Politique de confidentialité & RGPD

Introduction et engagement

La présente Politique de Confidentialité (la « Politique ») explique comment Quiro collecte, utilise, partage et protège les données à caractère personnel dans le cadre de son service logiciel SaaS de gestion pour bars, restaurants et autres établissements de la restauration (le « Service »), accessible via le site quiro.fr, l'application app.quiro.fr, les applications Quiro installées sur un téléphone, une tablette ou un ordinateur, et l'interface de commande en ligne par QR code.

Quiro s'engage à traiter les données personnelles de manière licite, loyale, transparente, et conformément au RGPD et à la loi Informatique et Libertés.

Définitions

Les termes en majuscule ont le sens du RGPD. Pour faciliter la lecture :

Donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable.
Traitement : toute opération portant sur des données (collecte, enregistrement, conservation, consultation, transmission, suppression, etc.).
Responsable du traitement : l'entité qui détermine les finalités et moyens du traitement.
Sous-traitant : l'entité qui traite des données pour le compte du responsable.
Personne concernée : la personne physique dont les données sont traitées.
Client : la personne morale (entreprise de restauration) ayant souscrit un abonnement au Service.
Utilisateur : personne physique disposant d'un compte d'accès au Service (dirigeant, salarié, prestataire du Client).
Client final : le consommateur qui utilise l'interface de commande en ligne par QR code d'un Client, et/ou un compte du programme de fidélité Quiro.
Distributeur : professionnel indépendant, lié à Quiro par un contrat, qui présente le Service à des établissements et auquel un établissement peut être rattaché.

Identité du responsable du traitement

Pour les traitements dont elle est responsable (voir section 4), l'entité responsable est :

Quiro, SASU au capital de 1 000 €, RCS Angers 106 601 826, siège : 410 Impasse de Monplaisir, 49330 Sceaux-d'Anjou.

Contact données personnelles : contact@quiro.fr
Délégué à la protection des données (DPO) : à la date des présentes, Quiro n'a pas désigné de DPO, sa désignation n'étant pas obligatoire au regard de l'article 37 du RGPD pour ses activités actuelles. Toute question peut être adressée à l'adresse ci-dessus.

Rôles RGPD selon les traitements

Le Service implique des traitements pour lesquels Quiro intervient à des titres différents. Cette distinction est essentielle pour déterminer qui répond de quoi.

4.1 Traitements pour lesquels Quiro est responsable du traitement

Quiro détermine les finalités et moyens des traitements suivants :

la gestion des comptes Utilisateurs (création, authentification, support) ;
la gestion contractuelle, commerciale, comptable et de facturation de la relation avec ses Clients ;
la gestion et le suivi des prospects (formulaires de contact et de démonstration) ;
la relation avec les Distributeurs, dont l'information du Distributeur auquel un établissement est rattaché (voir sections 6 et 7) ;
la sécurité du Service (journalisation des connexions, lutte contre la fraude et le bourrage d'identifiants) ;
la preuve des accords et des acceptations recueillis dans le Service (documents légaux, accord pour l'intelligence artificielle) et le traitement des demandes de suppression de compte ;
le programme de fidélité Quiro : ce programme repose sur un compte fidélité unique et transversal (le même compte client final peut être utilisé chez plusieurs établissements Quiro). Quiro détermine ce traitement et en est donc responsable du traitement ;
l'amélioration du Service à partir de statistiques agrégées et anonymisées ;
le respect de ses propres obligations légales (comptables, fiscales, contentieuses).

4.2 Traitements pour lesquels Quiro est sous-traitant du Client

Pour les données que le Client saisit, importe ou génère dans le Service au sujet de ses propres clients finaux, de son personnel et de ses fournisseurs, le Client est responsable du traitement et Quiro agit en qualité de sous-traitant au sens de l'article 28 du RGPD. Sont notamment concernées :

les données de commande/encaissement des clients finaux du Client (paniers, additions, paiements, pourboires, e-mail demandé pour la confirmation d'une commande à emporter ou, si renseigné, pour la facture, numéro de téléphone mobile si renseigné pour être prévenu par SMS que la commande est prête, table associée, historique de consommation au sein de l'établissement) ;
les données du personnel du Client gérées via le Service (identité, e-mail, rôle, permissions, planning, statistiques d'activité, date d'embauche, notes RH) ;
les données des fournisseurs et contacts professionnels du Client (raison sociale, SIRET, contacts, factures, bons de commande) ;
lorsque le Client demande la mise en place assistée de son établissement, les documents qu'il dépose à cette fin et les informations qui en sont tirées (voir 5.9).

Dans ce cadre, Quiro agit uniquement sur instructions documentées du Client, applique des mesures de sécurité appropriées, assiste le Client dans la gestion des demandes des personnes concernées et des violations de données, n'a recours qu'aux sous-traitants ultérieurs listés à la section 8, et restitue ou supprime les données en fin de contrat. Ces engagements sont formalisés dans l'Accord de Sous-traitance (DPA) annexé aux conditions contractuelles (disponible sur demande à contact@quiro.fr).

Conséquence pratique : pour les données de ses clients finaux, de son personnel et de ses fournisseurs, c'est le Client (l'établissement) qui doit informer les personnes concernées et recueillir, le cas échéant, leur consentement. Quiro met à sa disposition les outils techniques pour ce faire.

4.3 Paiements des clients finaux : le rôle de Stripe

Les paiements des clients finaux d'un établissement (commande en ligne, click & collect, addition, borne de commande, terminal de paiement ou paiement sans contact sur un téléphone, acompte ou empreinte bancaire d'une réservation, lien de paiement) sont traités par le prestataire Stripe sur le propre compte Stripe de l'établissement, en vertu du contrat que l'établissement conclut directement avec Stripe (CGV, article 12.4). Pour ces paiements, Stripe n'est pas, en principe, un sous-traitant de Quiro : selon sa politique de confidentialité (stripe.com/fr/privacy), Stripe agit en principe comme prestataire de l'établissement pour exécuter les paiements, et comme responsable du traitement pour ses propres finalités, notamment la détection de la fraude et le respect de ses obligations légales.

