Politique de confidentialité

OpenRate est exploité par Mammeri Growth Development Inc., société par actions, NEQ 1180954951. Adresse professionnelle : 6-4825 rue Ontario E, Montréal (Québec) H1V 1L8, Canada. Cette politique vise www.openrate.ca, app.openrate.ca et pay.openrate.ca.

Youva Mammeri, CEO de Mammeri Growth Development Inc., est le responsable de la protection des renseignements personnels par défaut. Vous pouvez le joindre à privacy@openrate.ca ou à l’adresse professionnelle ci-dessus, à son attention. Jason Greige assure la réception et la coordination des demandes, du soutien et des plaintes. Pour protéger vos renseignements, limitez votre message aux éléments utiles à votre demande et gardez confidentiels vos identifiants et données de carte.

Le responsable de la protection des renseignements personnels, appelé « privacy officer » en anglais, veille au respect des obligations de confidentialité de l’entreprise, encadre ses pratiques et assure le traitement des demandes relatives aux renseignements personnels. Cette fonction est exercée par la personne ayant la plus haute autorité dans l’entreprise, ou par la personne à qui elle l’a déléguée par écrit.

Le restaurant est le commerçant qui fournit le repas et encaisse dans son propre compte Square. Il détermine les renseignements de l’addition, les accès de son équipe et l’utilisation de ses contacts clients. OpenRate fournit le logiciel et traite les renseignements nécessaires aux fonctions demandées par le restaurant. OpenRate administre aussi ses propres relations avec les utilisateurs, son soutien et la sécurité du service. Chaque partie demeure responsable des obligations que la loi lui impose.

Square traite les paiements et exerce des fonctions propres, notamment de sécurité et de prévention de la fraude, selon ses conditions et avis. Les restaurants et services externes ont leurs propres pratiques. Contactez le restaurant pour une addition, un remboursement ou un message qu’il vous adresse ; OpenRate peut vous aider à identifier le traitement concerné.

Visiteurs et soutien : les coordonnées, le restaurant concerné et le contenu des demandes que vous nous transmettez servent à vous répondre. L’hébergement traite des informations réseau et techniques, comme l’adresse IP, les requêtes, erreurs et caractéristiques du navigateur, pour acheminer les pages, diagnostiquer les problèmes et protéger le service. La mesure du site est décrite à la section « Cookies et stockage navigateur ».

Payeurs : le restaurant et les systèmes connectés fournissent les références de table et d’addition, les articles et montants disponibles, les taxes et le solde. Vos choix de partage, montant partiel, pourboire et moyen de paiement, ainsi que les références, dates et états de paiement et de remboursement renvoyés par Square, servent au traitement, au rapprochement, à l’historique et au soutien des transactions.

Votre nom et votre courriel sont demandés pour tout paiement afin d’identifier le paiement et de relier vos passages au restaurant. Avec Apple Pay ou Google Pay, ces coordonnées peuvent provenir du wallet lorsqu’il les fournit ; une saisie est demandée si elles manquent ou sont invalides. Le contact est associé au paiement et enregistré dans les contacts du restaurant après confirmation, même sans demande de reçu par courriel ni consentement marketing.

Le restaurant peut ainsi consulter l’historique des paiements associés à vos passages, avec leurs dates et montants, et retrouver les opérations enregistrées. Le rapprochement repose sur le courriel déclaré dans l’établissement concerné. L’historique recense les paiements : une visite peut comporter plusieurs paiements, et seuls les passages associés à un paiement enregistré y figurent. Cette utilisation de l’historique est distincte de l’envoi d’un reçu et des promotions.

Le nom et le courriel sont des champs obligatoires du parcours numérique actuel. Le restaurant peut vous renseigner sur les autres moyens de régler votre addition.

Les champs sécurisés de Square prennent en charge les renseignements de carte. OpenRate utilise un jeton et des références de transaction ; les enregistrements de paiement de ce parcours ne contiennent pas le numéro complet de carte ni le code de sécurité. Les fournisseurs de paiement et de wallet traitent les renseignements nécessaires à leurs fonctions.

Comptes et personnel : les utilisateurs, administrateurs et Clerk fournissent l’identité de compte, les coordonnées, identifiants de connexion, invitations, organisations, établissements, rôles et permissions pour authentifier les personnes et gérer les accès. Les sessions de service, appareils et affectations peuvent être associés aux factures, encaissements, pourboires, remboursements et notes des clients pour présenter les statistiques opérationnelles au restaurant. Le personnel peut demander à son employeur des précisions sur son utilisation de ces informations.

