Politique de confidentialité

Cette page explique quelles données personnelles nous collectons, pourquoi, combien de temps nous les gardons, à qui nous les confions et comment exercer vos droits.

Responsable du traitement

Les données collectées sur ce site sont traitées par :

• Société : Toque et Tac
• Adresse : 12 Rue de la Cotonnière, 14000 CAEN, France
• Contact : contact@toqueettac.fr

Données que nous collectons

Nous ne collectons que les données nécessaires au service :

• Liste d'attente : nom, adresse email, téléphone (facultatif) et adresse du logement — pour vous prévenir quand nos cuisiniers arrivent dans votre secteur.
• Formulaire de contact : nom, adresse email, téléphone (facultatif) et votre message.
• Compte client : nom, adresse email et téléphone (facultatif). Le mot de passe est géré par notre prestataire d'authentification (Google Firebase) : nous ne le connaissons pas.
• Réservations : pour chaque personne servie, son identité, l'adresse de la prestation, son téléphone le cas échéant, ses préférences et restrictions alimentaires, allergies et intolérances ; le créneau, les plats et le cuisinier choisis ; les factures.
• Paiement : nous n'enregistrons jamais votre carte bancaire. Vous la saisissez directement dans le formulaire sécurisé de Stripe, qui la conserve : un prestataire de paiement agréé en Europe, soumis à la directive sur les services de paiement (DSP2) et certifié PCI DSS de niveau 1, la norme de sécurité la plus exigeante des cartes bancaires. Nous n'en gardons que la marque et les quatre derniers chiffres (par exemple Visa ****4242), pour que vous puissiez la reconnaître.
• Avance immédiate du crédit d'impôt : état civil, téléphone portable et coordonnées bancaires, transmis directement à l'URSSAF pour votre inscription. Nous ne conservons pas vos coordonnées bancaires : l'URSSAF les garde pour prélever votre reste à charge, et nous n'en gardons qu'un masque (par exemple FR76****0189), mention obligatoire de l'attestation fiscale.
• Acceptation des conditions générales : date et heure, version acceptée, modalités et adresse IP, pour prouver l'accord donné à chaque commande.
• Données techniques de navigation (mesure d'audience) — voir la section cookies.

Les allergies et intolérances sont des données de santé : elles ne servent qu'à adapter les repas, et ne sont communiquées qu'au cuisinier qui les prépare.

Si vous êtes cuisinier partenaire

• Candidature et dossier : identité, adresse email, téléphone, adresse professionnelle, numéro SIRET, déclaration de services à la personne, régime de TVA, assurance responsabilité civile professionnelle (assureur, numéro de contrat, attestation et date de fin de validité), attestation de formation à l'hygiène alimentaire et date de signature de la convention de partenariat. Les attestations sont rangées dans un espace privé, que seuls vous et l'équipe pouvez lire.
• Extrait de casier judiciaire : vous le présentez à l'équipe, qui le vérifie sans en garder de copie. Seule la date de la vérification est enregistrée.
• Profil public : nom, photo, présentation, spécialités, photos de vos plats, zones d'intervention et avis des clients, publiés sur le site.
• Activité : prestations réalisées, durées déclarées, factures émises en votre nom sous mandat, relevés mensuels et versements.
• Versements : votre compte de versement est ouvert chez Stripe, où vous saisissez directement votre identité et vos coordonnées bancaires. Nous n'en gardons que la référence du compte et l'état de sa vérification.

Pourquoi nous les utilisons

Chaque donnée répond à une finalité précise :

• Vous informer de l'ouverture du service près de chez vous et prioriser nos prochaines zones (base légale : votre consentement).
• Répondre à vos demandes (base légale : mesures précontractuelles ou intérêt légitime).
• Organiser et réaliser vos réservations, encaisser leur paiement et gérer les éventuels litiges (base légale : exécution du contrat).
• Vous inscrire à l'avance immédiate du crédit d'impôt, si vous la choisissez (base légale : exécution du contrat).
• Émettre les factures et attestations fiscales (base légale : obligation légale).
• Prouver votre acceptation des conditions générales (base légale : intérêt légitime, la défense de nos droits).
• Comprendre l'usage du site pour l'améliorer (mesure d'audience, base légale : votre consentement).
• Examiner la candidature d'un cuisinier, publier son profil, lui confier des prestations, émettre ses factures sous mandat et lui verser sa part (base légale : exécution de la convention de partenariat).
• Vérifier l'assurance, la formation à l'hygiène et le casier judiciaire d'un cuisinier avant de lui confier des prestations chez des particuliers (base légale : intérêt légitime, la sécurité des personnes servies).

Combien de temps

Les inscriptions à la liste d'attente sont conservées 3 ans après votre dernière inscription, ou jusqu'à votre demande de suppression ; le code de réduction qui les accompagne disparaît avec elles s'il n'a pas servi. Les messages du formulaire de contact sont conservés le temps de traiter votre demande, puis au plus 1 an. Lorsque vous retirez votre consentement à la newsletter, la preuve de ce retrait est conservée 3 ans.

Les données du compte et des réservations sont conservées pendant la relation commerciale, puis 3 ans après notre dernier contact : la création de votre compte, votre dernière commande ou prestation, ou votre dernière connexion. Un mois avant l'échéance, un email vous prévient : il suffit de vous connecter pour garder votre compte. Un compte qui porte encore une commande en cours, un abonnement ou une somme due n'est pas supprimé tant que ce n'est pas réglé. À la suppression de votre compte, à votre demande ou à l'échéance, elles sont anonymisées, sauf les factures et attestations fiscales, gardées pendant les durées légales, et la preuve de votre acceptation des conditions générales, gardée 10 ans à compter de la commande pour pouvoir, le cas échéant, défendre nos droits en justice. Votre compte de connexion, vos cartes enregistrées chez Stripe et, si vous y étiez inscrit, votre contact de newsletter chez Brevo sont supprimés en même temps.

