Sufra est une plateforme d'exploitation pour restaurants gérée en Égypte par Labidzs Entreprise Générale (dénomination légale en Égypte : لابيدزس للمقاولات العامة). Le service peut inclure carte, commandes, caisse, stocks, administration, comptabilité, messagerie, intégrations et outils assistés par l'IA. Cette politique explique quelles données nous traitons, pourquoi, qui peut les recevoir et quels droits peuvent s'appliquer.
1. Rôles relatifs aux données
Pour les données de compte Sufra, la sécurité de la plateforme, la facturation, la prévention de la fraude, les communications de service et les propres registres opérationnels de Sufra, Labidzs Entreprise Générale traite les données nécessaires à l'exploitation du service. Pour les données des clients du restaurant saisies ou collectées par le restaurant via Sufra, le restaurant détermine généralement la relation client et les finalités d'utilisation, tandis que Sufra agit comme prestataire technologique ou sous-traitant selon les instructions du restaurant, sauf pour les obligations de sécurité, légales et de plateforme que Sufra doit gérer pour son propre compte.
2. Données que nous pouvons traiter
- Données du restaurant : nom, établissements, pays, devise, fuseau horaire, réglages, données fiscales et de facturation et configuration des intégrations.
- Données utilisateurs et équipes : nom, téléphone ou e-mail lorsqu'ils sont utilisés, rôle, autorisations, état du compte, connexions et sessions.
- Données clients et commandes : téléphone lorsque nécessaire, commandes, articles, quantités, montants, table ou mode de retrait/livraison, horaires, état du paiement, fidélité et consentement marketing lorsqu'ils sont utilisés.
- Données opérationnelles : stocks, achats, rapports, ventes, réservations, cuisine et support.
- Données techniques et appareil : adresse IP, navigateur ou appareil, erreurs applicatives, informations de sécurité, identifiants de session et données de notifications push si activées.
- Données d'audit : auteur d'une action, date et résultat, dans la mesure nécessaire à la sécurité, aux enquêtes et à la conformité.
3. Pourquoi nous utilisons les données
Nous utilisons les données pour fournir et exécuter le service, authentifier utilisateurs et autorisations, gérer commandes et facturation, fournir le support, améliorer la fiabilité, prévenir abus et fraude, protéger les comptes, exécuter les intégrations activées par les utilisateurs autorisés, respecter les obligations légales et promouvoir nos services lorsqu'une base juridique ou un consentement requis existe. Nous pouvons utiliser des informations agrégées ou désidentifiées pour l'analyse et l'amélioration du produit sans chercher à réidentifier les personnes.
4. Bases juridiques
Selon la donnée et le marché, le traitement peut reposer sur l'exécution d'un contrat, une obligation légale, les intérêts légitimes à exploiter et sécuriser le service et prévenir la fraude, ou le consentement lorsqu'il est requis. En Égypte, les lois égyptiennes applicables s'appliquent, notamment la loi n° 151 de 2020 sur la protection des données personnelles lorsqu'elle est pertinente. Dans les autres marchés, les règles impératives locales, notamment européennes lorsqu'elles s'appliquent, restent en vigueur.
5. Données sensibles et informations inutiles
Sufra ne demande pas aux restaurants de saisir des données sensibles inutiles au service. Les notes de commande ou d'allergie peuvent révéler des informations de santé ; le restaurant doit collecter uniquement ce qui est nécessaire et disposer d'une base juridique appropriée. Les mots de passe, PIN, clés API et données complètes de carte ne doivent pas être placés dans la carte, les notes de commande ou les messages de support.
6. Données de paiement
Sufra ne conserve pas les données complètes de carte bancaire. La saisie et le traitement de la carte sont gérés par le prestataire de paiement concerné. Sufra peut recevoir la référence de transaction, son état, le montant, la devise et les informations nécessaires au rapprochement et à la comptabilité. Le prestataire de paiement est également soumis à ses propres conditions et politique de confidentialité.
7. IA et connexion à ChatGPT
La connexion de Sufra à ChatGPT ou à un autre flux IA approuvé est facultative et contrôlée par les autorisations. Sufra utilise OAuth et des mesures d'authentification appropriées pour confirmer le compte et le rôle. L'URL MCP publique n'est pas un secret et, à elle seule, n'identifie pas un restaurant ni ne donne accès à celui-ci.
- Sufra revérifie côté serveur le rôle et l'état du compte avant d'exécuter un outil.
- Seules les données nécessaires à l'outil ou au résultat demandé sont envoyées au prestataire IA dans le périmètre autorisé.
- Les journaux d'audit peuvent enregistrer outil, rôle, heure, résultat et certains paramètres, en masquant les champs ressemblant à des secrets tels que token, PIN, password ou key.
- Les conversations de l'utilisateur dans ChatGPT dépendent de ses paramètres et des politiques OpenAI ; Sufra enregistre les demandes d'outils et résultats nécessaires au fonctionnement de l'intégration.
8. WhatsApp, SMS, e-mail et notifications push
Sufra peut utiliser des prestataires WhatsApp, SMS, e-mail ou push pour envoyer codes de connexion, états de commande, reçus, notifications de service ou marketing autorisé. Le prestataire reçoit le minimum nécessaire au routage et au contenu du message. Le retrait du marketing n'empêche pas les messages transactionnels nécessaires à une commande en cours ou à la sécurité du compte.
