Politique de confidentialité

Le responsable du traitement de vos données personnelles est la société Plate (ci-après « Plate », « nous »), dont le siège social est situé en France.

Contact : support@plate.restaurant

Nous collectons les catégories de données suivantes :

A. Données des restaurateurs (utilisateurs du service)

• Données d'identité : adresse e-mail, prénom, nom, numéro de téléphone (facultatif).
• Données de compte : mot de passe (hashé), nom du restaurant, identifiant URL (slug).
• Données de carte : noms, descriptions, prix et photos de vos plats ; catégories, étiquettes alimentaires (vegan, halal, etc.).
• Données de paiement : gérées exclusivement par Stripe. Plate ne stocke aucun numéro de carte bancaire.
• Données de livraison : adresse postale pour l'expédition du kit QR.
• Données techniques : adresse IP, type de navigateur, données de session (cookies d'authentification).

B. Données des visiteurs des cartes digitales (clients des restaurants)

• Statistiques de visite : date et heure du scan QR (enregistré à chaque nouvelle session), identifiant du restaurant scanné.
• Statistiques de consultation : identifiant du plat consulté, date et heure de consultation.
• Aucune donnée nominative n'est collectée sur les visiteurs : pas de nom, pas d'email, pas d'adresse IP stockée.

• Données de compte actif : pendant toute la durée de l'abonnement.
• Données après résiliation : 3 ans à compter de la clôture du compte (obligation comptable et légale).
• Données de statistiques : 24 mois glissants.
• Données de paiement : 10 ans (Stripe, obligation légale comptable).
• Cookies de session : durée de la session navigateur.
• Photos de plats : supprimées immédiatement lors de la suppression du plat ou du compte.
• Statistiques de visite (visiteurs du menu) : 24 mois glissants, sans aucune donnée nominative.

Vos données peuvent être partagées avec les sous-traitants suivants, dans le strict respect du RGPD :

• Supabase Inc. — hébergement de la base de données et authentification (serveurs en Europe)
• Vercel Inc. — hébergement de l'application web (Edge Network, données transitant via serveurs EU)
• Stripe Inc. — traitement des paiements (certifié PCI DSS niveau 1)
• Remove.bg / Kaleido AI — traitement IA des photos pour suppression de fond
• Expo / React Native — distribution de l'application mobile via les stores

Nous ne vendons jamais vos données à des tiers à des fins publicitaires.

Certains sous-traitants (Supabase, Vercel, Stripe) sont basés aux États-Unis. Ces transferts sont encadrés par des Clauses Contractuelles Types (CCT) approuvées par la Commission Européenne, garantissant un niveau de protection équivalent à celui exigé par le RGPD.

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de vos données (« droit à l'oubli »).
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition : vous opposer à un traitement basé sur l'intérêt légitime.
• Droit à la limitation : suspendre temporairement un traitement.
• Droit de retrait du consentement : à tout moment, sans frais.

Pour exercer ces droits, contactez-nous à support@plate.restaurant. Nous répondrons dans un délai maximum de 30 jours.

Vous pouvez également adresser une réclamation à la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr.

Suppression de compte : vous pouvez supprimer votre compte directement depuis l'application Plate (Onglet Compte → Supprimer mon compte). Toutes vos données seront effacées immédiatement.

• Chiffrement TLS en transit (HTTPS partout)
• Chiffrement au repos via Supabase (AES-256)
• Row-Level Security (RLS) : chaque restaurateur n'accède qu'à ses propres données
• Authentification par JWT avec expiration et rotation des tokens
• Mots de passe hashés (bcrypt) — jamais stockés en clair
• API protégées par authentification obligatoire
• Audits de sécurité réguliers

Plate utilise uniquement les cookies strictement nécessaires au fonctionnement du service :

• sb-access-token, sb-refresh-token : authentification Supabase (session utilisateur). Durée : jusqu'à déconnexion.
• plate_locale : langue choisie par le client sur la carte digitale (localStorage). Durée : illimitée, jusqu'à effacement manuel du cache navigateur.

Nous n'utilisons pas de cookies publicitaires, de tracking tiers (Google Analytics, Meta Pixel) ou de cookies de profilage. Aucun bandeau de consentement aux cookies n'est donc requis.

Nous pouvons mettre à jour cette politique pour refléter des changements dans nos pratiques ou la réglementation applicable. En cas de modification substantielle, nous vous en informerons par e-mail au moins 30 jours avant l'entrée en vigueur. La date de dernière mise à jour est indiquée en haut de cette page.