Politique de Confidentialité

Morcel (« Morcel », « nous ») édite un logiciel qui transforme les menus de restaurants en expériences de navigation mobile inspirées des réseaux sociaux, accessibles par QR code. Cette politique couvre www.morcel.app, l'application Morcel et les menus destinés aux convives que nous hébergeons pour le compte des restaurants.

Nous intervenons à deux titres différents, et cela a une incidence sur vos droits : à l'égard des visiteurs de notre site et des titulaires de comptes, nous sommes responsable du traitement. À l'égard du contenu des menus et des interactions des convives appartenant à un restaurant qui utilise Morcel, ce restaurant est le responsable du traitement et nous agissons comme son sous-traitant : nous traitons ces données sur ses instructions. Si vous êtes un convive et souhaitez la suppression de données figurant sur le menu d'un restaurant précis, contactez d'abord ce restaurant ; nous l'aiderons à donner suite à votre demande.

Toute question sur ce document peut être adressée à admin@commissary.app.

Nous ne collectons que ce qui est nécessaire au fonctionnement du service :

• Données de compte : nom, adresse e-mail, mot de passe (stocké sous forme hachée), nom du restaurant, adresse de l'établissement, numéro de téléphone et langue préférée.
• Contenu du menu et de l'établissement : tout ce que vous téléversez pour composer votre menu : noms des plats, descriptions, prix, catégories, photos et éléments de marque.
• Données de facturation : formule, périodicité, factures, ainsi que les quatre derniers chiffres et la date d'expiration de votre carte. Les numéros de carte complets sont saisis directement auprès de notre prestataire de paiement et ne parviennent jamais aux serveurs de Morcel.
• Données d'interaction des convives : lorsqu'un convive scanne un QR code, nous enregistrons des interactions non identifiantes telles que les plats consultés, l'activité de défilement et de balayage, le modèle de menu utilisé et une localisation approximative déduite de l'adresse IP (au niveau de la ville ou de la région). Les convives n'ont pas besoin de compte pour consulter un menu.
• Données d'appareil et journaux : adresse IP, type et version du navigateur, système d'exploitation, page de provenance, pages consultées et horodatages. Les journaux servent à la sécurité, au débogage et à la prévention des abus.
• Cookies et technologies similaires : voir notre Politique de Cookies pour la liste complète et les moyens de les contrôler.
• Communications : les messages que vous nous adressez par e-mail ou via nos canaux d'assistance, pièces jointes incluses.

Nous ne collectons pas volontairement de données sensibles (santé, biométrie, convictions religieuses ou politiques, géolocalisation précise) et vous demandons de ne pas en transmettre via le contenu de vos menus ou vos messages d'assistance.

• Créer et administrer votre compte, et vous authentifier lors de la connexion.
• Héberger, générer et diffuser vos menus, produire des QR codes et les présenter dans la langue préférée de vos convives.
• Traiter les paiements, émettre les factures et gérer les renouvellements, montées et descentes de formule ainsi que les résiliations.
• Assurer l'assistance et répondre à vos questions.
• Produire pour vous des statistiques agrégées — par exemple les plats qui retiennent le plus l'attention — afin d'améliorer votre menu.
• Superviser, sécuriser et améliorer le service, y compris diagnostiquer les incidents et prévenir la fraude et les abus.
• Envoyer des messages de service et transactionnels (avis de facturation, alertes de sécurité, modifications substantielles de nos conditions). Il ne s'agit pas de prospection et vous ne pouvez pas vous y opposer tant que vous détenez un compte.
• Envoyer des actualités produit et des communications commerciales lorsque nous disposons de votre consentement ou d'un intérêt légitime. Chaque e-mail commercial comporte un lien de désabonnement en un clic.
• Respecter nos obligations légales et faire appliquer nos Conditions d'Utilisation.

Nous ne vendons pas de données personnelles et n'utilisons ni le contenu de vos menus ni les données de vos convives pour entraîner des modèles publicitaires de tiers.

Si vous résidez au Royaume-Uni, dans l'EEE ou en Suisse, nous nous appuyons sur les bases légales suivantes au titre du RGPD :

Nous ne partageons des données personnelles que dans les cas ci-dessous, et uniquement dans la mesure nécessaire :

• Prestataires (sous-traitants) agissant pour notre compte sous contrat : hébergement cloud et réseau de diffusion de contenu, prestataire de paiement, acheminement des e-mails transactionnels, supervision des erreurs, analyse produit et outils d'assistance client.
• Partenaires de mesure et de publicité : Google (Google Analytics 4 et Google Tag Manager) et Meta (Meta Pixel), utilisés pour mesurer la performance de notre site vitrine. Voir la section 06.
• Votre restaurant : si vous interagissez avec un menu, le restaurant qui en est propriétaire peut consulter les données d'interaction agrégées de ce menu.
• Conseils professionnels : experts-comptables, auditeurs et avocats, tenus au secret professionnel.
• Obligations légales et sécurité : lorsque la loi nous impose une divulgation, ou lorsque celle-ci est nécessaire pour protéger nos droits, votre sécurité ou celle d'autrui.
• Opérations sur le capital : en cas de fusion, acquisition, financement ou cession d'actifs, les données peuvent être transférées dans le cadre de l'opération. Nous vous en informerons avant que vos données ne soient soumises à une politique de confidentialité substantiellement différente.

