Document juridique
Politique de confidentialité
Dernière mise à jour le 3 août 2026
TABLE & TERROIR attache une importance particulière à la protection des données qui lui sont confiées. AutoDécla traite des données relatives à la commande publique : les achats alimentaires d'établissements financés par des fonds publics. Cette politique décrit précisément ce qui est collecté, pourquoi, où c'est hébergé, et ce qui n'est jamais partagé.
Responsable de traitement TABLE & TERROIR — SASU, RCS Gap 992 138 164 36 Grand-Rue, 05700 L'Épine Contact : rgpd@tableterroir.fr
1. Principes fondamentaux
Trois règles gouvernent l'ensemble du service et ne souffrent aucune exception :
Les données d'achat ne sont jamais partagées entre établissements. Le fait qu'un établissement achète tel produit, à tel fournisseur, en telle quantité, à tel prix, ne sort jamais de son périmètre. Seule la qualification d'un produit au regard de la loi EGALIM peut être mutualisée (voir article 6).
Aucune donnée d'achat ni de qualification n'est transmise à un outil commercial. La synchronisation avec notre CRM est strictement limitée aux coordonnées professionnelles et à des compteurs d'usage (voir article 5).
Aucune donnée de production n'est hébergée hors de France. Cela vaut également pour les services annexes : stockage, sauvegardes, journaux techniques.
2. Données collectées
2.1 Données d'identité et de compte
| Donnée | Origine | Finalité |
|---|---|---|
| Nom, prénom | Saisie ou ProConnect | Identification du validateur d'une qualification |
| Adresse électronique professionnelle | Saisie ou ProConnect | Identifiant de compte, notifications de campagne |
| Fonction | Saisie | Contextualisation du support |
| Téléphone | Saisie facultative | Support utilisateur |
| SIRET de l'organisation de rattachement | ProConnect | Rattachement automatique à l'établissement |
| Mot de passe | Saisie | Authentification — stocké sous forme chiffrée irréversible, jamais en clair |
2.2 Données relatives à l'établissement
Raison sociale, SIRET, secteur d'activité au sens du référentiel ma cantine, adresse, nombre de couverts, identifiants techniques auprès de ma cantine et de Chorus Pro.
2.3 Données d'achat
Factures déposées ou récupérées automatiquement, et leur contenu : fournisseurs, SIRET émetteurs, libellés de produits, références articles, quantités, unités, montants, taux de TVA, dates.
Le document source (fichier XML ou PDF) est conservé afin de permettre le retraitement en cas de correction d'une anomalie d'extraction, et de produire le justificatif d'une déclaration passée en cas de contrôle.
2.4 Données de qualification
Catégorie EGALIM proposée par le moteur, niveau de confiance, origine de la proposition, correction éventuelle de l'utilisateur, catégorie retenue, date et identité du validateur.
2.5 Données techniques
Journaux de connexion et d'erreur, nécessaires à la sécurité et au diagnostic des incidents.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Fourniture du service et gestion du compte | Exécution du contrat (CGU) |
| Extraction, qualification et calcul des indicateurs EGALIM | Exécution du contrat |
| Transmission du diagnostic à ma cantine | Exécution du contrat, à la demande explicite de l'utilisateur |
| Traçabilité des validations | Obligation légale de l'établissement (arrêté du 14 septembre 2022) et intérêt légitime de l'éditeur |
| Sécurité, prévention des accès non autorisés | Intérêt légitime |
| Établissement et signature du contrat de mise à disposition | Exécution du contrat — pas d'opposition possible (voir article 5.1) |
| Information sur les autres offres de l'éditeur | Intérêt légitime — droit d'opposition ouvert (voir article 5.2) |
| Amélioration de la qualification via le référentiel mutualisé | Intérêt légitime — données non personnelles (voir article 6) |
4. Destinataires des données
4.1 Personnel de TABLE & TERROIR
Accès limité aux personnes habilitées, pour l'administration technique et le support utilisateur.
4.2 ma cantine — Ministère de l'Agriculture et de la Souveraineté alimentaire
Le diagnostic EGALIM préparé est transmis à la plateforme ma cantine, à la demande explicite de l'utilisateur, sous la forme d'un brouillon.
AutoDécla ne peut pas valider une télédéclaration : l'architecture de l'API ne le permet pas. La validation demeure un acte du gestionnaire de la cantine, effectué directement sur ma cantine.
Sont transmis : les agrégats d'achats de l'année civile en cours par catégorie EGALIM, et l'identifiant de la cantine. Les factures elles-mêmes ne sont jamais transmises.