Les notes et commentaires que vous choisissez de transmettre, leur contexte de service et les interactions avec les liens d’avis servent à recueillir les retours clients et à présenter les résultats au restaurant. Les restaurants peuvent téléverser des menus, images et renseignements d’établissement pour les afficher dans le service.

L’enregistrement du contact et son association à l’historique accompagnent le paiement. Le reçu par courriel n’est envoyé que si vous le demandez : la case correspondante est facultative et autorise l’envoi du reçu à l’adresse fournie, pas des promotions. Les informations de livraison et erreurs d’envoi servent au suivi du reçu. Un reçu téléchargeable peut être proposé après confirmation ; gardez son lien confidentiel, car un détenteur d’un lien valide peut accéder au reçu.

Les promotions du restaurant ne peuvent vous être envoyées qu’avec votre consentement distinct, facultatif et retirable à tout moment. La case n’est pas cochée par défaut. En cas d’adhésion, nous enregistrons l’état du consentement, la date, la source, la langue, le texte présenté et sa version pour en conserver la preuve. Payer, demander un reçu ou laisser un avis ne vaut pas consentement marketing.

Une case marketing laissée décochée ne crée aucun nouveau consentement et ne retire pas un consentement antérieur. Pour vous désabonner, utilisez le mécanisme figurant dans une promotion reçue, contactez le restaurant ou écrivez à privacy@openrate.ca en précisant le restaurant et le courriel concernés. Le retrait ne supprime pas à lui seul les pièces de transaction à conserver. Un export de contacts ne donne pas le droit d’envoyer des promotions aux personnes non abonnées.

Le nom, le courriel et l’historique associé sont accessibles aux utilisateurs autorisés du restaurant concerné, selon leurs rôles et les établissements auxquels ils ont accès. L’historique n’est pas ouvert à l’ensemble des restaurants ni rendu public par la simple saisie d’un courriel. Les personnes autorisées chez OpenRate peuvent également accéder à ces renseignements pour l’exploitation, le soutien et la sécurité selon les besoins de leurs fonctions. Les fournisseurs intervenant dans les traitements sont décrits ci-dessous.

Les principaux fournisseurs du parcours Square sont Square pour la connexion au compte marchand, le paiement et les remboursements ; Clerk pour l’authentification ; Google, de façon facultative, pour la connexion du personnel des restaurants par compte Google, via Clerk ; Supabase pour la base de données, dont la base de production est hébergée au Canada (Montréal), et les fichiers comme les images de menu ; Resend pour les courriels de service, dont les reçus demandés ; Sentry, aux États-Unis, pour le suivi des erreurs du serveur, les renseignements personnels étant retirés avant l’envoi (aucun nom, courriel ni contenu de paiement) ; et Vercel pour l’hébergement et la mesure du site vitrine. Chacun reçoit les renseignements utiles à ses fonctions. Une communication peut aussi être requise par la loi ou une procédure légale applicable.

Des fournisseurs et leurs sous-traitants peuvent traiter ou rendre accessibles des renseignements hors Québec, notamment ailleurs au Canada et aux États-Unis. Cela peut concerner l’hébergement, l’authentification, les courriels, paiements, accès d’assistance, journaux et sauvegardes. Les lois de ces territoires peuvent permettre l’accès par leurs autorités. La localisation d’une base au Canada ne signifie pas que toutes ses copies et tous les traitements y restent. Vous pouvez demander au responsable des précisions sur les fournisseurs et traitements vous concernant.

Les liens Google Reviews, Calendly et réseaux sociaux ouvrent des services externes. Lorsque vous les utilisez, ces services reçoivent les informations liées à votre visite selon leurs propres pratiques ; cette politique ne remplace pas leurs avis.

Le site vitrine intègre Vercel Web Analytics pour mesurer la fréquentation, les pages consultées, les sources de visite et les caractéristiques techniques de navigation. Vercel décrit cet outil comme fonctionnant sans cookies d’identification intersites et traitant des données techniques de navigation. Le chargement de Microsoft Clarity a été retiré du site pour les nouvelles visites. Des données recueillies antérieurement peuvent subsister chez Microsoft.

L’application restaurant utilise les mécanismes de session de Clerk, un cookie de sélection d’établissement et, pour les appareils de service concernés, des cookies d’appareil et de session du personnel. Ils permettent l’authentification, le contrôle des accès et la continuité du travail. L’expiration d’un cookie ne supprime pas les données serveur.

Le paiement utilise le stockage de session du navigateur pour la langue et le brouillon de paiement, dont les coordonnées saisies et les choix de reçu et de marketing, pour reprendre le parcours dans l’onglet. L’application utilise aussi temporairement ce stockage pour certains parcours d’invitation et d’appairage d’appareil. Les composants Square et wallets peuvent utiliser leurs propres mécanismes techniques. Le composant de thème du site peut lire la clé locale « theme », mais le site impose actuellement le thème clair.

