Version 2.1 — Mise à jour : 17/05/2026 — conforme RGPD (Règlement UE 2016/679)
OrderFlow est un service B2B : nous vendons un logiciel à des food trucks et restauration ambulante (les « Exploitants »). Ces Exploitants utilisent OrderFlow pour traiter les commandes de leurs propres clients (les « Clients finaux »).
Cette politique distingue deux types de traitement :
Thomas Jouhanneau — entrepreneur individuel (micro-entrepreneur), marque OrderFlow
7 venelle de la Chapelle, 17580 Le Bois-Plage-en-Ré, France — SIRET 881 630 636 00028
Contact : orderflow.foodtech@gmail.com
Pas de Délégué à la Protection des Données (DPO) requis : OrderFlow ne traite pas de données sensibles à grande échelle et n'a pas pour activité principale le profilage ou la surveillance régulière de personnes (art. 37 RGPD). Pour toute question, le contact ci-dessus est compétent.
| Catégorie | Données | Finalité |
|---|---|---|
| Compte Exploitant | Email, SIRET, nom établissement, prénom et nom du gérant, téléphone professionnel, mot de passe (hashé) | Gestion du compte, authentification, facturation, support technique. Le téléphone sert également de numéro source pour la fonctionnalité Twilio (plan Pro, opt-in via le dashboard). |
| Commandes Clients finaux | Prénom, téléphone (optionnel selon mode), produits commandés, montant | Traitement de la commande pour le compte de l'Exploitant |
| Sécurité / prévention fraude | Adresse IP, User-Agent (navigateur), horodatage, téléphone et prénom du Client final (si flag ou agrégation nocturne) | Traçabilité légale, prévention des abus et de la saturation malveillante (intérêt légitime, art. 6.1.f RGPD) |
| Notifications push | Token FCM (identifiant appareil) | Alertes commandes côté Exploitant uniquement (enregistrement depuis le dashboard cuisinier, opt-in via permission navigateur). Les Clients finaux ne reçoivent pas de notifications push. |
| Facturation | Coordonnées de paiement (via Stripe, jamais stockées sur OrderFlow) | Facturation des abonnements Exploitant |
| Logs d'usage | Routes accédées, métriques techniques (pseudonymisées — l'IP et le tenant_id implicite peuvent y figurer, mais ne sont pas exploités commercialement) | Amélioration et stabilité du service |
| Donnée | Durée |
|---|---|
| Données commandes Clients finaux (détaillées : panier, options, notes cuisine) | Suppression complète (hard delete) chaque nuit à 03:00 UTC après le service. Seuls des agrégats anonymes par jour et par lieu (chiffre d'affaires, panier moyen, produits vendus, conditions météo) sont conservés pour les analytics de l'Exploitant ; ces agrégats ne contiennent aucune donnée personnelle. |
| Données compte Exploitant | Durée du contrat + 90 jours après résiliation |
| Données de facturation | 10 ans (obligation légale comptable — art. L123-22 Code de commerce) |
| Logs sécurité (IP, User-Agent, téléphone, nom) | 12 mois (finalité prévention fraude / dépôt de plainte éventuel art. 323-2 Code pénal) |
| Logs d'accès | 30 jours glissants |
| Sous-traitant | Rôle | Société / Pays serveurs |
|---|---|---|
| Supabase | Base de données PostgreSQL, authentification, stockage fichiers | Supabase Inc. (US) — serveurs EU (Frankfurt) |
| Railway | Hébergement application Node.js | Railway Corp (US) — serveurs EU (europe-west4) |
| Firebase Cloud Messaging | Notifications push web | Google LLC (US) — routage EU |
| Stripe | Traitement des paiements (Stripe Checkout) | Stripe Inc. (US) + Stripe Payments Europe (Irlande) |
| Twilio | SMS de confirmation, redirection appels (module Pro) | Twilio Inc. (US) + Twilio Ireland Ltd |
| Resend | Envoi d'emails transactionnels (confirmation inscription) | Resend, Inc. (US) |
Plusieurs de nos sous-traitants sont des sociétés américaines (Supabase, Railway, Google, Stripe, Twilio, Resend). Les transferts de données vers les États-Unis sont encadrés par les garanties suivantes :
Conformément au RGPD, vous disposez des droits suivants sur les données vous concernant :
Pour exercer vos droits : orderflow.foodtech@gmail.com
Délai de réponse : nous nous engageons à répondre dans un délai maximum de 1 mois à compter de la réception de votre demande (art. 12 RGPD), éventuellement prolongeable de 2 mois en cas de demande complexe (vous en serez informé(e)).
En cas de désaccord persistant, vous avez le droit d'introduire une réclamation auprès de la CNIL :
OrderFlow utilise uniquement des cookies techniques strictement nécessaires au fonctionnement du service (session JWT d'authentification, préférences d'interface). Aucun cookie publicitaire, aucun tracking tiers (pas de Google Analytics, pas de Facebook Pixel, pas de Tag Manager). Aucun consentement requis pour ces cookies techniques (art. 82 Loi Informatique et Libertés, exception traceurs strictement nécessaires).
OrderFlow n'utilise pas de prise de décision automatisée au sens de l'article 22 du RGPD. Toutes les décisions ayant un impact significatif sur le Client final (acceptation ou refus de commande, marquage d'une commande comme suspecte ou frauduleuse, demande de confirmation par SMS) sont prises par un opérateur humain — le cuisinier ou l'Exploitant — depuis son dashboard.
L'algorithme de planification des créneaux propose des horaires de livraison réalisables techniquement, mais n'accepte ni ne refuse jamais une commande de manière autonome. La validation finale reste systématiquement humaine.