Politique de confidentialité

1.Qui nous sommes et comment nous joindre

One Solution BV (exploitant la marque Waiterr), société à responsabilité limitée de droit belge dont le siège social est établi à Rubensplein 19, 1560 Hoeilaart, Belgique, immatriculée sous le numéro d'entreprise BE 0763.648.435, est l'entité responsable des traitements décrits ci-dessous.

Nous avons désigné un point de contact interne en matière de protection des données. Vous pouvez contacter notre équipe par courriel à privacy@waiterr.app pour toute question, demande ou réclamation liée à la présente Politique.

Conformément au RGPD, nous pouvons agir soit en qualité de responsable du traitement (lorsque nous décidons des finalités et moyens — p.ex. sur le site marketing, pour nos propres clients, pour la facturation), soit en qualité de sous-traitant (lorsque nous hébergeons des données pour le compte d'un établissement utilisant Waiterr — typiquement les données de commande des clients finaux). Le rôle applicable est précisé dans chaque section ci-dessous.

2.Champ d'application

La présente Politique couvre les traitements effectués dans trois contextes distincts :

• Site marketing (waiterr.app, notre blog et nos formulaires publics) : visiteurs naviguant sur notre site, demandant une démonstration ou démarrant un compte via l'assistant d'inscription.
• Application Manager (manager.waiterr.app) : application utilisée par les professionnels de l'horeca pour piloter leur établissement (caisse, écran cuisine, réservations, gestion des cartes, statistiques, équipes). Les données créées par ces professionnels au sujet de leurs équipes ou de leurs propres clients sont traitées pour leur compte.
• Applications client (commande QR, click & collect, commande en ligne, suivi de commande, ticket digital) : applications avec lesquelles les clients finaux (convives) d'un établissement utilisant Waiterr interagissent pour commander, payer, déposer un avis ou rejoindre un programme de fidélité.

Lorsque vous passez commande dans un établissement utilisant Waiterr, l'établissement est responsable du traitement de vos données de commande et de contact ; nous agissons comme son sous-traitant dans le cadre d'un Accord de sous-traitance.

3.Données personnelles que nous collectons

Nous ne collectons que les données strictement nécessaires à la fourniture et à l'amélioration du service. Les catégories ci-dessous correspondent aux trois contextes décrits plus haut.

4.Pourquoi nous traitons vos données — finalités et bases légales

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale. La liste ci-dessous indique chaque finalité et la base correspondante.

• Fournir le service (héberger vos données, traiter les commandes, synchroniser les appareils, fournir l'expérience site web) : exécution d'un contrat ou mesures précontractuelles (art. 6(1)(b)).
• Vous facturer et reverser les paiements (facturation des abonnements, rapprochement des virements, comptabilité) : exécution d'un contrat + obligation légale (art. 6(1)(b) + 6(1)(c)).
• Respecter les obligations comptables, TVA, anti-blanchiment et de protection des consommateurs (notamment conserver les factures jusqu'à 10 ans en Belgique) : obligation légale (art. 6(1)(c)).
• Sécuriser la plateforme (limites de débit, détection de fraude, signaux anti-abus, journaux d'audit) : intérêt légitime à protéger le service (art. 6(1)(f)).
• Assurer le support produit (répondre à vos tickets, résoudre les incidents, proposer des correctifs) : exécution d'un contrat (art. 6(1)(b)).
• Enrichissement de l'onboarding (pré-remplir le profil de votre établissement à partir de votre site public pour vous éviter de retaper) : intérêt légitime à offrir un onboarding fluide (art. 6(1)(f)). Vous pouvez à tout moment demander la suppression des données enrichies.
• Envoyer des e-mails transactionnels (confirmations, réinitialisation de mot de passe, reçus, factures, notifications de sécurité) : exécution d'un contrat (art. 6(1)(b)).
• Envoyer des e-mails commerciaux concernant les produits Waiterr (newsletters, mises à jour, offres ponctuelles) : consentement (art. 6(1)(a)) lorsque requis, ou opt-in implicite pour clients existants conformément aux règles belges/UE. Vous pouvez vous désinscrire à tout moment.
• Améliorer le produit (analyses d'usage anonymes, A/B testing, supervision des erreurs) : intérêt légitime à améliorer la plateforme (art. 6(1)(f)). Nous nous appuyons autant que possible sur l'agrégation et la pseudonymisation.
• Défendre nos droits (litiges, application des CGU, réponse aux décisions de justice) : intérêt légitime + obligation légale (art. 6(1)(f) + 6(1)(c)).

