Version 1.8 · Dernière mise à jour : 29 septembre 2026

Politique de confidentialité

Cette politique explique comment les données personnelles sont traitées sur le site MenuXS, dans les comptes professionnels et lors de l'utilisation des menus et du système de commande.

1. Responsable du traitement et contacts

Le responsable du traitement pour les traitements propres de la plateforme est 3SIGMA SOCIETÀ A RESPONSABILITÀ LIMITATA SEMPLIFICATA, en forme abrégée 3Sigma s.r.l.s. a socio unico, gestionnaire du service MenuXS, dont le siège social est situé Via Antonio Viri 16, 00124 Rome (RM), Italie ; Code fiscal, numéro de Registre des entreprises et numéro de TVA 12847171001 ; Registre des entreprises de Rome ; REA RM-1404631 ; capital social de 500,00 € entièrement souscrit et versé.

Contact : 3Sigma s.r.l.s. – Bureau de la vie privée ; e-mail privacy@menuxs.io ; PEC 3sigma@pec.it. Le Bureau de la vie privée est un référent organisationnel et n'est pas qualifié comme Délégué à la protection des données (DPD/RPD).

2. Quand le restaurant est responsable du traitement

Lorsque vous consultez le menu d'un restaurant, passez une commande, enregistrez une adresse ou communiquez des préférences au restaurant, le restaurant indiqué dans le menu ou dans la confirmation de commande détermine les finalités du traitement et est le principal interlocuteur. MenuXS traite ces données pour fournir la plateforme selon les instructions du restaurant.

Pour exercer vos droits relatifs à une commande ou à la relation avec le restaurant, vous pouvez contacter directement le restaurant. Si vous écrivez à MenuXS, nous transmettrons la demande au restaurant compétent et fournirons l'assistance prévue par la loi.

3. Données traitées

• Données de navigation et de sécurité : adresse IP, date et heure, URL, user agent, événements techniques, identifiants de session, tentatives d'accès et journaux anti-fraude.
• Analyse, avec consentement préalable : hostname, chemin sans paramètres de recherche, referrer, langue, dimensions de l'écran et événements catégoriels du parcours d'inscription et d'activation des commerçants. Aucun nom, e-mail ou identifiant d'utilisateur, d'établissement, de menu ou de commande n'est envoyé à Umami.
• GA4, avec consentement Analyse : pages vues et événements catégoriels sans paramètres, e-mails, noms ni identifiants applicatifs. Google Signals, données fournies par les utilisateurs et personnalisation publicitaire restent désactivés.
• Vercel Web Analytics : statistiques agrégées sans cookies ; les URL sont expurgées et les menus, paiements, commandes et routes avec identifiants sont exclus.
• Attribution publicitaire, avec consentement préalable : pages du parcours marchand visitées, inscription, début du paiement, activation de l'abonnement, paramètres oppref/obref et identifiants d'événement pseudonymes.
• Compte marchand et personnel : e-mail, nom, téléphone, avatar, rôle, magasins associés, préférences, accès et acceptations contractuelles.
• Données du magasin : raison sociale/nom commercial, contacts, adresse, domaine, menu, images, paramètres, données fiscales et d'abonnement.
• Clients et commandes : nom, e-mail, téléphone, adresses et coordonnées fournies, produits, montants, notes, état et historique de la commande.
• Paiements : identifiants et état de la transaction. Les données complètes de la carte sont collectées directement par le fournisseur de paiement et ne sont pas stockées par MenuXS.
• Assistance et communications : demandes, messages, pièces jointes et informations nécessaires à la résolution.
• Newsletter/liste d'attente : e-mail, consentement, date et source d'inscription.
• Notifications : points d'accès et clés techniques de l'abonnement push, ou le canal de livraison choisi par le marchand.

Évitez d'insérer dans les notes des données inutiles ou des catégories particulières de données. Si vous communiquez des allergies ou des informations de santé, faites-le uniquement lorsque cela est indispensable à la préparation de la commande et en sachant que cela sera reçu par le restaurant.

4. Finalités et bases juridiques

5. Modalités et décisions automatisées

Le traitement est effectué à l'aide d'outils électroniques et de mesures visant à garantir la confidentialité, l'intégrité et la disponibilité. MenuXS n'adopte pas, à l'heure actuelle, de décisions exclusivement automatisées produisant des effets juridiques significatifs sur les utilisateurs. Les éventuelles fonctionnalités d'IA pour importer des menus produiront des brouillons soumis à vérification humaine.

6. Destinataires et fournisseurs

Les données peuvent être traitées par du personnel autorisé et par les fournisseurs nécessaires pour l'hébergement, les bases de données, le stockage/CDN, l'envoi d'e-mails et SMS, les paiements, les notifications, l'assistance, la sécurité, les newsletters et les fonctions d'IA. L'liste publique des sous-traitants et fournisseurs indique les services, les localités déclarées, les garanties de transfert et les configurations applicables.

