Politique de Confidentialite — Reliefs

Derniere mise a jour : 15 juillet 2026

1. Introduction et responsable du traitement

1.1 Identite du responsable du traitement

La presente politique de confidentialite s'adresse aux titulaires d'un compte Reliefs (professionnels de la restauration et leurs equipes). Elle decrit comment Reliefs collecte, utilise, stocke et protege leurs donnees personnelles sur :

Le tableau de bord dash.reliefsapp.com (service SaaS)
L'application mobile Reliefs (iOS)

Les traitements concernant les personnes sans compte Reliefs — visiteurs du site vitrine reliefsapp.com et visiteurs des menus digitaux (QR codes) — sont decrits dans une politique dediee : Politique de confidentialite du site et des menus.

Reliefs, societe en cours d'immatriculation

Siege social : Paris, France
SIRET : en cours d'attribution
Email : contact@reliefsapp.com
Site web : reliefsapp.com

1.2 Cadre juridique

Nous traitons vos donnees conformement a :

Le RGPD (Reglement UE 2016/679)
La loi Informatique et Libertes n°78-17 du 6 janvier 1978 modifiee
La directive ePrivacy 2002/58/CE transposee en droit francais

1.3 Contact RGPD

Pour toute question relative a la protection de vos donnees : contact@reliefsapp.com (objet : "Protection des donnees" ou "Exercice de mes droits RGPD").

2. Donnees collectees et bases legales

2.1 Donnees collectees pour le tableau de bord SaaS (dash.reliefsapp.com) et l'application mobile

Compte utilisateur

Donnee	Obligatoire	Base legale	Duree
Nom complet	Oui	Execution du contrat (Art. 6.1.b RGPD)	Duree du compte + 3 ans
Adresse email	Oui	Execution du contrat	Duree du compte + 3 ans
Statut de verification email	Oui	Execution du contrat	Duree du compte
Photo de profil (OAuth)	Non	Execution du contrat	Duree du compte
Identifiant client Stripe	Automatique	Execution du contrat	10 ans (obligation comptable)

Donnees de session

Donnee	Base legale	Note
Adresse IP	Interet legitime — securite (Art. 6.1.f RGPD)	Duree de session (7 jours)
User-Agent (navigateur/OS)	Interet legitime — securite	Duree de session
Token de session	Execution du contrat	Expire apres 7 jours
Organisation active	Execution du contrat	Duree de session

Donnees d'abonnement et de facturation

Donnee	Base legale	Duree
Plan souscrit	Execution du contrat	10 ans (obligation comptable)
Identifiant d'abonnement Stripe	Execution du contrat	10 ans
Dates de debut/fin de periode	Execution du contrat	10 ans
Dates d'essai gratuit	Execution du contrat	10 ans
Statut d'annulation	Execution du contrat	10 ans

Reliefs ne collecte ni ne stocke les coordonnees bancaires des Utilisateurs (numero de carte, CVV, IBAN). Ces donnees sont traitees exclusivement par le prestataire de paiement Stripe, Inc. et tokenisees prealablement a toute transmission vers les serveurs de Reliefs.

Cles API

Donnee	Base legale	Duree
Cles API (hashees, debut stocke)	Execution du contrat	Duree de validite + 30 jours
Compteur de requetes	Interet legitime — securite	90 jours

2.2 Visiteurs des menus digitaux (renvoi)

Lorsqu'un visiteur scanne un QR code pour consulter le menu digital d'un etablissement, Reliefs traite certaines donnees : des statistiques de frequentation (anonymisees, restituees au professionnel de restauration) et, uniquement sur les menus en formule gratuite, de la publicite Google AdSense. Le detail de ces traitements (donnees collectees, durees, modalites de consentement et droits des visiteurs) figure dans la Politique de confidentialite du site et des menus.

Roles de Reliefs pour ces traitements :

Statistiques de frequentation restituees au professionnel : Reliefs agit en tant que sous-traitant (Art. 28 RGPD) pour le compte de l'etablissement, qui en est responsable de traitement. Aucune donnee sensible au sens de l'article 9 du RGPD n'est collectee.
Publicite sur les menus en formule gratuite : le consentement du visiteur est recueilli via la plateforme de gestion du consentement (CMP) certifiee de Google (cadre IAB TCF v2.2) ; Google et ses partenaires publicitaires assurent le recueil du consentement, la diffusion et la mesure des annonces (responsables de traitement, conjoints ou independants selon les finalites). Aucune publicite n'est diffusee sur les menus des etablissements souscrivant une formule payante.

