Politique de confidentialité — applis des postes Dalopi

En bref

Qui est responsable des données

Le restaurant

Le restaurant installe les postes et choisit leur usage. Il décide de l'usage des données de ses clients et de son personnel : il est responsable du traitement au sens du RGPD. Le serveur Dalopi du restaurant est installé chez lui, ou hébergé par H12 TECH.

H12 TECH, l'éditeur

H12 TECH édite le logiciel Dalopi et ces trois applis. Quand H12 TECH héberge le serveur du restaurant (offre tablettes), ou intervient sur son serveur pour le SAV, les mises à jour et les sauvegardes, elle agit pour le compte du restaurant : elle est sous-traitant au sens du RGPD et n'utilise pas ces données pour elle-même.

Ce que l'appli garde dans la tablette

• L'adresse du serveur Dalopi du restaurant.
• Le jeton du poste : un code secret qui ouvre ce poste sans mot de passe.
• Les réglages de l'imprimante (adresse de l'imprimante réseau, imprimante USB choisie ou autre poste).
• Le code des réglages (0000 au départ) et le choix du verrouillage.
• La connexion à la page du poste (cookies et données de la page).
• Le journal des 30 dernières impressions, affiché dans les réglages. Il reste en mémoire seulement : il s'efface quand l'appli redémarre.

Ces données ne partent pas dans la sauvegarde de la tablette. L'appli n'envoie rien à H12 TECH. Seule exception : le lien « Politique de confidentialité » des réglages affiche cette page, chargée depuis dalopi.fr comme n'importe quelle page web.

Pour relier la tablette au serveur, l'installateur scanne le QR code du poste ou tape à la main l'adresse du serveur et le jeton.

Ce que traite la page du poste

La page du poste fonctionne avec le logiciel Dalopi, sur le serveur du restaurant. Ce que vous y tapez part vers ce serveur et y reste.

Dalopi Caisse (le personnel)

• Les commandes et les paiements : articles, montant, mode de paiement (espèces, carte…). La carte bancaire est lue par le terminal de paiement : l'appli ne la voit pas.
• Si le client le veut : sa fiche, tapée par le caissier. Nom, prénom, téléphone, e-mail, adresse et instructions de livraison. Le restaurant s'en sert pour la livraison, le crédit fidélité et l'envoi d'un reçu. Sans fiche, la vente est anonyme.
• Les notes de commande.
• Qui ouvre la caisse (l'employé choisi dans la liste), le fonds de caisse et les notes de la session.
• Les actions du caissier, avec l'heure : ouverture du tiroir, annulation, fermeture de la caisse. La loi demande de garder la trace des ventes et de leurs corrections.

Dalopi Cuisine (le personnel)

• L'écran montre les commandes à préparer : articles, heure, et parfois le prénom ou le nom du client.
• Ce que fait le cuisinier, avec l'heure : commande terminée, mise en priorité ou annulée, ticket imprimé.
• L'écran peut afficher le QR code de pointage du personnel. Chaque employé le scanne avec son propre téléphone : le pointage ne passe pas par l'appli.

Dalopi Borne (les clients du restaurant)

• Votre commande : articles, sur place ou à emporter, mode de paiement.
• Vous pouvez commander sans compte.
• Le programme de fidélité est facultatif. Vous tapez votre numéro de téléphone : s'il est nouveau, un compte fidélité est créé chez le restaurant. Vous pouvez ajouter votre prénom et votre e-mail. Si vous êtes déjà inscrit, vous pouvez aussi présenter votre QR fidélité au lecteur de la borne (un lecteur à part, pas l'appareil photo de la tablette). Le crédit fidélité gagné et utilisé est noté sur votre compte.
• « Signaler un problème » : votre message part par SMS au responsable du restaurant.
• Alcool : la borne prévient qu'une pièce d'identité vous sera demandée au comptoir.
• Le paiement par carte se fait sur le terminal de paiement de la borne. L'appli ne voit pas votre carte.

Les données que le personnel voit

La caisse et l'écran cuisine montrent des données de clients (nom, téléphone, adresse, commande). Elles viennent du serveur du restaurant. Le personnel s'en sert seulement pour le service.

Les données déclarées sur Google Play

Ce sont les types de données de la fiche « Sécurité des données » de chaque appli, avec les libellés de Google. Elles sont collectées pour le restaurant, gardées sur son serveur, et ne sont ni vendues ni partagées.

