Politique de confidentialité
Dernière mise à jour : 2 novembre 2026
Cette politique explique comment À COMPLÉTER (« OpexIA ») traite les données personnelles dans le cadre du service Ordka, conformément au règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
1. Qui est responsable de quoi ?
- OpexIA est responsable de traitement pour les données des restaurateurs (compte, équipe, abonnement, facturation, sécurité du service).
- Le restaurant est responsable de traitement pour les données de ses clients finaux (prénom, téléphone, commandes, fidélité) ; OpexIA les traite en tant que sous-traitant, selon l’accord de traitement des données.
Siège : À COMPLÉTER. Contact pour vos données personnelles : À COMPLÉTER.
2. Données traitées, finalités et bases légales
| Données | Finalité | Base légale |
|---|---|---|
| Compte restaurateur : adresse e-mail, mot de passe (haché, jamais en clair), rôle dans l’équipe, sessions | Fournir le service, authentifier et sécuriser les accès | Exécution du contrat |
| Abonnement : identifiants Stripe, offre, état des paiements, factures, adresse de facturation, n° de TVA, marque et 4 derniers chiffres de la carte | Facturation, gestion des impayés, comptabilité | Exécution du contrat ; obligation légale |
| Clients finaux du restaurant : prénom, téléphone, commandes, fidélité | Prise et suivi des commandes pour le compte du restaurant | Responsabilité du restaurant (nous : sous-traitant) |
| Journaux techniques et de sécurité (sans contenu sensible) | Sécurité, détection d’abus, diagnostic | Intérêt légitime |
| E-mails transactionnels (confirmation, facture, alerte de paiement) | Information liée au contrat | Exécution du contrat |
OpexIA ne stocke jamais votre numéro de carte bancaire : il est saisi et conservé par Stripe. Aucune donnée n’est vendue.
3. Destinataires et sous-traitants
Vos données sont accessibles aux seules personnes habilitées de OpexIA et à nos sous-traitants, dans la limite de leur mission :
- Vercel Inc. — Hébergement de l'application web (site, espace restaurateur, API).
- Supabase — Base de données et authentification.
- Stripe Payments Europe, Ltd. — Paiement des abonnements, facturation.
- Resend — Envoi des e-mails transactionnels (confirmation, factures, alertes de paiement).
- Apple (service de notifications push APNs) — Notifications de l'application iPhone Ordka à l'équipe du restaurant.
- Anthropic — Assistant de réponse aux questions des clients et lecture assistée de la carte (fonctions optionnelles).
La liste détaillée (données, localisation, garanties) figure dans l’accord de traitement et liste des sous-traitants.
4. Transferts hors Union européenne
Certains sous-traitants peuvent traiter des données hors de l’Union européenne. Dans ce cas, le transfert est encadré par les garanties appropriées prévues par le RGPD (décision d’adéquation, clauses contractuelles types). Détail par prestataire dans la liste des sous-traitants.
5. Durées de conservation
- Compte et données du restaurant : pendant la durée de l’abonnement, puis jusqu’à la suppression du compte ou la demande du restaurant.
- Factures et pièces comptables : 10 ans (obligation légale).
- Commandes des clients finaux : anonymisées après 24 mois ; clients inactifs supprimés après 24 mois.
- Notifications (e-mail, push) terminées : supprimées après 90 jours.
- Journaux techniques : À COMPLÉTER.
6. Sécurité
Chiffrement des échanges, mots de passe hachés, cloisonnement des données par restaurant au niveau de la base de données, accès par rôles, journalisation sans données sensibles, authentification à deux facteurs disponible. Nos sous-traitants sont choisis pour leurs garanties de sécurité.
7. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition. Depuis « Mon compte », vous pouvez exporter vos données (JSON) et supprimer votre compte. Vous pouvez aussi écrire à À COMPLÉTER. Si vous êtes client final d’un restaurant, adressez-vous d’abord à ce restaurant. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).
8. Cookies
Uniquement des cookies strictement nécessaires (session de connexion, sécurité). Aucun cookie publicitaire ni de mesure d’audience tierce : aucun consentement n’est donc requis.
9. Mises à jour
Cette politique peut évoluer ; la date de dernière mise à jour figure en haut de page.