4.3 Chorus Pro — AIFE
Sur autorisation de l'établissement, AutoDécla récupère les factures qui lui sont adressées via Chorus Pro. Le service consulte les factures en lecture seule ; le téléchargement du document original, qui marque la facture comme consultée par le destinataire, n'est déclenché que lorsqu'un utilisateur ouvre effectivement une facture.
4.4 Sellsy — outil de relation client
Voir article 5, qui en définit strictement le périmètre.
4.5 Scaleway — hébergeur
Sous-traitant au sens du RGPD. Hébergement en France, encadré par un accord de traitement des données.
4.6 ProConnect — DINUM
Lorsqu'un utilisateur se connecte via ProConnect, service d'identité de l'État, les données d'identité proviennent de ce service. Le traitement est encadré par la décision n° DINUM-202106-01 du 1er juin 2021.
Aucune donnée n'est cédée, louée ou vendue à des tiers. Aucun outil publicitaire, aucun traceur à finalité commerciale n'est déployé sur le service.
5. Gestion contractuelle et relation client
TABLE & TERROIR utilise Sellsy, éditeur français dont les données sont hébergées en France, pour deux usages distincts qui ne relèvent pas du même régime.
5.1 Gestion du contrat de mise à disposition — nécessaire au service
La mise à disposition gratuite d'AutoDécla donne lieu à un document contractuel, transmis à l'établissement et signé électroniquement. Ce document est émis et signé depuis Sellsy.
Ce traitement est nécessaire à l'exécution du contrat : sans lui, la convention de mise à disposition ne peut être établie et le service ne peut être fourni. Il n'est donc pas possible de s'y opposer, de la même manière qu'il n'est pas possible d'utiliser le service sans compte.
Données concernées : coordonnées professionnelles du signataire (nom, prénom, adresse électronique, fonction, téléphone), identification de l'établissement (raison sociale, SIRET, type, adresse, nombre de couverts), et éléments de preuve de la signature électronique.
5.2 Information sur nos autres offres — opposition possible
TABLE & TERROIR édite des offres payantes distinctes. Les mêmes coordonnées peuvent être utilisées pour vous en informer, ainsi que des compteurs d'usage agrégés (nombre de factures traitées, nombre de lignes qualifiées, date du dernier envoi vers ma cantine, dates d'inscription et de dernière connexion).
Ce traitement repose sur l'intérêt légitime. Vous pouvez vous y opposer à tout moment depuis la page « Mon compte », avec effet immédiat. Cette opposition met fin à toute sollicitation commerciale ; elle n'affecte ni votre accès au service, ni la gestion de votre contrat de mise à disposition.
5.3 Ce qui n'est jamais transmis, dans aucun des deux cas
- Aucune ligne de facture, aucun libellé de produit, aucun montant d'achat
- Aucun nom ni SIRET de fournisseur
- Aucun taux EGALIM, aucun ratio de conformité, aucune donnée de qualification
- Aucun document, aucun fichier déposé sur le service
Cette séparation n'est pas une simple règle interne : elle est garantie par la conception du service. Le connecteur n'a techniquement accès qu'à un objet de synchronisation dédié, construit champ par champ, et n'atteint jamais les données d'achat.
6. Référentiel produit mutualisé
AutoDécla mémorise les qualifications confirmées par les utilisateurs afin de ne jamais leur redemander deux fois la même information, et de proposer des qualifications plus fiables à l'ensemble des établissements.
Ce qui est mutualisé : l'association entre l'identité d'un produit (SIRET du fournisseur, référence article, libellé normalisé) et sa catégorie EGALIM, ainsi que le nombre d'établissements distincts l'ayant confirmée.
Ce qui ne l'est jamais : l'identité des établissements ayant confirmé, les quantités achetées, les prix, les volumes, la fréquence d'achat. Aucun écran, aucun export, aucune interface ne permet de remonter d'une qualification mutualisée vers l'établissement qui l'a confirmée.
Une qualification mutualisée ne vaut jamais validation : elle élève le niveau de confiance affiché et pré-remplit la proposition. La validation demeure un acte humain, dans tous les cas.
