01À propos de cette politique
Cette Politique de confidentialité explique comment COTRONIKA EOOD («nous», «notre», «nos»), la société qui exploite la plateforme UXO sur uxo.bgainsi que ses services associés (le «Service»), collecte, utilise, partage et protège les données personnelles.
Elle couvre le site marketing accessible sur uxo.bg, les applications de commande destinées aux clients que les restaurants déploient sous la marque UXO, le tableau de bord utilisé par les équipes des restaurants, ainsi que les interfaces de découverte de la marketplace - l'ensemble constituant le Service.
Cette politique est rédigée dans un langage clair afin que vous compreniez ce que nous faisons et quels sont vos droits. Lorsque nous employons des termes techniques issus du règlement général européen sur la protection des données (Regulation (EU) 2016/679, «GDPR»), nous les expliquons.
02Qui sommes-nous
COTRONIKA EOOD est une société bulgare à responsabilité limitée qui exploite UXO.
- Dénomination sociale
- COTRONIKA EOOD
- UIC / EIK
- 202457989
- VAT
- BG202457989
- Siège social
- Sofia 1700, Bulgaria
- Email de contact
- [email protected]
Nous n'avons pas désigné de délégué à la protection des données (DPO), car nos opérations de traitement n'atteignent pas les seuils obligatoires prévus par l'Article 37 GDPR. Vous pouvez néanmoins nous contacter pour toute question relative à la confidentialité à l'adresse email ci-dessus.
03Quelles données personnelles nous collectons
Les catégories de données personnelles que nous collectons dépendent de la manière dont vous interagissez avec le Service.
Données de compte du propriétaire de restaurant / du personnel (nous sommes responsable du traitement)
- Données d'identité et de contact - nom, email, numéro de téléphone, langue préférée.
- Informations professionnelles - nom du restaurant ou de la société, adresse, pays, numéros d'immatriculation et de VAT le cas échéant.
- Données d'authentification - mot de passe haché, codes à usage unique envoyés à votre email pour la connexion et la vérification, jetons de session.
- Données de facturation - offre, cycle de facturation, adresse de facturation, quatre derniers chiffres d'une carte de paiement (nous ne recevons jamais le numéro complet de la carte, voir Section 6), historique des factures.
- Communications que vous nous adressez - emails au support, messages envoyés via le formulaire de contact, réponses à nos emails de service.
Données des clients / convives transmises via le Service par un restaurant (nous sommes sous-traitant)
- Données de commande - articles choisis, variantes, notes à la cuisine, heure de commande, numéro de table ou informations de retrait / livraison.
- Données de contact du client - nom, numéro de téléphone, email et adresse de livraison lorsque le client passe une commande à emporter, en livraison ou une réservation, ou choisit de recevoir des mises à jour de statut.
- Données de compte - lorsqu'un client crée un compte de commande à distance, l'email ou le numéro de téléphone vérifié, la préférence de langue, les adresses de livraison enregistrées.
Nous traitons cette catégorie uniquement sur la base des instructions documentées du restaurant exploitant l'établissement, conformément à notre Accord de traitement des données (voir /legal/dpa). Nous ne vendons pas ces données, ne les louons pas et ne les utilisons pas à nos propres fins marketing.
Données techniques que nous collectons auprès de toute personne qui utilise le Service
- Adresse IP, type d'appareil, navigateur, système d'exploitation, URL de provenance.
- Pages consultées, temps passé, interactions avec l'interface, localisation approximative déduite de l'adresse IP.
- Cookies fonctionnels - par exemple le cookie
uxo_localequi mémorise votre choix de langue d'une page à l'autre. - Cookies d'analyse déposés par Google Analytics sur le site marketing uxo.bg (voir la Section 9 consacrée aux cookies).
- Journaux serveur - URL des requêtes, codes de statut, horodatages, chaînes User-Agent tronquées - conservés à des fins opérationnelles et de sécurité.
Pages Facebook et comptes Instagram connectés (option facultative, nous sommes responsable du traitement)
Si vous, ou un administrateur agissant pour votre restaurant, connectez une page Facebook depuis la page "Facebook et Instagram" de l'espace propriétaire, Meta nous donne accès à cette page et au compte Instagram professionnel qui lui est lié. Nous enregistrons alors :
- l'ID et le nom de la page Facebook, ainsi que l'ID et le nom d'utilisateur du compte Instagram lié ;
- le jeton d'accès de la page émis par Meta - stocké chiffré, utilisé uniquement par nos serveurs et jamais affiché dans l'espace ;
- qui a connecté la page et quand ;
- les publications que vous créez : texte, lien, photos choisies, programmation, les ID renvoyés par Meta, et le statut ou l'erreur de publication.
