Politique de confidentialité

1. Qui sommes-nous

Le programme de récompenses est exploité par Rockaberry Jean-Talon (TODO : dénomination légale complète de l’entreprise et NEQ), situé au TODO : adresse complète du restaurant. La présente politique décrit comment nous recueillons, utilisons, conservons et protégeons vos renseignements personnels, conformément à la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (« Loi 25 », Québec), à la Loi canadienne anti-pourriel (« LCAP ») et à la Loi sur la protection du consommateur (« LPC »).

2. Renseignements que nous recueillons

Dans le cadre du programme, nous recueillons uniquement ce qui est nécessaire :

• Identification : numéro de téléphone cellulaire (identifiant du compte), prénom, date d’anniversaire (facultative), courriel (facultatif), langue préférée.
• Préférences que vous nous confiez : réseau social que vous utilisez et votre nom d’utilisateur (facultatifs), gâterie préférée (facultative). Ces champs sont entièrement optionnels, saisis par vous seul, et servent uniquement à adapter nos offres. Nous donner un nom d’utilisateur ne constitue pas un consentement à être contacté sur ce réseau : nous ne vous y écrirons jamais.
• Transactions de fidélité : points, tampons, échanges de récompenses, montants d’achat avant taxes, dates de visite, numéro de commande (ou de reçu) attribué par la caisse du restaurant. Ce numéro nous sert à concilier nos registres avec l’export des ventes de la caisse, à prévenir la fraude et à retracer une opération faite au comptoir. Il est effacé si vous supprimez votre compte.
• Cartes-cadeaux : cartes achetées, soldes, historique des transactions, nom et coordonnées du destinataire si vous envoyez une carte.
• Communications : journal des textos et courriels que nous vous envoyons (liens de connexion, codes de récompense, promotions si vous y avez consenti).
• Avis : notes et commentaires que vous nous laissez, ainsi que votre consentement (ou non) à leur publication.
• Badges : les jalons de fidélité que vous atteignez (par exemple une cinquième visite), calculés à partir de vos visites confirmées, avec la date d’obtention. Ils servent uniquement à afficher votre progression dans votre carte. Ils sont supprimés si vous supprimez votre compte.
• Données techniques minimales : témoins (cookies) de session et de langue, journaux de sécurité (limitation de débit, accès administratifs).

Nous n’utilisons aucun témoin publicitaire ni outil de suivi de tiers à des fins de profilage.

3. Finalités d'utilisation

• administrer votre compte de membre, vos points, tampons et récompenses;
• émettre et gérer les cartes-cadeaux (les soldes ne s’expirent jamais);
• vous transmettre les messages transactionnels nécessaires au service (lien de connexion, codes de récompense, confirmations);
• vous transmettre des offres promotionnelles uniquement si vous y avez consenti (voir la section 4);
• prévenir la fraude et concilier nos registres avec les ventes du restaurant;
• respecter nos obligations légales, comptables et fiscales.

4. Consentement aux communications promotionnelles (LCAP)

Le consentement aux textos et courriels promotionnels est facultatifet distinct de votre adhésion au programme. Il est recueilli explicitement (cases à cocher non précochées), horodaté, et vous pouvez le retirer en tout temps, sans frais :

• en répondant « STOP » ou « ARRET » à un texto;
• via le lien de désabonnement présent dans chaque courriel;
• depuis votre profil membre.

Nous limitons les envois promotionnels à un maximum de 2 messages par semaine et n’envoyons jamais entre 21 h et 9 h. Répondez « AIDE » ou « HELP » à un texto pour obtenir de l’aide. Des frais de messagerie et de données standard peuvent s’appliquer selon votre forfait mobile. Les messages transactionnels liés à votre compte ne requièrent pas ce consentement.

5. Personnalisation, ciblage et décisions automatisées

Pour décider qui reçoit quel message promotionnel, nous analysons automatiquement votre historique de visites confirmées (dates de visite, fréquence, points accumulés). Ce traitement constitue du profilage au sens de la Loi 25. Il est effectué par nos propres systèmes, sans témoin publicitaire ni outil de suivi de tiers.

