à la protection des données (DPO): [Nom du DPO ou mention "non désigné" si PME en dessous des seuils — à compléter]

2. Données collectées

Lors de l'inscription et de l'utilisation du service

Données d'identification : nom, prénom, adresse email, numéro de téléphone
Données de facturation : adresse postale, informations de paiement (traitées par Stripe — nous ne stockons jamais de données de carte bancaire)
Données de l'établissement : nom du restaurant, adresse, logo, menu, horaires
Données d'utilisation : historique des commandes, statistiques de ventes, préférences de configuration
Données de connexion : adresse IP, navigateur, système d'exploitation, horodatages de connexion

Données collectées via le site vitrine (restoeat.fr)

Données de navigation : pages visitées, temps passé, source du trafic (via analytics anonymisés)
Données du formulaire de contact : nom, email, message
Cookies techniques et analytiques (voir section 9)

3. Finalités et bases légales

Finalité	Base légale
Fourniture du service SaaS et gestion du compte	Exécution du contrat (Art. 6.1.b RGPD)
Facturation et gestion des paiements	Exécution du contrat + Obligation légale
Support client et assistance technique	Exécution du contrat (Art. 6.1.b RGPD)
Envoi d'emails transactionnels (factures, alertes)	Exécution du contrat (Art. 6.1.b RGPD)
Emails marketing et newsletters	Consentement (Art. 6.1.a RGPD)
Amélioration du service et analyses statistiques	Intérêt légitime (Art. 6.1.f RGPD)
Obligations légales et fiscales	Obligation légale (Art. 6.1.c RGPD)
Lutte contre la fraude et sécurité	Intérêt légitime (Art. 6.1.f RGPD)

4. Durée de conservation

Données de compte actif : pendant toute la durée de la relation contractuelle
Données de compte clôturé : 3 ans après la clôture du compte (prescription commerciale)
Données de facturation : 10 ans (obligation légale comptable)
Logs de connexion : 12 mois
Cookies analytiques : 13 mois maximum
Emails marketing : jusqu'au retrait du consentement ou 3 ans sans interaction

5. Sous-traitants et destinataires

RestoEat fait appel aux sous-traitants suivants, dans le cadre strict de la fourniture du service :

Prestataire	Rôle	Localisation
NitroHost	Hébergement des serveurs et des données	🇬🇧 Royaume-Uni (décision d'adéquation UE)
Stripe	Traitement des paiements par carte	🇮🇪 Irlande (UE) + 🇺🇸 USA (CCN)
Brevo (ex-Sendinblue)	Envoi d'emails transactionnels et marketing	🇫🇷 France (UE)
Google (Firebase)	Notifications push (optionnel)	🇪🇺 UE (paramétrable)

Tous nos sous-traitants ont signé un accord de traitement des données conforme au RGPD (DPA). Pour les transferts hors UE (Stripe USA), des clauses contractuelles types (CCN) approuvées par la Commission européenne sont en place.

6. Données Google (Google Business Profile)

RestoEat propose une intégration facultative avec Google Business Profile (anciennement Google My Business). Si vous choisissez de connecter la fiche d'établissement Google de votre restaurant, la connexion s'effectue via le protocole sécurisé OAuth 2.0 de Google : vous autorisez explicitement l'accès, et uniquement à votre propre fiche. Cette intégration n'est jamais activée sans votre action.

Données Google auxquelles nous accédons

Avec votre autorisation (périmètre d'accès business.manage), RestoEat accède aux données de votre fiche Google Business Profile afin de vous les présenter et de les gérer depuis votre tableau de bord :

Informations de l'établissement (nom, adresse, identifiants de compte et de fiche Google)
Statistiques de performance (vues, appels, demandes d'itinéraire, requêtes de recherche)
Avis clients et vos réponses
Photos publiées sur la fiche
Publication de réponses aux avis et synchronisation de votre menu — uniquement à votre demande

