Politique de confidentialité

1. Qui est responsable de vos données

KuKA est exploité par [LEGAL ENTITY NAME], numéro d'identification fiscale (NIPC) [NIPC], dont le siège social est situé [REGISTERED ADDRESS], Portugal (« KuKA », « nous »).

Contact pour toute question relative à la confidentialité : support@getkuka.com. Délégué à la protection des données : [DPO CONTACT - IF APPOINTED].

Notre rôle dépend de la situation :

• Responsable du traitement pour les données concernant les visiteurs de nos sites web, les personnes qui demandent la démo, les clients professionnels et leurs administrateurs, les données de facturation, les journaux de sécurité et d'exploitation, ainsi que les statistiques de la page d'accueil.
• Sous-traitant pour les données qu'un restaurant ou une franchise (notre client professionnel) saisit dans KuKA ou génère via KuKA au sujet de ses convives, de ses commandes et de son personnel. Dans ce cas, le restaurant est le responsable du traitement et nous agissons sur ses instructions documentées, comme indiqué dans les conditions relatives au traitement des données de la section 10 des Conditions d'utilisation partenaires.

Si vous êtes un convive et avez une question concernant votre commande ou votre addition, adressez-vous d'abord au restaurant.

2. Champ d'application de la présente politique

La présente politique couvre les sites web de KuKA (getkuka.com, www.getkuka.com) et l'application KuKA (app.getkuka.com), y compris les pages d'inscription et de démo, le backoffice, les écrans du personnel et les pages clients ouvertes à partir d'un QR code sur une table. KuKA est disponible en anglais, en portugais européen, en portugais du Brésil, en français, en espagnol, en néerlandais, en allemand, en italien, en chinois simplifié et en japonais. Les différentes versions sont censées avoir la même signification.

Elle ne couvre pas les sites web ou services exploités par des tiers vers lesquels nous renvoyons ou auxquels vous accédez depuis KuKA, comme Stripe Checkout. Leurs propres politiques s'y appliquent.

3. Quelles données nous collectons

Visiteurs de nos sites web

• Données techniques envoyées par votre navigateur lors du chargement d'une page : adresse IP, type de navigateur et d'appareil (user agent), adresse demandée, date et heure. Nos serveurs et composants réseau les enregistrent dans des journaux d'exploitation.
• Statistiques de la page d'accueil : un identifiant de visiteur aléatoire (stocké dans un cookie), la variante de test qui vous a été présentée (A ou B), le chemin de la page, le site référent, les balises de campagne (utm_source, utm_medium, utm_campaign), les clics sur nos principaux boutons d'appel à l'action, et le fait qu'une demande de démo ait été envoyée ou qu'une démo ait été créée. Les requêtes qui s'identifient comme des robots ou des aperçus de liens ne sont pas comptabilisées comme des visites.
• Votre préférence de langue, ainsi qu'une indication approximative du pays fournie par notre périphérie réseau (en-tête CF-IPCountry), utilisée uniquement pour choisir une langue par défaut.

Personnes qui demandent une démo

• Nom complet, adresse e-mail, nom de l'établissement et mot de passe (stocké uniquement sous forme de hachage).
• La date et la version des Conditions partenaires que vous avez acceptées, ainsi que votre case facultative « Je souhaite suivre l'évolution de KuKA ».
• Les données relatives à la démo elle-même : date de création et d'expiration, statut, événements des données d'exemple et votre progression dans la visite guidée du produit.

Clients professionnels et leurs administrateurs

• Données de compte : nom, adresse e-mail, hachage du mot de passe, fuseau horaire, rôle et accès aux franchises et restaurants, statut du compte, date d'acceptation des Conditions partenaires et statut de confirmation de l'e-mail.
• Données commerciales : noms des franchises et restaurants, menus, prix, images, tables, services et paramètres que vous saisissez. Un numéro fiscal portugais (NIF) facultatif peut être fourni lors de l'inscription.
• Données de facturation : références client et abonnement Stripe, statut et dates de l'abonnement, nom, adresse, numéro d'identification fiscale et e-mail de facturation tels que saisis dans Stripe Checkout, numéro de facture, montants, lignes de TVA, et statut d'émission et d'envoi de la facture fiscale.
• Communications : e-mails transactionnels (voir section 6) et messages que vous envoyez au support.