Quiro, sous-traitant de l'établissement pour ces données (4.2), transmet à Stripe les seules informations nécessaires à chaque paiement : le montant, la référence de la commande ou de la réservation et, selon le cas, l'adresse e-mail du client final (pour une commande à emporter, afin de préremplir la page de paiement de Stripe) ou son nom et son adresse e-mail (pour une empreinte bancaire) ; pour le lien de paiement d'une facture, le numéro de la facture et le nom du client professionnel qui y figure. Les données de carte sont saisies chez Stripe : Quiro ne reçoit ni le numéro complet de la carte ni son cryptogramme, et ne les stocke pas. Pour une empreinte bancaire, et pour le reçu d'un paiement par carte à une borne de commande, Quiro garde la marque et les quatre derniers chiffres de la carte. Quiro reçoit de Stripe le résultat de chaque paiement (réussi, refusé, remboursé ou contesté) et, pour la comptabilité de l'établissement, le détail de ses virements et des frais de Stripe.

Données que nous traitons

Inventaire établi à partir des modèles de données réels du Service. La fourniture des données marquées « obligatoire » est nécessaire à la fourniture du Service ; à défaut, le compte ou la fonctionnalité concernée ne peut être créé/utilisé.

5.1 Utilisateurs du Service (dirigeants, salariés, prestataires du Client) — Quiro responsable

Identification : nom, prénom, adresse e-mail (professionnelle), téléphone (facultatif), date d'embauche et notes (facultatives, lorsque le Client les renseigne à des fins RH).
Authentification : mot de passe (haché avec Argon2, jamais stocké en clair), code PIN (haché) pour la connexion sur appareil partagé, jetons d'authentification (hachés en base), dates et heures de connexion, sessions.
Profil : rôle et permissions dans le Service, établissement(s) de rattachement, préférences.
Accords et preuves : documents légaux acceptés (type, version, date et heure) ; accord donné ou retiré pour l'envoi de données à l'intelligence artificielle (texte affiché et sa version, date et heure, plateforme et version de l'application ; voir section 16) ; demande de suppression du compte (date, plateforme et version de l'application ; voir section 13) ; pour chacun, l'adresse IP et le navigateur ou l'application utilisés (durées : voir section 10).
Données techniques de sécurité : voir 5.7.

5.2 Client (entité) et données contractuelles — Quiro responsable

Données légales de l'entreprise : dénomination sociale, forme juridique, capital, SIRET, SIREN, RCS, n° de TVA intracommunautaire, code NAF, adresses (siège, établissements). Lorsque l'équipe Quiro ou un Distributeur crée l'établissement à la demande du Client, ces données peuvent être préremplies à partir de l'annuaire public des entreprises tenu par l'administration (data.gouv.fr), en cherchant le numéro SIRET, le numéro SIREN ou le nom saisi ; elles restent modifiables. L'équipe Quiro ou le Distributeur saisit aussi le nom, le prénom et l'adresse e-mail du dirigeant, qui reçoit ses identifiants de connexion par e-mail ; le Distributeur ne voit ensuite qu'une forme masquée de cette adresse, et jamais le mot de passe.
Représentant et contact : nom, prénom, fonction, e-mail, téléphone.
Données de facturation et de paiement : abonnement et modules souscrits, historique des factures, des paiements et des changements d'abonnement (ajout ou retrait de modules), identifiant client Stripe. Quiro ne stocke aucun numéro de carte bancaire complet : les données de carte sont traitées et hébergées par le prestataire de paiement Stripe (voir section 8). Un identifiant de moyen de paiement et, le cas échéant, les 4 derniers chiffres de la carte peuvent figurer dans les notifications techniques (« webhooks ») reçues de Stripe, conservées de manière limitée et purgées automatiquement (voir section 10).
Compte Stripe de l'établissement / KYC : pour activer l'encaissement des paiements de ses clients finaux, le Client ouvre son propre compte Stripe et réalise le parcours de vérification d'identité (« KYC ») directement auprès de Stripe, selon les règles de Stripe (voir 4.3). Quiro n'utilise que l'identifiant de ce compte et des indicateurs d'état (inscription terminée, paiements activés, virements activés, informations demandées par Stripe, compte relié ou non au Service) ; les justificatifs et les informations d'identité que Stripe recueille restent chez Stripe, et Quiro ne les enregistre pas.
Mise en place assistée : lorsque le Client la demande, sa demande et le message qui l'accompagne, la proposition de prix de Quiro et, lorsque le patron l'accepte dans le Service, la preuve de son acceptation (nom, rôle, date et heure, adresse IP, navigateur, texte accepté et sa version, version des CGV en vigueur, prix et mode de facturation), conservée comme preuve du contrat avec les données contractuelles du Client (voir section 10).

5.3 Données traitées pour le compte du Client (sous-traitance) — Client responsable

Clients finaux du Client : nom (facultatif), numéro de téléphone (facultatif, format E.164 : pour une réservation, ou pour être prévenu par SMS que la commande est prête), e-mail (demandé pour une commande à emporter payée en ligne, pour en envoyer la confirmation ; facultatif sinon, pour l'envoi de la facture), table associée, composition des commandes, paiements et pourboires, historique de consommation au sein de l'établissement.
Personnel du Client : voir 5.1 (lorsque ces données servent la gestion interne du Client, celui-ci en est responsable).
Fournisseurs du Client : raison sociale, SIRET, e-mail de contact, factures et bons de commande, modalités de paiement.

5.4 Compte du programme de fidélité (client final) — Quiro responsable

adresse e-mail (identifiant), mot de passe (haché), prénom et nom (facultatifs), horodatage du consentement, indicateur d'inscription marketing (opt-in), historique de consommation rattaché au compte (tickets, points, récompenses), pouvant couvrir plusieurs établissements Quiro.

