LGPD — Loi brésilienne sur la protection des données
Dernière mise à jour: 2026-05-05
Ce document explique comment EtiquetaChef respecte la loi brésilienne n° 13.709/2018 (LGPD). Vous y trouverez le responsable du traitement, le délégué à la protection des données (DPO), les bases légales, les catégories de données, les sous-traitants, la conservation, le transfert international et la manière d’exercer vos droits en tant que personne concernée.
1. Qui est le responsable du traitement
Le responsable du traitement des données personnelles traitées par EtiquetaChef est la marque EtiquetaChef, responsable des décisions de traitement, de l’infrastructure technique et du traitement des demandes des personnes concernées. Contact général : via notre page de contact.
2. Délégué à la protection des données (DPO)
Le délégué à la protection des données (DPO), conformément à l’article 41 de la LGPD, est Jonas R G Filho. Le canal direct avec le DPO est notre page de contact (indiquez [DPO] dans votre message). Tous les détails sur l’identité, les responsabilités et le SLA figurent sur la page du DPO.
3. Bases légales (Art. 7 LGPD)
Nous ne traitons des données personnelles que dans les hypothèses légales prévues à l’art. 7. Les principales applicables à EtiquetaChef sont :
- Exécution du contrat (V): Appliquée aux données strictement opérationnelles nécessaires à la fourniture du service : enregistrement de l’utilisateur et du tenant, produits, étiquettes, impressions, facturation.
- Intérêt légitime (IX): Appliqué à la télémétrie produit agrégée, à la prévention de la fraude et à la sécurité de la plateforme — toujours avec une évaluation de proportionnalité et le respect des droits de la personne concernée.
- Consentement (I): Appliqué aux cookies non essentiels et à la télémétrie facultative. La personne concernée peut accepter ou refuser ; le refus n’empêche pas l’utilisation du service.
- Respect d’une obligation légale (II): Appliqué lorsqu’une loi, un règlement ou une décision de justice exige la conservation ou le partage d’informations.
4. Catégories de données traitées
EtiquetaChef traite les catégories de données personnelles suivantes. Nous ne traitons pas les données des clients finaux des restaurants ; l’application est un outil interne de cuisine.
| Catégorie | Finalité | Base légale |
|---|---|---|
| Identification de l’utilisateur (e-mail, nom, langue) | Créer et maintenir le compte ; délivrer les communications opérationnelles. | Exécution du contrat (V) |
| Données d’authentification (Firebase Auth, hachages de mot de passe gérés par Google) | Connexion sécurisée et récupération d’accès. | Exécution du contrat (V) |
| Données opérationnelles (produits, étiquettes, règles de validité, historique d’impression) | Fonctionnement du service d’étiquetage. | Exécution du contrat (V) |
| Données de facturation (forfait, abonnement, reçus via Stripe) | Facturer l’abonnement, émettre les reçus, calculer les remboursements MBG. | Exécution du contrat (V) |
| Télémétrie d’usage (événements d’UI, écrans consultés) | Amélioration du produit et détection des bugs. | Intérêt légitime (IX) / Consentement (I) pour la télémétrie facultative |
| Journaux d’audit | Sécurité, prévention de la fraude et obligations légales. | Intérêt légitime (IX) / Respect d’une obligation légale (II) |
| Numéro de téléphone (OTP par SMS, le cas échéant) | Authentification par code unique envoyé via Twilio. | Exécution du contrat (V) |
5. Droits de la personne concernée (Art. 18 LGPD)
La LGPD garantit à la personne concernée les droits suivants, exerçables à tout moment :
- Confirmation du traitement: Confirmer si des données personnelles vous concernant sont traitées.
- Accès aux données: Obtenir une copie de vos données via le callable exportUserData dans l’application, dans un format structuré (JSON/ZIP).
- Rectification des données: Corriger des données incomplètes, inexactes ou obsolètes dans l’application ou sur demande au DPO.
- Anonymisation, blocage ou suppression: Supprimer définitivement votre compte via le callable deleteUserAccount dans l’application — suppression logique de 30 jours puis suppression finale.
