Document juridique

Politique de confidentialité

Version 1.8 — dernière mise à jour le 21 septembre 2026

TABLE & TERROIR attache une importance particulière à la protection des données qui lui sont confiées. AutoDécla traite des données relatives à la commande publique : les achats alimentaires d'établissements financés par des fonds publics. Cette politique décrit précisément ce qui est collecté, pourquoi, où c'est hébergé, et ce qui n'est jamais partagé.

Responsable de traitement TABLE & TERROIR — SASU, RCS Gap 992 138 164 36 Grand-Rue, 05700 L'Épine Contact : rgpd@tableterroir.fr

Point de contact unique pour l'exercice de vos droits (article 12), quelle que soit la qualification exacte de TABLE & TERROIR pour le traitement concerné — voir l'article 3.1, qui détaille les cas où TABLE & TERROIR agit comme sous-traitant et mandataire de l'établissement plutôt que comme responsable de traitement.

---

1. Principes fondamentaux

Trois règles gouvernent l'ensemble du service.

Les données d'achat ne sont jamais partagées avec un tiers, sauf dans trois cas strictement encadrés et documentés à l'article 7 : un établissement satellite d'une cuisine centrale, un établissement lié à une structure de coordination habilitée, et un tiers auditeur désigné par l'établissement lui-même. Aucun de ces cas ne s'active sur la seule initiative de celui qui en bénéficierait, et aucun ne donne de droit de modification — voir l'article 7 pour le détail des conditions. En dehors de ces trois cas, le fait qu'un établissement achète tel produit, à tel fournisseur, en telle quantité, à tel prix, ne sort jamais de son périmètre. Seule la qualification d'un produit au regard de la loi EGALIM peut par ailleurs être mutualisée entre tous les établissements, sous une forme qui ne revient jamais à partager une donnée d'achat (voir article 6).

Aucune donnée d'achat ni de qualification n'est transmise à un outil commercial. La synchronisation avec notre CRM est strictement limitée aux coordonnées professionnelles et à des compteurs d'usage (voir article 5).

Aucune donnée de production n'est hébergée hors de l'Union européenne, et l'intégralité des données métier est hébergée en France — comptes, factures, documents déposés, qualifications, sauvegardes, journaux de connexion.

Une seule exception, énoncée plutôt que passée sous silence : l'outil de supervision technique décrit à l'article 4.8, hébergé dans l'Union européenne sans garantie d'une localisation française, et qui ne reçoit ni donnée d'achat, ni contenu de facture, ni donnée d'identité — seulement des messages d'erreur techniques expurgés. Un principe énoncé de façon absolue qu'un autre article vient contredire ne protège personne.

---

2. Données collectées

2.1 Données d'identité et de compte

2.2 Données relatives à l'établissement

Raison sociale, SIRET, secteur d'activité au sens du référentiel ma cantine, adresse, nombre de couverts, identifiants techniques auprès de ma cantine et de Chorus Pro.

2.3 Données d'achat et de tarification

Factures déposées ou récupérées automatiquement, et leur contenu : fournisseurs, SIRET émetteurs, libellés de produits, références articles, quantités, unités, montants, taux de TVA, dates.

Le document source (fichier XML ou PDF) est conservé afin de permettre le retraitement en cas de correction d'une anomalie d'extraction, et de produire le justificatif d'une déclaration passée en cas de contrôle. Un dossier de preuve rassemblant ces justificatifs peut être généré à la demande de l'établissement, ou archivé automatiquement au moment de la validation de sa télédéclaration, et suit alors la même durée de conservation que les données d'achat (voir article 9).

Lorsque l'établissement les dépose volontairement, les grilles tarifaires transmises par ses fournisseurs (prix négociés, conditions de remise) suivent les mêmes règles que les factures : jamais transmises à un tiers commercial, jamais partagées avec un autre établissement, sauf dans les cas de coordination décrits à l'article 7.

2.4 Données de qualification

Catégorie EGALIM proposée par le moteur, niveau de confiance, origine de la proposition, correction éventuelle de l'utilisateur, catégorie retenue, date et identité du validateur.

2.5 Données techniques

Journaux de connexion et d'erreur, nécessaires à la sécurité et au diagnostic des incidents.

Lorsque l'établissement a activé la réception de factures par courrier électronique (article 4.6 des CGU), sont également journalisés, pour chaque message reçu à son adresse dédiée : l'adresse de l'expéditeur, l'adresse de réception, l'objet du message et son identifiant technique. Le corps du message n'est jamais conservé.