9. Stockage local, cookies et données appareil
Le site et l'application peuvent utiliser stockage local, cookies ou technologies similaires pour sessions, panier, langue, préférences, fonctionnement hors ligne et sécurité. Certaines sont nécessaires au service. Si nous ajoutons des technologies non essentielles nécessitant un consentement dans un marché, nous le demanderons lorsque la loi l'exige.
11. Traitements et transferts internationaux
Certains prestataires d'hébergement, messagerie, paiement ou IA peuvent traiter des données hors du pays du restaurant. Nous utilisons des prestataires et mesures contractuelles ou techniques adaptées au service et au marché et appliquons les garanties de transfert ou autorisations requises par la loi. Le fait de prendre en charge un pays ne signifie pas que chaque prestataire ou fonction y est automatiquement disponible.
12. Conservation et suppression
Nous conservons les données aussi longtemps que nécessaire pour fournir le service, exécuter les contrats, sécuriser les comptes, résoudre les litiges, prévenir la fraude et respecter les obligations comptables, fiscales et légales. Les durées varient selon le type de registre et le marché. Lorsque les données ne sont plus nécessaires, elles sont supprimées ou désidentifiées lorsque cela est approprié, même si des copies temporaires peuvent rester dans les sauvegardes jusqu'à leur cycle normal d'effacement. Une demande de suppression ne nous oblige pas à effacer les registres que la loi nous impose de conserver.
13. Sécurité
Nous utilisons contrôles d'accès fondés sur les rôles, isolation des locataires, audit, authentification, protection des secrets, communications sécurisées et mesures opérationnelles adaptées. Aucun service internet ne peut garantir un risque nul ; les utilisateurs doivent protéger leurs appareils et identifiants et signaler rapidement toute activité suspecte.
14. Incidents de données
En cas d'incident de sécurité significatif, nous travaillons à le contenir, l'analyser et rétablir le service, et informons le restaurant, les personnes concernées ou les autorités compétentes lorsque et dans la mesure exigée par la loi applicable.
15. Droits des personnes
Selon la loi et le marché, les droits peuvent inclure accès, rectification, mise à jour, opposition, limitation, retrait du consentement, portabilité ou suppression lorsqu'il n'existe pas de motif légal de conservation. Les clients du restaurant devraient généralement commencer par le restaurant, qui gère la relation directe, mais peuvent aussi écrire à support@sufraup.com. Nous pouvons demander suffisamment d'informations pour vérifier identité et autorité sans demander de secrets de compte.
16. Mineurs
Les comptes administratifs et opérationnels sont destinés aux adultes ou personnes légalement autorisées par le restaurant. Sufra ne cible pas les mineurs pour les comptes d'administration. Si un restaurant traite les données d'un mineur dans une commande, réservation ou programme familial, le restaurant est responsable de la base juridique et du consentement requis, tandis que Sufra limite le traitement à ce qui est nécessaire au service.
17. Décisions automatisées
Les fonctions IA de Sufra assistent l'analyse et les opérations et, par défaut, ne prennent pas de décision finale produisant des effets juridiques sur une personne sans intervention de l'utilisateur. Si des décisions automatisées significatives sont introduites à l'avenir, nous fournirons les informations et garanties exigées par la loi applicable.
18. Égypte et autres marchés
L'opérateur actuel est établi en Égypte. La prise en charge de l'Italie, de la France, de l'Arabie saoudite ou d'un autre marché ne modifie pas l'opérateur sauf avis juridique spécifique. Les droits impératifs prévus par la loi du pays concerné restent applicables, y compris les exigences européennes de protection des données lorsqu'elles s'appliquent.
19. Mise à jour de la politique
Nous pouvons mettre à jour cette Politique lorsque le produit, les prestataires, les exigences juridiques ou les pratiques de traitement évoluent. La date mise à jour apparaît en haut de la page et nous fournirons un avis supplémentaire lorsque la loi l'exige ou lorsque le changement est substantiel.
20. Contact et réclamations
Pour l'assistance, les demandes de confidentialité ou les signalements de sécurité : support@sufraup.com. Une personne concernée peut également saisir l'autorité de contrôle compétente lorsque la loi applicable lui reconnaît ce droit.
Analyse des visites du site
Nous utilisons des identifiants aléatoires de session et de visiteur pour mesurer les visites des pages Sufra, leur provenance, les campagnes et le pays approximatif du visiteur. Nous ne demandons pas la géolocalisation GPS et nous ne stockons pas l'adresse IP brute dans ce registre. Le pays peut être estimé à partir du fuseau horaire ou de la langue de l'appareil ; lorsqu'une demande d'ouverture de restaurant est envoyée, nous la relions à la session afin de mesurer la conversion. Les journaux de visite sont supprimés automatiquement après 90 jours.
Contact via WhatsApp
Si vous démarrez une conversation avec Sufra sur le numéro WhatsApp de l'entreprise, nous conservons le numéro de téléphone, le contenu de la conversation et les données d'attribution telles que la campagne d'origine, dans la mesure nécessaire pour répondre, assurer l'assistance et suivre votre demande. Le bot peut répondre automatiquement ; vous pouvez demander un conseiller ou arrêter les messages à tout moment. Les conversations des prospects sont supprimées automatiquement à la fin de la période de conservation opérationnelle.
Mesure du parcours de commande
Si vous choisissez de partager les statistiques depuis le menu, Nous mesurons les étapes avec un identifiant de session anonyme, la langue affichée et le pays du restaurant. Ces mesures excluent le téléphone, les détails des plats et les données de paiement. Les enregistrements sont supprimés après 30 jours. Nous respectons les paramètres Do Not Track et Global Privacy Control du navigateur.