Utilisation, stockage et partage

Ces données sont utilisées exclusivement pour vous fournir les fonctionnalités de l'intégration (affichage des statistiques, gestion des avis, synchronisation du menu) au sein de votre espace RestoEat.
Les jetons d'accès Google (tokens OAuth) sont stockés de façon chiffrée sur nos serveurs et ne servent qu'à ces fonctionnalités.
Nous ne vendons jamais ces données, ne les utilisons pas à des fins publicitaires, et ne les transférons à aucun tiers en dehors de ce qui est strictement nécessaire au fonctionnement du service.
Aucune donnée reçue des API Google n'est utilisée pour développer, améliorer ou entraîner des modèles d'intelligence artificielle généralisés.

Révocation de l'accès

Vous pouvez déconnecter votre fiche Google à tout moment, soit depuis votre tableau de bord RestoEat (section Google Business Profile), soit depuis les paramètres de sécurité de votre compte Google : myaccount.google.com/permissions. À la déconnexion, les jetons d'accès associés sont immédiatement supprimés de nos serveurs.

Conformité Google — Limited Use. L'utilisation et le transfert par RestoEat des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'utilisation limitée (Limited Use).

7. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants concernant vos données personnelles :

📋 Droit d'accès

Obtenir une copie de toutes les données que nous détenons sur vous.

✏️ Droit de rectification

Corriger toute donnée inexacte ou incomplète vous concernant.

🗑️ Droit à l'effacement

Demander la suppression de vos données ("droit à l'oubli"), sous réserve des obligations légales.

📦 Droit à la portabilité

Recevoir vos données dans un format structuré, lisible par machine.

🚫 Droit d'opposition

Vous opposer au traitement de vos données à des fins de marketing ou d'intérêt légitime.

⏸️ Droit à la limitation

Demander la suspension du traitement de vos données dans certains cas.

Pour exercer vos droits, contactez-nous à privacy@restoeat.fr. Nous répondons dans un délai maximum d'un mois. Vous pouvez également déposer une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) sur www.cnil.fr.

8. Sécurité des données

RestoEat met en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, perte, altération ou divulgation :

Chiffrement des communications en TLS/HTTPS (certificat SSL)
Mots de passe hachés (bcrypt) — nous n'avons jamais accès à vos mots de passe en clair
Accès aux données restreint aux personnels habilités selon le principe du moindre privilège
Sauvegardes automatiques quotidiennes chiffrées
Journaux d'accès et de modifications conservés pour la traçabilité

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en serez informé dans les meilleurs délais conformément à l'article 34 du RGPD.

9. Mineurs

Le service RestoEat est destiné à des professionnels majeurs (18 ans et plus). Nous ne collectons pas sciemment de données personnelles concernant des personnes mineures. Si vous pensez qu'un mineur nous a transmis des données, contactez-nous à privacy@restoeat.fr pour que nous les supprimions.

10. Cookies

Cookies strictement nécessaires

Ces cookies sont indispensables au fonctionnement du site et ne peuvent pas être désactivés. Ils ne collectent aucune donnée personnelle identifiable.

session_token — maintien de la session de connexion (durée : session)
csrf_token — protection contre les attaques CSRF (durée : session)
lang — préférence de langue (durée : 1 an)

Cookies analytiques (avec consentement)

Ces cookies nous permettent d'analyser l'audience de notre site afin de l'améliorer. Ils sont déposés uniquement avec votre consentement explicite.

Mesure du trafic et des parcours de navigation (analytics internes anonymisés)
Durée de conservation : 13 mois maximum

Vous pouvez à tout moment modifier vos préférences de cookies depuis le bandeau de consentement affiché lors de votre première visite, ou en nous contactant à privacy@restoeat.fr.

11. Modifications de la présente politique

RestoEat se réserve le droit de modifier cette politique de confidentialité à tout moment. Toute modification substantielle vous sera notifiée par email ou par un avis visible dans votre espace client au moins 15 jours avant son entrée en vigueur. La version en vigueur est celle publiée sur cette page.