Personnel des restaurants

• Données de compte créées par votre employeur ou l'administrateur de votre franchise : nom, adresse e-mail, hachage du mot de passe, rôle et restaurants auxquels vous avez accès.
• Enregistrements opérationnels : actions que vous effectuez dans l'application et qui sont enregistrées sous votre utilisateur, par exemple qui a clôturé l'addition d'une table.
• Enregistrements de sécurité : un journal d'audit des accès consignant les événements administratifs (comme l'octroi ou la révocation d'un accès, la création d'un SuperAdmin, les jetons de récupération et l'ouverture de la console d'observabilité), y compris les identifiants et e-mails de l'utilisateur à l'origine de l'action et de l'utilisateur cible, la franchise ou le restaurant concerné, et l'heure.

Convives à une table

• KuKA ne demande ni nom, ni e-mail, ni numéro de téléphone, ni données de carte de paiement.
• Un identifiant client aléatoire (cookie), la table à laquelle vous vous êtes enregistré et à quel moment, les articles de votre panier, vos commandes (articles, quantités, statut, heure, payées ou non) et l'addition qui en résulte, ainsi que l'option de menu ou de prix fixe applicable.
• Les données de navigateur et de réseau décrites sous « Visiteurs ».

4. Pourquoi nous utilisons les données et sur quelle base juridique

Lorsque nous nous fondons sur des intérêts légitimes, nous les avons mis en balance avec vos droits. Vous pouvez vous y opposer (voir section 11).

Nous ne prenons aucune décision vous concernant fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs similaires. Le test A/B modifie uniquement la version de notre page d'accueil que vous voyez.

5. D'où proviennent les données

• De vous, lorsque vous remplissez un formulaire, utilisez l'application ou nous contactez.
• De votre employeur ou de l'administrateur de votre franchise, qui crée les comptes du personnel ou y invite.
• De votre appareil et de votre navigateur, automatiquement, au moyen de cookies et de requêtes au serveur.
• De Stripe, qui nous informe du statut d'un abonnement, des paiements et des coordonnées de facturation saisies lors du paiement.
• Du restaurant, pour les données opérationnelles concernant les clients, comme les menus, les prix et la configuration des tables.

6. Qui reçoit les données

Nous ne vendons pas de données personnelles. Nous les partageons uniquement dans la mesure nécessaire, avec les destinataires suivants.

Nos propres administrateurs de la plateforme (SuperAdmins) peuvent accéder à la plateforme pour assurer le support et la sécurité. Cet accès est limité selon le rôle et les actions administratives sont journalisées.

7. Transferts internationaux

Certains des destinataires ci-dessus, à savoir Stripe, Resend, Google et Cloudflare, sont ou peuvent être situés aux États-Unis, ou peuvent accéder aux données depuis ce pays. Lorsque des données personnelles quittent l'Espace économique européen, nous nous fondons sur une décision d'adéquation de la Commission européenne (par exemple le cadre de protection des données UE-États-Unis pour les destinataires certifiés) ou sur les clauses contractuelles types adoptées par la Commission, accompagnées de mesures supplémentaires si nécessaire. La localisation de notre hébergement est indiquée à la section 6.

Vous pouvez demander une copie des garanties applicables en nous écrivant (section 14).

8. Durée de conservation des données

Nous conservons les données personnelles uniquement pendant la durée nécessaire à la finalité pour laquelle elles ont été collectées. Les durées que nous pouvons indiquer avec précision figurent ci-dessous. Pour les autres, nous indiquons les critères que nous appliquons.

À l'issue de la durée de conservation, les données sont supprimées ou anonymisées de manière irréversible. Les données nécessaires à la constatation, à l'exercice ou à la défense de droits en justice peuvent être conservées jusqu'au règlement du litige.

9. Comment nous protégeons les données

Nous appliquons des mesures techniques et organisationnelles adaptées au risque. Les mesures existant aujourd'hui dans le produit comprennent :

• Transport chiffré : le site de production est servi en HTTPS et envoie un en-tête HTTP Strict Transport Security.
• Les mots de passe sont hachés avec le hacheur de mots de passe d'ASP.NET Core Identity et ne sont jamais stockés ni renvoyés en clair. Les jetons de connexion à la démo sont uniquement stockés sous forme de hachages. Les liens de réinitialisation du mot de passe expirent au bout de 1 heure.
• Le cookie de connexion est HttpOnly et SameSite=Lax. Les formulaires sont protégés contre la falsification de requêtes intersites au moyen de jetons anti-falsification.
• Les clés utilisées pour protéger les cookies et les jetons (ASP.NET Core Data Protection) sont stockées sur le serveur, séparément de la base de données.
• L'accès repose sur les rôles et est limité aux franchises et restaurants auxquels un utilisateur a été autorisé à accéder. Les modifications des accès administratifs sont consignées dans un journal d'audit.
• Notre configuration de traçage retire les instructions de base de données des données de trace. La console de surveillance n'est accessible qu'aux administrateurs de la plateforme authentifiés.
• Les données de carte sont saisies sur les pages hébergées par Stripe, et non sur KuKA.