Le service conserve enfin des données de nature strictement technique sur les documents déposés : le type de document reconnu, la version du programme qui l'a analysé, et une empreinte de la structure de mise en page — jamais de son contenu. Ces éléments servent à détecter qu'un fournisseur a changé la forme de ses documents avant que cela ne provoque des erreurs d'import. Ils ne contiennent aucun montant, aucun numéro de facture, aucun libellé de produit ni aucun extrait de texte du document.

---

3. Finalités et bases légales

3.1 Deux qualifications distinctes selon le traitement

TABLE & TERROIR n'intervient pas toujours au même titre. Pour certains traitements, elle détermine elle-même les finalités et les moyens : elle est alors responsable de traitement, au sens de l'article 4.7 du RGPD. Pour d'autres, elle traite les données de l'établissement pour le compte de celui-ci et sur ses instructions, dans le cadre du mandat que l'utilisateur certifie détenir au moment de l'inscription (voir l'article 2 des CGU) : elle agit alors comme sous-traitant, au sens de l'article 4.8 du RGPD, et mandataire de l'établissement.

Cette distinction ne change rien à ce qui est concrètement protégé ni à vos droits (article 12) — les mêmes garanties de sécurité et de cloisonnement s'appliquent dans les deux cas. Elle précise seulement, pour chaque finalité, qui décide de la donnée et pour le compte de qui elle est traitée : c'est la colonne « Qualification » du tableau ci-dessous.

Concrètement : la gestion de votre compte et la relation commerciale relèvent de décisions propres à TABLE & TERROIR (responsable de traitement). L'extraction, la qualification des achats et la transmission du diagnostic à ma cantine sont réalisées pour le compte de l'établissement, sur la base du mandat que vous certifiez détenir à l'inscription — TABLE & TERROIR y agit en sous-traitant/mandataire, jamais en responsable de ces choix, qui restent ceux de l'établissement (voir le principe fondateur des CGU, article 4.1 : « AutoDécla prépare, l'utilisateur valide, ma cantine reçoit »).

3.2 Tableau des finalités

---

4. Destinataires des données

4.1 Personnel de TABLE & TERROIR

Accès limité aux personnes habilitées, selon un rôle attribué individuellement (administration, exploitation technique, support, commercial) — jamais un accès générique à l'ensemble du personnel. La consultation du contenu d'un établissement (factures, lignes, qualifications) à des fins de dépannage est systématiquement motivée et tracée : date, personne, établissement concerné et raison de l'accès sont enregistrés de façon permanente. Le personnel commercial n'a accès à aucun contenu d'achat : uniquement des statistiques agrégées et anonymisées, jamais en dessous d'un seuil garantissant qu'aucun établissement ne soit identifiable.

4.2 ma cantine — Ministère de l'Agriculture et de la Souveraineté alimentaire

Le diagnostic EGALIM préparé est transmis à la plateforme ma cantine, à la demande explicite de l'utilisateur, sous la forme d'un brouillon.

AutoDécla ne peut pas valider une télédéclaration : l'architecture de l'API ne le permet pas. La validation demeure un acte du gestionnaire de la cantine, effectué directement sur ma cantine.

Sont transmis :

• l'identifiant de la cantine sur ma cantine et l'année civile concernée ;
• les agrégats d'achats de cette année par catégorie EGALIM — des montants en euros, jamais un taux : c'est ma cantine qui calcule le sien à partir de ces montants ;
• lorsque l'établissement les renseigne, ses réponses aux quatre autres piliers de la loi EGALIM : diversification des sources de protéines et menus végétariens, substitution des plastiques, lutte contre le gaspillage et dons alimentaires, information des convives.

Pour ce dernier pilier, deux éléments sont dérivés du rapport public que l'établissement a lui-même choisi de publier, jamais saisis séparément : son adresse et le fait qu'une information ait été diffusée dans l'année.

Les mesures de gaspillage (masses pesées, nombre de couverts, période) constituent une ressource distincte du diagnostic sur ma cantine. Elles ne partent jamais avec lui : chaque mesure est transmise par une action explicite et séparée de l'établissement.

Les factures elles-mêmes ne sont jamais transmises, ni aucune ligne d'achat, ni aucun nom de fournisseur.

Cette description couvrait l'approvisionnement seul jusqu'au 2026-09-05 ; elle a été complétée pour refléter le diagnostic réellement transmis depuis l'ajout des quatre piliers complémentaires.

