Politique de confidentialité

Les données décrites ici sont traitées par Thomas Ibrahim, éditeur de Carte chaude, domicilié à Valence, France. Voir aussi les mentions légales.

À l’inscription, Carte chaude collecte votre adresse e-mail et un mot de passe (stocké de façon chiffrée, jamais en clair, par notre prestataire d’authentification Supabase).

Si vous cliquez sur « Me prévenir » pour une formule qui n’est pas encore ouverte (Étoilé), l’adresse e-mail de votre compte est enregistrée avec votre restaurant, uniquement pour vous écrire quand elle sera disponible. Vous pouvez demander sa suppression à tout moment.

Toutes les informations que vous saisissez pour votre site (nom, type d’établissement, description, téléphone, WhatsApp, e-mail de contact, adresse, horaires, carte et prix, photos, liens vers vos réseaux sociaux) sont destinées à être affichées publiquement sur votre page cartechaude.fr/r/<votre-site> dès que vous la publiez : c’est l’objet même du service, pas une collecte cachée.

Il en va de même des informations réglementaires que vous choisissez de renseigner : allergènes de vos plats, mention « fait maison », origine des viandes et, pour votre page « Mentions légales », la raison sociale, le numéro SIRET, l’adresse du siège et le nom du directeur ou de la directrice de la publication. Ce dernier est un nom de personne : il est publié tel que vous l’écrivez, et vous pouvez le modifier ou le retirer à tout moment depuis la page « Conformité ».

Avec la formule À la Carte, vous pouvez proposer votre page en anglais et en espagnol. Les traductions (description du restaurant, noms des catégories, noms et descriptions des plats) sont enregistrées avec votre restaurant, affichées publiquement avec le reste de la page, et vous pouvez les corriger à tout moment. Pour les produire, ces textes, et seulement eux, sont envoyés à un service de traduction automatique (voir « Sous-traitants et hébergement »).

Quand un visiteur consulte ou interagit avec votre page publique, un évènement anonyme est enregistré, sans identifiant lié au visiteur (pas de cookie, pas d’adresse IP conservée, pas de profil individuel) :

• affichage de la page (page_view)
• clic sur « Commander » via WhatsApp (whatsapp_click)
• clic sur le numéro de téléphone (phone_click)
• clic sur « Itinéraire » (directions_click)
• clic sur « Réserver » (reservation_click)
• clic vers Instagram, TikTok ou Facebook (instagram_click, tiktok_click, facebook_click)
• clic vers une plateforme de livraison ou sur « Commander la livraison » (ubereats_click, deliveroo_click, justeat_click, delivery_other_click, own_delivery_click)
• ouverture de la fiche d’un plat, avec l’identifiant du plat concerné (dish_click)

Lorsque vous publiez avec un style réservé à la formule À la Carte, quelques évènements internes de parcours (affichage de l’écran de choix, démarrage de l’essai, poursuite en gratuit) sont aussi enregistrés sur votre restaurant, sans lien avec vos visiteurs.

Ces compteurs sont agrégés et affichés uniquement au propriétaire du restaurant concerné, dans la page « Statistiques » de son tableau de bord : compteurs des 30 derniers jours pour tous, et, avec la formule À la Carte, évolution jour par jour ou semaine par semaine, plats les plus consultés et heures d’affluence (calculées à partir de la date et de l’heure de chaque évènement, en heure de Paris). Ils permettent de savoir si une page génère des visites et des clics, pas d’identifier qui l’a consultée.

Carte chaude ne dépose aucun cookie de mesure d’audience ou de publicité : les statistiques ci-dessus sont envoyées sans cookie. Le seul cookie utilisé est le cookie de session strictement nécessaire à votre connexion au tableau de bord (fourni par Supabase Auth) ; conformément à la réglementation, ce cookie strictement nécessaire au fonctionnement du compte ne requiert pas de bandeau de consentement.

