Projet. Certaines mentions obligatoires sur l'éditeur ne sont pas encore renseignées. Ce document ne sera applicable qu'une fois ces mentions complétées.
Politique de confidentialité
Ce que nous savons de vous, pourquoi, sur quelle base, combien de temps, à qui c'est transmis, et ce que vous pouvez en faire.
1. Qui est responsable
Le responsable du traitement est ULTRADUCTION , éditeur de My QR Menu, dont l'identité complète figure dans les mentions légales. Pour toute question sur vos données, écrivez-nous à contact@myqrmenu.fr ou par le formulaire de contact. Nous n'avons pas désigné de délégué à la protection des données, cette désignation n'étant pas obligatoire pour notre activité.
Quand c'est l'établissement qui est responsable
Lorsque vous réservez, commandez, ouvrez une addition, cumulez des points de fidélité ou recevez les actualités d'un établissement, c'est cet établissement qui décide de l'usage de vos données et en est responsable. Nous les traitons pour son compte, en qualité de sous-traitant, selon ses instructions et un contrat conforme à l'article 28 du RGPD. Vous pouvez exercer vos droits auprès de lui ou auprès de nous : nous lui transmettrons votre demande.
2. Ce que nous traitons, pourquoi, et sur quelle base
| Situation | Données | Finalité et base légale |
|---|---|---|
| Vous consultez une carte | Scans et vues comptés par établissement, sans adresse IP ni empreinte du navigateur. Si vous êtes connecté, la visite est rattachée à votre compte. | Statistiques de fréquentation fournies aux établissements ; preuve de passage permettant de déposer un avis. Intérêt légitime (art. 6.1.f). |
| Vous créez un compte | Nom, adresse électronique, mot de passe (chiffré), langue ; le cas échéant identifiant Google ou Apple, appareils connectés, second facteur ; version des conditions acceptées. | Fournir le compte et le sécuriser. Exécution du contrat (art. 6.1.b). |
| Vous renseignez vos allergènes ou régimes | Allergènes évités, régimes alimentaires. | Filtrer les cartes pour vous. Ces informations peuvent révéler un état de santé : elles ne sont traitées qu'avec votre consentement explicite (art. 9.2.a), que vous donnez en les renseignant et retirez à tout moment en les effaçant. Elles ne sont jamais transmises à un établissement. |
| Vous réservez | Nom, e-mail, téléphone si vous le donnez, date, nombre de couverts, demandes particulières. | Transmettre la demande à l'établissement et vous tenir informé. Exécution du contrat, pour le compte de l'établissement. |
| Vous commandez ou partagez une addition | Contenu, montant, mode de règlement déclaré, notes. | Transmettre la commande et en garder la trace comptable. Exécution du contrat et obligation légale (art. 6.1.c), pour le compte de l'établissement. |
| Vous participez à un programme de fidélité | Points gagnés et utilisés, bons, dates d'expiration. | Tenir votre solde et vous prévenir avant expiration. Exécution du contrat, pour le compte de l'établissement. |
| Vous suivez un établissement ou acceptez ses actualités | Établissement suivi, date et version de votre accord, canaux choisis. | Vous envoyer ses actualités et promotions. Consentement (art. 6.1.a), retirable à tout moment. |
| Vous déposez un avis | Note, texte, prénom et initiale, date, preuve de passage (commande, réservation ou visite à table). | Publier des avis fiables et les modérer. Intérêt légitime et obligation légale (Code de la consommation, art. L. 111-7-2). |
| Vous interrogez l'assistant d'une carte | Vos questions et les réponses, le temps de votre visite. | Répondre à vos questions sur la carte. Exécution du contrat. Les échanges sont transmis à notre fournisseur d'intelligence artificielle et ne sont conservés que pendant votre session. |
| Vous essayez la lecture d'une carte sans compte | Document déposé, résultat de la lecture, empreinte salée de l'adresse IP. | Vous montrer le résultat ; limiter les abus. Intérêt légitime. L'empreinte permet de reconnaître deux dépôts venus du même endroit, pas de retrouver l'adresse. |
| Vous êtes un professionnel | Identité, coordonnées, rôle dans l'organisation, SIRET, justificatifs de vérification, abonnement, factures. | Vérifier l'établissement, fournir le service, facturer. Exécution du contrat et obligation légale (comptabilité). |
| Vous nous écrivez | Nom, adresse, message. | Vous répondre. Intérêt légitime. |
| Toute utilisation | Événements de sécurité (connexions, échecs, adresse IP). | Protéger les comptes et le service contre la fraude. Intérêt légitime. |
Les informations marquées comme obligatoires dans nos formulaires sont nécessaires pour fournir le service demandé ; sans elles, nous ne pouvons pas le fournir. Nous ne vendons pas vos données et n'en faisons aucun usage publicitaire.
Décisions automatisées
Aucune décision produisant des effets juridiques à votre égard n'est prise sur le seul fondement d'un traitement automatisé. La vérification d'un établissement peut être approuvée automatiquement lorsque tous les contrôles concordent ; un refus est toujours décidé par une personne.
