Politique de confidentialité

Le responsable du traitement des données personnelles collectées via l'application est :

LE SAINT JAMES GLOBALE METEOR FRANCE
SARL à associé unique (EURL)
Capital social : 1 000 €
Siège social : 65 Rue Neuve d'Argenson, 24100 Bergerac, France
SIREN : 101 455 103
RCS : Bergerac
N° TVA intracommunautaire : FR79101455103

Établissement exploité sous l'enseigne Le Saint James :
27 Rue Saint-James
24100 Bergerac, France
E-mail : saintjamesrestaurant@gmail.com

Pour toute question relative à la protection des données personnelles ou pour exercer vos droits, l'utilisateur peut contacter le responsable du traitement à l'adresse indiquée ci-dessus.

Délégué à la protection des données (DPO) :
À COMPLÉTER : DPO, si un DPO est désigné (sinon retirer cette mention, ici et dans l'application)

Dans le cadre de l'utilisation de l'application, Le Saint James peut collecter les catégories de données suivantes :

2.1. Données d'identification

• Nom et prénom ;
• Adresse e-mail ;
• Numéro de téléphone ;
• Âge.

2.2. Données relatives au compte

Lorsque l'utilisateur crée un compte, l'application peut également enregistrer :

• Identifiant du compte ;
• Date de création du compte ;
• Informations nécessaires à l'authentification ;
• Historique des connexions ou informations techniques nécessaires à la sécurité du compte.

2.3. Données relatives aux commandes

Lorsque l'utilisateur utilise l'application pour commander, les données nécessaires à l'exécution de la commande peuvent être traitées, notamment :

• Produits ou services commandés ;
• Date et heure de la commande ;
• Montant de la commande ;
• Statut de la commande ;
• Informations nécessaires à la livraison ou au retrait lorsque ce service est proposé.

2.4. Données techniques

Selon les fonctionnalités effectivement intégrées à l'application, certaines données techniques peuvent également être collectées, telles que :

• Adresse IP ;
• Type d'appareil ;
• Système d'exploitation ;
• Version de l'application ;
• Données relatives aux erreurs et à la sécurité ;
• Identifiants techniques nécessaires au fonctionnement de certains services.

Aucune donnée technique supplémentaire ne doit être collectée si elle n'est pas nécessaire à une finalité déterminée.

Les données personnelles sont collectées et utilisées uniquement pour des finalités déterminées, explicites et légitimes.

3.1. Création et gestion du compte client

Les données permettent notamment de :

• créer le compte utilisateur ;
• identifier l'utilisateur ;
• permettre sa connexion à l'application ;
• gérer son profil ;
• permettre la modification ou la suppression de son compte ;
• sécuriser l'accès au compte.

Base juridique : exécution du contrat ou mesures précontractuelles prises à la demande de l'utilisateur.

3.2. Traitement et suivi des commandes

Les données peuvent être utilisées afin de :

• enregistrer les commandes ;
• préparer et exécuter les commandes ;
• permettre le retrait au restaurant ;
• permettre une livraison lorsqu'un service de livraison est proposé ;
• communiquer avec le client concernant sa commande ;
• gérer les annulations, remboursements et réclamations ;
• conserver les éléments nécessaires à la preuve des transactions.

Base juridique : exécution du contrat conclu avec l'utilisateur.

3.3. Vérification de l'âge

L'âge peut être collecté afin de permettre le respect des règles applicables à la vente et au service de boissons alcoolisées.

Le Saint James peut notamment utiliser cette information afin de déterminer si l'utilisateur est légalement autorisé à commander ou recevoir des boissons alcoolisées.

La vente ou le service d'alcool demeure soumis aux règles légales applicables, indépendamment de la création d'un compte sur l'application.

Lorsque cela est techniquement possible, Le Saint James privilégiera une information limitée au strict nécessaire, par exemple une indication « majeur / mineur », plutôt que la conservation de l'âge exact.

Base juridique : respect des obligations légales applicables et, lorsque nécessaire, exécution du contrat.

3.4. Communication avec le client

L'adresse e-mail et le numéro de téléphone peuvent être utilisés pour :

• confirmer une création de compte ;
• confirmer ou suivre une commande ;
• contacter le client en cas de problème relatif à une commande ;
• répondre à une demande adressée au restaurant ;
• assurer la sécurité du compte ;
• envoyer des communications nécessaires au fonctionnement du service.

Base juridique : exécution du contrat et/ou intérêt légitime du responsable du traitement selon la nature de la communication.

3.5. Communications commerciales

Le Saint James peut proposer aux utilisateurs de recevoir des communications commerciales concernant notamment :

• offres promotionnelles ;
• événements ;
• nouveautés ;
• offres spéciales ;
• actualités du restaurant.