• Estimation d’éloignement : nous comparons l’intervalle habituel entre vos visites à la date de votre dernière visite. Lorsque l’écart dépasse votre propre rythme, votre compte est signalé comme « en train de s’éloigner », ce qui peut déclencher un message de retour. Le calcul n’utilise que vos dates de visite, et aucun score n’est produit tant que vous n’avez pas au moins quatre visites.
• Segmentation : nous regroupons les membres selon la récence, la fréquence et le montant de leurs achats, afin d’adapter le contenu et le moment des offres.
• Mesure de l’efficacité : lorsqu’une visite suit de peu un message promotionnel qui vous a été livré, nous la comptons dans les statistiques de la campagne. Ce rapprochement sert uniquement à mesurer si nos messages sont utiles ; il ne produit aucun score individuel.
• Déclencheurs automatiques : anniversaire, adhésion récente, inactivité prolongée, atteinte d’un palier de points, fenêtre promotionnelle.

Ce profilage sert uniquementà choisir le contenu et le moment d’un message promotionnel. Il n’a aucune incidence sur vos points, vos récompenses, les prix que vous payez ou votre accès au programme, et aucune décision produisant un effet juridique à votre égard n’est prise sur cette base.

Vous pouvez vous y soustraire en tout temps en retirant votre consentement aux communications promotionnelles (section 4) : aucun message ciblé ne vous est alors envoyé. Vous pouvez également demander à notre responsable de la protection des renseignements personnels quels renseignements ont servi à vous cibler, et lui présenter vos observations.

Intelligence artificielle : le restaurant peut se faire aider par un assistant d’intelligence artificielle (Anthropic) pour rédiger le texte de ses messages promotionnels. Cet assistant ne reçoit aucun renseignement personnel : ni nom, ni numéro de téléphone, ni courriel, ni historique de visites, ni score, ni statistique sur les membres. Il reçoit seulement ce que le restaurant a lui-même écrit ou choisi : la description de l’offre, le paramétrage de la campagne (déclencheur, type d’audience, récompense, canal, ton) et le nom du commerce. Le texte produit est un brouillon : une personne du restaurant doit le relire, le corriger au besoin et l’enregistrer avant qu’il puisse être envoyé. Aucun message n’est rédigé etexpédié automatiquement par l’intelligence artificielle.

6. Conservation et suppression

Vos renseignements personnels sont conservés tant que votre compte est actif. Vous pouvez supprimer votre compte vous-même depuis votre profil membre. La suppression :

• efface immédiatement votre prénom, votre courriel, votre date d’anniversaire, votre numéro de téléphone, vos préférences (réseau social, nom d’utilisateur, gâterie préférée) de nos systèmes actifs, et révoque tous vos consentements;
• conserve l’historique de transactions sous forme anonymisée (points, échanges, montants), car nos obligations comptables et fiscales l’exigent — ces lignes ne sont plus rattachables à vous;
• supprime vos badges, qui n’ont aucune valeur comptable ;
• conserve les registres de cartes-cadeaux, car les soldes constituent un passif que la LPC nous oblige à honorer sans limite de temps.

Durées de conservation :

• Compte membre(téléphone, prénom, courriel, anniversaire, langue, préférences facultatives, consentements) : tant que le compte est actif, puis supprimé ou anonymisé dès la suppression du compte.
• Registres de transactions anonymisés(points, échanges, montants avant taxes, dates) : sept ans, conformément aux exigences comptables et fiscales fédérales et québécoises.
• Journal des communications(textos et courriels envoyés, preuve de consentement) : trois ans après le dernier envoi, afin de pouvoir démontrer le consentement exigé par la LCAP.
• Registres de cartes-cadeaux : sans limite de temps tant qu’un solde subsiste, la LPC nous obligeant à honorer ce solde indéfiniment.
• Journaux de sécurité(accès administratifs, limitation de débit) : douze mois.
• Registre des incidents de confidentialité : cinq ans, comme l’exige la Loi 25.

7. Communication à des tiers et hébergement

Nous ne vendons ni ne louons jamais vos renseignements. Ils sont traités par un nombre restreint de fournisseurs de services, chacun lié par des engagements de confidentialité :

• Supabase (hébergement de la base de données) — région ca-central-1 (Montréal, Canada). C’est là que résident vos renseignements : compte, points, tampons, visites, cartes-cadeaux et journal des communications.
• Vercel(hébergement de l’application) — États-Unis. Vercel exécute le code du site et de l’application ; les renseignements y transitent le temps d’une requête, mais n’y sont pas conservés.
• Twilio (envoi de textos) — États-Unis. Reçoit votre numéro de téléphone et le texte du message.
• Resend (envoi de courriels) — États-Unis. Reçoit votre adresse courriel et le contenu du courriel.
• Stripe (paiement des cartes-cadeaux en ligne) — Stripe ne nous transmet jamais votre numéro de carte bancaire.

