Politique de confidentialité

Responsable du traitement

Romain Mornet(entrepreneur individuel, SIRET 988 682 415 00019), 195 boulevard de l'Aéroport International, 34000 Montpellier, France. Contact : romaindesigncode@gmail.com.

Données collectées et finalités

• Compte restaurateur : email, mot de passe (haché), raison sociale, location. Finalité : authentification, gestion compte. Base légale : contrat. Conservation : durée du contrat + 3 ans après fermeture.
• Commandes client final : prénom, nom, e-mail, téléphone, adresse (livraison), contenu commande, total. Finalité :traitement de la commande, facturation, contact SAV. Base légale :contrat de vente + obligation légale (facturation). Conservation :10 ans (obligation comptable art. L.123-22 Code commerce).
• Données de paiement : transmises directement à Stripe, jamais stockées par Primaps ni le restaurateur. Finalité :encaissement. Sous-traitant : Stripe Payments Europe Ltd.
• Cookies techniques (session auth) : strictement nécessaires, dispense de consentement (art. 82 LIL).

Données Google Business Profile (connexion de la fiche)

Lorsqu'un restaurateur connecte sa fiche Google via OAuth, Primaps accède — uniquement à la fiche dont l'utilisateur est propriétaire ou gestionnaire — aux données suivantes, via le périmètre (scope) https://www.googleapis.com/auth/business.manage :

• les informations de la fiche (nom, adresse, téléphone, site, horaires, attributs, catégorie) ;
• les photos et publications (posts) de la fiche ;
• les avis et la possibilité d'y répondre ;
• les statistiques de performance (vues, appels, itinéraires).

Finalité : fournir au restaurateur les fonctionnalités de Primaps sur sa propre fiche — affichage, édition, synchronisation des informations vers son site, suivi de visibilité, réponses aux avis. Ces données ne sont utilisées à aucune autre fin: ni publicité, ni revente, ni entraînement de modèles d'IA généralisés, ni accès par des humains (sauf consentement explicite, obligation légale, ou pour la sécurité/le débogage).

Stockage :les jetons OAuth sont chiffrés au repos (AES-256-GCM) ; les données sont hébergées dans l'UE et cloisonnées par établissement. Révocation :le restaurateur peut déconnecter sa fiche à tout moment depuis Primaps, ou révoquer l'accès via myaccount.google.com/permissions.

Conformité Limited Use.L'utilisation et le transfert par Primaps des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'usage limité (Limited Use).

Sous-traitants

• Vercel Inc. (hébergement) — USA, Data Processing Agreement signé
• Supabase Inc. (base de données) — UE (Frankfurt), instance EU-west
• Stripe Payments Europe Ltd. (paiement) — Irlande
• Resend (envoi d'emails transactionnels) — USA, DPA signé
• Google LLC (Maps, OAuth Business Profile) — USA, clauses contractuelles types

Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Pour exercer ces droits, contactez-nous à romaindesigncode@gmail.com.

Vous avez également le droit de déposer une réclamation auprès de la CNIL (cnil.fr).

Transferts hors UE

Certains sous-traitants (Vercel, Stripe US, Google, Resend) hébergent des données aux États-Unis. Les transferts sont encadrés par des clauses contractuelles types adoptées par la Commission européenne (décision 2021/914).

Sécurité

Données chiffrées en transit (TLS 1.3) et au repos (chiffrement Postgres côté Supabase). Mots de passe hachés (bcrypt). Accès limités par RLS multi-tenant — un restaurateur n'a accès qu'à ses propres données.