Politique de confidentialité

1. Qui est responsable du traitement de vos données ?

Le responsable du traitement des données personnelles est Oresto (Entreprise individuelle), IDE en cours d'attribution, dont le siège social est situé au Rue d'Oche 10, 1920 Martigny, Suisse.

Pour toute question relative à vos données personnelles, écrivez à confidentialite@oresto.ch.

2. Quelles données collectons-nous ?

Oresto collecte uniquement les données strictement nécessaires au fonctionnement du service :

Données du compte utilisateur

• Adresse email (identifiant de connexion) ;
• Mot de passe (jamais stocké en clair : chiffré avec l'algorithme bcrypt) ;
• Nom et prénom du responsable de l'établissement ;
• Date de création du compte et date de dernière connexion.

Données de l'établissement

• Nom du restaurant, adresse, canton ;
• Numéro de TVA (facultatif) ;
• Logo (image téléversée par le Client, facultative).

Données d'exploitation

• Chiffre d'affaires quotidien (sur place / à emporter) ;
• Nombre de couverts ;
• Factures fournisseurs (fournisseur, montant, échéance, catégorie, statut de paiement).

Données de facturation

• Formule d'abonnement souscrite (mensuel ou annuel) ;
• Historique des paiements (montant, date, référence Stripe) ;
• Aucune donnée de carte bancaire n'est stockée par Oresto ; elles sont traitées exclusivement par Stripe.

Données techniques

• Cookie d'authentification sécurisé (httpOnly, Secure, SameSite=None) ;
• Logs techniques limités (adresse IP tronquée en cas d'incident) ;
• Statistiques d'utilisation anonymisées (via Emergent/PostHog).

3. Pourquoi utilisons-nous ces données ?

Oresto ne vend, ne loue et ne partage vos données à aucun tiers à des fins publicitaires ou commerciales.

4. Combien de temps conservons-nous vos données ?

• Données du compte actif : pendant toute la durée de l'abonnement.
• Données après résiliation : conservées 90 jours en lecture seule pour permettre l'export final, puis supprimées.
• Reçus de paiement et données comptables : conservés 10 ans pour respecter les obligations comptables suisses (art. 958f CO).
• Logs techniques : supprimés après 30 jours.
• Tokens de réinitialisation de mot de passe : supprimés automatiquement après 1 heure.

5. Où vos données sont-elles stockées ?

Vos données sont hébergées sur des serveurs situés dans l'Union Européenne (Francfort, Allemagne), opérés par MongoDB Atlas sur l'infrastructure AWS. Ce choix garantit une conformité stricte avec le Règlement Général sur la Protection des Données (RGPD) et la Loi fédérale sur la protection des données (nLPD) suisse.

Aucune donnée n'est transférée en dehors de l'Union Européenne, à l'exception des cas suivants :

• Paiements traités par Stripe (Irlande, UE) ;
• Emails transactionnels envoyés via Resend (États-Unis, sous clauses contractuelles types de la Commission européenne).

6. Qui a accès à vos données ?

Vos données sont accessibles uniquement :

• par vous-même via votre espace personnel ;
• par le personnel technique restreint d'Oresto, uniquement lorsque nécessaire au support ou à la maintenance, et sous obligation de confidentialité ;
• par nos sous-traitants techniques (voir article 7), sous engagement contractuel de confidentialité et de sécurité.

7. Sous-traitants et prestataires

Pour fonctionner, Oresto s'appuie sur les prestataires suivants, tous soumis à des accords de traitement de données (DPA) :

8. Vos droits

Conformément à la nLPD suisse et au RGPD, vous disposez à tout moment des droits suivants :

• Droit d'accès : obtenir une copie de toutes les données que nous détenons vous concernant ;
• Droit de rectification : corriger toute donnée inexacte ;
• Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, sous réserve des obligations légales de conservation ;
• Droit à la portabilité : recevoir vos données dans un format structuré (JSON, CSV, PDF) ;
• Droit d'opposition : vous opposer à certains traitements fondés sur notre intérêt légitime ;
• Droit de limitation : demander la suspension temporaire d'un traitement ;
• Droit de plainte auprès du Préposé fédéral à la protection des données (PFPDT — edoeb.admin.ch).

Pour exercer l'un de ces droits, écrivez à confidentialite@oresto.ch. Nous répondons sous 30 jours maximum, gratuitement.

9. Sécurité

Nous mettons en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement des communications par TLS 1.3 (HTTPS) ;
• Chiffrement des mots de passe par l'algorithme bcrypt (impossible à décrypter) ;
• Cookies d'authentification httpOnly + Secure + SameSite (impossibles à voler par une injection JavaScript) ;
• Sauvegarde régulière de la base de données ;
• Isolation stricte des données de chaque Client (aucun Client ne peut accéder aux données d'un autre) ;
• Contrôle d'accès restreint au personnel technique d'Oresto ;
• Formation et sensibilisation régulière du personnel à la sécurité.

En cas de violation de données susceptible d'entraîner un risque pour vos droits, Oresto vous notifie sans délai, conformément à l'art. 24 nLPD.

10. Cookies

Oresto utilise uniquement des cookies techniques strictement nécessaires au fonctionnement du service (authentification, préférences d'affichage). Aucun cookie publicitaire, aucun cookie de suivi cross-site n'est déposé. Un consentement explicite n'est donc pas requis pour ces cookies techniques (art. 45c LTC).

11. Modification de la présente politique

La présente politique peut être mise à jour pour refléter les évolutions du service ou de la réglementation. Toute modification substantielle est notifiée par email au moins 30 jours avant son entrée en vigueur. La version en vigueur est toujours accessible à l'adresse https://oresto.ch/confidentialite.

12. Contact

• Email dédié aux données personnelles : confidentialite@oresto.ch
• Adresse postale : Oresto, Rue d'Oche 10, 1920 Martigny, Suisse