5.Avec qui nous partageons vos données - catégories de destinataires

Nous ne vendons jamais vos données. Nous les partageons uniquement avec des prestataires soigneusement sélectionnés et des conseils professionnels lorsque cela est nécessaire pour fournir, sécuriser, supporter, facturer et améliorer le service. Chaque prestataire est lié par des obligations contractuelles de confidentialité et de protection des données interdisant tout usage secondaire.

• Prestataires d'infrastructure et d'hébergement : hébergement, stockage, CDN, sauvegardes, protection réseau et journaux opérationnels.
• Prestataires de paiement et de facturation : abonnements, paiements par carte, paiements QR/mobile, factures et rapprochement des versements.
• Prestataires de communication : e-mails transactionnels, reçus, notifications de compte et messages de support.
• Prestataires de sécurité et anti-abus : protection anti-bot, limitation de débit, authentification, prévention de la fraude et détection des abus.
• Prestataires produit et fiabilité : rapports d'erreur, monitoring de performance, diagnostics et statistiques agrégées.
• Prestataires de cartographie, recherche et enrichissement d'établissements : recherche d'établissement, géocodage, enrichissement de données publiques et assistance à l'onboarding.
• Conseils professionnels et autorités : comptables, avocats, auditeurs, assureurs, tribunaux ou régulateurs lorsque la loi l'exige.

Pour les clients qui ont besoin de la liste exacte dans le cadre d'un achat, d'une AIPD ou de leur registre Article 28 RGPD, nous la fournissons via le DPA ou sur demande vérifiée à privacy@waiterr.app.

6.Transferts internationaux

Lorsqu'un sous-traitant transfère des données personnelles en dehors de l'Espace économique européen (EEE), nous mettons en place les garanties appropriées prévues aux articles 44 à 49 du RGPD. Concrètement, cela signifie des Clauses Contractuelles Types (CCT) avec le prestataire, complétées par une analyse d'impact des transferts et des mesures techniques additionnelles (chiffrement en transit et au repos, gestion des clés) lorsque c'est requis.

Les prestataires établis aux États-Unis adhérant au EU-US Data Privacy Framework sont identifiés ci-dessus. Vous pouvez demander une copie des garanties associées à un transfert spécifique en écrivant à privacy@waiterr.app.

7.Durée de conservation

• Leads marketing : 24 mois à compter de votre dernière interaction. Les prospects non convertis sont ensuite supprimés automatiquement.
• Comptes clients : pendant toute la durée du contrat, puis 13 mois après résiliation pour assurer la continuité du support, puis anonymisés — sauf durée plus longue imposée par la loi (notamment, le droit comptable belge impose la conservation des factures jusqu'à 10 ans).
• Commandes des clients finaux traitées pour le compte d'un établissement : 13 mois pour les opérations actives, puis jusqu'à 10 ans sous forme agrégée pour les obligations comptables. Les éléments d'identification sont pseudonymisés après 13 mois sauf instruction contraire de l'établissement.
• Journaux techniques / serveurs : 30 jours, plus longtemps en cas d'incident de sécurité sous investigation.
• Rapports de crash et de performance : 90 jours.
• Sauvegardes : chiffrées, faisant l'objet d'une rotation sous 35 jours. Les restaurations respectent les durées ci-dessus.

Lorsque nous supprimons des données, nous appliquons des pratiques de suppression sécurisée et un effacement cryptographique pour les sauvegardes.

8.Comment nous protégeons vos données

Nous traitons vos données avec le niveau de soin attendu d'un opérateur sérieux. Nos principales mesures :

• Chiffrement en transit via TLS 1.2+ sur tous les points de terminaison, y compris API et webhooks.
• Chiffrement au repos pour la base de données de production, le stockage de fichiers et les sauvegardes.
• Privilège minimal : seul un sous-ensemble réduit et nominatif d'ingénieurs accède à la production, avec journalisation et 2FA.
• Isolation réseau de la base de données, accessible uniquement depuis le VPC applicatif.
• Supervision continue avec détection d'intrusion, limitation de débit sur les endpoints publics et alertes internes de sécurité.
• Réduction du périmètre PCI-DSS : les données complètes de carte ne touchent jamais nos serveurs - elles sont collectées directement par des prestataires de paiement certifiés.
• Tests d'intrusion réguliers et analyse des dépendances à chaque déploiement.
• Plan de réponse aux incidents avec engagement de notification dans les 72 heures aux personnes concernées et à l'Autorité de protection des données belge le cas échéant.