5.5 Prospects (site web et formulaires) — Quiro responsable

nom, prénom, e-mail professionnel, téléphone, nom et type d'établissement, ville, objet et message de la demande, code de parrainage éventuel.

5.6 Données des fonctionnalités d'intelligence artificielle (assistant, lecture de factures d'achat, IA Matching, traduction de menus)

pour l'assistant (page « Besoin d'aide ? ») : le texte de la question et, au plus, les 5 derniers échanges affichés sur la page (questions et réponses), transmis tels qu'ils ont été écrits ; Quiro n'y ajoute ni nom, ni adresse e-mail, ni identifiant du compte ou de l'établissement ;
pour la lecture de factures d'achat par l'IA : le document déposé par l'Utilisateur (fichier PDF ou photographie) est transmis en entier au prestataire Anthropic, avec les seules consignes de lecture. Il contient les informations portées sur la facture, notamment l'identité, l'adresse et les numéros SIREN, SIRET et de TVA du fournisseur et, le cas échéant, ses coordonnées bancaires, son téléphone ou son e-mail (données personnelles lorsque le fournisseur est une personne physique exerçant en nom propre), ainsi que les informations du Client destinataire et, le cas échéant, le nom d'une personne mentionnée sur le document. Aucune autre donnée du compte du Client n'est transmise. Pour vérifier le fournisseur et proposer sa création, le Service interroge l'annuaire public des entreprises tenu par l'administration à partir des informations d'identification lues sur le document ;
pour le rapprochement des lignes des factures électroniques avec les articles du stock (IA Matching) : libellés de lignes de facture (préalablement nettoyés/tronqués), quantités, prix, taux de TVA, et libellés des articles d'inventaire candidats ; pour ce rapprochement, aucun SIRET, numéro de compte ou e-mail du Client n'est transmis, et le nom du fournisseur peut, dans certains cas, désigner une personne physique exerçant en nom propre ;
pour la traduction de menus : uniquement les libellés et descriptions publics des produits et catégories (déjà affichés au client final), à l'exclusion de toute donnée personnelle.

Pour l'assistant, la lecture de factures d'achat et le rapprochement des lignes, rien n'est envoyé au prestataire avant l'accord de la personne qui utilise la fonction (voir section 16).

5.7 Données techniques et de sécurité — Quiro responsable

journaux d'événements liés à l'utilisation du Service ;
tentatives de connexion : empreinte (hachage SHA-256) de l'adresse e-mail (et non l'e-mail en clair), adresse IP anonymisée (dernier octet masqué), agent utilisateur tronqué, résultat (réussite/échec) — à des fins de détection d'attaques ;
adresse IP, type de navigateur et d'appareil lors de l'accès au Service.

5.8 Catégories particulières de données (art. 9 RGPD)

Quiro ne traite pas, de manière intentionnelle ou structurée, de données sensibles au sens de l'article 9 du RGPD (santé, origine, opinions, etc.). Le Client s'interdit de saisir de telles données dans le Service sans base légale vérifiée et sans en avoir informé Quiro (voir le DPA, article 6 et Annexe 1).

5.9 Documents de la mise en place assistée — Client responsable

Lorsque le Client demande la mise en place assistée de son établissement (saisie de ses informations dans le Service par l'équipe Quiro, à partir de ses documents, avec l'aide de l'intelligence artificielle ; CGV, article 5.5) :

les documents qu'il dépose à cette fin (carte et menus, factures et listes de fournisseurs, export d'une ancienne caisse, inventaire, plan de salle, photographies…) peuvent contenir des données personnelles : nom, adresse, téléphone, e-mail et coordonnées bancaires d'un fournisseur personne physique exerçant en nom propre, nom d'un salarié ou d'un client final figurant sur un document ;
ces documents sont consultés par les membres habilités de l'équipe Quiro et transmis, en tout ou partie, au prestataire Anthropic (Claude) pour leur analyse, avec les seules consignes de la mise en place et les informations de l'établissement déjà enregistrées dans le Service qui permettent de compléter sans créer de doublon (catalogue, salle, postes de préparation, imprimantes ; pour les fournisseurs : nom et numéros SIREN, SIRET et de TVA, jamais leurs coordonnées) ;
seules les informations utiles à la mise en place sont saisies dans le Service (produits, prix, compositions, fournisseurs, horaires, salle…) ; les coordonnées bancaires figurant sur un document ne le sont jamais ;
ces documents servent uniquement à la mise en place de l'établissement : ni Quiro ni son prestataire ne les utilisent pour entraîner des modèles d'intelligence artificielle ;
le Client peut retirer un document tant que le travail n'a pas commencé ; les documents sont ensuite supprimés trente jours après la fin du dossier (voir section 10).

5.10 Fonctions de l'appareil : lecture des codes-barres, encaissement sans contact

Lecture des codes-barres et des QR codes par l'appareil photo (téléphone ou tablette) : elle repose sur Google ML Kit, une bibliothèque de Google intégrée à l'application. Selon les conditions de ML Kit (developers.google.com/ml-kit/terms), l'image est analysée entièrement dans l'appareil : ni l'image ni le résultat ne sont envoyés à Google. ML Kit envoie en revanche à Google des mesures techniques sur son fonctionnement : informations sur l'appareil (fabricant, modèle, version du système), nom et version de l'application, identifiant propre à l'installation, durées de traitement, réglages et codes d'erreur. Google s'en sert pour mesurer, corriger et améliorer ML Kit, selon ses propres règles, le cas échéant aux États-Unis ; Quiro ne reçoit pas ces mesures.
Encaissement d'une carte sans contact par l'appareil (téléphone ou tablette du personnel, lecteur de carte d'une borne) : le module de paiement de Stripe exige l'accès à la position de l'appareil, que l'application demande au système avant de chercher le lecteur. Selon Stripe, connaître le lieu des paiements sert à réduire les risques de fraude et les litiges ; sans cet accès, ce mode d'encaissement n'est pas disponible, les autres le restent. Quiro ne lit pas cette position et ne la conserve pas : elle est traitée par Stripe selon ses propres règles (voir 4.3).

