Politique de confidentialité

La présente politique décrit la manière dont « Conformité EGAlim » collecte, utilise et protège vos données personnelles, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés ».

1. Responsable du traitement

Le responsable du traitement est [Nom / raison sociale], [statut], SIRET [numéro], [adresse]. Contact : contact@conformite-egalim.fr.

2. Données collectées

Données de compte

• Identité : prénom, nom.
• Coordonnées : adresse e-mail, téléphone (facultatif), fonction.

Données d'établissement

• Nom de l'établissement, adresse, numéro SIRET, type d'établissement, nombre de repas.

Données issues de vos documents

• Contenu des factures et bons de livraison déposés : lignes de produits, quantités, montants, fournisseurs, labels de qualité.

Données techniques

• Journaux de connexion et d'usage strictement nécessaires au fonctionnement et à la sécurité du service.

3. Finalités et bases légales

• Fourniture du service (analyse des factures, calcul des ratios EGAlim, préparation de la télédéclaration ma-cantine) - exécution du contrat.
• Gestion du compte, de l'équipe et de l'abonnement - exécution du contrat.
• Sécurité et prévention des usages abusifs - intérêt légitime.
• Obligations comptables et de facturation - obligation légale.

4. Destinataires et sous-traitants

Vos données ne sont communiquées à aucun tiers à des fins commerciales, ni vendues ni cédées. Elles ne sont transmises qu'aux sous-traitants techniques strictement nécessaires au fonctionnement du service, listés ci-dessous et engagés par des garanties contractuelles, ou aux autorités compétentes lorsque la loi l'exige :

• Supabase - hébergement de la base de données et authentification (Union européenne).
• Google Cloud (Document AI, Vertex AI) - reconnaissance et extraction automatisées du contenu des factures.
• Resend - envoi des e-mails transactionnels (confirmation, invitation, réinitialisation).
• Vercel - hébergement de l'interface web.
• Stripe - traitement des paiements, le cas échéant lors de l'achat de la licence annuelle.

5. Localisation et transferts

L'hébergement de la base de données (Supabase) et la reconnaissance documentaire (Document AI) sont configurés en région Union européenne. [À vérifier et préciser : région de traitement Vertex AI / Gemini, ou garanties applicables.] Certains prestataires (ex. Vercel, Stripe) peuvent impliquer des transferts hors UE encadrés par les clauses contractuelles types de la Commission européenne.

6. Durée de conservation

• Données de compte : pendant la durée d'utilisation, puis [ex. 3 ans] après la clôture du compte.
• Documents déposés et lignes extraites : pendant la durée de l'abonnement ; supprimables à tout moment sur demande.
• Données de facturation : conservées conformément aux obligations légales (jusqu'à 10 ans).

7. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Pour les exercer, contactez : [adresse e-mail].

Vous pouvez également introduire une réclamation auprès de la CNIL - www.cnil.fr.

8. Cookies et balises de suivi

L'application utilise uniquement des cookies strictement nécessaires à l'authentification et au fonctionnement du service. Aucun cookie publicitaire ou de suivi tiers n'est déposé ; aucun consentement n'est donc requis à ce titre. Le service n'utilise pas non plus de balises (« tags ») publicitaires ou analytiques tierces (pixels de suivi, etc.).

9. Sécurité

L'accès aux données est cloisonné par établissement au niveau de la base de données (Row-Level Security). Les échanges sont chiffrés en transit (HTTPS) et l'authentification est assurée par un fournisseur d'identité sécurisé.

10. Notification d'incident

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, le responsable du traitement notifie la Commission Nationale de l'Informatique et des Libertés (CNIL) dans un délai de 72 heures à compter de la connaissance de l'incident, conformément à l'article 33 du RGPD. Lorsque l'incident est susceptible d'engendrer un risque élevé pour vos droits et libertés, vous en êtes informé dans les meilleurs délais (article 34 du RGPD), avec une description de l'incident, de ses conséquences probables et des mesures prises pour y remédier.

11. Contact

Pour toute question relative à vos données personnelles : [adresse e-mail].