Politique de confidentialité

1. Responsable de traitement

Pour les traitements opérés en propre par MenuLocal (visiteurs du site marketing, prospects, comptes restaurateurs, facturation), le responsable de traitement est :

MenuLocal, représentée par Julien T.. Coordonnées complètes en Mentions légales.

Contact dédié à la protection des données : contact@menulocal.fr.

Pour les données collectées via les formulaires des Sites Vitrines (réservation, contact saisis par les Visiteurs finaux), le responsable de traitement est le Restaurateur. MenuLocal agit en qualité de sous-traitant au sens de l'article 28 du RGPD ; les modalités de cette sous-traitance sont décrites dans le DPA.

2. Périmètre — qui collecte quoi ?

• menulocal.fr (site marketing) — collecte par MenuLocal des données des visiteurs et prospects (cf. §3).
• Espace client MenuLocal — collecte par MenuLocal des données des Restaurateurs (cf. §4).
• Sites Vitrines des Restaurateurs— collecte par le Restaurateur (responsable de traitement) des données des Visiteurs finaux. MenuLocal n'est que l'hébergeur technique et le sous-traitant (cf. §5 et DPA).

3. Visiteurs du site marketing & prospects

Données collectées

• Formulaire d'onboarding / contact: nom, prénom, adresse email professionnelle, numéro de téléphone, nom du restaurant, adresse, type d'établissement, message libre.
• Données de connexion : adresse IP, user agent, date et heure de visite, pages consultées (logs serveur).
• Cookies fonctionnels : voir §13.

Finalités

• répondre aux demandes d'information ;
• qualifier le prospect et le recontacter dans le cadre du développement commercial ;
• améliorer le site, mesurer l'audience (le cas échéant) ;
• assurer la sécurité technique de la plateforme.

4. Restaurateurs (clients)

Données collectées

• Compte et identité: nom, prénom, email professionnel, numéro de téléphone, raison sociale, adresse de l'établissement, SIREN/SIRET le cas échéant.
• Données de paiement: aucune donnée de carte bancaire n'est collectée ou stockée par MenuLocal. Le traitement est intégralement délégué à Stripe Payments Europe Ltd. MenuLocal ne reçoit que les identifiants Stripe (customer id, subscription id) et les statuts de paiement.
• Données comptables : factures, montants, dates, historique des paiements et impayés.
• Données d'usage: logs de connexion, actions effectuées dans l'espace client.

Finalités

• exécution du contrat et fourniture du Service ;
• facturation et recouvrement ;
• support client et gestion des incidents ;
• respect des obligations légales et comptables ;
• communications opérationnelles et contractuelles (incidents, évolutions du Service, évolutions des CGV).

5. Visiteurs finaux des Sites Vitrines

Lorsqu'un Visiteur final remplit un formulaire de contact ou de réservation sur un Site Vitrine hébergé par MenuLocal, les données collectées (nom, email, téléphone, message, date/heure souhaitée pour une réservation) sont transmises au Restaurateur, qui en est le responsable de traitement.

MenuLocal intervient en qualité de sous-traitant technique : elle héberge, route, journalise et transmet la donnée, mais ne l'exploite pas pour son propre compte. Les modalités précises (catégories de données, durées, sécurité, sous-traitants ultérieurs) figurent dans le Data Processing Agreement (DPA).

Pour exercer leurs droits, les Visiteurs finaux doivent en priorité contacter le Restaurateur dont ils ont visité le site. À défaut, ils peuvent écrire à contact@menulocal.fr, qui transmettra la demande au Restaurateur concerné.

6. Données de preuve contractuelle

Lors de l'acceptation des CGV/CGU et du remplissage du formulaire d'onboarding, MenuLocal enregistre, à des fins de preuve : la date et l'heure d'acceptation, la version des conditions acceptées, l'adresse IP et l'identifiant du navigateur (user agent).

Base légale : intérêt légitime de MenuLocal à pouvoir prouver le consentement contractuel en cas de contestation. Durée de conservation : durée du contrat + cinq (5) ans (prescription commerciale article L. 110-4 du Code de commerce).