4.3 Chorus Pro — AIFE

Sur autorisation de l'établissement, AutoDécla récupère les factures qui lui sont adressées via Chorus Pro. Le service consulte les factures en lecture seule ; le téléchargement du document original, qui marque la facture comme consultée par le destinataire, n'est déclenché que lorsqu'un utilisateur ouvre effectivement une facture.

4.4 Sellsy — outil de relation client

Voir article 5, qui en définit strictement le périmètre.

4.4 bis Prestataire de paiement — uniquement en cas de règlement par carte ou par prélèvement

Lorsqu'un établissement souscrit à EGALIM Pro et choisit un règlement en ligne — par carte bancaire (article 5.2 b des conditions générales de vente) ou en douze mensualités par prélèvement SEPA (article 5.2 c) — le paiement est traité par le prestataire de paiement adossé à Sellsy. Dans le cas du prélèvement, un mandat SEPA est d'abord recueilli par ce prestataire, qui procède ensuite aux échéances.

AutoDécla ne collecte, ne reçoit, ne traite ni ne conserve aucune coordonnée bancaire — coordonnées de carte comme coordonnées de compte — à aucun moment et sous aucune forme. Le service ne transmet aucune donnée à ce prestataire : la saisie se fait directement entre le client et lui, par l'intermédiaire de Sellsy. AutoDécla ne conserve, de tout ce dispositif, que l'identifiant technique de la facture ou de l'échéancier, qui lui sert uniquement à constater le règlement.

Ce destinataire n'existe que pour les établissements ayant expressément choisi un règlement en ligne. Il n'intervient jamais pour un règlement par virement, ni pour l'offre gratuite.

4.5 Scaleway — hébergeur

Sous-traitant au sens du RGPD. Hébergement en France, encadré par un accord de traitement des données.

4.6 ProConnect — DINUM

Lorsqu'un utilisateur se connecte via ProConnect, service d'identité de l'État, les données d'identité proviennent de ce service. Le traitement est encadré par la décision n° DINUM-202106-01 du 1er juin 2021.

4.7 OVH — messagerie

Sous-traitant au sens du RGPD. Hébergement en France. OVH assure l'acheminement des messages que le service vous envoie (réinitialisation de mot de passe, invitations, alertes et rappels) ainsi que, lorsque l'établissement a activé cette fonctionnalité, la réception des factures transmises à son adresse dédiée (voir article 4.6 des CGU). Les adresses électroniques et le contenu de ces messages transitent donc par ce prestataire.

4.8 Sentry — supervision technique

Sous-traitant au sens du RGPD, hébergement dans l'Union européenne — seule exception au principe d'hébergement en France énoncé à l'article 1. Sentry reçoit les erreurs techniques inattendues survenant dans le service, afin qu'elles soient corrigées.

Cette supervision n'est active que si elle est explicitement configurée : en son absence, aucune donnée n'est émise vers ce prestataire, et le service fonctionne à l'identique.

La configuration retenue est volontairement restrictive : ni le corps des requêtes, ni les cookies, ni les en-têtes, ni les paramètres d'URL, ni les variables locales du programme ne sont transmis, et aucun enregistrement de session n'est effectué. Un filtre supplémentaire écarte, avant tout envoi, toute donnée qui porterait un montant, un SIRET, un libellé de produit ou un nom de fournisseur. Sentry ne reçoit donc ni donnée d'achat, ni contenu de facture.

4.8 bis IGN — calcul de distance routière

Opérateur public français, données hébergées en France. Lorsque le service évalue si un fournisseur est proche de l'établissement — indicateur « local », distinct des taux réglementaires (voir article 4.3 des CGU) —, il interroge le service d'itinéraire de la Géoplateforme de l'Institut national de l'information géographique et forestière.

Seules deux paires de coordonnées géographiques lui sont transmises : celles de l'établissement et celles du fournisseur. Ni nom, ni SIRET, ni raison sociale, ni aucune donnée d'achat — l'IGN reçoit deux points sur une carte, jamais l'identité de ce qu'ils désignent.

4.8 ter Répertoires publics d'entreprises — vérification d'un fournisseur

Pour déterminer si un fournisseur est producteur ou revendeur, et s'il est certifié en agriculture biologique, le service interroge deux services publics de données ouvertes : l'Annuaire des entreprises (opéré par la DINUM, à partir du répertoire Sirene de l'INSEE) et l'Agence Bio.

Seul le numéro SIRET du fournisseur leur est transmis — jamais votre identité, jamais le montant ou le contenu d'une facture. Nous le signalons explicitement pour une raison : lorsqu'un fournisseur est une entreprise individuelle — un producteur en nom propre, par exemple —, son SIRET constitue une donnée à caractère personnel le concernant.