Finalités et bases légales

Principaux traitements, finalités et bases légales (article 6 RGPD) :

Gestion des comptes Utilisateurs — permettre l'accès et l'utilisation du Service — exécution du contrat (avec le Client) / intérêt légitime.
Gestion contractuelle, facturation, paiement de l'abonnement — fournir et facturer le Service — exécution du contrat ; obligation légale (comptable/fiscale).
Information du Distributeur auquel l'établissement est rattaché — permettre au Distributeur de suivre l'établissement, de lui apporter une assistance, d'être informé de ses impayés et de calculer sa rémunération (voir section 7) — intérêt légitime de Quiro (faire présenter et accompagner le Service par des Distributeurs), dans le cadre prévu par le contrat avec le Client (CGV, articles 6 et 9.3).
Programme de fidélité — gérer l'inscription, le cumul de points et les récompenses — exécution du contrat de fidélité avec le client final ; consentement pour le volet marketing.
Communications transactionnelles (e-mails/SMS de service) — informer du fonctionnement (mot de passe, facture, confirmation et statut de commande, abonnement) — exécution du contrat / intérêt légitime.
Prospection commerciale auprès de professionnels — présenter le Service à des établissements — intérêt légitime (prospection B2B en lien avec la profession) avec droit d'opposition.
Newsletter / actualités — informer les abonnés volontaires — consentement (case à cocher dédiée).
Sécurité, lutte anti-fraude, journalisation — protéger les comptes et le Service — intérêt légitime ; obligation légale.
Preuves des accords et des acceptations (documents légaux, accord pour l'intelligence artificielle) et des demandes de suppression de compte — pouvoir démontrer l'accord ou l'acceptation donnés et la demande reçue — intérêt légitime : démontrer l'accord donné (art. 7.1 RGPD) et défendre des droits en justice (art. 17.3.e RGPD).
Suppression du compte Utilisateur — effacer les données d'identification de la personne qui le demande — obligation légale (art. 17 RGPD).
Assistant / lecture de factures d'achat par l'IA / IA Matching / traduction de menus — répondre aux questions sur le Service / pré-remplir la saisie des factures d'achat / automatiser des tâches du Client / traduire le menu — exécution du contrat (fonctionnalité du Service) ; pour les données des fournisseurs du Client, Quiro agit sur instruction du Client (art. 28) ; sauf pour la traduction de menus, l'envoi au prestataire n'a lieu qu'après l'accord de la personne qui utilise la fonction (voir section 16).
Lecture des codes-barres par l'appareil photo (Google ML Kit) — lire un code-barres ou un QR code dans l'appareil, sans envoyer d'image — intérêt légitime.
Mise en place assistée (lorsque le Client la demande) — saisir dans le Service les informations de l'établissement à partir des documents fournis ; garder la preuve de l'acceptation de la proposition de prix — exécution du contrat ; pour les données personnelles contenues dans les documents, Quiro agit sur instruction du Client (art. 28).
Données des clients finaux / personnel / fournisseurs du Client (sous-traitance) — fournir les fonctionnalités au Client — déterminée par le Client (responsable) ; Quiro agit sur instruction (art. 28).
Respect des obligations légales (caisse / loi anti-fraude TVA, archivage, facturation électronique, contentieux) — conformité — obligation légale.

Le recours à l'intérêt légitime pour la prospection B2B et la sécurité fait l'objet d'une analyse de balance des intérêts tenue à disposition. Le volet marketing (newsletter, opt-in fidélité) repose sur le consentement, recueilli par une action positive (case non pré-cochée) et révocable à tout moment.

Lutte anti-fraude — programme de parrainage : dans le cadre du programme de parrainage, Quiro compare l'empreinte technique (non réversible) du moyen de paiement du parrain et du filleul, fournie par Stripe, afin de détecter l'auto-parrainage (intérêt légitime : prévention de la fraude).

Destinataires des données

Les données sont accessibles, dans la limite de leurs attributions :

aux personnels habilités de Quiro (support, technique, administration, comptabilité, mise en place assistée) ;
au Client et à ses Utilisateurs habilités, pour les données relevant de son compte ;
au Distributeur auquel l'établissement est rattaché, pendant le rattachement et pour les seules finalités de la section 6 : le nom, l'adresse et le numéro de téléphone de l'établissement, le nom du dirigeant, l'état de l'abonnement (statut, abonnement de base et modules, cycle de facturation, prix hors taxes avant remise, résiliation programmée), la date, le numéro et le montant hors taxes des factures payées qui servent au calcul de sa rémunération, l'avancement de la mise en service, le nombre d'appareils reliés au Service et la date de leur dernière activité, les impayés (nature de la facture, date du refus de paiement, nouvelles tentatives, suspension de l'accès, état de l'impayé : en cours, réglé, irrécouvrable ou annulé ; jamais le montant) et, lorsque tous les établissements auxquels un Utilisateur a accès lui sont rattachés, les messages que cet Utilisateur adresse au support depuis le Service pendant le rattachement, avec le prénom et le nom de leur auteur, ce que le Service lui indique. Le Distributeur qui crée l'établissement saisit lui-même l'adresse e-mail du dirigeant ; il n'en voit ensuite qu'une forme masquée. En dehors de ces informations, le Distributeur ne reçoit ni l'adresse e-mail ni le téléphone du dirigeant, ni les données de caisse, de comptabilité, des clients finaux ou du personnel de l'établissement ;
au prestataire de paiement Stripe, pour les paiements des clients finaux, dans les conditions du 4.3 ;
aux sous-traitants listés à la section 8, dans la stricte mesure nécessaire à leur prestation ;
à Google, pour les seules mesures techniques de la bibliothèque de lecture des codes-barres (voir 5.10) et, dans un navigateur, pour le téléchargement des fichiers d'affichage de l'application web (voir section 15) ;
le cas échéant, aux autorités administratives ou judiciaires sur réquisition légale, aux conseils de Quiro (avocats, experts-comptables, commissaires), et à un éventuel repreneur en cas d'opération sur le capital ou le fonds de commerce.