Notre site vitrine charge les outils tiers suivants. Chacun est exploité par le fournisseur indiqué, selon sa propre politique de confidentialité :

Vous pouvez les bloquer depuis votre navigateur ou utiliser les mécanismes d'opposition décrits dans notre Politique de Cookies.

Morcel est diffusé depuis une infrastructure répartie dans le monde entier : vos données personnelles peuvent donc être traitées dans des pays autres que le vôtre, y compris aux États-Unis. Lorsque nous transférons des données hors du Royaume-Uni ou de l'EEE, nous nous appuyons sur une décision d'adéquation lorsqu'elle existe, ou sur les Clauses Contractuelles Types de la Commission européenne (accompagnées de l'addendum britannique le cas échéant), assorties de mesures techniques complémentaires telles que le chiffrement en transit et au repos.

Vous pouvez demander une copie du mécanisme de transfert applicable à un prestataire donné en écrivant à admin@commissary.app.

Les sauvegardes sont renouvelées par rotation : les données supprimées peuvent donc subsister dans des sauvegardes chiffrées pendant une courte période après leur retrait des systèmes actifs.

Nous utilisons le chiffrement en transit (HTTPS/TLS) et au repos, des mots de passe hachés, des accès internes limités au strict nécessaire et une journalisation des actions d'administration. Les données de cartes bancaires sont traitées intégralement par un prestataire de paiement conforme à la norme PCI-DSS.

Aucun système n'est parfaitement sûr. Il vous appartient de garder vos identifiants confidentiels et de répondre des actions des personnes à qui vous donnez accès à votre compte. Si vous pensez que votre compte a été compromis, ou si vous avez découvert une vulnérabilité, écrivez-nous immédiatement à admin@commissary.app.

Selon votre lieu de résidence, vous pouvez disposer de tout ou partie des droits suivants :

• Accès : obtenir une copie des données personnelles que nous détenons sur vous.
• Rectification : faire corriger des données inexactes ou incomplètes.
• Effacement : demander la suppression des données que nous n'avons plus de motif licite de conserver.
• Portabilité : recevoir vos données dans un format structuré et lisible par machine.
• Limitation et opposition : demander la suspension d'un traitement, ou vous opposer à un traitement fondé sur l'intérêt légitime, y compris la prospection directe.
• Retrait du consentement : lorsque nous nous fondons sur le consentement, le retirer à tout moment, sans effet sur les traitements déjà réalisés.
• Non-discrimination : nous ne dégraderons pas le service dont vous bénéficiez parce que vous avez exercé un droit.
• Opposition à la vente ou au partage : nous ne vendons pas de données personnelles et ne les partageons pas à des fins de publicité comportementale intercontextuelle au sens de la CPRA ; il n'y a donc rien à refuser. Si cela changeait, nous mettrions préalablement en place un mécanisme d'opposition clair.

Pour exercer l'un de ces droits, écrivez à admin@commissary.app depuis l'adresse associée à votre compte. Nous répondons dans un délai de 30 jours (ou 45 jours pour les demandes CPRA, prolongeable une fois lorsque la loi l'autorise). Nous pouvons devoir vérifier votre identité avant d'agir. Vous pouvez passer par un mandataire, auquel cas nous demanderons un justificatif de mandat.

Si vous résidez au Royaume-Uni ou dans l'EEE et que le traitement de votre demande ne vous satisfait pas, vous pouvez saisir votre autorité de contrôle — en France, la CNIL, sur cnil.fr. Nous apprécierions toutefois de pouvoir d'abord résoudre le problème avec vous.

Morcel est un outil professionnel et ne s'adresse pas aux enfants. Nous ne collectons pas sciemment de données personnelles concernant des personnes de moins de 16 ans. Si vous pensez qu'un enfant nous a communiqué des données, contactez-nous et nous les supprimerons.

Nous pouvons faire évoluer cette politique au rythme du service et de la réglementation. La date de « dernière mise à jour » figurant en haut de cette page correspond toujours à la version en vigueur. Pour toute modification affectant substantiellement vos droits, nous informerons les titulaires de comptes par e-mail ou par un message dans le produit au moins 14 jours avant son entrée en vigueur.

Questions, demandes et réclamations relatives à la confidentialité : admin@commissary.app. Merci d'indiquer « Confidentialité » en objet pour que votre message parvienne rapidement à la bonne personne.