• Nom : à la caisse, le nom et le prénom du client, s'il veut une fiche ; à la borne, votre prénom, si vous le donnez.
  Pourquoi : fonctionnement de l'application, gestion du compte.
• Adresse e-mail : à la caisse, celle du client, s'il la donne ; à la borne, la vôtre, si vous la donnez. Les offres du restaurant, seulement si le client les accepte (à partir de 15 ans).
  Pourquoi : fonctionnement de l'application, gestion du compte, publicité ou marketing (les offres du restaurant).
• ID utilisateur : à la caisse, l'employé qui ouvre la caisse et la fiche du client choisie ; à la borne, votre compte fidélité.
  Pourquoi : fonctionnement de l'application, gestion du compte, prévention des fraudes, sécurité et conformité.
• Adresse : à la caisse, l'adresse de livraison du client.
  Pourquoi : fonctionnement de l'application.
• Numéro de téléphone : à la caisse, celui du client (fiche, livraison, reçu par SMS) ; à la borne, le vôtre, pour le programme de fidélité. Les offres du restaurant, seulement si le client les accepte (à partir de 15 ans), avec la mention STOP.
  Pourquoi : fonctionnement de l'application, gestion du compte, publicité ou marketing (les offres du restaurant).
• Historique des achats : les commandes et les paiements (montant, mode), le crédit fidélité gagné et utilisé.
  Pourquoi : fonctionnement de l'application, gestion du compte, prévention des fraudes, sécurité et conformité (la loi demande de garder les ventes).
• Interactions avec l'application : à la caisse, les actions du caissier (tiroir, annulation, fermeture) ; en cuisine, les commandes terminées, mises en priorité ou annulées, les tickets imprimés.
  Pourquoi : fonctionnement de l'application, prévention des fraudes, sécurité et conformité.
• Autre contenu généré par l'utilisateur : à la caisse, les notes de commande, les instructions de livraison et les notes de la caisse ; à la borne, le message de « Signaler un problème ».
  Pourquoi : fonctionnement de l'application.
• Appareil ou autres ID : le jeton du poste, les cookies de connexion et de sécurité de la page, et la signature de l'appli (« DalopiPoste », version d'Android, modèle de la tablette).
  Pourquoi : fonctionnement de l'application, prévention des fraudes, sécurité et conformité.

L'impression des tickets

L'appli imprime elle-même les tickets de la page : ticket de caisse, ticket de cuisine, ticket de commande de la borne. Elle les envoie à l'imprimante du restaurant, par le réseau local ou par câble USB, ou à un autre poste qui porte l'imprimante. Le relais d'impression écoute seulement à l'intérieur de la tablette (adresse 127.0.0.1) : on ne peut pas le joindre depuis le réseau.

Pour imprimer même quand l'appli n'est pas à l'écran, une tâche en premier plan reste active, avec une notification « Impression active ». L'appli Cuisine demande aussi au serveur, toutes les 3 secondes, s'il y a des tickets cuisine à imprimer, même écran éteint.

Les autorisations de la tablette

• Appareil photo : seulement dans les réglages, pour lire le QR code du poste. L'autorisation est demandée au moment de scanner. L'image n'est ni gardée ni envoyée. La page du poste ne peut pas se servir de l'appareil photo.
• Internet et état du réseau : pour joindre le serveur du restaurant et l'imprimante, et recharger la page quand le réseau revient.
• Tâche en premier plan : pour l'impression (voir plus haut). Android demande aussi l'autorisation « changer l'état du réseau » pour ce type de tâche ; l'appli ne change pas vos réglages réseau.
• Notifications : seulement pour la notification de l'impression.
• Démarrage de la tablette : le poste et l'impression reprennent seuls après un redémarrage.
• Garder la tablette éveillée : l'écran du poste reste allumé, le wifi reste prêt, et l'écran cuisine imprime même écran éteint.
• USB : pour une imprimante branchée. Android demande votre accord.

L'appli ne demande pas l'accès aux contacts, aux photos, aux fichiers, au micro ni à la position.

Le verrouillage du poste

Un poste ne doit pas servir à autre chose. La borne est toujours verrouillée ; la caisse et l'écran cuisine, au choix du restaurant. Il y a deux façons :

• L'épinglage de l'écran : Android demande de le confirmer. L'appli reste à l'écran.
• Le verrouillage complet, fait par l'installateur sur une tablette remise à zéro : il fait de l'appli la « propriétaire » de la tablette. L'appli s'en sert seulement pour rester à l'écran, s'ouvrir au démarrage et retirer l'écran de verrouillage. Elle n'efface rien, ne lit pas les autres applis et ne suit pas la tablette.

