Politique de confidentialité
Site et application Tracé — dernière mise à jour : 17 octobre 2026
En bref
- Le site ne mesure pas votre navigation : aucun cookie de publicité, aucun outil de mesure d’audience à ce jour, et rien de facultatif sans votre accord (bandeau « Tout accepter / Tout refuser »).
- L’application ne contient ni publicité, ni mesure d’audience, ni géolocalisation. Ses seuls cookies servent à vous connecter.
- Vos données ne sont jamais vendues. La base de données est hébergée dans l’Union européenne (Francfort).
- Les photos lues par l’intelligence artificielle ne servent pas à entraîner les modèles de notre prestataire.
- Une question, une demande ou la suppression de votre compte : devtracehaccp@gmail.com.
1. Qui sommes-nous
Le site et l’application Tracé sont édités par TSM 1, SAS au capital de 12 500 €, RCS Béziers 908 173 339, 13-15 place de la Victoire, 34500 Béziers (« nous »). Contact pour toute question sur vos données : devtracehaccp@gmail.com.
Nous intervenons à deux titres :
- Responsable du traitement pour les visiteurs du site, les demandes de démonstration, la gestion des comptes de nos clients (gérants), la facturation et le support.
- Sous-traitant (article 28 du RGPD) pour les données que chaque restaurant client enregistre dans Tracé sur ses salariés, ses fournisseurs et ses contrôles : le restaurant reste responsable de ce traitement, et nous agissons sur ses instructions, dans les conditions de l’article 7 des conditions générales d’utilisation.
2. Sur le site
Navigation. Le site ne dépose aucun cookie sans votre accord (voir § 6), ne contient à ce jour aucun outil de mesure d’audience et ne charge aucune ressource d’un service tiers : ses polices sont hébergées sur le site lui-même. Comme tout hébergeur, Vercel enregistre des données techniques de connexion (adresse IP, page demandée, date, navigateur) pour acheminer les pages et protéger le service ; elles ne sont conservées que brièvement et nous ne les exploitons pas.
Demande de démonstration. Le formulaire ne transmet rien par lui-même : il ouvre votre messagerie avec un e-mail prérempli, que vous choisissez d’envoyer ou non. Nous recevons alors ce que vous y avez écrit (nom, établissement, e-mail, téléphone, besoin), pour vous répondre et organiser la démonstration. Base légale : mesures précontractuelles prises à votre demande et intérêt légitime à répondre aux professionnels qui nous contactent. Ces échanges sont conservés 3 ans après le dernier contact.
3. Dans l’application : quelles données, pourquoi
| Personnes | Données | Finalité et base légale |
|---|---|---|
| Gérant (titulaire du compte) | Prénom, nom, e-mail, mot de passe (stocké sous forme d’empreinte scrypt, jamais lisible), sessions de connexion, adresse du compte Google si le gérant relie son Google Drive | Créer et sécuriser le compte, envoyer les codes de réinitialisation et les alertes : exécution du contrat |
| Salariés de l’établissement | Prénom, nom, initiales, couleur d’avatar ; auteur, date et heure de chaque saisie (relevés, réceptions, nettoyage, étiquettes). Aucun e-mail, aucun mot de passe, aucune géolocalisation | Tenir les registres d’hygiène du restaurant et savoir qui a fait quel contrôle : traitement réalisé pour le compte du restaurant, qui doit en informer ses salariés |
| Fournisseurs | Raison sociale, SIRET, adresse, coordonnées des contacts professionnels (nom, fonction, téléphone, e-mail) | Réception des marchandises, traçabilité et suivi des documents fournisseurs : pour le compte du restaurant |
| Auditeurs | Nom de l’auditeur et de la personne rencontrée, tels qu’ils figurent dans un rapport d’audit importé | Classer le rapport au registre : pour le compte du restaurant |
| Utilisateurs du support | Nom, e-mail, page concernée, type d’appareil (tablette, téléphone, ordinateur), description et capture d’écran facultative | Traiter un signalement ou une suggestion et vous prévenir de sa résolution : exécution du contrat |
| Tous les utilisateurs | Photos et documents ajoutés (étiquettes, bons de livraison, rapports d’audit, certificats, photos de nettoyage), identifiant interne de l’appareil, journal des modifications, modèle d’appareil et résolution de la caméra lors d’un scan | Fournir le service, garder un registre fiable et améliorer la lecture des étiquettes : exécution du contrat et intérêt légitime |
| Sécurité | Empreinte non réversible de l’adresse IP et de l’e-mail lors des tentatives de connexion et des demandes de mot de passe oublié | Limiter les tentatives d’intrusion : intérêt légitime |
Ce que nous ne collectons pas : géolocalisation, contacts du téléphone, données de santé, numéro de sécurité sociale, identifiant publicitaire, mesure d’audience, données de navigation hors de l’application. Les notifications push ne sont pas utilisées.
Accès de l’appareil. La caméra sert uniquement à photographier les étiquettes et les documents ; le Bluetooth et le réseau Wi-Fi local servent uniquement à trouver et utiliser l’imprimante d’étiquettes. Ces accès sont demandés par votre téléphone ou votre tablette et peuvent être retirés dans ses réglages.
4. L’intelligence artificielle
Dans l’offre Premium, les photos d’étiquettes, de bons de livraison et les rapports d’audit que vous choisissez de faire lire sont transmis à notre prestataire Anthropic, qui en extrait le produit, le lot, la date limite, les quantités ou les points d’audit. Anthropic s’engage contractuellement à ne pas entraîner ses modèles sur ces contenus.
Le résultat est une proposition : il est affiché pour vérification et n’est enregistré qu’après validation par une personne de l’établissement. Aucune décision produisant des effets juridiques à votre égard n’est prise de façon automatisée. La saisie manuelle reste toujours possible.
