Politique de confidentialité
Dernière mise à jour : 6 octobre 2026
Cette page explique quelles données personnelles Toqa traite, pourquoi, combien de temps, et quels sont tes droits, conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
1. Qui est responsable ?
- Pour les comptes, l'abonnement et la facturation : l'éditeur de Toqa, [À compléter : éditeur], [À compléter : adresse], est responsable de traitement.
- Pour ce que les restaurants saisissent (comptes de leurs employés, demandes de leurs clients, messages, stocks) : chaque restaurant est responsable de traitement, et Toqa agit pour son compte comme sous-traitant. Pour exercer tes droits sur ces données, adresse-toi d'abord à l'établissement concerné ; nous l'aiderons à te répondre.
2. Données traitées
| Données | Pourquoi | Base légale |
|---|---|---|
| Prénom, adresse email, mot de passe (stocké haché, jamais en clair), poste dans l'équipe | Créer et sécuriser ton compte, te donner accès à ton restaurant | Exécution du contrat |
| Contenu saisi : produits, quantités, commandes, fournisseurs, messages | Fournir le service | Exécution du contrat |
| Demandes des clients de l'établissement : nom ou n° de chambre, détail de la demande, y compris allergies et régimes | Informer les équipes concernées pour bien servir le client | Pour les allergies et régimes (données de santé) : consentement explicite du client, recueilli par l'établissement (art. 9.2.a RGPD) |
| Réservations : nom du client, téléphone, nombre de couverts, remarques | Gérer les réservations et le placement des tables | Exécution du contrat (pour l'établissement : traitement de la réservation demandée par son client) |
| Équipe : planning, heures de pointage, photo prise au pointage, code de pointage (stocké haché) | Organiser les services, compter les heures pour la paie, éviter les erreurs et les pointages à la place d'un autre | Pour l'établissement employeur : obligation légale de décompte du temps de travail et intérêt légitime (photo, code). Il informe son équipe par écrit. |
| Photos HACCP (étiquettes, livraisons) et relevés d'hygiène | Traçabilité et contrôles sanitaires | Obligation légale de l'établissement (règles d'hygiène alimentaire) |
| Abonnement de notification (identifiant technique de l'appareil) | Envoyer les alertes que tu as activées | Consentement (tu peux les désactiver à tout moment) |
| Données de facturation (le paiement par carte est traité par Stripe ; nous ne voyons jamais le numéro de carte) | Gérer l'abonnement et les factures | Exécution du contrat, obligation légale comptable |
| Données techniques (adresse IP, journaux de connexion et d'erreurs) | Sécurité, prévention des abus, correction des bugs | Intérêt légitime |
3. Allergies et données de santé
Les allergies et régimes alimentaires sont des données de santé, protégées de manière renforcée. Dans Toqa :
- l'établissement confirme avoir l'accord du client avant d'enregistrer une allergie ou un régime ;
- seules les équipes que l'hôtel choisit d'informer (bar, cuisine, salle) et les managers voient la demande ;
- les demandes clients sont supprimées automatiquement 30 jours après avoir été marquées comme faites, et au plus tard 90 jours après leur création ;
- nous recommandons de ne noter que l'essentiel (ex. « allergie fruits à coque »), sans détail médical.
4. Qui reçoit les données ?
Les données ne sont jamais vendues ni utilisées pour de la publicité. Au sein d'un restaurant, chacun ne voit que ce qui concerne son poste. Elles sont hébergées et traitées par nos prestataires techniques, liés par des engagements de confidentialité et de sécurité :
- Supabase Inc. — supabase.com (base de données hébergée dans l'Union européenne) : base de données et comptes ;
- Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, États-Unis — vercel.com : hébergement de l'application ;
- Brevo (Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, France — brevo.com : envoi des emails (confirmation, invitations) ;
- Stripe Payments Europe Ltd., Dublin, Irlande — stripe.com : paiement de l'abonnement ;
- Anthropic PBC, San Francisco, États-Unis — anthropic.com : lecture des bons de livraison photographiés (l'image est envoyée pour être lue, Toqa ne la conserve pas) ;
- les services de notification du navigateur ou du téléphone (Google, Apple, Mozilla) : acheminement des notifications que tu as activées.
Certains de ces prestataires sont établis aux États-Unis. Les transferts éventuels hors de l'Union européenne sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) ou par les clauses contractuelles types de la Commission européenne.
5. Combien de temps ?
- Compte utilisateur : tant que le compte existe ; supprimé sur demande ou avec le restaurant.
- Données d'un restaurant : pendant l'abonnement, puis 90 jours après sa fin, puis suppression.
- Demandes clients : 30 jours après « fait », 90 jours au maximum.
- Réservations : 180 jours après la date du service.
- Planning et heures de pointage : avec les données du restaurant, y compris après le départ d'un employé (paie).
- Photos de pointage : effacées automatiquement après la durée choisie par l'établissement (30 jours par défaut, 90 jours au plus).
- Photos HACCP : effacées automatiquement après 1 an.
- Factures : 10 ans (obligation comptable).
- Journaux techniques : selon les durées de nos prestataires, en général quelques semaines.
6. Sécurité
Connexions chiffrées (HTTPS), mots de passe hachés, confirmation de l'adresse email, cloisonnement de chaque restaurant et de chaque poste directement dans la base de données, clés secrètes conservées uniquement côté serveur, invitations à usage unique et limitées dans le temps.
7. Cookies
Toqa n'utilise que des cookies et un stockage local strictement nécessaires (garder ta session ouverte, mémoriser des préférences d'affichage). Aucun cookie publicitaire ni de mesure d'audience : aucun consentement n'est donc demandé.
8. Tes droits
Tu peux demander l'accès à tes données, leur rectification, leur effacement, leur portabilité, la limitation du traitement, t'opposer à un traitement fondé sur l'intérêt légitime, et retirer ton consentement à tout moment. Écris à [À compléter : email de contact]. Nous répondons sous un mois.
Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL (cnil.fr, 3 place de Fontenoy, 75007 Paris).