Cette traduction vous est proposée pour plus de commodité. Seule la version allemande fait foi juridiquement.
Kevin Baur, BSc
Hochstraß 542
3033 Klausen-Leopoldsdorf
Autriche
E-mail : [email protected]
Responsable du traitement au sens du règlement général sur la protection des données (RGPD), de la loi autrichienne sur la protection des données (Datenschutzgesetz, DSG) ainsi que – pour les utilisatrices et utilisateurs en Suisse – de la loi fédérale suisse révisée sur la protection des données (revDSG, en français nLPD).
Pelican est une application de planification des commandes pour la restauration professionnelle. Nous traitons des données à caractère personnel exclusivement pour fournir l’application et le site web associé, exécuter le contrat conclu avec l’établissement et respecter nos obligations légales. Vous trouverez ci-dessous les données que nous traitons, la base juridique sur laquelle nous nous fondons et les prestataires (sous-traitants) qui interviennent dans ce traitement.
Ce site web est diffusé via Cloudflare Pages (Cloudflare, Inc., États-Unis). Lors de sa consultation, des données de journal du serveur techniquement nécessaires sont traitées (notamment l’adresse IP, l’horodatage, la ressource consultée et le user-agent) afin d’assurer la diffusion et la sécurité du site. La base juridique est notre intérêt légitime à un fonctionnement sécurisé (art. 6, par. 1, point f, du RGPD). Pour la mesure d’audience, nous utilisons DataFast ; les cookies marketing de Meta et de Reddit ne sont déposés qu’après votre consentement (voir section 16).
Lorsque vous utilisez la saisie vocale, votre enregistrement audio est transmis pour traitement à OpenAI (OpenAI, L.L.C., États-Unis). L’enregistrement y est transcrit (reconnaissance vocale), puis analysé afin d’en extraire l’article, la quantité, l’unité et la catégorie et de les rapprocher du catalogue de produits. Les entrées reconnues sont reprises dans votre liste de commande.
Les comptes, l’authentification et la base de données sont gérés via Supabase (Supabase, Inc.). Les données de compte, d’organisation et de contenu mentionnées à la section 4 y sont stockées. L’accès est sécurisé par des règles d’accès au niveau de la base de données (Row Level Security), de sorte que chaque établissement ne voit que ses propres données. La base juridique est l’exécution du contrat (art. 6, par. 1, point b, du RGPD). La région d’hébergement utilisée est alignée sur un site situé dans l’UE (Francfort) ; en cas de traitement en dehors de l’UE, les garanties décrites à la section 10 s’appliquent.
Le paiement s’effectue exclusivement via la plateforme externe Lemon Squeezy (Merchant of Record). Les données de paiement et de facturation (p. ex. nom, adresse de facturation, moyen de paiement) sont collectées et traitées directement par Lemon Squeezy ; nous ne recevons aucune donnée de paiement complète. Pour activer l’établissement, nous recevons, au moyen d’une notification signée (webhook), uniquement les informations nécessaires à l’attribution (p. ex. identifiant de l’établissement, statut de l’abonnement/du paiement, date de fin d’accès). En sa qualité de Merchant of Record, Lemon Squeezy reverse également la TVA due. La base juridique est l’exécution du contrat (art. 6, par. 1, point b, du RGPD).
En cas de modification des listes de commande, l’application peut envoyer des notifications push. À cet effet, un jeton d’appareil est traité via le service Expo. Vous pouvez désactiver les notifications push à tout moment dans l’application ou dans les réglages de votre appareil (opt-out). La base juridique est notre intérêt légitime à une collaboration efficace au sein de l’équipe (art. 6, par. 1, point f, du RGPD) ou, selon le cas, votre consentement donné via la demande d’autorisation du système (point a).
Dans la mesure où cela est nécessaire, des contrats de sous-traitance (AVV/DPA) conformes à l’art. 28 du RGPD sont conclus avec ces prestataires.
Certains des services mentionnés traitent des données aux États-Unis ou dans d’autres pays tiers. Pour ces transferts, nous nous appuyons sur des garanties appropriées conformément aux art. 44 et suiv. du RGPD – en particulier les clauses contractuelles types (SCC) de la Commission européenne et, dans la mesure où les prestataires sont certifiés, le cadre EU-US Data Privacy Framework (DPF). Malgré ces garanties, le niveau de protection des données dans les pays tiers peut être inférieur à celui de l’UE.
Le traitement est effectué pour l’exécution du contrat (art. 6, par. 1, point b, du RGPD), sur la base d’intérêts légitimes (point f), sur la base de votre consentement (point a, notamment pour le traitement vocal) ainsi que pour le respect d’obligations légales (point c).
Nous ne conservons les données à caractère personnel que pendant la durée nécessaire aux finalités indiquées ou imposée par les délais légaux de conservation. Les comptes et les données associées peuvent être supprimés au moyen de la fonction de suppression du compte intégrée à l’application. À la fin du contrat ou après la suppression, les données sont effacées ou anonymisées dans un délai raisonnable. [Les délais précis restent à compléter, p. ex. suppression des données de l’établissement X jours après la fin de l’utilisation ; conservation légale des données de facturation.]