- Portabilité: Recevoir vos données dans un format interopérable (export JSON/CSV/ZIP) pour les transférer à un autre prestataire.
- Suppression des données traitées avec consentement: Demander la suppression des données traitées sur la base du consentement (ex. : télémétrie facultative).
- Information sur le partage: Savoir avec quelles entités publiques et privées le responsable du traitement partage vos données.
- Information sur la possibilité de ne pas consentir: Recevoir une information claire sur la possibilité de ne pas donner son consentement et sur les conséquences.
- Révocation du consentement: Révoquer un consentement précédemment accordé, à tout moment, par une manifestation expresse.
Vous pouvez exercer tous vos droits directement dans l’application, dans la section « Compte et confidentialité » (route /privacy), ou via notre page de contact (indiquez [DPO] dans votre message).
6. Sous-traitants (Opérateurs — Art. 39)
Les opérateurs suivants traitent des données personnelles pour notre compte, sous contrat et selon des instructions spécifiques. Chacun est responsable de la sécurité de sa propre infrastructure.
| Opérateur | Finalité | Données traitées | Serveur |
|---|---|---|---|
| Google Firebase (Firestore, RTDB, Auth, Storage, Functions, Hosting) | Base de données, authentification, hébergement et exécution du backend. | Identification, données opérationnelles, facturation, authentification, journaux. | Firestore + Storage + Functions : southamerica-east1 (Brésil) ; RTDB : us-central1 (États-Unis). |
| SendGrid (Twilio) | Envoi d’e-mails transactionnels (bienvenue, récupération, reçus). | E-mail, nom, contenu des messages transactionnels. | États-Unis. |
| PostHog Cloud US | Analytique produit et entonnoirs de conversion. | Événements d’UI agrégés, identifiant anonyme, langue, appareil. | États-Unis. |
| Twilio | Envoi de SMS pour l’authentification par code unique (OTP). | Numéro de téléphone, code OTP généré. | États-Unis. |
| Stripe | Traitement des paiements et gestion des abonnements. | Identification de facturation, données de carte (tokenisées ; jamais stockées par nous). | États-Unis / mondial. |
7. Transfert international de données (Art. 33)
Une partie des données est traitée sur des serveurs situés hors du Brésil — RTDB en us-central1 (États-Unis), ainsi que les opérateurs SendGrid, PostHog, Twilio et Stripe, qui opèrent aux États-Unis. L’adéquation est garantie au moyen des Clauses Contractuelles Types (Standard Contractual Clauses — SCC) signées avec Google et les autres opérateurs, conformément à l’art. 33, II de la LGPD. Firestore, Storage et Functions restent en southamerica-east1 (Brésil).
8. Conservation des données
Nous appliquons les fenêtres de conservation suivantes :
- Compte utilisateur supprimé par la personne concernée : suppression logique de 30 jours avant l’effacement définitif. Pendant cette période, la personne concernée peut annuler la suppression.
- Tenant (établissement) marqué comme supprimé : 90 jours à l’état DELETED avant la suppression physique, afin de respecter les obligations fiscales et contractuelles résiduelles.
- Journaux d’audit : jusqu’à 12 mois, sauf obligation légale de conservation plus longue.
- Sauvegardes : cycle de 30 jours ; les données supprimées sont purgées dans les sauvegardes ultérieures.
9. Comment exercer vos droits
Le canal privilégié est la section « Compte et confidentialité » dans l’application (route /privacy), avec export et suppression en libre-service. Vous pouvez aussi utiliser notre page de contact (indiquez [DPO] dans votre message).
SLA de réponse : jusqu’à 15 jours ouvrés à compter de la réception de la demande, conformément à la pratique recommandée par l’ANPD.
10. Autorité nationale brésilienne de protection des données (ANPD)
Si vous estimez que vos droits n’ont pas été respectés, vous pouvez déposer une réclamation auprès de l’Autoridade Nacional de Proteção de Dados (ANPD), via le canal officiel à l’adresse www.gov.br/anpd. L’ANPD est l’organisme compétent pour surveiller le respect de la LGPD au Brésil.