9.Vos droits au titre du RGPD

Vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès — obtenir une copie des données que nous détenons à votre sujet.
• Droit de rectification — corriger des données inexactes ou incomplètes.
• Droit à l'effacement ("droit à l'oubli") — demander la suppression lorsque aucun motif prépondérant ne justifie leur conservation.
• Droit à la limitation du traitement dans certains cas (p.ex. lorsque vous contestez l'exactitude des données).
• Droit à la portabilité — recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable lorsque techniquement possible.
• Droit d'opposition au traitement fondé sur nos intérêts légitimes, y compris au profilage, et inconditionnellement à la prospection.
• Droit de retirer votre consentement à tout moment, lorsque le traitement est fondé sur le consentement (le retrait n'affecte pas la licéité des traitements antérieurs).
• Droit de ne pas être soumis à une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou similaires.

Pour exercer ces droits, écrivez à privacy@waiterr.app. Nous répondons dans un délai de 30 jours. Nous pouvons être amenés à vérifier votre identité avant de donner suite.

Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle. Notre autorité chef de file est l'Autorité de protection des données (APD/GBA) belge, Rue de la Presse 35, 1000 Bruxelles, Belgique — autoriteprotectiondonnees.be. Vous pouvez aussi saisir l'autorité de votre pays de résidence dans l'UE.

10.Cookies et technologies similaires

Nous utilisons un nombre réduit de cookies et technologies similaires pour faire fonctionner nos sites et applications, mémoriser vos préférences, sécuriser les formulaires et comprendre comment le service est utilisé.

Pour le détail de chaque cookie, sa gestion dans votre navigateur et le retrait du consentement, consultez notre Politique cookies dédiée.

11.Enfants

Waiterr est un outil B2B destiné aux professionnels de l'horeca. Les applications client (commande QR, etc.) ne s'adressent pas aux enfants de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles auprès de mineurs de moins de 16 ans.

Si vous pensez qu'un mineur nous a transmis des données personnelles, contactez-nous à privacy@waiterr.app et nous procéderons à leur suppression rapide.

12.Liens tiers et politiques des établissements

Notre site marketing et les pages de commande client peuvent contenir des liens vers des sites tiers (site propre de l'établissement, réseaux sociaux, prestataires de paiement). Nous ne sommes pas responsables des pratiques de confidentialité de ces sites — consultez leurs politiques séparément.

Lorsque vous commandez auprès d'un établissement, la politique de confidentialité propre à cet établissement (lorsqu'elle existe) prévaut sur la nôtre pour les données qu'il collecte pour son propre compte (p.ex. dans son programme de fidélité).

13.Lorsque nous agissons en qualité de sous-traitant (clients B2B)

Lorsque vous souscrivez à Waiterr pour exploiter votre établissement, vous restez responsable du traitement des données personnelles que vous chargez ou que vos clients finaux génèrent via la plateforme. Nous agissons comme votre sous-traitant et concluons un Accord de sous-traitance (DPA) qui fait partie intégrante de notre contrat, disponible sur demande.

À ce titre, nous :

• ne traitons les données que sur vos instructions documentées ;
• imposons des obligations strictes de confidentialité à nos équipes et sous-traitants ;
• vous assistons (raisonnablement) à répondre aux demandes des personnes concernées ;
• vous assistons dans vos obligations de sécurité, notification de violation, AIPD et consultation préalable ;
• supprimons ou restituons toutes les données à la fin du contrat, sous réserve d'obligations légales de conservation ;
• mettons à disposition toutes les informations nécessaires pour démontrer la conformité avec l'article 28 du RGPD.

14.Modifications de la présente politique

Nous pouvons mettre à jour cette Politique de confidentialité pour refléter les évolutions de nos services, de notre infrastructure ou du droit applicable. La date de "Dernière mise à jour" en haut de cette page indique toujours la version en vigueur.

En cas de changement substantiel, nous vous notifierons par e-mail et/ou par bandeau dans l'application Manager au moins 30 jours avant l'entrée en vigueur, afin que vous ayez le temps d'examiner et d'exercer vos droits.

15.Contact

Pour toute question, demande ou réclamation concernant vos données personnelles :

• Courriel : privacy@waiterr.app
• Courrier postal : One Solution BV — Privacy, Rubensplein 19, 1560 Hoeilaart, Belgique

Pour toute autre question, contactez-nous à contact@waiterr.app.