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, à la portabilité des données ainsi que d’opposition. Vous pouvez retirer à tout moment, avec effet pour l’avenir, les consentements que vous avez donnés. Pour exercer ces droits, il suffit d’envoyer un message à [email protected].
Vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle :
Pour les personnes concernées en Suisse, la loi révisée sur la protection des données (revDSG) s’applique à titre complémentaire. Les notions du RGPD doivent être transposées par analogie à la revDSG ; les dispositions correspondantes de la revDSG remplacent les bases juridiques du RGPD.
Strictement nécessaires. Dans le portail d’activation, un jeton d’authentification est stocké localement dans le navigateur (Local Storage) pour la connexion. Un cookie mémorise votre choix de langue. Ces deux éléments servent exclusivement au fonctionnement du site web et ne sont pas exploités à des fins publicitaires. La base juridique est notre intérêt légitime (art. 6, par. 1, point f, du RGPD).
Mesure d’audience avec DataFast. Nous mesurons de manière anonymisée les pages consultées. Aucun profil n’est établi d’un site à l’autre et les données ne sont pas transmises à des réseaux publicitaires. La base juridique est notre intérêt légitime à disposer d’un site web adapté aux besoins (art. 6, par. 1, point f, du RGPD).
Pixel Reddit et Conversions API – uniquement avec votre consentement. Si vous donnez votre accord dans le bandeau cookies, nous chargeons le pixel publicitaire de Reddit, Inc. (États-Unis). Celui-ci dépose un cookie (_rdt_uuid) et indique à Reddit si un clic sur l’une de nos annonces a conduit à une consultation de page, à une inscription ou à un achat. En complément, nous transmettons les mêmes événements côté serveur via la Conversions API ; votre adresse e-mail et votre adresse IP sont hachées avec SHA-256 avant la transmission, de sorte que Reddit ne les reçoit pas en clair. Reddit peut rapprocher ces données d’un compte Reddit existant et est, dans cette mesure, responsable conjoint du traitement avec nous (art. 26 du RGPD). La base juridique est exclusivement votre consentement (art. 6, par. 1, point a, du RGPD ; § 165, al. 3, de la loi autrichienne sur les télécommunications – TKG). Sans consentement, le pixel n’est pas chargé et aucun cookie n’est déposé.
Pixel Meta et Conversions API – uniquement avec votre consentement. Si vous donnez votre accord dans le bandeau cookies, nous chargeons le pixel de Meta Platforms Ireland Ltd. (Merrion Road, Dublin 4, Irlande). Celui-ci dépose les cookies _fbp et, si vous arrivez via une annonce sur Facebook ou Instagram, _fbc, et indique à Meta si un clic sur une annonce a conduit à une consultation de page, à une inscription ou à un abonnement. En complément, nous transmettons les mêmes événements côté serveur via la Meta Conversions API : identifiant de l’événement, horodatage, adresse de la page consultée, adresse IP, identifiant du navigateur (user-agent), les valeurs de _fbp et _fbc, un identifiant utilisateur haché et votre adresse e-mail sous forme de hachage SHA-256 (et non en clair). Si votre établissement passe ultérieurement à une offre payante, nous le signalons une seule fois comme conversion, avec le montant et la devise. Nous enregistrons en outre, pour votre établissement, la campagne d’origine de votre visite (paramètres UTM, identifiant de clic), afin d’évaluer nous-mêmes l’efficacité de notre publicité. Pour la collecte et la transmission à Meta, nous sommes responsables conjoints du traitement avec Meta (art. 26 du RGPD, accord) ; Meta est seule responsable du traitement ultérieur (politique de confidentialité de Meta). Meta peut transférer des données vers les États-Unis et est certifiée au titre du cadre EU-US Data Privacy Framework. La base juridique est exclusivement votre consentement (art. 6, par. 1, point a, du RGPD ; § 165, al. 3, TKG ; § 25, al. 1, de la loi allemande sur la protection des données dans les télécommunications et les services numériques – TDDDG). Sans consentement, le pixel n’est pas chargé, aucun cookie n’est déposé et aucun événement n’est transmis à Meta. Durée de conservation : _fbp et _fbc 90 jours ; les données de campagne relatives à votre établissement jusqu’à la suppression de celui-ci.
Retrait du consentement. Vous pouvez retirer votre consentement à tout moment, avec effet pour l’avenir : ouvrez les paramètres des cookies (également accessibles en bas de chaque page) et choisissez « Refuser ». Nous supprimons alors les cookies déposés ainsi que les données de campagne stockées dans votre navigateur. Vous pouvez aussi simplement envoyer un message à [email protected].
Nous adaptons la présente politique de confidentialité lorsque la situation juridique, les services utilisés ou les fonctionnalités évoluent. C’est la version publiée sur cette page qui s’applique.
Dernière mise à jour : octobre 2026
Pelican