Nous utilisons ces données uniquement pour publier vos publications au moment choisi, sur la page et le compte Instagram que vous choisissez. Nous ne lisons pas les messages, commentaires, abonnés ou statistiques de votre page. Lors de la publication, le texte et les photos sont transmis à Meta Platforms Ireland Ltd ; à partir de ce moment, la politique de confidentialité de Meta s'applique.
04Comment nous utilisons les données personnelles et sur quelles bases juridiques
Nous traitons des données personnelles uniquement lorsque nous disposons d'une base juridique valable au titre de l'Article 6 GDPR. Le tableau ci-dessous présente les principales finalités et la base sur laquelle nous nous appuyons pour chacune d'elles.
| Finalité | Base juridique |
|---|---|
| Fournir et exploiter le Service, vous donner accès à votre compte, mettre à disposition les interfaces de commande destinées aux clients | Exécution du contrat (Art. 6(1)(b)) |
| Encaisser les paiements, émettre des factures, gérer les abonnements, recouvrer les montants impayés | Exécution du contrat (Art. 6(1)(b)) |
| Envoyer des emails de service (codes de connexion, réinitialisations de mot de passe, modifications de compte, reçus de paiement, avis de sécurité) | Exécution du contrat (Art. 6(1)(b)) |
| Respecter nos obligations fiscales, comptables, de lutte contre le blanchiment et de protection des consommateurs | Obligation légale (Art. 6(1)(c)) |
| Protéger le Service contre la fraude, les abus et les menaces de sécurité ; enquêter sur les incidents | Notre intérêt légitime à maintenir la sécurité du Service (Art. 6(1)(f)) |
| Améliorer le Service - analyse agrégée de l'usage, recherche produit, surveillance des erreurs | Notre intérêt légitime à exploiter et améliorer le Service (Art. 6(1)(f)) |
| Envoyer aux clients existants des emails marketing sur les nouvelles fonctionnalités UXO et les annonces | Notre intérêt légitime à promouvoir le Service auprès de nos clients existants, avec une option de désinscription dans chaque email (Art. 6(1)(f)) |
| Déposer des cookies d'analyse sur le site marketing uxo.bg | Votre consentement (Art. 6(1)(a)) |
| Traiter les données de commande des clients / convives pour le compte d'un restaurant | Nous agissons en qualité de sous-traitant ; le restaurant détermine sa propre base juridique dans le cadre de sa relation avec le client |
| Publier vos publications sur la page Facebook et le compte Instagram connectés | Exécution du contrat (Art. 6(1)(b)) |
06Transferts internationaux
Le Service fonctionne sur notre propre infrastructure en Bulgarie (UE). Toutefois, certains de nos sous-traitants sont établis aux USA ou exploitent une infrastructure mondiale. Lorsque des données personnelles sont transférées en dehors de l'Espace économique européen, nous nous appuyons sur les garanties appropriées exigées par le Chapter V GDPR :
- les Standard Contractual Clauses de la Commission européenne (Decision 2021/914) signées avec le prestataire, et
- lorsque le prestataire participe au EU-US Data Privacy Framework, la décision d'adéquation du 10 July 2023 combinée à l'auto-certification du prestataire.
Vous pouvez demander une copie des garanties applicables à un transfert donné en écrivant à [email protected].
07Combien de temps nous conservons les données personnelles
Nous conservons les données personnelles uniquement aussi longtemps que nécessaire pour les finalités décrites dans cette politique ou aussi longtemps que la loi l'exige.
- Données de compte
- Conservées pendant toute la durée de votre abonnement. Supprimées (ou anonymisées de manière irréversible) dans un délai de trois moisaprès la fin de votre abonnement, sauf lorsque nous devons conserver certains documents plus longtemps pour satisfaire à une obligation légale (par exemple, les documents comptables et fiscaux que l'Accountancy Act et la VAT Act nous imposent de conserver pendant au moins dix ans).
- Données de commande et données des clients / convives
- Conservées tant que l'abonnement du restaurant est actif, puis supprimées dans un délai de trois mois après la clôture de l'abonnement, sous réserve des mêmes exceptions de conservation comptable / fiscale mentionnées ci-dessus.
- Codes de connexion et jetons de réinitialisation de mot de passe
- Expirent automatiquement dans la durée de vie définie dans le Service (généralement de quelques minutes à quelques heures), puis sont supprimés.
- Journaux serveur et télémétrie de sécurité
- Conservés jusqu'à quatre-vingt-dix jours, sauf s'ils sont liés à un incident spécifique faisant l'objet d'une enquête.
- Enregistrements d'opposition aux emails marketing
- Conservés indéfiniment afin que nous puissions respecter votre opposition même après la fermeture de votre compte.