2.3 Donnees collectees par l'application mobile

En plus des donnees mentionnees en 2.1 :

Donnee	Finalite	Base legale	Duree
Derniere URL visitee (stockage local)	Reprise de navigation	Execution du contrat — stockage local uniquement	Jusqu'a suppression de l'app
Modeles 3D (USDZ/GLB generes)	Affichage produits du menu	Execution du contrat	Duree abonnement + 30 jours
Token de session SecureStore	Authentification	Execution du contrat	7 jours

L'application mobile ne collecte pas :

Position GPS
Contacts du carnet d'adresses
Photos de la galerie (seul le flux camera direct est utilise pour la capture 3D)
Donnees biometriques (Touch ID / Face ID utilises uniquement pour deverrouiller le SecureStore, jamais transmis)

3. Services tiers et destinataires

3.1 Tableau des sous-traitants

Service	Role	Donnees transmises	Localisation	Mecanisme de transfert
Stripe (Stripe, Inc.)	Paiement / abonnements	Nom, email, metadata organisation, donnees de facturation tokenisees	USA	SCC (Dec. 2021/914/UE) + DPA
Cloudflare (Cloudflare, Inc.)	Hebergement (D1, Workers, R2, KV, CDN)	Toutes les donnees (hebergeur principal)	EU (CDN mondial)	DPA Cloudflare + centres EU
Google (Google LLC)	Authentification OAuth (optionnel)	Email, nom, photo de profil	USA	SCC + DPA Google
Apple (Apple Inc.)	Authentification Sign in with Apple (optionnel)	Email (masque possible), nom	USA	SCC + DPA Apple
Resend (Resend Inc.)	Emails transactionnels	Email, nom	USA	SCC + DPA Resend
PostHog	Mesure d'audience et diagnostic technique	Evenements d'usage du tableau de bord	EU	DPA PostHog (instance UE)

La publicite diffusee sur les menus en formule gratuite (regie Google AdSense) est decrite dans la Politique de confidentialite du site et des menus. En dehors de ce cas, Reliefs ne cede, ne loue et ne commercialise aucune donnee personnelle a des tiers.

3.2 Responsabilite conjointe — Authentification sociale

Pour l'authentification via Google ou Apple, Reliefs et ces providers agissent en tant que co-responsables du traitement initial des donnees d'identite. Reliefs conserve ensuite les donnees d'identite (nom, email) en tant que responsable independant pour l'execution de son service.

4. Transferts hors de l'Union europeenne

Certains de nos sous-traitants sont etablis hors de l'UE (notamment USA). Ces transferts sont encadres par :

Les Clauses Contractuelles Types (SCC) adoptees par la Commission europeenne (Decision 2021/914/UE du 4 juin 2021)
Les Accords de Traitement des Donnees (DPA) specifiques a chaque prestataire
Pour Stripe et Google : programme de conformite RGPD avec centres de donnees europeens disponibles
Pour Google : certification au titre du EU-US Data Privacy Framework (DPF), complementaire aux Clauses Contractuelles Types

5. Cookies et traceurs

5.1 Tableau de bord SaaS (dash.reliefsapp.com)

Cookie	Type	Finalite	Duree	Consentement
Cookie de session Better Auth	Strictement necessaire	Maintien de la session authentifiee	7 jours	Non requis
Cookie CSRF	Strictement necessaire	Protection contre les attaques Cross-Site	Session	Non requis

5.2 Application mobile

L'application mobile n'utilise pas de cookies au sens de la directive ePrivacy. Le stockage local (SecureStore) est utilise uniquement pour les fonctions techniques essentielles au service.

5.3 Site vitrine et menus digitaux

Les cookies et traceurs du site vitrine (mesure d'audience) et des menus digitaux (langue, choix de consentement, traceurs publicitaires Google AdSense sur les menus en formule gratuite) sont decrits dans la Politique de confidentialite du site et des menus.