Quiro ne vend ni ne loue les données personnelles à des tiers à des fins commerciales.

Sous-traitants (prestataires)

Quiro recourt aux sous-traitants ultérieurs suivants pour fournir le Service. Chacun intervient dans la limite d'une finalité déterminée et est lié par des engagements contractuels de confidentialité et de protection des données. Ces engagements (accord de sous-traitance prévu par l'article 28 du RGPD et, hors de l'Union européenne, garanties décrites à la section 9) imposent à chaque prestataire une protection des données au moins équivalente à celle que décrit la présente Politique.

Liste des sous-traitants (prestataire — rôle — données concernées — localisation — transfert hors UE) :

Scaleway SAS — hébergement, base de données, stockage de fichiers (photos de menu, documents, archives comptables) — l'ensemble des données du Service — France (UE) — hors UE : non.
Brevo (Sendinblue SAS) — envoi d'e-mails et de SMS transactionnels et, le cas échéant, de communications — e-mail, nom, numéro de téléphone, contenus des messages (factures, bons de commande, confirmations de commande, notifications) — France (UE) — hors UE : non.
Stripe (Stripe Payments Europe Ltd / Stripe, Inc.) — encaissement des abonnements Quiro (carte bancaire, factures, portail de paiement) — e-mail, montants, identifiants de paiement, données de carte (chez Stripe uniquement) — Irlande (UE) et États-Unis — hors UE : oui (voir section 9).
Anthropic (Anthropic PBC) — fonctionnalités d'intelligence artificielle : assistance par chat, lecture de factures d'achat, rapprochement des lignes de factures (IA Matching), traduction de menus ; analyse des documents de la mise en place assistée — texte libre du chat, documents de factures d'achat transmis en entier pour leur lecture, libellés de factures nettoyés, libellés publics de menus (voir 5.6), documents déposés pour la mise en place assistée et informations de l'établissement utiles à celle-ci (voir 5.9) — États-Unis et, le cas échéant, autres pays où ce prestataire traite les requêtes — hors UE : oui (voir section 9).
FactPulse — plateforme de transmission des factures électroniques B2B (e-invoicing) — factures B2B (montants, lignes, SIRET, coordonnées) — France (UE) — hors UE : non.
IOPOLE — plateforme de transmission des factures électroniques B2B (e-invoicing), historique en cours de migration vers FactPulse — idem FactPulse — France (UE) — hors UE : non.
Sentry (Functional Software, Inc.) — supervision technique et détection d'erreurs (facultatif) — messages d'erreur et journaux techniques expurgés des données personnelles avant envoi (e-mails, IBAN, jetons supprimés ; envoi des données personnelles désactivé par défaut) — États-Unis — hors UE : oui (voir section 9).

Pour les paiements des clients finaux et la vérification d'identité de l'établissement, Stripe intervient en vertu du contrat que l'établissement conclut directement avec Stripe, et non, en principe, comme sous-traitant de Quiro (voir 4.3).

La liste à jour des sous-traitants est tenue par Quiro et peut être communiquée sur demande. En cas de changement de sous-traitant susceptible d'affecter la protection des données, les Clients en sont informés conformément au DPA.

Transferts de données hors Union européenne

Certains prestataires (Stripe, Anthropic, Sentry) sont susceptibles de traiter des données aux États-Unis et, pour Anthropic, le cas échéant dans d'autres pays où ce prestataire traite les requêtes : pour la lecture des factures d'achat, Quiro lui demande de traiter les requêtes aux États-Unis ; pour l'assistant et le rapprochement des lignes, il peut les traiter aux États-Unis ou dans d'autres pays. Ces transferts sont encadrés par les garanties appropriées prévues au chapitre V du RGPD :

décision d'adéquation « EU-US Data Privacy Framework » (décision de la Commission européenne du 10 juillet 2023) lorsque le prestataire y est certifié ; et/ou
Clauses Contractuelles Types (CCT) de la Commission européenne (version du 4 juin 2021), complétées le cas échéant de mesures supplémentaires.

Pour Anthropic, les transferts reposent sur les Clauses Contractuelles Types intégrées à son accord de traitement des données. Selon ses conditions à la date des présentes, ce prestataire ne traite les données transmises que pour fournir son service, ne les utilise pas pour entraîner ses modèles sans autorisation expresse et les supprime au plus tard trente jours après leur réception, sauf contenu signalé par ses systèmes de sécurité (conservé jusqu'à deux ans) ou obligation légale. Quiro ne fait appel à ce prestataire pour la mise en place assistée que dans ces mêmes conditions (accord de traitement des données et clauses contractuelles types).

Vous pouvez obtenir une copie des garanties mises en place en écrivant à contact@quiro.fr.

Durées de conservation

Les données ne sont conservées que le temps nécessaire aux finalités, puis supprimées ou anonymisées. Les durées effectivement appliquées par le Service sont :