7. Bases légales

• Exécution du contrat(art. 6.1.b RGPD) : gestion de l'abonnement, fourniture du Service, facturation, support.
• Obligation légale (art. 6.1.c RGPD) : conservation comptable, lutte contre la fraude, réponses aux réquisitions des autorités.
• Intérêt légitime (art. 6.1.f RGPD) : prospection B2B sur emails professionnels, sécurité, preuve contractuelle, amélioration du Service.
• Consentement (art. 6.1.a RGPD) : cookies non essentiels (le cas échéant), inscription à des communications marketing optionnelles.

8. Durées de conservation

• Prospects non convertis : trois (3) ans à compter du dernier contact, conformément à la doctrine CNIL relative à la prospection B2B.
• Comptes Restaurateurs actifs : pendant toute la durée de la relation contractuelle.
• Comptes Restaurateurs résiliés: suppression effective trente (30) jours après la fin du contrat (sauf obligation légale de conservation), à l'exception des données de preuve contractuelle conservées cinq (5) ans.
• Données comptables et factures : dix (10) ans (article L. 123-22 du Code de commerce).
• Logs techniques et de sécurité : douze (12) mois maximum.
• Données traitées pour le compte des Restaurateurs (formulaires Sites Vitrines) : voir DPA — par défaut douze (12) mois après collecte ou jusqu'à instruction contraire du Restaurateur.

9. Sous-traitants

Pour fournir le Service, MenuLocal recourt aux sous-traitants techniques suivants :

Toute évolution substantielle de cette liste fait l'objet d'une notification préalable, conformément au DPA.

10. Transferts hors UE

Certains sous-traitants sont établis hors de l'Union européenne (notamment aux États-Unis). Tout transfert de données hors UE est encadré par les Clauses contractuelles types (CCT) adoptées par la Commission européenne et/ou par la certification Data Privacy Framework (DPF) lorsque le sous-traitant en bénéficie.

11. Sécurité

MenuLocal met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques (article 32 RGPD), notamment :

• chiffrement TLS pour toutes les communications ;
• chiffrement « at-rest » des bases de données chez Supabase ;
• isolation des données entre Restaurateurs (Row Level Security) ;
• authentification renforcée pour les accès d'administration ;
• journalisation des opérations sensibles ;
• sauvegardes quotidiennes assurées par les hébergeurs.

MenuLocal ne souscrit pas à des engagements lourds (audits externes réguliers, certifications ISO 27001, pentests trimestriels) au regard de la taille de la structure et du niveau de criticité modéré des données traitées.

12. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants : accès, rectification, effacement (« droit à l'oubli »), limitation, opposition, portabilité, retrait du consentement (lorsque le traitement repose sur le consentement), ainsi que le droit de définir des directives relatives au sort de vos données après votre décès.

Pour exercer ces droits, adressez votre demande par email à contact@menulocal.fr en précisant l'objet de votre demande et en joignant tout élément permettant de vérifier votre identité. MenuLocal répond dans un délai d'un (1) mois à compter de la réception de la demande, prolongeable de deux (2) mois en cas de complexité ou de nombre de demandes (article 12 RGPD).

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL(Commission Nationale de l'Informatique et des Libertés) — 3 place de Fontenoy, 75007 Paris — cnil.fr.

13. Cookies

MenuLocal n'utilise actuellement que des cookies strictement nécessaires au fonctionnement du Service (cookies « fonctionnels » au sens de la délibération CNIL n° 2020-091). Aucun cookie publicitaire, aucun traceur tiers de mesure d'audience ni outil de profilage n'est déposé à ce jour.

Si MenuLocal venait à activer un outil de mesure d'audience ou de marketing nécessitant un consentement, une bannière de consentement conforme aux recommandations CNIL serait alors mise en place, avec une faculté de refus aussi simple d'accès que l'acceptation.

14. Violation de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes, MenuLocal notifie la CNIL dans les meilleurs délais, et si possible dans les soixante-douze (72) heures suivant la découverte de la violation, conformément à l'article 33 du RGPD. Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées sont également informées dans les meilleurs délais (article 34 RGPD).

15. Contact

Pour toute question relative à la présente politique ou au traitement de vos données : contact@menulocal.fr.