Vous pouvez limiter les cookies ou effacer le stockage dans les réglages du navigateur. Cela peut interrompre une connexion, supprimer un brouillon ou perturber le paiement. L’effacement du navigateur n’est pas une demande de suppression des données serveur. OpenRate ne propose pas actuellement de centre de préférences de cookies.

Notre règle de conservation du nom, du courriel et de l’historique des paiements associés à une personne dans un restaurant est de sept ans à compter de son dernier paiement dans ce restaurant. À l’issue de cette période, leur destruction ou leur anonymisation conforme aux exigences applicables est prise en charge manuellement. Cette règle est propre à l’historique du restaurant concerné.

L’application de cette règle est manuelle et fait l’objet d’une revue au moins une fois par an. Aucune purge automatique n’est en place. Les demandes de suppression ou d’anonymisation sont examinées et reçoivent une réponse dans les 30 jours suivant leur réception. Ce délai de traitement annoncé par OpenRate comprend l’examen de la demande et l’information sur les mesures prises et les limites applicables.

Les pièces de transaction nécessaires aux obligations comptables et fiscales, notamment les montants, dates et références de paiement, sont conservées séparément pendant les durées exigées par ces obligations, sans identifier la personne lorsque cela est possible. Les pièces nécessaires à une transaction, un remboursement ou un litige en cours font l’objet d’un examen spécifique de conservation.

Vous pouvez demander au responsable la suppression ou l’anonymisation de vos renseignements avant l’échéance des sept ans. La demande est traitée dans les limites de la loi, compte tenu des renseignements concernés et des obligations de conservation applicables. La réponse précise les actions réalisées, les renseignements encore conservés et les motifs correspondants, avec la participation du restaurant ou des fournisseurs concernés lorsque nécessaire.

Les sauvegardes sont renouvelées selon la rotation du fournisseur concerné. Des copies peuvent y subsister jusqu’à leur renouvellement. L’examen d’une demande inclut les copies pertinentes dans les sauvegardes, journaux, exports du restaurant et systèmes des fournisseurs ; leur état et les contraintes applicables sont précisés selon les informations disponibles pour le dossier.

Les mesures du service comprennent des contrôles d’authentification et de permissions, la limitation des accès par organisation et le chiffrement des identifiants de connexion aux intégrations. Elles sont destinées à réduire les risques d’accès non autorisé, de perte ou de divulgation et doivent être adaptées à la sensibilité des renseignements et aux risques.

Si vous soupçonnez un accès non autorisé ou une divulgation, contactez rapidement le responsable avec les éléments utiles, sans transmettre de secret de paiement. En cas d’incident, les obligations applicables comprennent la réduction du préjudice, la prévention de sa répétition, la tenue d’un registre et, lorsqu’un risque de préjudice sérieux est présent, l’avis aux personnes concernées et à la Commission d’accès à l’information. D’autres obligations peuvent s’appliquer selon les lois compétentes.

Sous réserve des conditions et exceptions légales, vous pouvez demander l’accès à vos renseignements, leur rectification et la communication des renseignements informatisés recueillis auprès de vous dans un format technologique structuré et couramment utilisé. Vous pouvez retirer un consentement et demander la suppression ou la cessation d’une diffusion lorsque le droit applicable le permet. Certains traitements nécessaires ou légalement autorisés peuvent se poursuivre malgré un retrait ; nous devons vous expliquer les limites applicables.

Pour demander l’accès, la correction ou la suppression de vos renseignements, écrivez à Jason Greige à privacy@openrate.ca ou à l’adresse professionnelle indiquée plus haut, en précisant votre demande, le compte ou restaurant concerné et un moyen de vous répondre. Jason en assure la réception et la coordination. La réponse précise les mesures prises, les renseignements conservés et les motifs applicables. Une vérification proportionnée de votre identité peut être nécessaire. Pour l’accès ou la rectification régis par la loi québécoise applicable aux entreprises, le délai de réponse est de 30 jours à compter de la réception. Un refus doit être motivé et indiquer les recours et délais applicables.

Vous pouvez adresser une plainte au responsable et, selon sa compétence, à la Commission d’accès à l’information du Québec ou au Commissariat à la protection de la vie privée du Canada. Vos recours restent ouverts lorsque vous contactez OpenRate.

La date de version figure en tête de cette politique. Une modification importante sera portée à votre attention par un moyen adapté selon les obligations applicables. Un nouveau consentement sera demandé lorsqu’il est requis ; publier un nouveau texte ne vaut pas, à lui seul, consentement à une nouvelle finalité.