4.8 quater IGN — fond de carte affiché par votre navigateur

Sur l'écran de catalogue des fournisseurs, le fond de carte est chargé directement par votre navigateur auprès de la Géoplateforme de l'IGN. Ce service voit donc votre adresse IP et la zone géographique que vous consultez, comme pour toute image chargée depuis un site tiers.

Il ne s'agit ni d'un traceur, ni d'un outil de mesure d'audience : aucune information n'est déposée sur votre terminal par ce biais, et l'IGN ne reçoit ni votre identité, ni celle de votre établissement.

4.9 T&T Full — mise en relation producteurs (sur autorisation)

Uniquement si l'établissement l'a explicitement autorisé, et jamais par défaut, depuis le même écran « Connexions » → « Partenaires » ; le retrait prend effet immédiatement.

T&T Full est un autre produit de Table & Terroir, distinct d'AutoDécla et dépourvu de tout accès à sa base de données. Sur autorisation, il peut consulter le taux EGALIM agrégé de l'établissement et son statut de télédéclaration. Aucune ligne de facture, aucun libellé de produit, aucun montant ni nom de fournisseur ne lui est jamais transmis.

4.10 T&T Data — couche d'analyse Table & Terroir

Uniquement si l'établissement l'a explicitement autorisé, et jamais par défaut. L'autorisation se donne, et se retire, depuis l'écran « Connexions » → « Partenaires » de l'espace de l'établissement ; le retrait prend effet immédiatement.

T&T Data est une couche d'analyse interne à Table & Terroir, distincte d'AutoDécla. Elle ne dispose d'aucun accès direct à la base de données d'AutoDécla : elle ne reçoit que les indicateurs listés ci-dessous, à la demande, et seulement pour les établissements ayant donné leur autorisation.

Deux autorisations distinctes, indépendantes l'une de l'autre :

a) Transmission des indicateurs de conformité EGALIM. Sont transmis, au sujet de l'établissement : son identifiant AutoDécla et son numéro SIRET ; l'année civile concernée et si elle est achevée ; ses taux EGALIM agrégés (bio et durable) ; son statut de télédéclaration sur ma cantine ; des indicateurs de complétude (le fait qu'aucune ligne ne soit encore confirmée, et le nombre de mois de l'année déjà couverts par au moins une ligne confirmée) ; des indicateurs de fiabilité (son niveau de fiabilité lorsque l'établissement y a accès, et un indicateur binaire disant si ces données sont suffisamment établies pour être comparées) ; la date de dernière mise à jour de ces indicateurs ; et l'état de son autorisation de rapprochement croisé.

b) Rapprochement croisé. Autorisation séparée permettant à T&T Data de rapprocher ces indicateurs avec les faits transmis en votre nom par les autres produits Table & Terroir, en utilisant votre numéro SIRET comme identifiant de rapprochement, afin de produire des mesures croisées portant sur votre propre activité. Cette autorisation ne transmet par elle-même aucune donnée supplémentaire. Sans elle, vos données sont traitées isolément par T&T Data.

Ce qui n'est jamais transmis à T&T Data, quelle que soit l'autorisation donnée : aucune ligne de facture, aucun libellé de produit, aucun nom ni SIRET de fournisseur, aucun montant d'achat, aucun document. La frontière est technique et non seulement documentaire : le point de sortie vers T&T Data ne construit que les indicateurs énumérés ci-dessus, et n'a jamais accès aux entités Facture, Ligne, Fournisseur ou Qualification.

Aucune donnée n'est cédée, louée ou vendue à des tiers. Aucun outil publicitaire, aucun traceur à finalité commerciale n'est déployé sur le service.

---

5. Gestion contractuelle et relation client

5.1 Formation du contrat et preuve d'acceptation — nécessaire au service

Le contrat entre TABLE & TERROIR et l'établissement se forme par l'acceptation, au moment de l'inscription, des présentes conditions et des CGU, ainsi que par la certification de mandat décrite à l'article 2 des CGU (« je certifie être habilité(e) à représenter cet établissement et à agir en son nom »). Ces deux acceptations font l'objet de deux cases à cocher distinctes, jamais fusionnées, toutes deux obligatoires. Il n'existe aucun document contractuel signé séparément : cette acceptation, dans notre propre base de données, en tient lieu.

