Confidentialité et cookies

Qui décide de l’utilisation des données ?

Pour la gestion du personnel et des opérations de son établissement, votre restaurant est responsable du traitement : il décide pourquoi les données sont utilisées et qui peut y accéder. Samy Ajouid exploite Kaicet pour son compte, en qualité de sous-traitant.

Samy Ajouid est responsable des traitements qu’il détermine pour gérer sa relation avec les participants et protéger son service. Contact pour la protection des données : contact@samy-dev.fr. Les coordonnées complètes figurent dans les mentions légales.

Le restaurant doit vous communiquer son identité, son contact et les informations propres à ses traitements, notamment lorsque vos données sont saisies par un responsable. Cette page ne remplace pas son information aux salariés.

Quelles données et pourquoi ?

Comptes et accès : nom, email, photo éventuelle, rôle, établissement, invitations, informations de connexion et sessions. Ces données permettent d’identifier les utilisateurs et de limiter leurs accès. L’authentification utilise un mot de passe protégé ou Google lorsque cette option est activée.

Personnel : nom, fonction, horaires, présences, taux horaire et rémunération ou ajustements. Opérations : clôtures, comptages, montants par type de paiement, dépenses, remboursements, observations et justificatifs. Le restaurant les utilise pour suivre et justifier son activité.

Signatures : identité du signataire, date, tracé manuscrit et empreinte des données signées. Kaicet ne propose pas de reconnaissance biométrique à partir de ce tracé. Ne saisissez pas de données de santé, de numéros complets de carte bancaire ou d’informations personnelles inutiles dans les notes et les photographies.

Sécurité : adresse IP, navigateur, événements d’accès et actions attribuables à un utilisateur. Ils servent à prévenir les abus, contrôler les accès et comprendre les incidents. Les accès sont limités par établissement et par rôle.

Sur quelles bases ?

La gestion de la convention avec le participant repose sur son exécution lorsqu’il en est personnellement partie ; les échanges avec ses représentants et la sécurité du service reposent sur l’intérêt légitime à administrer et protéger le pilote. Les intérêts et droits des personnes doivent être pris en compte.

Pour les traitements du restaurant, celui-ci détermine et explique les bases adaptées à chaque finalité : obligations légales, exécution du contrat de travail ou intérêt légitime selon le cas. L’accord des salariés n’est pas une justification générale à demander pour tous ces traitements.

Les informations demandées pour créer un compte et vérifier une invitation sont nécessaires à l’accès. Sans elles, l’accès ne peut pas être activé. La mémorisation d’un profil sur l’appareil et la connexion Google sont facultatives lorsqu’elles sont proposées. Aucun profilage ou décision individuelle entièrement automatisée n’a été identifié dans le fonctionnement audité.

Qui reçoit les données ?

Les personnes autorisées de votre établissement accèdent aux informations correspondant à leurs droits. Samy Ajouid et les prestataires techniques peuvent intervenir dans la limite nécessaire à l’exploitation, à la maintenance et à la sécurité.

Les services utilisés sont Vercel (hébergement et pièces jointes privées), Neon / Databricks (base de données), Resend / Plus Five Five, Inc. (emails transactionnels) et, si vous choisissez cette connexion, Google (fournisseur d’identité). L’impression peut transmettre le document à l’imprimante locale choisie.

La connexion Google est facultative et limitée à l’identification : Kaicet exige une adresse vérifiée par Google, applique ensuite sa propre liste d’accès et ne conserve pas les jetons d’accès, d’actualisation ou d’identité dans le compte créé. Aucune autre API Google n’a été identifiée dans le code audité.

Les polices sont chargées directement depuis Google Fonts. Le navigateur transmet à Google notamment l’adresse IP, l’URL demandée, le navigateur et les en-têtes referer. Selon la documentation Google Fonts, cette API n’utilise ni authentification ni cookie. L’auto-hébergement des polices est recommandé avant le pilote pour supprimer ces requêtes.