7. Durées de conservation
| Donnée | Durée |
|---|---|
| Données d'identité et de compte | 36 mois à compter de la dernière connexion |
| Données d'achat, factures, documents sources | 10 ans, en cohérence avec les obligations de conservation comptable et déclarative des établissements publics |
| Journal des qualifications | 10 ans, sous forme anonymisée après suppression du compte du validateur |
| Journaux techniques de connexion | 12 mois |
| Données de gestion contractuelle (Sellsy) | 5 ans à compter de la fin du contrat de mise à disposition, conformément à la prescription commerciale ; les éléments de preuve de signature électronique suivent la même durée |
| Données de prospection commerciale (Sellsy) | 36 mois à compter du dernier contact |
Les données d'achat relèvent de l'établissement, non de l'utilisateur : leur conservation répond aux obligations de la collectivité et n'est pas affectée par la suppression d'un compte individuel.
Articulation entre ces durées. Une même donnée — votre nom ou votre adresse électronique professionnelle — peut être traitée à plusieurs titres, chacun ayant sa propre durée.
Au titre de votre compte utilisateur, vos données d'identité sont conservées 36 mois à compter de votre dernière connexion, puis supprimées. C'est la durée déclarée dans le cadre de notre habilitation ProConnect.
Au titre de la convention de mise à disposition que vous avez éventuellement signée pour votre établissement, les éléments attachés à cette signature sont conservés 5 ans après la fin du contrat. Il ne s'agit plus d'une donnée de compte mais d'une preuve contractuelle, dont la conservation répond au délai de prescription. La suppression de votre compte met fin au premier traitement sans effacer le second.
Au titre de la traçabilité des qualifications, votre identité est anonymisée dès la suppression de votre compte : seul un identifiant technique subsiste dans le journal, sans donnée nominative.
8. Suppression d'un compte
Tout utilisateur peut supprimer son compte depuis la page « Mon compte ». Cette action produit les effets suivants :
Supprimé : le compte de connexion, les sessions, le rattachement à l'établissement, les jetons d'accès délégués à ma cantine, ainsi que toute utilisation de vos coordonnées à des fins de prospection commerciale.
Conservé au titre du contrat : si vous avez signé la convention de mise à disposition au nom de votre établissement, les éléments attachés à cette signature sont conservés pendant la durée légale de prescription. Il s'agit d'une preuve contractuelle, que la suppression d'un compte utilisateur ne peut effacer.
Conservé : l'établissement et l'ensemble de ses données métier — factures, qualifications, diagnostics, historique des transmissions. Ces données appartiennent à la collectivité et sont soumises à son obligation de conservation. Un agent qui quitte ses fonctions n'emporte pas les justificatifs d'une télédéclaration engageant son employeur.
Anonymisé : l'identité de la personne dans le journal des qualifications est remplacée par un identifiant technique stable. La traçabilité réglementaire reste exploitable sans conserver de donnée nominative.
Un établissement dépourvu de membre demeure accessible : un nouvel agent peut demander à le rejoindre selon les modalités décrites à l'article 9.
9. Sécurité et contrôle d'accès
- Cloisonnement strict entre établissements, vérifié par des tests automatisés : un utilisateur ne peut jamais accéder aux données d'un établissement auquel il n'est pas rattaché.
- Documents accessibles uniquement par lien temporaire signé, jamais par une adresse publique ou devinable.
- Mots de passe stockés sous forme chiffrée irréversible.
- Chiffrement de tous les échanges (HTTPS).
- Sauvegardes régulières, hébergées en France.
- Rattachement à un établissement existant : un SIRET, information publique, ne suffit jamais. Le rattachement requiert soit la validation d'un membre existant, soit — pour un établissement sans membre — la vérification, auprès de ma cantine, que la personne y est déclarée gestionnaire de la cantine.
10. Vos droits
Conformément au Règlement (UE) 2016/679 et à la loi n° 78-17 du 6 janvier 1978 modifiée, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité.
Pour les exercer : rgpd@tableterroir.fr
Une réponse est apportée dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe. Une preuve d'identité peut être demandée en cas de doute raisonnable.
Vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.
11. Cookies et traceurs
AutoDécla n'utilise que les cookies strictement nécessaires à son fonctionnement : maintien de la session authentifiée et protection contre les requêtes frauduleuses. Ces cookies ne requièrent pas de consentement préalable.
Aucun cookie publicitaire, aucun traceur tiers, aucun outil de mesure d'audience externe n'est déployé.
12. Transferts hors Union européenne
Aucun transfert de données hors de l'Union européenne n'est effectué. L'ensemble des sous-traitants du service — hébergement, stockage, relation client — sont établis en France et y hébergent les données.
13. Modification de la présente politique
Toute modification substantielle est portée à la connaissance des utilisateurs par notification lors de leur connexion suivante. La date de dernière mise à jour figure en tête du document.