Pour chacune, sont conservés à titre de preuve : la date et l'heure, l'adresse IP à l'origine de la demande, la version exacte du document accepté (CGU, politique de confidentialité), et — pour la certification de mandat — son rattachement à la fois au compte de l'utilisateur et à l'établissement concerné. Un courrier électronique reprenant ces éléments est envoyé à l'utilisateur au moment de l'inscription, afin qu'il en conserve lui-même une trace.

Ce traitement est nécessaire à l'exécution du contrat : sans lui, le service ne peut être fourni. Il n'est donc pas possible de s'y opposer, de la même manière qu'il n'est pas possible d'utiliser le service sans compte.

TABLE & TERROIR utilise par ailleurs Sellsy, éditeur français dont les données sont hébergées en France, pour la gestion de sa relation commerciale avec l'établissement — fiche société et contact, à des fins de suivi commercial et de facturation de l'offre payante EGALIM Pro, distincte de l'offre gratuite (voir article 2 des CGU). Sellsy ne reçoit jamais les éléments de preuve d'acceptation décrits ci-dessus, qui restent exclusivement dans notre propre base de données ; il ne constitue jamais le support de signature d'un document contractuel.

Données concernées : coordonnées professionnelles du contact (nom, prénom, adresse électronique, fonction, téléphone), identification de l'établissement (raison sociale, SIRET, type, adresse, nombre de couverts).

5.2 Information sur nos autres offres — opposition possible

TABLE & TERROIR édite des offres payantes distinctes. Les mêmes coordonnées peuvent être utilisées pour vous en informer, ainsi que des compteurs d'usage agrégés (nombre de factures traitées, nombre de lignes qualifiées, date du dernier envoi vers ma cantine, dates d'inscription et de dernière connexion).

Ce traitement repose sur l'intérêt légitime. Vous pouvez vous y opposer à tout moment depuis la page « Mon compte », avec effet immédiat. Cette opposition met fin à toute sollicitation commerciale ; elle n'affecte ni votre accès au service, ni la gestion du contrat formé par l'acceptation des CGU (voir l'article 5.1 ci-dessus).

5.3 Ce qui n'est jamais transmis, dans aucun des deux cas

• Aucune ligne de facture, aucun libellé de produit, aucun montant d'achat
• Aucun nom ni SIRET de fournisseur
• Aucun taux EGALIM, aucun ratio de conformité, aucune donnée de qualification
• Aucun document, aucun fichier déposé sur le service

Cette séparation n'est pas une simple règle interne : elle est garantie par la conception du service. Le connecteur n'a techniquement accès qu'à un objet de synchronisation dédié, construit champ par champ, et n'atteint jamais les données d'achat.

---

6. Référentiel produit mutualisé

AutoDécla mémorise les qualifications confirmées par les utilisateurs afin de ne jamais leur redemander deux fois la même information, et de proposer des qualifications plus fiables à l'ensemble des établissements.

Ce qui est mutualisé : l'association entre l'identité d'un produit (SIRET du fournisseur, référence article, libellé normalisé) et sa catégorie EGALIM, ainsi que le nombre d'établissements distincts l'ayant confirmée.

Ce qui ne l'est jamais : l'identité des établissements ayant confirmé, les quantités achetées, les prix, les volumes, la fréquence d'achat. Aucun écran, aucun export, aucune interface ne permet de remonter d'une qualification mutualisée vers l'établissement qui l'a confirmée.

Une qualification mutualisée ne vaut jamais validation : elle élève le niveau de confiance affiché et pré-remplit la proposition. La validation demeure un acte humain, dans tous les cas.

---

7. Partage de données avec un tiers désigné

Par exception strictement encadrée au principe énoncé à l'article 1, trois situations permettent à une personne extérieure à l'établissement de consulter ses données. Dans les trois cas, l'accès est exclusivement en lecture : il ne donne jamais de droit de modification.

7.1 Cuisine centrale et restaurants satellites

Lorsqu'une cuisine centrale approvisionne plusieurs établissements satellites (cas fréquent en restauration scolaire : une cuisine centrale pour plusieurs écoles, collèges ou EHPAD), chaque satellite peut consulter le diagnostic EGALIM agrégé de sa cuisine centrale et les achats confirmés qui le composent — c'est ce qui explique son propre taux. Un satellite ne peut jamais modifier une donnée de sa cuisine centrale, ni consulter les achats propres d'un autre satellite rattaché à la même centrale.

Ce lien reflète une organisation réelle, déjà déclarée par les établissements sur ma cantine ; il n'est jamais activé automatiquement sur cette seule base et requiert une demande explicite acceptée par un membre de la cuisine centrale.