Si vous êtes cuisinier partenaire, une candidature refusée est effacée un an après le refus, et une candidature restée sans suite un an après votre inscription ou votre dernière connexion, un email vous prévenant un mois avant. Après votre départ, vos données sont anonymisées cinq ans après votre départ ou votre dernière prestation, la plus tardive des deux, le temps pendant lequel une prestation peut être contestée ; vos attestations sont gardées jusque-là. Vos factures émises sous mandat, vos relevés et vos versements restent conservés dix ans, comme la loi l'impose. Votre compte de versement chez Stripe est fermé à ce moment ; Stripe garde vos pièces d'identité le temps que la loi lui impose.

Nos sauvegardes chiffrées suivent ces durées : les copies de la base de données sont gardées douze mois au plus, et seules les pièces que la loi impose de conserver (factures, attestations fiscales, relevés, preuves d'acceptation des conditions générales) le sont dix ans. Si une sauvegarde doit être restaurée, les effacements faits depuis sont appliqués de nouveau.

Qui y a accès

Vos données sont accessibles à l'équipe Toque et Tac, à chacun selon ce que sa mission demande. Elles ne sont ni vendues ni louées.

Pour une réservation, elles sont transmises, chacun pour ce qui le concerne :

• au cuisinier qui réalise la prestation : identité, adresse et téléphone de la personne servie, préférences, allergies et menu ;
• au magasin où nous commandons les courses, quand nous nous en chargeons : le nom et l'adresse de la personne qui les règle, au nom de laquelle la facture est établie ;
• à l'URSSAF, si vous choisissez l'avance immédiate du crédit d'impôt : état civil, coordonnées et demandes de paiement de vos prestations ;
• à notre expert-comptable : les factures.

Les factures d'un cuisinier, émises en son nom sous mandat, portent son nom ou sa raison sociale, son numéro SIRET et son adresse professionnelle. Elles sont remises au client, et transmises à l'URSSAF quand le client a choisi l'avance immédiate.

Nos prestataires (sous-traitants) traitent ces données pour notre compte, sur nos instructions et pour leur seule mission :

• Hostinger International Ltd. : l'hébergement du site, de la base de données et des documents (factures, attestations, pièces des cuisiniers).
• Google (Firebase Authentication) : la connexion à votre compte — adresse email, nom et mot de passe.
• Google (Gmail) : l'envoi des emails — adresse email, nom et contenu du message.
• SMSFactor : l'envoi des SMS — numéro de téléphone et texte du message.
• Stripe : le paiement par carte et les versements aux cuisiniers — carte bancaire, nom, adresse email et montants.
• Qonto : notre banque, pour les virements, dont les remboursements par virement — nom et IBAN du bénéficiaire.
• Pennylane : notre comptabilité — factures et notes de débours (nom, adresse et montants).
• Brevo : la newsletter, si vous y êtes inscrit — adresse email.
• Cloudflare (Turnstile) : la protection des formulaires contre les robots — données techniques du navigateur, le temps de la vérification.
• Google (Analytics) : la mesure d'audience, seulement avec votre accord — voir la section cookies.

Google, Cloudflare et Stripe peuvent traiter ces données aux États-Unis : ces transferts s'appuient sur le cadre de protection des données UE–États-Unis, auquel ces sociétés adhèrent. Les autres prestataires sont établis dans l'Union européenne.

Nos journaux d'erreurs sont hébergés sur un serveur que nous administrons. Ils ne gardent ni adresse IP ni cookies, et les adresses email et numéros de téléphone y sont masqués.

Votre navigateur contacte aussi directement deux services : la Base Adresse Nationale, service public de l'État, qui reçoit le texte que vous tapez quand vous cherchez une adresse, et les serveurs de Meta, d'où viennent les photos de notre compte Instagram en page d'accueil.

Vos droits sur vos données

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité sur vos données.

Depuis votre espace client (page Compte), vous téléchargez vous-même toutes les données de votre compte, dans un fichier structuré (JSON), et vous pouvez supprimer votre compte. Pour vos autres demandes, écrivez-nous à contact@toqueettac.fr. Vous pouvez aussi adresser une réclamation à la CNIL.

Cookies et mesure d'audience

Le site dépose deux sortes de traceurs (cookies et stockage du navigateur).

Les traceurs nécessaires, qui ne demandent pas votre accord : la connexion à votre compte (Google Firebase), la réservation en cours, la protection des formulaires contre les robots (Cloudflare Turnstile), la sécurité du paiement (Stripe) et la mémoire de votre choix sur les cookies.

La mesure d'audience, seulement si vous l'acceptez : Google Analytics compte les visites et les pages vues du site public et du parcours de réservation, pour savoir quelles pages vous servent. Les espaces connectés ne sont pas mesurés, et les adresses transmises sont privées de leurs paramètres. Google Analytics n'enregistre pas votre adresse IP ; ni la publicité ni les signaux Google ne sont activés. Les données sont traitées par Google Ireland Limited et Google LLC, y compris aux États-Unis, dans le cadre de protection des données UE–États-Unis. Ses cookies (_ga, _ga_…) sont conservés 13 mois au plus.

Tant que vous n'avez pas répondu au bandeau, rien n'est mesuré. Votre choix, accord ou refus, est gardé 6 mois, puis vous est redemandé. Vous le changez quand vous voulez par le lien « Gérer mes cookies », en bas des pages du site : un retrait arrête la mesure et efface ses cookies.