Cette politique décrit les données personnelles traitées dans le cadre de Artichaut, les raisons de ces traitements et les droits dont vous disposez. Elle est rédigée conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.
1. Qui est responsable du traitement
Artichaut est une marque exploitée par MBS SASU, au capital de 1 000 €, dont le siège social est situé 60 rue François Ier, 75008 Paris, France, immatriculée sous le numéro 990 868 283 R.C.S. Paris. Cette société est le responsable du traitement.
Contact : contact@artichaut.co.
2. Périmètre, et un rôle qui change
Cette politique couvre deux ensembles qu’il faut distinguer :
- le site vitrine artichaut.co, que vous consultez librement ;
- l’application et la plateforme Artichaut, réservées à nos clients et à leurs équipes.
Notre rôle n’est pas le même dans les deux cas, et c’est une distinction de fond. Pour le site et pour les comptes utilisateurs, nous sommes responsable du traitement : nous décidons des finalités et des moyens. En revanche, pour les données d’achats que nos clients nous confient — factures, mercuriales, commandes, avoirs, ventes — nous agissons en sous-traitant : c’est l’établissement client qui reste responsable de ces données, et nous ne les traitons que sur ses instructions, dans le cadre du contrat qui nous lie. Les personnes concernées par ces données doivent donc adresser leurs demandes à l’établissement, qui nous les répercute.
3. Le site vitrine
Mesure d’audience
Nous mesurons la fréquentation du site à l’aide de l’outil intégré de notre hébergeur. Cette mesure est agrégée : elle produit des totaux, jamais des profils individuels. Les dimensions observées sont les pages consultées, le type de navigateur, le type d’appareil, le pays et la source de la visite. Elle ne permet ni de vous identifier, ni de vous suivre d’un site à l’autre.
Aucun cookie, aucun traceur
Le site ne dépose aucun cookie, n’utilise ni localStorage ni sessionStorage, et ne charge aucun script tiers : ni régie publicitaire, ni pixel de réseau social, ni outil de mesure externe. C’est pourquoi vous ne voyez aucun bandeau de consentement : en l’absence de traceur non essentiel, la réglementation n’en impose pas.
Journaux techniques et prise de contact
Comme tout serveur web, notre hébergeur enregistre les requêtes reçues — adresse IP, date, page demandée — aux seules fins de sécurité et de diagnostic. Le site ne comporte aucun formulaire : le seul moyen de nous joindre est un lien qui ouvre votre propre messagerie. Nous ne recevons donc que ce que vous choisissez de nous écrire.
4. L’application et la plateforme Artichaut
Qui est concerné
Nos clients — groupes et établissements de restauration — et les membres de leurs équipes disposant d’un accès.
Données de compte
Pour chaque utilisateur, nous traitons en qualité de responsable :
- adresse e-mail professionnelle ;
- numéro de téléphone ;
- fonction au sein de l’établissement ;
- historique de connexion — dates, heures et appareil utilisé.
Ces données servent à créer et sécuriser les accès, à identifier qui a fait quoi dans l’outil, et à vous joindre au sujet du service.
Données d’achats confiées par nos clients
La plateforme traite les documents et données d’achats de l’établissement : factures, mercuriales, commandes, avoirs, données de ventes et éléments associés. Ces données sont principalement des données d’entreprise, mais elles contiennent incidemment des données personnelles — nom d’un commercial fournisseur, coordonnées d’un contact, signature d’un bon de commande.
Nous les traitons uniquement pour fournir le service souscrit : analyse des achats, comparaison de prix, détection d’écarts, restitution de tableaux de bord. Nous ne les exploitons à aucune autre fin, et elles ne sont jamais revendues.
Traitement par intelligence artificielle
Le service s’appuie sur des modèles d’intelligence artificielle pour lire les documents d’achats et en extraire les informations utiles. Les données nécessaires à ce traitement sont transmises à notre fournisseur de modèles, qui agit en sous-traitant :
- Anthropic — analyse et extraction de données documentaires.
Ces données ne sont pas utilisées pour entraîner des modèles : les conditions commerciales d’Anthropic l’interdisent expressément. Le traitement a lieu aux États-Unis, encadré par les clauses contractuelles types. Si nous faisons appel à d’autres fournisseurs, la liste ci-dessus est mise à jour avant que le traitement ne commence.