Les codes-barres et la détection du cadre de l’étiquette sont calculés sur l’appareil lui-même, sans envoi. Des images d’étiquettes peuvent être gardées dans le Google Drive du restaurant pour améliorer cette détection ; le gérant peut le désactiver dans Réglages › Qualité du scan.
5. Destinataires et prestataires
Vos données ne sont jamais vendues ni louées. Elles sont accessibles à notre équipe dans la limite de ses missions, et à nos prestataires techniques :
| Prestataire | Rôle | Localisation et garanties |
|---|---|---|
| Vercel Inc. | Hébergement du site et de l’application | Serveurs de l’application à Francfort (Allemagne) ; société américaine adhérant au Data Privacy Framework UE–États-Unis, clauses contractuelles types |
| Neon | Base de données | Francfort (Allemagne), Union européenne |
| Anthropic Ireland, Limited | Lecture par l’IA (offre Premium) | Irlande ; traitement possible aux États-Unis, encadré par les clauses contractuelles types de la Commission européenne |
| Resend | Envoi des e-mails de l’application (codes, alertes, suivi du support) | États-Unis ; Data Privacy Framework UE–États-Unis et clauses contractuelles types |
Lorsque le gérant relie son propre compte Google Drive, les photos, documents et exports du restaurant y sont archivés : ce service est choisi par le restaurant et régi par son contrat avec Google. Tracé ne demande que l’autorisation « drive.file » : il ne voit et ne modifie que les fichiers et dossiers qu’il a lui-même créés, jamais le reste du Drive. L’autorisation est conservée chiffrée et peut être retirée à tout moment (dans Tracé : Réglages › Google Drive ; ou depuis le compte Google). L’utilisation et le transfert des informations reçues des API Google respectent les règles relatives aux données utilisateur des services API Google, y compris les exigences d’utilisation limitée (Limited Use).
Les capteurs de température éventuellement reliés le sont aussi à l’initiative du restaurant.
Tout transfert hors de l’Union européenne est encadré par une décision d’adéquation de la Commission européenne ou par ses clauses contractuelles types.
7. Durées de conservation
- Registres, photos et documents du restaurant : pendant toute la durée de l’abonnement, car ils constituent ses registres d’hygiène.
- Fin de l’abonnement : le restaurant peut demander l’export de ses registres ; ses données sont ensuite supprimées ou rendues anonymes dans un délai de 3 mois.
- Salarié qui quitte l’établissement : son profil est désactivé ; son nom reste attaché aux contrôles passés, qui doivent rester exacts.
- Codes de mot de passe oublié : valables 10 minutes, effacés sous 24 heures. Empreintes servant à limiter les tentatives : 24 heures.
- Demandes de démonstration et échanges commerciaux : 3 ans après le dernier contact.
- Factures et pièces comptables : 10 ans, comme l’exige le Code de commerce.
8. Sécurité
Les échanges sont chiffrés (HTTPS). Les mots de passe sont stockés sous forme d’empreinte (scrypt), les jetons d’accès à des services tiers sont chiffrés (AES-256), les tentatives de connexion sont limitées et les sessions expirent. À la première connexion du gérant sur un nouvel appareil, un code envoyé par e-mail lui est demandé. Lorsqu’un mot de passe est choisi, Tracé vérifie qu’il ne figure pas parmi les mots de passe déjà divulgués lors de fuites de données, grâce au service Pwned Passwords : seuls les 5 premiers caractères d’une empreinte du mot de passe lui sont envoyés, jamais le mot de passe lui-même, ni votre e-mail. L’accès à l’application exige la connexion du gérant, et le registre garde la trace de chaque modification.
9. Vos droits
Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, leur portabilité ou la limitation de leur traitement, vous opposer à un traitement fondé sur l’intérêt légitime et définir des directives sur le sort de vos données après votre décès. Écrivez à devtracehaccp@gmail.com ; nous répondons dans un délai d’un mois.
Si vous êtes salarié ou fournisseur d’un restaurant qui utilise Tracé, adressez-vous d’abord à ce restaurant, responsable du traitement ; nous l’aidons à vous répondre.
Vous pouvez introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes.
10. Supprimer votre compte Tracé
Depuis l’application : Réglages › Mon compte › « Supprimer définitivement mon compte ». Tracé vous demande votre mot de passe, puis de confirmer. La suppression est immédiate :
- votre adresse e-mail, votre mot de passe et vos sessions sont effacés, vous êtes déconnecté de tous les appareils ;
- votre profil n’apparaît plus dans l’application ;
- votre nom reste attaché aux contrôles d’hygiène que vous avez déjà réalisés, car le registre sanitaire de l’établissement doit indiquer qui a fait chaque contrôle.
Si vous êtes le dernier gérant de l’établissement à avoir un compte, une demande de clôture nous est transmise avec votre adresse e-mail : nous vous proposons l’export des registres, puis le compte, les profils, les photos et les registres de l’établissement sont supprimés ou rendus anonymes sous 30 jours. Seules les factures sont conservées, pendant la durée légale de 10 ans.
Par e-mail, si vous n’avez plus accès à l’application : écrivez à devtracehaccp@gmail.com depuis l’adresse du compte, avec pour objet « Suppression de compte Tracé ». Nous traitons la demande sous 30 jours.
Un salarié qui souhaite que son profil soit retiré s’adresse à son employeur, qui peut le désactiver dans les réglages.
11. Modifications
Cette politique peut évoluer, notamment lors de l’ajout d’une fonction ou d’un prestataire. La date de mise à jour figure en haut de la page ; en cas de changement important, les clients sont prévenus par e-mail.