Le restaurant et ses utilisateurs autorisés reçoivent les données relatives à leurs clients et commandes. Les données peuvent également être communiquées à des autorités ou à des professionnels lorsque la loi l'exige ou lorsque cela est nécessaire pour protéger des droits.

7. Transferts hors de l'Espace Économique Européen

Certains fournisseurs peuvent traiter des données dans des pays hors EEE. Dans de tels cas, MenuXS applique les instruments prévus par les articles 44 et suivants du RGPD, tels que les décisions d'adéquation ou les Clauses Contractuelles Types, et évalue les mesures supplémentaires nécessaires. Les détails dépendent du fournisseur et sont disponibles sur demande.

8. Conservation

• Comptes et contenus opérationnels : pendant la durée du service ; après expiration, mode suspendu ou lecture seule pendant 30 jours pour permettre l'exportation, puis suppression ou anonymisation des systèmes actifs dans les 30 jours suivants.
• Données fiscales et de facturation : pendant la période requise par la réglementation applicable, normalement 10 ans.
• Commandes et profils clients : selon les instructions et la politique du restaurant ; le défaut applicatif sera documenté dans les paramètres.
• OTP : 15 minutes ou jusqu'à la première utilisation.
• Journaux de sécurité : maximum ordinaire de 12 mois, sauf incident ou nécessité de défense.
• Leads/newsletters : jusqu'à révocation ou, indicativement, 24 mois d'inactivité.
• Tickets d'assistance : normalement 24 mois après clôture, sauf nécessité supplémentaire documentée.
• Fichiers originaux et intermédiaires d'importation IA : supprimés à la fin ou à l'expiration du job, avec un cycle de vie technique maximum configuré à 24 heures. Chaque requête OpenRouter impose un routage Zero Data Retention ; le modèle, le fournisseur réel, la région déclarée et le parseur PDF sont enregistrés dans l'audit technique sans conserver les invites ou les contenus extraits dans le journal.
• Sauvegardes : suppression par rotation normale dans les 90 jours suivant la suppression des systèmes actifs ; en cas de restauration d'urgence, les suppressions sont réappliquées.

Les exceptions pour obligations légales, litiges, sécurité ou instructions documentées du restaurant sont appliquées de manière limitée aux données nécessaires. Les demandes de suppression ne sont pas considérées comme conclues tant que les actions prévues sur les systèmes actifs et les fournisseurs concernés ne sont pas enregistrées.

9. Droits

Dans les cas prévus, vous pouvez demander l'accès, la rectification, la suppression, la limitation, la portabilité, l'opposition et révoquer votre consentement sans préjudice des traitements antérieurs. Vous pouvez également déposer une réclamation auprès du Garante per la protezione dei dati personali.

Envoyez votre demande à privacy@menuxs.io ou par PEC à 3sigma@pec.it. Nous pourrions vous demander des informations raisonnables pour vérifier votre identité et la portée de votre demande. Lorsque le responsable du traitement est le restaurant, nous collaborerons avec ce dernier.

10. Cookies et stockage du navigateur

Le site et l'application utilisent des cookies ou des outils similaires pour les fonctions techniques et, uniquement avec consentement lorsque requis, pour l'analyse et le marketing. Les jetons de session, le panier et les préférences peuvent être enregistrés dans le navigateur. Les détails et les contrôles sont disponibles dans la Politique de cookies et via « Préférences cookies » dans le pied de page.

11. Mineurs

Le service SaaS est destiné aux opérateurs professionnels. Les commandes doivent être passées par des personnes ayant la capacité de conclure un contrat avec le restaurant ou sous la responsabilité de ceux qui exercent l'autorité parentale. MenuXS ne collecte pas sciemment de données de mineurs à des fins de marketing.

12. Modifications

Nous pouvons mettre à jour cette politique pour tenir compte des évolutions du service ou de la réglementation. Nous indiquerons la version et la date, et pour les modifications substantielles, nous utiliserons un avis approprié.

Mesure Google Ads

Uniquement avec le consentement Marketing, nous utilisons Google Ads pour attribuer les inscriptions de nouveaux établissements aux campagnes publicitaires. La balise est chargée sur le site et dans le parcours marchand, pas sur les menus publics ni lors du paiement des clients des restaurants. Google peut traiter des identifiants publicitaires et de cookies, une adresse IP, des données du navigateur et une référence pseudonyme de l’inscription. Nous ne transmettons ni adresses e-mail, ni noms, ni données de commande ; les conversions avancées et la personnalisation publicitaire ne sont pas activées. Avant le consentement, nous ne chargeons pas la balise et n’envoyons aucun ping à Google. Vous pouvez retirer votre consentement dans les préférences cookies.

Cookies d’attribution _gcl_*, normalement jusqu’à 90 jours ; la durée réelle dépend du cookie et de la configuration Google. Le choix de consentement est conservé séparément pendant 180 jours.

Prestataire publicitaire pour les campagnes MenuXS, et non sous-traitant des données de commande des marchands. Les rôles et transferts internationaux sont régis par les conditions Google applicables au service, y compris les garanties DPF/SCC le cas échéant. Google Privacy · Google Ads terms · DPF / SCC