Si vous remplissez le formulaire de contact de la page Sur Mesure, nous enregistrons votre nom, votre adresse e-mail, votre téléphone (facultatif), le nom et la ville de votre établissement, son type et votre message, avec la case de consentement que vous avez cochée. Ces informations servent uniquement à vous répondre au sujet de votre projet. Elles ne sont lisibles que par l’équipe de Carte chaude et sont supprimées 12 mois après le dernier échange.

• Supabase, Inc. — base de données, authentification et stockage des photos. [À compléter : région exacte du projet (UE ou US) à confirmer et indiquer ici]
• Vercel Inc. — hébergement de l’application.
• Paddle.com Market Limited — revendeur agréé (« merchant of record ») des abonnements : il encaisse le paiement, émet la facture et gère la TVA. Il reçoit les informations nécessaires à l’achat (adresse e-mail, pays, moyen de paiement) et agit pour ces traitements en tant que responsable de traitement, selon sa propre politique de confidentialité. Carte chaude ne voit ni ne conserve votre numéro de carte bancaire.
• Resend, Inc. — envoi de l’e-mail qui nous prévient d’une demande « Sur Mesure ». [À compléter : région et conditions de conservation côté Resend à confirmer et indiquer ici]
• Google LLC (Gemini API) — (1) lecture des photos de carte que vous choisissez d’importer (fonction « Importer ma carte ») : les photos sont envoyées pour en extraire les plats et les prix, puis ne sont pas conservées par Carte chaude ; (2) traduction automatique de votre carte en anglais et en espagnol (formule À la Carte, bouton « Traduire ») : seuls les textes de votre carte listés plus haut sont envoyés, jamais de données sur vos visiteurs ni sur votre compte. [À compléter : confirmer que la clé API Google utilisée est liée à un compte avec facturation activée (services payants, dont les données ne servent pas à améliorer les produits de Google), puis indiquer ici les conditions de conservation côté Google]

Aucune autre société n’a accès à vos données, et elles ne sont ni vendues ni utilisées à des fins publicitaires.

• Création et gestion de votre compte, mise en ligne de votre page, traductions et import de carte : exécution du contrat (conditions d’utilisation).
• Statistiques de visite anonymes et sécurité du service (limitation des abus) : intérêt légitime à mesurer l’usage et à protéger le service.
• Demandes « Sur Mesure » et « Me prévenir » : votre consentement, que vous pouvez retirer à tout moment.
• Facturation et obligations comptables : obligation légale, assurée par Paddle en tant que revendeur.

Plusieurs de nos sous-traitants sont des sociétés américaines (Supabase, Vercel, Resend, Google) ou peuvent traiter des données hors de l’Union européenne. Ces transferts doivent être encadrés par des garanties appropriées : décision d’adéquation (cadre de protection des données UE–États-Unis) ou clauses contractuelles types de la Commission européenne. [À compléter : garantie retenue pour chaque sous-traitant (adhésion au cadre UE–États-Unis ou clauses types signées) à vérifier et indiquer ici]

Vos données sont conservées tant que votre compte est actif. [À compléter : délai précis de conservation après suppression d’un compte à définir]. Les compteurs de visite affichés dans votre tableau de bord portent sur les 30 derniers jours (jusqu’à 12 semaines avec la formule À la Carte). Les évènements anonymes de visite ne sont pas conservés plus de 25 mois. [À compléter : suppression automatique des évènements de plus de 25 mois à mettre en place avant le lancement].

L’accès aux données est protégé par des règles de sécurité au niveau des lignes (Row Level Security) : un compte ne peut lire ou modifier que son propre restaurant, et seules les pages publiées par leur propriétaire sont visibles publiquement. Les échanges avec le site sont chiffrés (HTTPS).

Conformément au RGPD, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation et d’opposition sur vos données, ainsi que d’un droit à la portabilité.

Pour les exercer : contact@cartechaude.fr [À compléter : boîte e-mail pas encore activée]. Vous pouvez aussi introduire une réclamation auprès de la CNIL (cnil.fr).

Cette politique peut évoluer, notamment à mesure que Carte chaude sort de sa phase de lancement. La date de dernière mise à jour figure en haut de cette page.