Version 2.5 — Mise à jour : 04/09/2026 — conforme RGPD (Règlement UE 2016/679)
OrderFlow est un service B2B : nous vendons un logiciel à des food trucks et restauration ambulante (les « Exploitants »). Ces Exploitants utilisent OrderFlow pour traiter les commandes de leurs propres clients (les « Clients finaux »).
Cette politique distingue trois types de traitement :
Thomas Jouhanneau — entrepreneur individuel (micro-entrepreneur), marque OrderFlow
7 venelle de la Chapelle, 17580 Le Bois-Plage-en-Ré, France — SIRET 881 630 636 00028
Contact : orderflow.foodtech@gmail.com
Pas de Délégué à la Protection des Données (DPO) requis : OrderFlow ne traite pas de données sensibles à grande échelle et n'a pas pour activité principale le profilage ou la surveillance régulière de personnes (art. 37 RGPD). Pour toute question, le contact ci-dessus est compétent.
| Catégorie | Données | Finalité |
|---|---|---|
| Compte Exploitant | Email, SIRET, nom établissement, prénom et nom du gérant, téléphone professionnel, adresse postale professionnelle (rue, ville, code postal), mot de passe (hashé) | Gestion du compte, authentification, facturation, support technique. Le téléphone sert également de numéro source pour la fonctionnalité Twilio (plan Pro, opt-in via le dashboard). L'adresse postale est requise pour la conformité ARCEP lors de l'attribution automatique d'un numéro Twilio (plan Pro). |
| Commandes Clients finaux | Prénom, téléphone (optionnel selon mode), produits commandés, montant | Traitement de la commande pour le compte de l'Exploitant |
| Sécurité / prévention fraude | Pour chaque commande : adresse IP, User-Agent (navigateur), horodatage, prénom et téléphone du Client final, numéro et montant de la commande, canal (borne ou à distance) et statut final. Ni le détail du panier, ni les options, ni les notes. | Traçabilité légale, prévention des abus et de la saturation malveillante (intérêt légitime, art. 6.1.f RGPD). Jamais utilisé à des fins commerciales ni de profilage. |
| Notifications push | Token FCM (identifiant appareil) | Alertes commandes côté Exploitant uniquement (enregistrement depuis le dashboard cuisinier, opt-in via permission navigateur). Les Clients finaux ne reçoivent pas de notifications push. |
| Facturation | Coordonnées de paiement (via Stripe, jamais stockées sur OrderFlow) | Facturation des abonnements Exploitant |
| Logs d'usage | Routes accédées, métriques techniques (pseudonymisées — l'IP et le tenant_id implicite peuvent y figurer, mais ne sont pas exploités commercialement) | Amélioration et stabilité du service |
| Prospects (simulateur de gain) | Email, téléphone mobile (uniquement si vous demandez à être rappelé), nom du food truck, l'ensemble de vos réponses au questionnaire et l'estimation qui en découle (score, fourchette de gain, tranche de chiffre d'affaires déclarée), adresse IP et User-Agent | Vous recontacter au sujet de votre activité, ou vous prévenir quand OrderFlow s'ouvrira à votre situation. Voir la section « Le simulateur de gain » pour le détail des trois parcours et de leurs bases légales. |
Le simulateur de gain est un questionnaire public qui estime ce qu'OrderFlow pourrait apporter à votre activité. Vous pouvez le remplir entièrement et voir votre résultat sans laisser la moindre coordonnée — rien n'est enregistré tant que vous ne validez pas un formulaire.
Vos coordonnées ne sont enregistrées que dans l'un de ces trois cas, et la base légale diffère à chaque fois :
| Vous avez demandé… | Ce qui est enregistré | Base légale |
|---|---|---|
| à être rappelé | Email, téléphone, nom du food truck, réponses au questionnaire | Votre consentement (art. 6.1.a RGPD), donné par une case à cocher jamais pré-cochée |
| à être prévenu quand OrderFlow s'adaptera à votre situation | Email, nom du food truck, réponses au questionnaire | Votre consentement (art. 6.1.a RGPD), même case à cocher |
| à créer votre compte depuis le simulateur | Email et réponses au questionnaire, pour préparer votre inscription et vous accompagner au démarrage | Mesures précontractuelles prises à votre demande (art. 6.1.b RGPD) |
Pourquoi vos réponses au questionnaire sont conservées : pour que la personne qui vous rappelle connaisse déjà votre situation et ne vous refasse pas dire trois fois la même chose. Elles ne servent à rien d'autre.
Ce que nous ne faisons pas : vos coordonnées ne sont jamais revendues, ni louées, ni transmises à un tiers à des fins commerciales. Aucun profilage publicitaire, aucune revente de fichier. Le simulateur ne dépose aucun cookie de suivi.