Les réglages s'ouvrent seulement avec le code des réglages (0000 au départ). Le restaurant doit le changer.

Ce que nous ne faisons pas

• Pas de publicité de tiers. La borne peut montrer les offres du restaurant lui-même.
• Pas de traceur, pas d'outil de mesure d'audience, pas d'outil de suivi des plantages.
• Pas d'identifiant publicitaire. L'appli ne connaît pas votre position.
• Les données ne sont ni vendues ni louées.

Sécurité

• Serveur hébergé : les échanges passent en https, ils sont chiffrés.
• Serveur installé dans le restaurant : la tablette le joint par le réseau local du restaurant, souvent sans https. Ces échanges ne sont pas chiffrés par l'appli. Le wifi des postes doit donc être protégé par un mot de passe, et séparé du wifi offert aux clients.
• Seul le serveur du restaurant s'ouvre dans l'appli. Les liens vers d'autres sites sont bloqués.
• Le jeton du poste ouvre le poste sans mot de passe : il est caché derrière le code des réglages.
• Les données de l'appli ne partent pas dans la sauvegarde de la tablette.
• Chaque restaurant a sa propre base de données, séparée de celles des autres.

Combien de temps

• Dans la tablette : les réglages et la connexion restent jusqu'à ce que vous effaciez les données de l'appli ou que vous la désinstalliez. Le journal des impressions s'efface au redémarrage de l'appli.
• Chez le restaurant : un compte fidélité reste jusqu'à ce que le client demande sa suppression. Le restaurant fixe ses autres durées, dans sa propre politique de confidentialité.
• Les commandes et les paiements sont des ventes du restaurant. La loi lui impose de les garder (comptabilité, contrôle fiscal : jusqu'à 10 ans), même après la suppression d'une fiche client, mais sans le nom ni le téléphone du client.
• Les sauvegardes du restaurant sont chiffrées et gardées par H12 TECH sur des serveurs OVHcloud situés en France. Elles servent seulement à remettre le restaurant en route après une panne, et sont remplacées au fil du temps.

Si vous avez moins de 18 ans

Vous pouvez commander à la borne. Voici ce qui vous concerne.

• Repas : vous pouvez commander et payer un repas, sans compte.
• Alcool : interdit aux moins de 18 ans. Une pièce d'identité vous sera demandée au comptoir. Sans elle, l'alcool ne sera pas remis.
• Fidélité : votre numéro de téléphone est facultatif. La borne n'envoie pas d'offres. Les offres du restaurant sont seulement pour les 15 ans et plus qui les acceptent.
• Vos parents : un de vos parents peut exercer vos droits pour vous, par exemple demander la suppression de votre compte fidélité.

Dalopi Caisse et Dalopi Cuisine sont des outils de travail, pour le personnel du restaurant.

Vos droits

Vous pouvez demander à voir vos données, à les corriger, à les supprimer, à en limiter l'usage, à vous opposer à leur usage ou à les récupérer dans un fichier. Adressez-vous d'abord au restaurant. Vous pouvez aussi écrire à H12 TECH : nous vous aidons et nous faisons le nécessaire avec le restaurant. Réponse en un mois au plus.

Si vous pensez que vos droits ne sont pas respectés, vous pouvez vous plaindre à la CNIL : www.cnil.fr/fr/plaintes, ou par courrier : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Effacer les données

Les données de l'appli dans la tablette

Les données des commandes et des clients

Ce qui est supprimé

• Votre compte fidélité ou votre fiche client : nom, prénom, téléphone, e-mail, adresse enregistrée, solde de crédit fidélité.

Ce qui est gardé

• Les commandes et les paiements, sans votre nom ni votre téléphone, jusqu'à 10 ans, parce que la loi impose au restaurant de garder ses ventes (comptabilité, contrôle fiscal).
• Les sauvegardes chiffrées du restaurant, jusqu'à leur remplacement.

La suppression est faite dans un délai d'un mois au plus après votre demande.

Changements

Si cette politique change, la nouvelle version est publiée sur cette page, avec sa date.

Voir aussi : la politique de confidentialité de l'appli Dalopi (pour les clients), celle de Dalopi Livreur et les mentions légales.