Certains prestataires prévoient des traitements aux États-Unis. Les contrats applicables, régions effectivement configurées, garanties de transfert et moyens d’en obtenir copie restent à documenter avant publication de cette notice. Il ne serait pas exact d’annoncer une conservation exclusivement européenne.

Combien de temps ?

La session serveur est valable 30 jours sans renouvellement automatique ; l’interface se verrouille après 30 minutes d’inactivité. Les invitations et liens de vérification ou de réinitialisation expirent après 30 minutes. Ces expirations ne prouvent pas l’effacement immédiat des enregistrements correspondants.

Les autorisations de téléversement expirent après 10 minutes. Une tâche quotidienne à 03:00 supprime au maximum 100 justificatifs classiques et 100 justificatifs de régularisation PENDING ou REJECTED expirés par exécution. Les justificatifs READY ne sont pas concernés par cette purge.

Les clôtures, données du personnel, rémunérations, justificatifs validés, signatures, paiements, dépenses et journaux métier n’ont actuellement pas de purge générale automatique. Les champs retentionUntil et legalHold du schéma ne sont pas appliqués par une logique de production. Les enregistrements serveur associés aux appareils et PIN mémorisés n’ont pas non plus de purge temporelle générale.

Resend annonce publiquement une conservation de 30 jours pour le contenu des emails, métadonnées, statuts, événements, journaux et métriques, sauf contrat Enterprise spécifique. Les Runtime Logs Vercel varient selon le plan : 1 heure en Hobby, 1 jour en Pro, 3 jours en Enterprise et jusqu’à 30 jours avec Observability Plus. Le plan Kaicet doit être vérifié. La fenêtre d’historique Neon dépend également du plan et de la configuration du compte.

Le restaurant doit fixer des durées par finalité et les inscrire dans l’accord de traitement. L’éditeur doit organiser leur application, y compris pour les sauvegardes. Ces durées et la procédure de fin de pilote doivent être validées avant utilisation de cette notice comme information définitive.

Cookies et stockage sur votre appareil

Kaicet utilise des cookies de session pour l’authentification (durée configurée : 30 jours) et une préférence d’établissement (180 jours). Si vous choisissez de mémoriser un profil, le cookie d’appareil dure 365 jours ; une authentification complète reste nécessaire après 30 jours.

Un appareil peut afficher jusqu’à cinq profils mémorisés, avec leur nom, email et image, avant connexion. Sur un appareil partagé, ne mémorisez votre profil que si cela vous convient et retirez-le lorsque vous n’en avez plus besoin. Retirer le profil ne supprime pas votre compte ni les opérations du restaurant.

Le stockage local du navigateur synchronise l’activité et la déconnexion entre les onglets. Il n’existe pas de durée d’effacement automatique générale pour tous ces marqueurs ; vous pouvez supprimer les données du site depuis votre navigateur.

Aucun traceur publicitaire ni outil de mesure d’audience n’a été identifié dans le code audité. Les traceurs strictement nécessaires au fonctionnement demandé ne nécessitent pas de consentement préalable. Tout ajout d’un traceur facultatif doit être évalué et, si nécessaire, soumis à un choix préalable avec un refus aussi simple que l’acceptation.

Exercer vos droits

Vous pouvez demander l’accès, la rectification, l’effacement ou la limitation de vos données et, selon les conditions légales, vous opposer au traitement ou demander la portabilité. Ces droits peuvent être limités lorsqu’une conservation est légalement nécessaire.

Pour les données de travail, contactez d’abord votre restaurant. Pour les traitements propres à Kaicet ou pour transmettre une demande au bon interlocuteur, écrivez à contact@samy-dev.fr. Une preuve d’identité proportionnée peut être demandée en cas de doute raisonnable. Une réponse est normalement due dans un mois ; une prolongation motivée peut être nécessaire dans les cas prévus par le RGPD.

Il n’existe pas actuellement de bouton d’export complet ou de suppression globale du compte. Les demandes sont traitées avec l’éditeur et le restaurant. Vous pouvez adresser une réclamation à la CNIL : https://www.cnil.fr/fr/plaintes.