3. Combien de temps
| Donnée | Durée |
|---|---|
| Compte, préférences, favoris, suivis | Tant que le compte existe |
| Traces de consultation | 90 jours |
| Conversation avec l'assistant | Durée de la session |
| Carte d'essai déposée sans compte | 7 jours |
| Documents de carte importés par un établissement | 30 jours après l'import |
| Points de fidélité | Jusqu'à leur expiration, fixée par l'établissement (12 mois par défaut) |
| Avis | Tant qu'ils sont publiés (voir la politique des avis) |
| Commandes, additions et factures | 10 ans (obligation comptable, Code de commerce, art. L. 123-22) |
| Justificatifs de vérification d'un établissement | Tant que l'établissement est présent sur la plateforme |
| Journal des messages envoyés | 2 ans |
| Événements de sécurité (avec adresse IP) | 1 an |
| Messages envoyés par le formulaire de contact | 3 ans après le dernier échange |
| Copie de vos données que vous demandez | 7 jours |
| Sauvegardes de la base | 30 jours |
4. À qui vos données sont transmises
Aux établissements que vous sollicitez, pour ce qui les concerne : une réservation à l'établissement réservé, une commande à celui qui la prépare. Jamais vos préférences alimentaires.
À nos prestataires, qui agissent sur nos instructions, dans la seule mesure utile à leur mission, et lorsque la fonction concernée est activée :
| Prestataire | Rôle | Localisation |
|---|---|---|
| à compléter avant ouverture | Hébergement du service, de la base et des fichiers | Union européenne |
| Mistral AI (France) | Lecture des cartes déposées, traduction des cartes, assistant | Union européenne |
| Brevo (France) | Envoi des e-mails | Union européenne |
| Stripe Payments Europe (Irlande) | Paiement des abonnements professionnels | Union européenne, avec transferts vers les États-Unis |
| Google (Firebase Cloud Messaging) et Apple | Notifications sur les applications mobiles | États-Unis |
Pour vérifier un établissement, nous interrogeons aussi les annuaires publics de l'État (annuaire des entreprises, base Sirene de l'INSEE, Base Adresse Nationale) ; seules des données d'entreprise et d'adresse leur sont transmises.
Lorsque des données sont transférées hors de l'Union européenne, le transfert est encadré par une décision d'adéquation de la Commission européenne (cadre de protection des données UE–États-Unis, pour les entreprises certifiées) ou, à défaut, par les clauses contractuelles types de la Commission. Vous pouvez en obtenir une copie en nous écrivant.
Nous pouvons enfin communiquer des données aux autorités lorsque la loi nous y oblige.
5. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition aux traitements fondés sur notre intérêt légitime. Lorsqu'un traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans que cela remette en cause ce qui a été fait avant. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès (loi « Informatique et Libertés », art. 85).
Depuis votre espace, vous pouvez directement obtenir une copie de tout ce que nous détenons, corriger vos informations, régler qui peut vous écrire, canal par canal, et supprimer votre compte. Pour tout le reste, écrivez-nous : nous répondons dans un délai d'un mois, qui peut être prolongé de deux mois pour une demande complexe, auquel cas nous vous prévenons. Nous pouvons vous demander de prouver votre identité si nous avons un doute raisonnable.
Les messages qui exécutent un service que vous avez demandé — une confirmation de réservation, un code de connexion — ne se désactivent pas : s'en désabonner reviendrait à réserver sans vouloir savoir si c'est accepté.
Ce que « supprimer » veut dire ici
Votre identité s'en va. Certaines traces demeurent, sans plus vous désigner, et il est plus honnête de le dire que de laisser croire à un effacement total :
- Vos avis restent, sous « client anonyme ». Les supprimer fausserait la note d'un établissement : ce que vous retirez est votre identité, pas votre jugement. Si le texte lui-même vous identifie, signalez-le et nous le traiterons.
- Vos commandes restent, détachées de vous. Elles appuient une écriture comptable que la loi impose de conserver. Vos notes libres, elles, sont effacées.
- Vos réservations restent, détachées de vous : elles ont occupé une table dans un service passé. Votre nom, votre e-mail, votre téléphone et vos demandes particulières sont effacés.
- Nos sauvegardes contiennent encore vos données pendant au plus 30 jours, le temps que les copies tournent.
6. Mineurs
Le compte est réservé aux personnes âgées d'au moins 15 ans. En dessous, l'accord d'un titulaire de l'autorité parentale est nécessaire (loi « Informatique et Libertés », art. 45). Consulter une carte ne demande aucun compte.
7. Sécurité
Les échanges sont chiffrés (HTTPS), les mots de passe sont stockés sous forme hachée, l'accès aux données est limité aux personnes qui en ont besoin, et un second facteur d'authentification est disponible pour tous les comptes. En cas de violation de données présentant un risque pour vous, nous vous en informons dans les conditions prévues par le RGPD.
8. Cookies
Nous ne déposons que des cookies nécessaires au service. Le détail est dans la page cookies.
9. Réclamation
Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr). Nous préférons que vous nous écriviez d'abord, mais ce droit ne dépend pas de nous.
10. Modifications
Cette politique évolue avec le service. La version applicable est celle dont la date figure en tête de page ; en cas de changement important, nous vous prévenons par e-mail ou dans votre espace avant qu'il s'applique.