Comptes Utilisateurs et données du Client : pendant la durée du contrat, puis archivage intermédiaire dans la limite des obligations légales.
Compte Utilisateur supprimé : données d'identification effacées dès la suppression (aussitôt, ou au plus tard trente jours après la demande) ; restent les pièces et les preuves décrites à la section 13.
Preuves des documents légaux acceptés, des accords donnés ou retirés (dont l'accord pour l'intelligence artificielle) et des demandes de suppression de compte (date, version, adresse IP, navigateur ou application) : pendant la durée du compte, puis cinq ans après la suppression du compte, la réponse à la demande ou la fin du contrat (prescription de droit commun : art. 2224 du Code civil et L. 110-4 du Code de commerce ; CNIL, référentiel « gestion des activités commerciales ») ; dix ans lorsqu'elles justifient une facture (art. L. 123-22 du Code de commerce).
Archives comptables, factures, écritures, tickets Z (pièces inaltérables) : 10 ans (art. L. 123-22 du Code de commerce) ; conservation fiscale minimale de 6 ans (art. L. 102 B du LPF).
Prospects / leads : 3 ans à compter du dernier contact (recommandation CNIL pour la prospection).
Journaux de tentatives de connexion (sécurité) : 30 jours.
Messages de support (chat) : 30 jours (fenêtre glissante) ; journaux techniques d'IA du chat : 24 heures.
Sessions de paiement, demandes de service, demandes d'annulation, événements Stripe (webhooks) : 90 jours après traitement/clôture.
Compte du programme de fidélité : tant que le compte est actif ; suppression/anonymisation à la demande du client final.
Données des clients finaux, du personnel et des fournisseurs du Client (sous-traitance) : selon les instructions et la politique du Client (responsable), sous réserve des durées légales.
Documents déposés pour la mise en place assistée, y compris les copies faites par l'équipe Quiro pour leur analyse : supprimés trente jours après la fin du dossier (livraison de la mise en place, abandon — automatique après 90 jours sans suite — ou annulation) ; chez le prestataire d'intelligence artificielle, dans les conditions de la section 9 ; restent le nom, la taille, l'empreinte et les dates de chaque document et, pour chaque information saisie, l'indication du document et de la page dont elle provient.
Numéro de téléphone mobile donné par un client final pour être prévenu par SMS que sa commande est prête : effacé au plus tard un mois après le jour de retrait de la commande, chez Quiro et chez son prestataire d'envoi de SMS.
Adresse e-mail donnée par un client final pour une commande à emporter (click & collect), pour en recevoir la confirmation : effacée au plus tard un mois après le jour de retrait de la commande, chez Quiro et chez son prestataire d'envoi d'e-mails.
Journal des SMS envoyés pour l'Établissement (type, date, pays du numéro, référence de la commande, de la réservation ou du bon de commande ; ni le numéro ni le texte du message) : 10 ans (justificatif des factures de l'Usage).
Cookies / jetons strictement nécessaires : durée de la session.

À l'issue de ces durées, les données sont supprimées ou anonymisées. Certaines pièces comptables sont inaltérables (chaînage cryptographique, voir section 11) : leur effacement anticipé n'est pas possible, conformément aux obligations légales de conservation.

Sécurité des données

Quiro met en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD), notamment :

chiffrement en transit (HTTPS/TLS) systématique ;
chiffrement au repos des identifiants sensibles confiés par le Client (par exemple, identifiants de la plateforme de facturation électronique) au moyen d'un chiffrement AES-GCM 256 bits ;
hachage des mots de passe et codes PIN avec Argon2 (jamais de stockage en clair) ;
authentification par jetons (JWT) à durée de vie limitée, avec secrets distincts pour le personnel et pour les clients finaux, et stockage des jetons de rafraîchissement sous forme hachée ;
verrouillage anti-bourrage d'identifiants (blocage temporaire après un seuil de tentatives), journaux de sécurité minimisés (e-mail haché, IP anonymisée) ;
sessions d'appareil à expiration par inactivité ;
inaltérabilité des données comptables (déclencheurs base de données empêchant la modification/suppression) et chaînage cryptographique (empreintes SHA-256) des archives, conformément aux exigences de la loi anti-fraude à la TVA (critères d'inaltérabilité, sécurisation, conservation, archivage) ;
cloisonnement des accès par rôles et permissions ;
purge automatique des données opérationnelles arrivées à terme ;
hébergement en France (Scaleway) pour le stockage principal.

Aucun système n'étant infaillible, ces mesures visent à réduire les risques sans pouvoir garantir une sécurité absolue.

Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :

droit d'accès (art. 15) ;
droit de rectification (art. 16) ;
droit à l'effacement (« droit à l'oubli », art. 17) ;
droit à la limitation du traitement (art. 18) ;
droit à la portabilité (art. 20) ;
droit d'opposition (art. 21), notamment à la prospection commerciale ;
droit de retirer votre consentement à tout moment, sans effet rétroactif ;
droit de définir des directives relatives au sort de vos données après votre décès (art. 85 loi Informatique et Libertés).

Limites : certaines données doivent être conservées au titre d'obligations légales (comptabilité, facturation, lutte anti-fraude). En particulier, l'effacement d'un compte Utilisateur est réalisé par pseudonymisation (remplacement des données d'identification par des valeurs neutres) afin de préserver l'intégrité des pièces comptables liées (voir section 13, « Supprimer votre compte Utilisateur »).

Données traitées en sous-traitance : si votre demande porte sur des données gérées par un établissement client de Quiro (par exemple, votre historique de commande dans un restaurant), elle doit être adressée à cet établissement, responsable du traitement. Quiro l'assistera pour y répondre.

Comment exercer vos droits

Vous pouvez exercer vos droits :

depuis votre compte : suppression du compte (voir ci-dessous) et retrait de l'accord pour l'intelligence artificielle (voir section 16) ; pour un compte du programme de fidélité, export des données et suppression du compte depuis votre espace (voir section 18) ;
ou en écrivant à contact@quiro.fr, en justifiant de votre identité en cas de doute raisonnable.

Quiro répond dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe (art. 12 RGPD).

Supprimer votre compte Utilisateur

Dans l'application : Paramètres › Mon compte › Supprimer mon compte (pour un distributeur : Mon profil ; pour l'équipe Quiro : sa carte au pied du menu de l'administration).