Lorsque la réglementation l'exige, ces communications sont envoyées uniquement après obtention du consentement de l'utilisateur.

Le consentement à recevoir des communications commerciales est distinct de l'acceptation des présentes conditions et de la création d'un compte.

L'utilisateur peut retirer son consentement à tout moment, notamment en utilisant le lien de désinscription présent dans les communications ou en contactant Le Saint James.

Pour les données utilisées à des fins de prospection commerciale, les durées de conservation doivent être limitées conformément aux recommandations de la CNIL. Pour les clients, la CNIL prévoit notamment une conservation pouvant aller jusqu'à trois ans après la fin de la relation commerciale pour les données utilisées à des fins de prospection.

Les données nécessaires à la création et à l'utilisation du compte sont signalées comme obligatoires dans l'application lorsque leur absence empêche Le Saint James de fournir le service concerné.

À titre indicatif :

• Nom / prénom — identification du client et gestion du compte : obligatoire si nécessaire au service ;
• Adresse e-mail — création du compte, authentification et communications : obligatoire ;
• Numéro de téléphone — contact client, sécurité et/ou commande : obligatoire si nécessaire au service ;
• Âge — vérification des conditions d'accès à certains produits/services : obligatoire lorsque nécessaire ;
• Données marketing — envoi d'offres et communications commerciales : facultatif.

Le refus de fournir une donnée obligatoire peut empêcher la création du compte ou l'utilisation de certaines fonctionnalités.

Les données personnelles peuvent être accessibles, dans la limite de leurs besoins respectifs, aux :

• salariés et collaborateurs autorisés de Le Saint James ;
• personnes chargées de la gestion des commandes ;
• prestataires techniques intervenant dans le fonctionnement de l'application ;
• prestataires d'hébergement informatique ;
• prestataires d'envoi d'e-mails ou de SMS ;
• prestataires de paiement, lorsque leur intervention est nécessaire ;
• prestataires de maintenance et de sécurité informatique ;
• conseils professionnels lorsque cela est nécessaire ;
• autorités administratives ou judiciaires lorsque la loi l'impose.

Le Saint James ne vend pas les données personnelles de ses clients.

Toute transmission à un prestataire agissant pour le compte de Le Saint James doit être encadrée conformément aux exigences applicables en matière de protection des données.

L'application et le site internet associé font appel à des prestataires techniques pour assurer notamment :

• l'hébergement de l'application et de sa base de données ;
• l'authentification des utilisateurs ;
• l'envoi d'e-mails et de SMS ;
• les notifications ;
• le paiement ;
• la sécurité ;
• la maintenance ;
• l'analyse technique de l'application.

Les prestataires retenus pour chacune de ces fonctions, à la date de la présente Politique, sont les suivants :

• Hébergement de l'application et de sa base de données — Supabase : base de données et fonctions serveur de l'application (compte, commandes, réservations, programme de fidélité). Données hébergées dans l'Union européenne (Irlande).
• Hébergement du site internet — Vercel UK Ltd, 4th Floor, St. James House, St. James Square, Cheltenham GL50 3PR, Royaume-Uni : interface de gestion utilisée par le personnel du restaurant, page d'assistance de l'application et, à terme, site internet du Saint James. Données techniques de connexion (adresse IP, journaux).
• Authentification des utilisateurs — Supabase : adresse e-mail, mot de passe stocké sous forme chiffrée et non réversible, sessions de connexion.
• Envoi d'e-mails — Resend : e-mails transactionnels (confirmation de compte, réinitialisation du mot de passe, suivi de commande) : adresse e-mail et contenu du message. Domaine d'envoi configuré en région Union européenne (Irlande).
• Envoi de SMS — aucun : l'application n'envoie aucun SMS aux utilisateurs. Si un tel service devait être mis en place, le prestataire retenu serait ajouté à cette liste.
• Notifications — Google (Firebase Cloud Messaging) et Apple (Apple Push Notification service) : acheminement des notifications push : identifiant technique de l'appareil et contenu de la notification.
• Paiement — Stripe Payments Europe Ltd (Irlande) : paiements par carte bancaire, Apple Pay et Google Pay. Les données de carte sont saisies et traitées directement par Stripe.
• Sécurité — Supabase et Vercel : chiffrement des communications (HTTPS/TLS), règles de sécurité et contrôle d'accès au niveau de la base de données, sauvegardes régulières (voir article 9).
• Maintenance — Oscar Koerner-Gamm – Reign of Edward Ltd (ROE), 12 Old Arncott Road, Ambrosden, Bicester OX25 2LT, Royaume-Uni, Companies House n° 13621105 : accès technique aux systèmes de l'application, limité aux opérations de maintenance, de mise à jour et de support.
• Analyse technique de l'application — Supabase et Vercel (journaux techniques) : journaux d'erreurs et de connexion, conservés douze mois au maximum (voir article 8). Aucun outil tiers de mesure d'audience n'est utilisé (voir article 12).
• Caisse et fidélité sur place — Popina : logiciel de caisse du restaurant, utilisé pour rattacher au programme de fidélité les achats effectués sur place.