Où vivent vos renseignements : la base de données qui contient votre compte et votre historique est hébergée au Canada, à Montréal. Nous servons pour l’instant une clientèle canadienne et gardons délibérément les données au repos au pays.

Anthropic, le fournisseur de l’assistant d’intelligence artificielle, n’apparaît pas dans cette liste parce qu’il ne traite aucun renseignement personnel sur un membre. Il reçoit uniquement ce que le restaurant a lui-même écrit ou choisi : le texte de l’offre, le paramétrage de la campagne (déclencheur, type d’audience, récompense, canal, ton) et le nom du commerce — jamais un nom, un numéro de téléphone ni l’historique de qui que ce soit (voir la section 5).

Communication hors Québec (article 17 de la Loi 25).La base de données demeure au Canada, mais trois fournisseurs traitent des renseignements aux États-Unis : Vercel (exécution de l’application), Twilio (textos) et Resend (courriels). Nous avons réalisé pour chacun l’évaluation des facteurs relatifs à la vie privée exigée avant une telle communication. Elle a porté sur :

• La sensibilité des renseignements communiqués— chaque fournisseur ne reçoit que le strict minimum : un numéro de téléphone et un texte pour Twilio, une adresse courriel et un contenu pour Resend. Aucun ne reçoit votre historique de visites, vos soldes ni vos habitudes d’achat.
• Les fins de la communication— uniquement livrer le message que vous avez demandé ou consenti à recevoir, et servir l’application.
• Les mesures de protection— chiffrement en transit, engagements contractuels de confidentialité, et le fait que ces fournisseurs agissent comme sous-traitants sans droit d’utiliser vos renseignements à leurs propres fins.
• Le régime juridique applicable — le droit américain, évalué comme offrant une protection adéquate compte tenu du caractère limité et peu sensible des renseignements en cause et des engagements contractuels obtenus.

Conclusion de l’évaluation : la communication est autorisée, à la condition que les renseignements conservés durablement — votre compte et votre historique — restent hébergés au Canada. Vous pouvez demander une copie de cette évaluation à la personne responsable de la protection des renseignements personnels.

8. Vos droits (Loi 25)

Vous disposez en tout temps des droits suivants :

• Accès et portabilité : téléchargez une copie complète de vos données (format JSON structuré) depuis votre profil membre, en libre-service;
• Rectification : corrigez vos renseignements directement dans votre profil;
• Retrait du consentement : désactivez les communications promotionnelles en un clic;
• Suppression : supprimez votre compte en libre-service (voir la section 6);
• Plainte : adressez-vous à notre responsable (bloc ci-dessus) ou à la Commission d’accès à l’information du Québec.

9. Sécurité

Accès aux données limité au personnel autorisé (chaque consultation d’un profil par l’administration est journalisée), connexions membres sans mot de passe par lien à usage unique expirant après 15 minutes, chiffrement en transit (HTTPS) et au repos chez notre hébergeur, limitation de débit sur les points d’accès publics.

10. Incident de confidentialité

En cas d’incident présentant un risque de préjudice sérieux, nous aviserons la Commission d’accès à l’information et les personnes concernées, et tiendrons le registre des incidents exigé par la Loi 25. Notre procédure interne est la suivante :

1. Contenir (immédiatement).La personne qui constate l’incident avise sans délai la personne responsable de la protection des renseignements personnels. Les accès compromis sont révoqués et, au besoin, les envois automatisés sont suspendus au moyen des interrupteurs d’urgence prévus à cet effet.
2. Évaluer (dans les 72 heures).Nous déterminons quels renseignements sont en cause, combien de personnes sont touchées et si l’incident présente un risque de préjudice sérieux, en tenant compte de la sensibilité des renseignements, des conséquences appréhendées et de la probabilité qu’ils soient utilisés à des fins préjudiciables.
3. Déclarer (sans délai).Si le risque de préjudice sérieux est établi, nous avisons la Commission d’accès à l’information et chaque personne concernée, en décrivant l’incident, les renseignements visés, les mesures prises et ce que la personne peut faire pour se protéger.
4. Consigner (toujours).Tout incident de confidentialité est inscrit au registre prévu par la Loi 25, qu’il ait été déclaré ou non, et le registre est conservé cinq ans.
5. Corriger.Nous documentons la cause et la mesure adoptée pour éviter qu’il se reproduise.

11. Modifications

Toute modification importante de cette politique sera annoncée sur cette page et, si elle élargit l’utilisation de vos renseignements, fera l’objet d’un nouveau consentement.