Aucun système n'est totalement sûr. Si une violation de données personnelles est susceptible de porter atteinte à vos droits, nous la notifierons à la CNPD dans les 72 heures suivant sa découverte et informerons les personnes concernées lorsque la loi l'exige (art. 33 et 34 du RGPD).

10. Cookies et technologies similaires

Les cookies sont de petits fichiers stockés dans votre navigateur. Nous utilisons les cookies et le stockage du navigateur uniquement comme indiqué ci-dessous. Nous n'utilisons aucun cookie publicitaire ni aucun cookie de suivi tiers.

Cookies

Stockage du navigateur

Ressources tierces

Nos pages chargent des polices et des styles d'icônes depuis Google Fonts et jsDelivr, et le script SignalR depuis cdnjs. Ces prestataires reçoivent votre adresse IP et votre user agent lorsque votre navigateur demande les fichiers. Nous ne les utilisons pas à des fins de publicité ou de suivi.

Vos choix

Les cookies strictement nécessaires ne peuvent pas être désactivés sans empêcher le service de fonctionner. Vous pouvez bloquer ou supprimer les cookies dans les paramètres de votre navigateur ; dans ce cas, les deux cookies non essentiels ne seront pas utilisés pour les statistiques, et l'application pourra vous demander de vous reconnecter ou perdre votre panier. Les cookies non essentiels énumérés ci-dessus se limitent à des statistiques anonymes internes et à des tests A/B.

11. Vos droits

En vertu du RGPD, vous disposez des droits suivants :

• Accès aux données personnelles que nous détenons à votre sujet et obtention d'une copie.
• Rectification des données inexactes ou incomplètes.
• Effacement (« droit à l'oubli ») lorsqu'il n'existe plus de raison de conserver les données.
• Limitation du traitement dans certains cas.
• Portabilité : recevoir les données que vous nous avez fournies dans un format structuré, couramment utilisé et lisible par machine, lorsque le traitement est fondé sur le consentement ou sur un contrat et effectué à l'aide de procédés automatisés.
• Opposition au traitement fondé sur des intérêts légitimes, pour des raisons tenant à votre situation particulière.
• Retrait du consentement à tout moment, sans que cela affecte le traitement antérieur (par exemple pour la case facultative relative aux actualités).
• Ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs similaires. Nous ne prenons pas de telles décisions.

Pour exercer un droit, écrivez à support@getkuka.com. Nous pourrons vous demander de confirmer votre identité. Nous répondons dans un délai d'un mois ; pour les demandes complexes, ce délai peut être prolongé de deux mois au maximum, et nous vous en indiquerons les raisons. L'exercice de vos droits est gratuit, sauf si une demande est manifestement infondée ou excessive.

Si vous êtes un convive ou un membre du personnel, votre demande concernant des données que nous traitons pour un restaurant pourra être transmise à ce restaurant, qui est le responsable du traitement.

Réclamations. Vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle : Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa, Portugal, www.cnpd.pt. Vous pouvez également introduire une réclamation auprès de l'autorité du pays de l'UE où vous résidez ou travaillez. Si vous vous trouvez au Brésil, les droits prévus par la loi n° 13.709/2018 (LGPD) peuvent également s'appliquer et s'exercer par l'intermédiaire du même contact.

12. Enfants

KuKA est un outil professionnel et ne s'adresse pas aux enfants de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles auprès d'enfants. Il n'est demandé aux clients ni leur âge ni leur identité ; si un mineur est à table, c'est le restaurant qui est responsable de la personne qui passe la commande. Si vous pensez qu'un enfant nous a fourni des données, contactez-nous et nous les supprimerons.

13. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique pour tenir compte de l'évolution du produit, de nos prestataires ou de la loi. Le numéro de version et la date figurent en haut de cette page. En cas de modification importante, nous publierons un avis bien visible dans le produit ou sur notre site web avant son entrée en vigueur. Les versions antérieures sont disponibles sur demande.

14. Contact

[LEGAL ENTITY NAME], [REGISTERED ADDRESS], Portugal. NIPC [NIPC].

E-mail : support@getkuka.com. Délégué à la protection des données : [DPO CONTACT - IF APPOINTED].

Documents associés : Conditions d'utilisation partenaires, Conditions d'utilisation clients.