7.2 Coordination multi-établissement

Une autorité qui coordonne plusieurs établissements de restauration collective (par exemple un service gestionnaire de plusieurs collèges pour le compte d'un conseil départemental) peut se voir accorder, par TABLE & TERROIR, un accès en lecture aux données complètes — factures, lignes, qualifications, diagnostics, écarts de prix — des établissements qu'elle coordonne, afin d'exercer sa mission de pilotage.

Cet accès n'est jamais créé automatiquement ni en libre-service : il résulte exclusivement d'une création par le personnel habilité de TABLE & TERROIR, à la demande de la structure de coordination, et reste strictement limité à la lecture — y compris pour les fonctionnalités qui comparent plusieurs établissements coordonnés entre eux (tableau comparatif de trajectoire, écarts de prix récurrents, opportunités de changement de fournisseur).

7.3 Délégation d'audit

L'établissement peut, de sa propre initiative et lui seul, ouvrir un accès en lecture à un tiers de son choix — commissaire aux comptes, auditeur, service de contrôle — afin qu'il puisse examiner les éléments justifiant sa déclaration EGALIM sans avoir à lui transmettre de fichiers.

Cet accès est nominatif, limité dans le temps, et révocable à tout moment avec effet immédiat. Il ne permet aucune modification. L'établissement conserve la trace de qui a été désigné, quand, et pour quelle durée.

TABLE & TERROIR ne désigne jamais elle-même un tel tiers et ne peut pas en créer un à la place de l'établissement.

7.4 Institutions publiques — accès à des données agrégées

Une institution publique — direction régionale de l'alimentation, de l'agriculture et de la forêt, préfecture, ministère, collectivité de rattachement — peut se voir ouvrir un accès en lecture à des indicateurs agrégés sur un territoire donné : taux EGALIM moyens, complétude, nombre d'établissements.

Trois garanties encadrent cet accès :

• il est agrégé : aucun contenu d'achat, aucun nom de fournisseur, aucune facture ne lui est accessible ;
• il est soumis à un seuil : en deçà d'un nombre minimal d'établissements sur le territoire considéré, aucun résultat n'est rendu — et le nombre manquant n'est jamais révélé, faute de quoi le seuil ne protégerait rien ;
• toute granularité plus fine qu'un agrégat — a fortiori nominative — exige le consentement explicite de chaque établissement concerné, révocable à tout moment avec effet immédiat.

Aucun accès de ce type n'a été accordé à la date de publication de la présente version.

---

8. Rapport public aux convives

Un établissement peut choisir de publier une page de transparence, accessible sans authentification par lien ou QR code (par exemple affiché en salle de restauration), destinée aux familles et aux convives. Cette publication est facultative, activée et retirée à tout moment par l'établissement lui-même, jamais publiée par défaut.

Toujours affiché lorsque la page est publiée : le taux EGALIM global de l'établissement (bio et labels de qualité) et son évolution sur plusieurs années.

Affiché selon le choix de l'établissement : la répartition des achats par famille de produits, et la présence de fournisseurs producteurs du territoire — présentée uniquement sous forme d'un décompte agrégé par département, avec un nombre minimum de producteurs avant tout affichage, pour ne jamais permettre d'identifier un producteur en particulier —, ainsi que des engagements formulés par l'établissement, sous la forme d'un texte court qu'il rédige lui-même.

Jamais affiché sur cette page : un montant en euros, un nom de fournisseur ou de producteur, un détail de facture, ou toute autre donnée permettant de reconstituer la politique d'achat de l'établissement.

Cette page fait l'objet d'une limitation du nombre de requêtes par adresse IP, pour prévenir un usage abusif d'un service accessible sans authentification.

---

9. Durées de conservation

Les données d'achat relèvent de l'établissement, non de l'utilisateur : leur conservation répond aux obligations propres de l'établissement — personne publique ou privée — et n'est pas affectée par la suppression d'un compte individuel.

Articulation entre ces durées. Une même donnée — votre nom ou votre adresse électronique professionnelle — peut être traitée à plusieurs titres, chacun ayant sa propre durée.

Au titre de votre compte utilisateur, vos données d'identité sont conservées 36 mois à compter de votre dernière connexion, puis supprimées. C'est la durée déclarée dans le cadre de notre habilitation ProConnect.