Pour être retiré : un simple message à orderflow.foodtech@gmail.com suffit, sans avoir à vous justifier, et nous supprimons l'enregistrement.
| Donnée | Durée |
|---|---|
| Données commandes Clients finaux (détaillées : panier, options, notes cuisine) | Suppression complète (hard delete) chaque nuit à 03:00 UTC après le service. Subsistent ensuite deux choses seulement : des agrégats anonymes par jour et par lieu (chiffre d'affaires, panier moyen, produits vendus, conditions météo), qui ne contiennent aucune donnée personnelle ; et le journal de sécurité décrit ci-dessous. |
| Journal de sécurité (prénom, téléphone, IP, User-Agent, numéro et montant de commande, canal, statut final) | 12 mois, puis purge automatique — y compris après résiliation du compte Exploitant. Finalité de prévention et de constatation des abus, et le cas échéant de dépôt de plainte (art. 323-2 du Code pénal). |
| Données compte Exploitant | Durée du contrat. Après la fin de l'abonnement payant : conservation 6 mois (réactivation possible à l'identique), puis suppression définitive précédée de deux avertissements par email (CGV art. 8). Compte Gratuit jamais abonné : suppression après 60 jours d'inactivité (CGV art. 8). Factures : 10 ans (art. L123-22 Code de commerce). |
| Données de facturation | 10 ans (obligation légale comptable — art. L123-22 Code de commerce) |
| Journaux techniques de l'hébergeur (requêtes, erreurs serveur) | Conservés par l'hébergeur (Railway) selon sa propre politique de rétention. Non exploités par OrderFlow à d'autres fins que le diagnostic d'incident. |
| Prospects — adresse IP et User-Agent | 12 mois, puis effacement automatique. Ces deux données ne servent qu'à repérer les envois automatisés sur le formulaire ; passé un an elles n'ont plus d'utilité. |
| Prospects — coordonnées et réponses au questionnaire | 3 ans à compter du dernier contact, puis suppression automatique (durée de référence de la CNIL en matière de prospection commerciale entre professionnels). Suppression immédiate sur simple demande, à tout moment. |
| Sous-traitant | Rôle | Société / Pays serveurs |
|---|---|---|
| Supabase | Base de données PostgreSQL, authentification, stockage fichiers | Supabase Inc. (US) — serveurs EU (Frankfurt) |
| Railway | Hébergement application Node.js | Railway Corp (US) — serveurs EU (europe-west4) |
| Firebase Cloud Messaging | Notifications push web | Google LLC (US) — routage EU |
| Stripe | Traitement des paiements (Stripe Checkout) | Stripe Inc. (US) + Stripe Payments Europe (Irlande) |
| Twilio | SMS de confirmation, redirection appels (module Pro) | Twilio Inc. (US) + Twilio Ireland Ltd |
| Resend | Envoi d'emails transactionnels (bienvenue Pro, alertes système) | Resend, Inc. (US) |
| Open-Meteo | API météo publique (analytics Pro : corrélation CA / conditions par jour et par lieu). Aucune donnée personnelle transmise — seulement les coordonnées GPS agrégées du foodtruck. | Open-Meteo (Allemagne, UE) — service gratuit open source |
Plusieurs de nos sous-traitants sont des sociétés américaines (Supabase, Railway, Google, Stripe, Twilio, Resend). Les transferts de données vers les États-Unis sont encadrés par les garanties suivantes :
Conformément au RGPD, vous disposez des droits suivants sur les données vous concernant :
Pour exercer vos droits : orderflow.foodtech@gmail.com
Délai de réponse : nous nous engageons à répondre dans un délai maximum de 1 mois à compter de la réception de votre demande (art. 12 RGPD), éventuellement prolongeable de 2 mois en cas de demande complexe (vous en serez informé(e)).
En cas de désaccord persistant, vous avez le droit d'introduire une réclamation auprès de la CNIL :
OrderFlow utilise uniquement des cookies techniques strictement nécessaires au fonctionnement du service (session JWT d'authentification, préférences d'interface). Aucun cookie publicitaire, aucun tracking tiers (pas de Google Analytics, pas de Facebook Pixel, pas de Tag Manager). Aucun consentement requis pour ces cookies techniques (art. 82 Loi Informatique et Libertés, exception traceurs strictement nécessaires).
OrderFlow n'utilise pas de prise de décision automatisée au sens de l'article 22 du RGPD. Toutes les décisions ayant un impact significatif sur le Client final (acceptation ou refus de commande, marquage d'une commande comme suspecte ou frauduleuse, demande de confirmation par SMS) sont prises par un opérateur humain — le cuisinier ou l'Exploitant — depuis son dashboard.
L'algorithme de planification des créneaux propose des horaires de livraison réalisables techniquement, mais n'accepte ni ne refuse jamais une commande de manière autonome. La validation finale reste systématiquement humaine.