Suppression immédiate : pour un salarié, un manager, un comptable ou un dirigeant qui n'est pas le dernier dirigeant actif de son établissement, connecté avec son mot de passe sur son propre appareil. Le mot de passe est redemandé, puis le compte est supprimé aussitôt.
Suppression sur demande : pour le dernier dirigeant actif d'un établissement, un distributeur, un membre de l'équipe Quiro, un compte sans mot de passe ou une personne connectée sur un appareil partagé avec son code PIN. La demande s'enregistre dans l'application ; le compte est supprimé au plus tard trente jours après, à la date affichée. Une demande faite sur un appareil partagé ou depuis un compte sans mot de passe est aussi transmise au responsable de l'établissement, qui peut supprimer le compte depuis la fiche de la personne. Une demande qui ne peut pas être suivie reçoit une réponse motivée (par e-mail ; pour un compte sans adresse e-mail, par l'intermédiaire du responsable de l'établissement).
Si vous ne pouvez plus vous connecter, par exemple parce que l'accès de votre établissement au Service est fermé : écrivez à contact@quiro.fr depuis l'adresse e-mail de votre compte, ou par l'intermédiaire de votre responsable si le compte n'en a pas, pour demander la suppression ; Quiro y répond dans le délai d'un mois indiqué ci-dessus.

Quand le compte a une adresse e-mail, un e-mail confirme la suppression ; pour une demande, un premier e-mail en accuse réception.

Ce qui est effacé : nom, prénom, adresse e-mail, mot de passe, code PIN, téléphone, date d'embauche, notes, préférences d'affichage et droits du compte, qui est désactivé ; ses sessions sont fermées. À la suppression du compte, le nom de la personne est aussi retiré des commandes où elle s'était posée en payeur (libellé « Serveur »). Les tickets scellés ne portent pas ce nom. Le dirigeant de l'établissement est prévenu, sans le nom de la personne, quand celle-ci supprime son compte ou que sa demande est traitée.

Ce qui reste, et pourquoi :

les pièces comptables et fiscales (tickets, tickets Z, clôtures, factures, journaux), conservées 10 ans comme la loi l'exige (voir section 10) et inaltérables : elles restent rattachées au compte, qui ne porte plus que des valeurs neutres ;
la répartition des pourboires reversés au personnel, qui garde le nom et le rôle de chaque bénéficiaire pour prouver le reversement, conservée 10 ans comme les pièces comptables ; les conditions de vente et de réservation publiées pour un établissement, qui gardent le nom de la personne qui les a publiées ;
pour un distributeur, sa fiche (identité, adresse, coordonnées bancaires et de facturation), ses factures, relevés et paiements, conservés 10 ans (obligations comptables et fiscales ; mandat de facturation) ;
les preuves des accords et des documents acceptés (documents légaux, accord pour l'intelligence artificielle, accords donnés au nom d'un établissement) et la trace de la demande de suppression : date, version, adresse IP, navigateur ou application. Les preuves d'un accord donné au nom d'un établissement gardent aussi le nom de la personne qui l'a donné. Elles servent à démontrer ces accords (art. 7.1 du RGPD) et à défendre des droits en justice (art. 17.3.e du RGPD), pendant les durées de la section 10 ;
au journal technique du Service, la trace de la suppression (date et origine), sans nom ni adresse.

Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

Cookies et traceurs

À la date des présentes, le site et le Service n'utilisent ni cookies de mesure d'audience, ni traceurs publicitaires, ni scripts tiers de suivi. Seuls des cookies et jetons strictement nécessaires au fonctionnement sont utilisés :

jetons d'authentification et de session (y compris pour l'espace fidélité), à durée limitée, déposés uniquement après connexion ;

Ces traceurs sont exemptés de consentement au titre de l'article 82 de la loi Informatique et Libertés.

Le site quiro.fr mesure son audience sans cookie ni traceur. Il ne dépose rien sur votre appareil et n'y lit rien pour vous suivre ou vous reconnaître. À chaque page affichée, il envoie au serveur de Quiro le chemin de la page (sans ses paramètres), le nom du site d'où vient la visite ou la source indiquée dans le lien, la campagne du lien, et s'il s'agit de la première page de la visite. Rien n'est envoyé si votre navigateur demande de ne pas être suivi (Do Not Track ou Global Privacy Control). Les pages du site qui servent aux établissements (réservation, commande, compte client, conditions, paiement) ne sont pas mesurées.

Quiro n'en conserve que des comptes par jour (pages vues et visites, par page, source et campagne), réservés à l'équipe Quiro. Ni adresse IP, ni navigateur, ni identifiant n'y sont enregistrés. L'adresse IP sert seulement, en mémoire et vingt-quatre heures au plus, à limiter le nombre d'envois ; le navigateur n'est lu que pour écarter les robots. Cette mesure produit des statistiques de fréquentation pour Quiro seul ; elle ne suit personne d'un site à l'autre et n'est croisée avec aucune autre donnée. C'est pourquoi aucun bandeau de consentement n'est affiché.

Polices et fichiers d'affichage : les applications Quiro installées sur un téléphone, une tablette ou un ordinateur embarquent leurs polices de caractères : elles n'en demandent aucune à un service tiers comme Google Fonts. Dans un navigateur, l'application web (app.quiro.fr, y compris le menu de commande par QR code) charge le moteur d'affichage de Flutter et, au besoin, des polices de secours (emoji, alphabets non latins) depuis des serveurs de Google (gstatic.com) : comme pour tout fichier téléchargé, votre navigateur leur transmet alors son adresse IP et des informations techniques (type de navigateur, langue). Quiro n'en reçoit rien et ne dépose aucun traceur à cette occasion ; Google traite ces demandes selon ses propres règles, le cas échéant aux États-Unis. Le site quiro.fr sert lui-même ses polices. La bibliothèque de lecture des codes-barres des applications installées envoie aussi à Google des mesures techniques sur son fonctionnement (voir 5.10).

Si Quiro utilisait un jour des cookies ou des traceurs soumis au consentement, un bandeau de recueil du consentement suivant les recommandations de la CNIL (boutons « Tout accepter » / « Tout refuser » de même niveau, refus = poursuite sans dépôt) serait déployé avant tout dépôt, et la présente section mise à jour.