Lorsque ces prestataires traitent des données personnelles pour le compte de Le Saint James, ils doivent être contractuellement encadrés en qualité de sous-traitants lorsque le traitement est réalisé pour le compte et sur instruction de Le Saint James, conformément à l'article 28 du RGPD. Ces prestataires s'engagent notamment à ne traiter les données que sur instruction documentée de Le Saint James, à en garantir la confidentialité et la sécurité, et à les supprimer ou les restituer au terme de la prestation.

L'écran d'accueil de l'application affiche des avis publiés sur Google, récupérés par les serveurs du Saint James au moyen de l'API Google Places. Aucune donnée personnelle des utilisateurs de l'application n'est transmise à Google à cette occasion.

Le Saint James n'a jamais accès aux numéros complets de carte bancaire, qui sont saisis et traités directement par Stripe. Stripe peut également agir en qualité de responsable de traitement distinct pour ses propres obligations, notamment la lutte contre la fraude et le respect de la réglementation financière.

Le téléchargement de l'application via l'App Store ou Google Play est soumis aux politiques de confidentialité d'Apple et de Google, qui agissent en qualité de responsables de traitement distincts.

Les données personnelles sont hébergées prioritairement au sein de l'Union européenne. Certains prestataires sont toutefois établis aux États-Unis ou sont susceptibles d'accéder aux données depuis un pays situé hors de l'Union européenne, notamment pour des opérations de maintenance ou de support. Dans ce cas, les transferts sont encadrés par des garanties appropriées au sens du chapitre V du RGPD :

• une décision d'adéquation de la Commission européenne, notamment le cadre de protection des données UE–États-Unis (« Data Privacy Framework ») lorsque le prestataire y est certifié ;
• à défaut, les clauses contractuelles types adoptées par la Commission européenne, complétées si nécessaire par des mesures supplémentaires.

L'utilisateur peut obtenir des informations sur ces garanties en contactant Le Saint James à l'adresse indiquée à l'article 1.

Les données personnelles sont conservées pendant la durée strictement nécessaire aux finalités pour lesquelles elles sont traitées :

• Données du compte : pendant toute la durée d'utilisation du compte. En l'absence d'activité pendant trois ans, le compte peut être supprimé ou anonymisé, après information préalable de l'utilisateur ;
• Demande de suppression du compte : effacement ou anonymisation à l'issue d'un délai de trente jours (voir article 11) ;
• Commandes et pièces comptables : dix ans à compter de la clôture de l'exercice concerné (article L123-22 du Code de commerce) ;
• Réclamations et litiges : pendant la durée du traitement de la réclamation, puis jusqu'à l'expiration des délais de prescription applicables ;
• Données de paiement : non conservées par Le Saint James. Elles sont conservées par Stripe selon ses propres obligations légales ;
• Données utilisées à des fins de prospection commerciale : trois ans à compter de la fin de la relation commerciale ou du dernier contact émanant de l'utilisateur. En cas de retrait du consentement, les envois cessent immédiatement ;
• Consentements et acceptations des documents juridiques : pendant toute la durée du compte ;
• Données techniques et journaux de connexion : douze mois maximum ;
• Justificatif d'identité éventuellement demandé lors de l'exercice d'un droit : supprimé dès la vérification effectuée.

À l'issue de ces durées, les données sont supprimées ou anonymisées de manière irréversible.

Le Saint James met en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les données personnelles contre la perte, l'altération, la divulgation ou l'accès non autorisé, notamment :

• le chiffrement des communications entre l'application et les serveurs (HTTPS/TLS) ;
• le stockage des mots de passe sous forme chiffrée et non réversible ;
• un contrôle d'accès par rôle, limitant l'accès de chaque membre du personnel aux seules données nécessaires à ses fonctions ;
• des règles de sécurité appliquées directement au niveau de la base de données ;
• des sauvegardes régulières.

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Le Saint James la notifie à la CNIL dans les conditions prévues à l'article 33 du RGPD et, lorsque le risque est élevé, en informe les utilisateurs concernés conformément à l'article 34 du RGPD.