Au titre de la preuve d'acceptation des CGU et de la certification de mandat que vous avez donnée pour votre établissement à l'inscription, les éléments correspondants (date, adresse IP, version acceptée) sont conservés 5 ans après la fin de la relation avec l'établissement. Il ne s'agit plus d'une donnée de compte mais d'une preuve contractuelle, dont la conservation répond au délai de prescription : la suppression de votre compte met fin au premier traitement sans effacer le second, seule votre identité y est alors remplacée par un identifiant technique anonyme, comme pour la traçabilité des qualifications ci-dessous.

Au titre de la traçabilité des qualifications, votre identité est anonymisée dès la suppression de votre compte : seul un identifiant technique subsiste dans le journal, sans donnée nominative.

---

10. Suppression d'un compte

Tout utilisateur peut supprimer son compte depuis la page « Mon compte ». Cette action produit les effets suivants :

Supprimé : le compte de connexion, les sessions, l'ensemble de vos rattachements — un utilisateur pouvant appartenir à plusieurs établissements —, les jetons d'accès délégués à ma cantine sur chacun d'eux, ainsi que toute utilisation de vos coordonnées à des fins de prospection commerciale.

Conservé au titre du contrat : les éléments de preuve de votre acceptation des CGU et de votre certification de mandat pour votre établissement (date, adresse IP, version acceptée) sont conservés pendant la durée légale de prescription, anonymisés dans les mêmes conditions que le journal des qualifications ci-dessous. Il s'agit d'une preuve contractuelle, que la suppression d'un compte utilisateur ne peut effacer.

Conservé : l'établissement et l'ensemble de ses données métier — factures, qualifications, diagnostics, historique des transmissions. Ces données appartiennent à l'établissement — personne publique ou privée — et sont soumises à sa propre obligation de conservation. Un agent qui quitte ses fonctions n'emporte pas les justificatifs d'une télédéclaration engageant son employeur.

Anonymisé : l'identité de la personne dans le journal des qualifications et dans la preuve d'acceptation mentionnée ci-dessus est remplacée par un identifiant technique stable, le même pour l'ensemble de ces entrées. La traçabilité réglementaire reste exploitable sans conserver de donnée nominative.

Un établissement dépourvu de membre demeure accessible : un nouvel agent peut demander à le rejoindre selon les modalités décrites à l'article 11.

---

11. Sécurité et contrôle d'accès

• Cloisonnement strict entre établissements, vérifié par des tests automatisés : un utilisateur ne peut jamais accéder aux données d'un établissement auquel il n'est pas rattaché, hors des deux exceptions décrites à l'article 7.
• Documents accessibles uniquement par lien temporaire signé, jamais par une adresse publique ou devinable.
• Mots de passe stockés sous forme chiffrée irréversible.
• Chiffrement de tous les échanges (HTTPS).
• Sauvegardes régulières, hébergées en France.
• Rattachement à un établissement existant : un SIRET, information publique — qu'il soit saisi manuellement ou déclaré via ProConnect — ne suffit jamais à lui seul. Le rattachement requiert soit la validation d'un membre existant, soit — pour un établissement sans membre — la vérification, auprès de ma cantine, que la personne y est déclarée gestionnaire de la cantine.

---

12. Vos droits

Conformément au Règlement (UE) 2016/679 et à la loi n° 78-17 du 6 janvier 1978 modifiée, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité.

Pour les exercer : rgpd@tableterroir.fr

Une réponse est apportée dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe. Une preuve d'identité peut être demandée en cas de doute raisonnable.

Vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

---

13. Cookies et traceurs

AutoDécla n'utilise que les cookies strictement nécessaires à son fonctionnement, qui ne requièrent pas de consentement préalable :

• session authentifiée — maintien de votre connexion ;
• protection contre les requêtes frauduleuses ;
• établissement en cours — lorsque vous êtes rattaché à plusieurs établissements, mémorise celui sur lequel vous travaillez. Ce cookie est une préférence d'affichage, jamais une autorisation : votre appartenance à l'établissement qu'il désigne est revérifiée à chaque requête, et un cookie désignant un établissement dont vous n'êtes pas membre ne donne strictement aucun accès.

Un quatrième cookie n'existe que pour le personnel habilité de TABLE & TERROIR : il mémorise la prévisualisation de l'interface telle que la voit un type de compte donné, sur des établissements de démonstration dépourvus de toute donnée réelle.

Le service conserve en outre, dans votre navigateur et jamais sur nos serveurs, deux préférences d'affichage : le mode d'affichage du parcours de démarrage et le dernier filtre utilisé dans une liste d'administration. Elles ne sont transmises à personne et vous pouvez les effacer à tout moment en vidant les données du site.