6. Vos droits

Conformement au RGPD (Articles 15 a 22) et a la loi Informatique et Libertes, vous disposez des droits suivants :

Droit	Description	Comment l'exercer
Acces (Art. 15)	Obtenir une copie de vos donnees	Email a contact@reliefsapp.com
Rectification (Art. 16)	Corriger des donnees inexactes	Email ou tableau de bord > Profil
Effacement (Art. 17)	Supprimer vos donnees (sous conditions)	Email ou tableau de bord > Supprimer le compte
Limitation (Art. 18)	Limiter le traitement dans certains cas	Email
Portabilite (Art. 20)	Recevoir vos donnees dans un format structure	Email
Opposition (Art. 21)	S'opposer au traitement pour interet legitime	Email
Retrait du consentement	Retirer votre consentement a tout moment	Email

Pour exercer vos droits :

Email : contact@reliefsapp.com
Objet : "Exercice de mes droits RGPD — [droit concerne]"
Delai de reponse : 1 mois maximum (extensible de 2 mois en cas de demande complexe)
Une verification d'identite pourra etre requise

Reclamation aupres de la CNIL : Si vous estimez que vos droits ne sont pas respectes, vous pouvez deposer une reclamation aupres de la Commission Nationale de l'Informatique et des Libertes (CNIL) :

Site : www.cnil.fr
Adresse : 3 Place de Fontenoy - TSA 80715 - 75334 PARIS CEDEX 07
Telephone : 01 53 73 22 22

7. Durees de conservation

Categorie de donnees	Duree de conservation	Justification
Compte utilisateur (nom, email)	Duree du compte actif + 3 ans	Obligations legales, litiges potentiels
Donnees de session (IP, User-Agent)	7 jours (duree de session)	Securite, authentification
Donnees de facturation et abonnements	10 ans a compter de la transaction	Obligation comptable (Art. L123-22 C. com.)
Contenu client (menus, produits, images)	Duree abonnement + 30 jours	Portabilite des donnees
Modeles 3D (Cloudflare R2)	Duree abonnement + 30 jours	Service
Logs de securite Cloudflare	30 jours max	Securite
Donnees Cloudflare Turnstile	Suppression immediate apres validation	Anti-spam
Tokens de session (SecureStore mobile)	7 jours	Authentification
Cles API	Duree validite + 30 jours	Service

8. Securite des donnees

Nous mettons en oeuvre les mesures techniques et organisationnelles suivantes :

Chiffrement en transit : HTTPS/TLS pour toutes les communications
Chiffrement au repos : Donnees chiffrees sur Cloudflare D1 et R2
Hachage des mots de passe : Algorithme securise (Better Auth)
Limitation des tentatives : Rate limiting sur tous les endpoints d'authentification
Sessions securisees : Expiration automatique apres 7 jours, renouvellement toutes les 24h
Jetons a usage unique : Les jetons d'autorisation de capture 3D sont invalides apres leur premiere utilisation
CORS/CSRF : Origines de confiance strictement definies
Acces restreint : Controle d'acces par role (RBAC) au niveau applicatif
Infrastructure : Cloudflare (certifie ISO 27001, SOC 2 Type II)

9. Protection des mineurs

Le Service est destine exclusivement a un public professionnel (18 ans minimum). Nous ne collectons pas sciemment de donnees personnelles de personnes agees de moins de 18 ans. Si vous etes parent ou tuteur et pensez qu'un mineur nous a fourni des donnees, contactez-nous a contact@reliefsapp.com.

10. Decisions automatisees et profilage

Reliefs n'effectue aucune decision entierement automatisee ayant des effets juridiques ou significatifs sur les utilisateurs au sens de l'article 22 du RGPD, ni aucun profilage a des fins publicitaires des titulaires de compte.

La personnalisation eventuelle des annonces sur les menus en formule gratuite (regie Google AdSense, sous reserve du consentement du visiteur) est decrite dans la Politique de confidentialite du site et des menus.

11. Modifications de la politique de confidentialite

Nous nous reservons le droit de modifier la presente politique. Les modifications substantielles seront notifiees par email aux utilisateurs inscrits au moins 30 jours avant leur entree en vigueur. La date de "Derniere mise a jour" sera actualisee.

12. Contact

Pour toute question relative a la protection de vos donnees :

Email : contact@reliefsapp.com
Objet : "Protection des donnees" ou "Exercice de mes droits RGPD"

Reliefs — Societe en cours d'immatriculation — Paris — contact@reliefsapp.com — reliefsapp.com