Conformément au RGPD et à la loi Informatique et Libertés, l'utilisateur dispose des droits suivants sur ses données personnelles :

• droit d'accès : obtenir la confirmation que des données le concernant sont traitées et en recevoir une copie ;
• droit de rectification : faire corriger des données inexactes ou incomplètes ;
• droit à l'effacement : obtenir la suppression de ses données, sous réserve des obligations légales de conservation ;
• droit à la limitation du traitement ;
• droit à la portabilité : recevoir les données qu'il a fournies dans un format structuré et couramment utilisé ;
• droit d'opposition, notamment au traitement de ses données à des fins de prospection commerciale, à tout moment et sans justification ;
• droit de retirer son consentement à tout moment, sans que cela ne remette en cause la licéité du traitement effectué avant ce retrait ;
• droit de définir des directives relatives à la conservation, à l'effacement et à la communication de ses données après son décès (article 85 de la loi Informatique et Libertés).

Certains de ces droits peuvent être exercés directement depuis l'application, dans la rubrique « Mon compte » : modification du profil, gestion des préférences de notification, suppression du compte.

Pour exercer ses autres droits, l'utilisateur peut écrire à : saintjamesrestaurant@gmail.com. Le Saint James répond dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes, auquel cas l'utilisateur en est informé. En cas de doute raisonnable sur l'identité du demandeur, un justificatif d'identité peut être demandé.

Si l'utilisateur estime, après avoir contacté Le Saint James, que ses droits ne sont pas respectés, il peut introduire une réclamation auprès de la CNIL :

Commission nationale de l'informatique et des libertés
3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
www.cnil.fr

L'utilisateur peut demander la suppression de son compte à tout moment depuis la rubrique « Mon compte » de l'application.

La suppression devient effective à l'issue d'un délai de trente jours, pendant lequel l'utilisateur peut annuler sa demande. La demande ne peut pas être traitée tant qu'une commande est en cours.

À l'issue de ce délai :

• les données d'identification et de contact (nom, prénom, adresse e-mail, numéro de téléphone, âge ou date de naissance) ainsi que les préférences de communication sont définitivement effacées ;
• les notifications, offres personnalisées et QR codes associés au compte sont supprimés ;
• les réservations sont conservées sous une forme anonymisée ;
• les commandes et écritures comptables sont conservées sous une forme ne permettant plus d'identifier l'utilisateur, afin de respecter les obligations légales de conservation (article 17.3.b du RGPD et article L123-22 du Code de commerce) ;
• le solde de James non utilisé est définitivement perdu.

Les notifications push ne sont envoyées qu'après autorisation de l'utilisateur, donnée via la demande système de son appareil. L'utilisateur peut à tout moment les désactiver dans les réglages de son appareil ou gérer les catégories de notifications depuis l'application. Les notifications à caractère commercial sont soumises à un consentement distinct.

Lorsque l'application demande l'accès à une fonctionnalité de l'appareil (par exemple l'appareil photo pour scanner un QR code), cet accès n'est utilisé que pour la fonctionnalité concernée et peut être retiré à tout moment dans les réglages de l'appareil.

L'application n'utilise aucun traceur publicitaire ni outil de mesure d'audience. Si de tels outils devaient être intégrés, ils ne seraient activés qu'après recueil du consentement préalable de l'utilisateur, conformément à l'article 82 de la loi Informatique et Libertés.

Les boissons alcoolisées ne sont ni vendues ni offertes aux mineurs, y compris dans le cadre du programme de fidélité (article L3342-1 du Code de la santé publique).

Lorsqu'un traitement repose sur le consentement, l'utilisateur âgé de moins de quinze ans ne peut consentir seul : le consentement doit être donné conjointement par le mineur et le ou les titulaires de l'autorité parentale (article 45 de la loi Informatique et Libertés).

Le Saint James ne prend aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à l'égard de l'utilisateur ou l'affectant de manière significative. Le calcul du niveau de fidélité et des récompenses résulte de l'application automatique des règles du programme, publiées dans l'application.

Le Saint James peut modifier la présente Politique, notamment pour tenir compte d'une évolution de l'application, de la réglementation ou des prestataires utilisés. Chaque version est datée et conservée. En cas de modification substantielle, l'utilisateur en est informé dans l'application et est invité à prendre connaissance de la nouvelle version, voire à l'accepter lorsque cela est nécessaire.

Pour toute question relative à la présente Politique ou au traitement de ses données personnelles, l'utilisateur peut contacter :

LE SAINT JAMES GLOBALE METEOR FRANCE
27 Rue Saint-James, 24100 Bergerac, France
E-mail : saintjamesrestaurant@gmail.com