- Pages Facebook et comptes Instagram connectés
- Le jeton d'accès est conservé jusqu'à ce que vous déconnectiez la page, vous reconnectiez sans l'autoriser, retiriez notre application dans vos paramètres Facebook ou que votre abonnement prenne fin ; il est alors supprimé immédiatement (en fin d'abonnement, sous trois mois, comme les données du compte). L historique de vos publications est conservé avec les données de votre compte.
08Vos droits
En vertu du RGPD, vous disposez des droits suivants concernant les données personnelles que nous détenons à votre sujet :
- Accès (Art. 15) - demander une copie des données personnelles que nous détenons sur vous.
- Rectification (Art. 16) - nous demander de corriger des données inexactes ou incomplètes.
- Effacement(Art. 17) - nous demander de supprimer vos données lorsqu'un des motifs prévus par le RGPD s'applique.
- Limitation(Art. 18) - nous demander de limiter l'utilisation de vos données pendant la résolution d'un litige.
- Portabilité (Art. 20) - recevoir les données que vous nous avez fournies dans un format structuré, couramment utilisé et lisible par machine, et nous demander de les transmettre à un autre responsable du traitement lorsque cela est techniquement possible.
- Opposition (Art. 21) - vous opposer à un traitement fondé sur nos intérêts légitimes, y compris la prospection directe, pour des raisons tenant à votre situation particulière.
- Retrait du consentement(Art. 7(3)) - lorsque nous nous fondons sur votre consentement, le retirer à tout moment. Ce retrait n'affecte pas la licéité du traitement effectué avant ce retrait.
- Introduire une réclamationauprès d'une autorité de contrôle. En Bulgarie, l'autorité compétente est la Commission for Personal Data Protection (Комисия за защита на личните данни), www.cpdp.bg.
Pour exercer l'un de ces droits, écrivez à [email protected]. Nous répondrons dans un délai d'un mois à compter de la réception de votre demande, comme l'exige l'Article 12(3) GDPR. Nous pouvons prolonger ce délai de deux mois supplémentaires lorsque la demande est complexe ; si tel est le cas, nous vous en informerons dans le premier mois en expliquant pourquoi.
Si votre demande concerne des données de clients / convives introduites dans le Service par un restaurant, veuillez vous adresser d'abord au restaurant - il est le responsable du traitement. Nous l'assisterons dans sa réponse.
Données Facebook et Instagram.Pour que nous cessions d utiliser une page connectée, ouvrez En ligne - Facebook et Instagram dans l'espace propriétaire et choisissez Déconnecter : le jeton enregistré est supprimé immédiatement. Vous pouvez aussi retirer l'application "UXO Social" dans Facebook, sous Paramètres - Intégrations professionnelles, ce qui rend le jeton inutilisable. Pour faire supprimer les autres données de la page et l'historique de vos publications, écrivez à [email protected] depuis l'adresse e-mail de votre compte ; nous les supprimons sous un mois.
10Sécurité
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé, qu'ils soient accidentels ou illicites. Ces mesures comprennent :
- le chiffrement en transit (TLS) pour l'ensemble du trafic à destination et en provenance du Service ;
- le chiffrement au repos des sauvegardes et des espaces de stockage de données sensibles ;
- des contrôles d'accès fondés sur les rôles et le principe du moindre privilège pour le personnel accédant aux systèmes de production ;
- une isolation multi-tenant garantissant qu'un restaurant ne puisse pas accéder aux données d'un autre ;
- le hachage des mots de passe avec un algorithme lent et salé ; des jetons de connexion qui expirent et sont renouvelés ;
- des journaux d'audit des actions administratives, ainsi que des journaux serveur conservés pour l'examen opérationnel et de sécurité ;
- des sauvegardes de routine, des correctifs de sécurité et des revues fournisseurs des sous-traitants listés à la Section 5.
Aucun système n'est parfaitement sûr. Si une violation de données personnelles vous affecte, nous vous en informerons ainsi que l'autorité de contrôle compétente lorsque le GDPR l'exige (Art. 33-34).
11Enfants
Le Service ne s'adresse pas aux enfants de moins de seize ans, et nous ne collectons pas sciemment de données personnelles les concernant. Si vous découvrez qu'un enfant nous a fourni des données personnelles, veuillez nous contacter à [email protected] afin que nous puissions les supprimer.
12Modifications de cette politique
Nous pouvons mettre à jour cette politique de temps à autre afin de refléter les évolutions du Service, de nos sous-traitants ou de la législation applicable. Lorsque nous le faisons, nous modifions la date «Last updated» en haut de cette page. Si les changements sont substantiels, nous vous en informerons dans un délai raisonnable à l'avance - généralement par email si vous disposez d'un compte chez nous, ou au moyen d'une bannière dans le Service.
13Contact
Pour toute question sur cette politique ou sur la manière dont nous traitons les données personnelles, écrivez à [email protected] ou par courrier à COTRONIKA EOOD, Sofia 1700, Bulgaria.