À figer avant la mise en service. Cette liste doit correspondre exactement aux fournisseurs réellement appelés en production. L’engagement de non-entraînement est acquis pour Anthropic au titre de ses conditions commerciales ; il devra être vérifié pour tout fournisseur ajouté, et il suppose d’utiliser une offre commerciale et non un accès grand public.
5. Finalités et bases légales
| Traitement | Finalité | Base légale |
|---|---|---|
| Mesure d’audience agrégée | Comprendre l’usage du site | Intérêt légitime (art. 6.1.f) |
| Journaux techniques | Sécurité, disponibilité, diagnostic | Intérêt légitime (art. 6.1.f) |
| Comptes utilisateurs | Fournir et sécuriser l’accès au service | Exécution du contrat (art. 6.1.b) |
| Historique de connexion | Traçabilité et sécurité des accès | Intérêt légitime (art. 6.1.f) |
| Données d’achats | Fournir le service souscrit par l’établissement | Traitement pour le compte du client (art. 28) |
| Échanges par e-mail | Répondre à votre demande | Mesures précontractuelles ou intérêt légitime |
6. Durées de conservation
- Statistiques du site : conservées sous forme de totaux agrégés.
- Journaux techniques : durée courte, définie par l’hébergeur.
- Comptes utilisateurs : pendant toute la durée du contrat, puis supprimés dans un délai raisonnable après son terme.
- Données d’achats : pendant la durée du contrat. À son terme, elles sont restituées ou supprimées selon le choix de l’établissement client, conformément à nos engagements contractuels.
- Échanges par e-mail : le temps de traiter la demande, puis selon les obligations légales applicables.
7. Destinataires et sous-traitants
Nous ne vendons ni ne louons aucune donnée. Nos sous-traitants agissent sur nos instructions :
| Sous-traitant | Rôle | Localisation des données |
|---|---|---|
| Strapi, Inc. (Fimo) | Hébergement du site vitrine et mesure d’audience | États-Unis et Espace économique européen |
| Supabase | Base de données de la plateforme | Union européenne (Irlande) |
| Vercel | Hébergement et diffusion de l’application | Union européenne pour l’exécution ; diffusion mondiale des fichiers statiques |
| Anthropic | Analyse documentaire par intelligence artificielle | États-Unis |
| Apple | Distribution de l’application mobile | États-Unis et infrastructure mondiale d’Apple |
8. Transferts hors de l’Union européenne
Les données de la plateforme — comptes et données d’achats — sont stockées dans l’Union européenne. Nos prestataires sont toutefois, pour certains, des sociétés établies aux États-Unis, dont les équipes techniques peuvent accéder aux données depuis ce pays dans le cadre de la maintenance et du support.
Le site vitrine est hébergé par Strapi, Inc., société américaine éditrice de Fimo, dont le contrat de sous-traitance prévoit un traitement des données hors de l’Espace économique européen, y compris aux États-Unis. Les données concernées se limitent aux journaux techniques et aux statistiques agrégées de fréquentation ; aucune donnée client ne transite par le site.
Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, complétées des mesures techniques appropriées.
L’application est exécutée dans une région européenne de Vercel. Le réseau de diffusion de ce prestataire reste mondial, mais il ne sert que des fichiers statiques — code de l’interface, styles, images — dépourvus de toute donnée personnelle.
Décision à prendre si les clients l’exigent. Appeler le modèle d’Anthropic via une région européenne d’AWS Bedrock ou de Google Vertex AI, plutôt que par l’API directe, maintiendrait ce traitement dans l’Union. Ce choix se fait avant l’écriture de l’intégration : en changer ensuite implique de reprendre l’authentification, le SDK et la facturation.
9. Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Écrivez à contact@artichaut.co ; nous répondons dans un délai d’un mois.
Si votre demande porte sur des données d’achats confiées par un établissement client, nous vous orienterons vers cet établissement : c’est lui qui en est responsable, et nous ne pouvons y donner suite que sur ses instructions.
Vous pouvez également introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris — www.cnil.fr.
10. Sécurité
Les échanges sont chiffrés en transit (HTTPS). L’accès à la plateforme est nominatif et les actions sont tracées. Les données sont hébergées chez des prestataires disposant de certifications reconnues en matière de sécurité de l’information.
11. Mineurs
Nos services s’adressent à des professionnels de la restauration. Ils ne visent pas les mineurs et ne collectent pas sciemment de données les concernant.
12. Modifications
Cette politique peut évoluer si nos traitements changent. La date de dernière mise à jour figure en haut de cette page. Nos clients sont informés de toute modification substantielle.