Intelligence artificielle et décisions automatisées

Le Service intègre des fonctionnalités d'intelligence artificielle fournies par le prestataire Anthropic (assistance par chat, lecture de factures d'achat, rapprochement des lignes de factures, traduction de menus) ; l'équipe Quiro utilise aussi ce prestataire pour la mise en place assistée (voir 5.9). Conformément au Règlement (UE) 2024/1689 (« règlement sur l'IA »), lorsque vous interagissez avec l'assistant conversationnel, vous êtes informé que vous dialoguez avec un système d'intelligence artificielle ; les informations pré-remplies par la lecture de factures d'achat sont présentées à l'écran comme des propositions à vérifier, avec leur indice de confiance. Les informations saisies par la mise en place assistée sont signalées dans le Service comme entrées automatiquement et présentées comme des propositions à vérifier par le Client, en particulier les taux de TVA et les allergènes.

Votre accord avant le premier envoi : avant le premier envoi de données au prestataire Anthropic par l'assistant, la lecture d'une facture d'achat ou le rapprochement des lignes d'une facture électronique, l'application demande l'accord de la personne qui utilise la fonction : une fenêtre dit ce qui est envoyé pour chaque fonction, pourquoi, et où ces données sont traitées. « Pas maintenant » ferme la fenêtre sans rien envoyer ; « J'accepte » enregistre l'accord. Chacun donne son accord pour lui-même, y compris sur un appareil partagé, et il vaut pour toutes ses connexions ; l'équipe Quiro le donne aussi avant de faire lire ses propres factures d'achat. Si le texte de l'accord change, il est demandé de nouveau. L'accord se retire depuis votre compte (Paramètres › Mon compte, carte « Intelligence artificielle » ; pour un distributeur, Mon profil ; pour l'équipe Quiro, en haut de la page de l'assistant) : plus rien n'est envoyé ensuite, et la fonction redemande l'accord avant tout nouvel envoi. Le retrait ne revient pas sur les envois faits auparavant, que le prestataire supprime dans les conditions de la section 9. Quiro garde la preuve de l'accord et de son retrait (voir 5.1 et section 10). La traduction de menus, qui ne transmet aucune donnée personnelle, ne demande pas d'accord.

Ces traitements ne produisent pas de décision entièrement automatisée produisant des effets juridiques vous concernant au sens de l'article 22 du RGPD : les informations pré-remplies, leurs indices de confiance et les résultats de l'IA Matching constituent des propositions soumises à la validation humaine du Client. Les données transmises à l'IA sont limitées à ce qui est nécessaire à chaque fonctionnalité (voir 5.6). Quiro utilise également la lecture de factures d'achat par l'IA pour ses propres factures d'achat, au titre de ses obligations comptables et fiscales (voir 4.1).

Mineurs

Le Service n'est pas destiné à être souscrit par des mineurs. L'interface de commande en ligne par QR code peut être utilisée au sein d'établissements accueillant du public, y compris des mineurs. Le respect des obligations propres à la vente de certains produits (notamment l'interdiction de vente d'alcool aux mineurs) relève de la responsabilité exclusive de l'établissement (le Client) : Quiro ne met pas en œuvre de contrôle d'âge et n'est pas partie au contrat de vente entre l'établissement et le client final (voir section 18).

Informations spécifiques aux clients finaux (commande en ligne et fidélité)

Commande en ligne (QR code) : vous pouvez commander sans créer de compte. À table, aucune donnée d'identification n'est requise (la session repose sur des identifiants techniques de table/commande). Pour une commande à emporter (click & collect), une adresse e-mail vous est demandée : elle sert à vous envoyer la confirmation de votre commande et à préremplir la page de paiement de Stripe, elle n'est jamais utilisée pour de la publicité et elle est effacée, chez Quiro et chez son prestataire d'envoi d'e-mails, au plus tard un mois après le jour de retrait de la commande (Stripe la conserve selon ses propres règles, voir 4.3). Si vous fournissez un e-mail pour recevoir votre facture, celui-ci est utilisé à cette seule fin. Si vous demandez à être prévenu par SMS que votre commande est prête, votre numéro de téléphone mobile sert uniquement à cet envoi et, pour une commande à emporter, à permettre à l'établissement de vous joindre au sujet de cette commande ; il n'est jamais utilisé pour de la publicité et il est effacé au plus tard un mois après le jour de retrait de la commande. Le SMS est envoyé par le prestataire Brevo, pour le compte de l'établissement. « Ne plus me prévenir » efface votre numéro tout de suite. Le contrat de vente est conclu entre vous et l'établissement ; Quiro intervient comme prestataire technique et sous-traitant de l'établissement pour ces données. Le paiement est traité par le prestataire Stripe sur le compte Stripe de l'établissement, qui reçoit les fonds ; Stripe traite les données de ce paiement selon ses propres règles (voir 4.3) ; Quiro ne stocke aucune donnée de carte bancaire.
Programme de fidélité : la création d'un compte de fidélité repose sur votre consentement (case à cocher avec lien vers la présente Politique). Pour ce traitement spécifique, Quiro est responsable du traitement (compte transversal multi-établissements). Vous pouvez à tout moment exporter vos données et supprimer votre compte depuis votre espace, ou écrire à contact@quiro.fr. L'inscription aux communications marketing est facultative (opt-in distinct) et révocable.

Violation de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes, Quiro notifie la CNIL dans les 72 heures (art. 33 RGPD) et, le cas échéant, les personnes concernées (art. 34). Lorsque Quiro agit en sous-traitant, elle informe le Client (responsable) sans délai injustifié afin de lui permettre de procéder aux notifications lui incombant.

Modification de la présente politique

Quiro peut modifier la présente Politique pour l'adapter aux évolutions légales, techniques ou de ses services. La version applicable est celle publiée sur quiro.fr/confidentialite. Elle se lit aussi dans les applications Quiro : sous la carte de connexion, dans Paramètres › Mon compte, carte « Vos données », dans Paramètres › Informations Quiro › Mentions légales et, pour un distributeur, dans Mon profil. En cas de modification substantielle, les personnes concernées sont informées par un moyen approprié (notification dans le Service ou e-mail).

Contact

Pour toute question relative à la présente Politique ou à vos données : contact@quiro.fr — Quiro, 410 Impasse de Monplaisir, 49330 Sceaux-d'Anjou.