Aucun cookie publicitaire, aucun traceur tiers, aucun outil de mesure d'audience externe n'est déployé. Le fond de carte de l'écran de catalogue constitue la seule ressource chargée depuis un tiers (article 4.8 quater) ; il ne dépose rien sur votre terminal.

---

14. Transferts hors Union européenne

Aucun transfert de données hors de l'Union européenne n'est effectué, par aucun sous-traitant.

L'hébergement, le stockage, les sauvegardes, la messagerie et la relation client sont assurés par des prestataires établis en France, qui y hébergent les données. Seule la supervision technique (article 4.8) est hébergée dans l'Union européenne sans garantie d'une localisation française — et elle ne reçoit ni donnée d'achat, ni contenu de facture, ni donnée d'identité.

---

15. Modification de la présente politique

Toute modification substantielle donne lieu à une nouvelle acceptation expresse : un bandeau est affiché dans le service jusqu'à ce que vous acceptiez la nouvelle version, et cette acceptation est horodatée et conservée comme la première. La simple poursuite de l'utilisation ne vaut jamais acceptation.

Ce bandeau informe sans bloquer : l'usage du service demeure possible dans l'intervalle.

La version et la date de dernière mise à jour figurent en tête du document. C'est la version qui fait foi pour déterminer ce que vous avez accepté — deux révisions publiées le même jour seraient indistinguables par leur seule date.

---

16. Prospection de nouvelles organisations

Cet article ne concerne pas les utilisateurs du service : il décrit un traitement distinct, par lequel TABLE & TERROIR fait connaître ses offres à des organisations de la restauration collective qui ne sont pas clientes.

Les adresses utilisées sont des adresses professionnelles fonctionnelles — contact@, mairie@, cantine@ — publiées par l'organisation elle-même sur son site, dans un annuaire public ou dans un document officiel. Une adresse qui désigne une personne identifiée, ou dont nous ne pouvons pas établir qu'elle est fonctionnelle, est exclue de tout envoi automatique.

Chaque message indique d'où vient l'adresse utilisée, qui est responsable du traitement, pourquoi nous écrivons, et comporte un lien permettant de s'y opposer en un clic. L'opposition est immédiate, définitive, porte sur l'adresse comme sur l'ensemble de l'organisation, et n'est jamais effacée — c'est précisément ce qui garantit qu'aucun nouveau message ne pourra partir, y compris si l'adresse réapparaît dans une source publique.

Aucun pixel de suivi, aucune mesure d'ouverture, aucune intelligence artificielle n'intervient dans ces envois.

L'information détaillée destinée aux personnes concernées par ce traitement est publiée séparément : voir la page Information sur la prospection commerciale. Si vous avez reçu un tel message, c'est cette page qui vous concerne.

17. Coordonnées recueillies lors d'une rencontre professionnelle

Ce traitement est distinct du précédent, et la différence n'est pas de forme : à l'article 16, nous avons trouvé une adresse publiée ; ici, une personne nous a donné la sienne.

Lorsqu'un membre de notre équipe rencontre un professionnel — sur un salon, une foire, une réunion ou une visite — il peut enregistrer, avec l'accord de son interlocuteur et en sa présence, ses coordonnées professionnelles : organisation, adresse électronique, téléphone, nom, prénom, fonction, ainsi qu'une note sur l'échange et le contexte de la rencontre. L'information prévue par l'article 13 du RGPD est donnée à ce moment-là, oralement, et reprise sur une page dédiée : Coordonnées recueillies lors d'une rencontre.

Deux conséquences que nous tenons pour importantes :

• Une rencontre n'ouvre aucune campagne. Les coordonnées recueillies ainsi ne sont pas versées dans la prospection automatique décrite à l'article 16 ; elles servent au suivi commercial de l'échange. Mieux : une relation engagée lors d'une rencontre interrompt tout démarchage automatique en cours vers cette organisation.
• Une opposition déjà exprimée prime sur la rencontre. Si l'organisation ou l'adresse figure au registre d'opposition, l'enregistrement est refusé — la rencontre ne l'efface pas.

Pendant la durée d'un événement, ces coordonnées peuvent être conservées temporairement sur l'appareil de la personne qui les a recueillies, le temps que le réseau permette de les transmettre ; elles en sont effacées dès la transmission. Cet appareil est un téléphone professionnel dont l'accès est protégé par la session du service.

Durée de conservation : 3 ans à compter du dernier échange. L'opposition, elle, n'est jamais effacée.