Document légal
Politique de confidentialité — ret-ai-ler
Version 1.2 du 17 octobre 2026
Cette politique décrit comment Alpha 11 SRL (BCE BE 0769.418.252, Quai des Péniches 44, boîte 20, 1000 Bruxelles — « Alpha 11 », « nous ») traite les données à caractère personnel dans le cadre du service ret-ai-ler (le « Service »), conformément au Règlement (UE) 2016/679 (« RGPD ») et à la loi belge du 30 juillet 2018.
Contact pour toute question relative aux données : [email protected].
1. Nos deux rôles
Alpha 11 est responsable du traitement pour les données qu'elle traite pour son propre compte : gestion des comptes Utilisateurs, relation contractuelle et facturation, support, sécurité et amélioration du Service, site vitrine.
Alpha 11 est sous-traitant pour les données que le Client professionnel confie au Service dans le cadre de son activité (historique d'achats et de commandes importé de ses comptes Enseigne, paniers, tickets et factures scannés, recettes, préférences, données de ses collaborateurs et fournisseurs). Ces traitements sont effectués sur instruction du Client et encadrés par l'Accord de sous-traitance (Annexe 2 des Conditions Générales d'Abonnement). Le Client est responsable du traitement et destinataire des demandes d'exercice de droits relatives à ces données.
2. Données traitées
Identité et compte : nom, adresse e-mail professionnelle, identifiant technique, organisation d'appartenance, rôle, langue ; fournis par le Client ou par l'Utilisateur lors de la création du compte via notre fournisseur d'authentification.
Session Enseigne : un jeton de session émis par l'Enseigne lorsque l'Utilisateur se connecte lui-même à son compte Enseigne dans une fenêtre sécurisée. Nous ne recevons ni ne stockons jamais le mot de passe Enseigne. Le jeton est conservé chiffré, isolé par Utilisateur, et supprimé à la déconnexion ou à son expiration.
Données de courses : instructions et messages échangés avec l'assistant, paniers proposés et validés, produits récurrents, historique de commandes importé du compte Enseigne, préférences et exclusions (régime, allergènes), modèles de commande, événements, recettes, photos de tickets, factures ou listes de prix soumises, code postal ou magasin de retrait, foyer ou profil professionnel.
Canal WhatsApp (si activé) : numéro de téléphone, messages texte, notes vocales et images envoyés au numéro du Service.
Données d'usage et techniques : journaux de fonctionnement (horodatage, actions, erreurs), compteur de consommation de Crédits IA, adresse IP, type de navigateur ou d'application. Les journaux sont systématiquement expurgés des secrets (mots de passe, jetons, liens de session).
Facturation : coordonnées de l'entreprise, références de facturation, historique de paiement (traitées par notre comptabilité ; aucune donnée de carte bancaire n'est traitée par le Service).
Demande de démo (site vitrine) : nom, établissement, adresse e-mail, téléphone (facultatif), message (facultatif), ainsi que l'adresse IP et le pays de connexion à des fins anti-abus. Alpha 11 est responsable du traitement.
Nous ne traitons pas de données de catégories particulières (article 9 RGPD) de manière intentionnelle ; les préférences alimentaires ou allergènes déclarés sont traités uniquement pour filtrer les propositions, sur instruction de l'Utilisateur.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Créer et sécuriser les comptes, authentifier les Utilisateurs | Exécution du contrat (art. 6.1.b) |
| Fournir le Service : comprendre les instructions, importer l'historique, composer les paniers, comparer les prix, préparer le panier sur le compte Enseigne | Exécution du contrat (art. 6.1.b) ; pour les données du Client professionnel, instructions du Client (art. 28) |
| Importer l'historique d'achats depuis le compte Enseigne, sur mandat exprès du Client d'exercer en son nom son droit à la portabilité | Exécution du contrat et mandat du Client (art. 20 RGPD ; art. 5.4 des CGA) |
| Personnaliser les propositions (habitudes, préférences, exclusions) | Exécution du contrat ; les exclusions liées à la santé sont enregistrées uniquement à la demande explicite de l'Utilisateur (art. 9.2.a) |
| Facturer, recouvrer, tenir la comptabilité | Exécution du contrat et obligations légales (art. 6.1.c) |
| Assurer le support et répondre aux demandes | Exécution du contrat et intérêt légitime |
| Sécuriser le Service, prévenir la fraude et les abus, journaliser | Intérêt légitime (art. 6.1.f) et obligation légale |
| Mesurer la consommation de Crédits IA et l'usage du Service, améliorer les fonctionnalités et la qualité des correspondances produit (statistiques agrégées) | Intérêt légitime (art. 6.1.f) |
| Informer le Client des évolutions du Service | Intérêt légitime ; opposition possible à tout moment |
| Répondre à une demande de démo et vous recontacter | Intérêt légitime (art. 6.1.f) : répondre à la demande d'un professionnel intéressé par le Service ; mesures précontractuelles (art. 6.1.b) lorsque vous agissez pour votre propre compte |
| Protéger le formulaire contre les robots et les abus | Intérêt légitime (art. 6.1.f) |
| Mesure d'audience, analyse de navigation et identification des entreprises visiteuses | Consentement (art. 6.1.a RGPD ; art. 10/2 de la loi du 30 juillet 2018) |
Nous ne prenons aucune décision produisant des effets juridiques ou vous affectant de manière significative fondée exclusivement sur un traitement automatisé : chaque commande est validée et payée par l'Utilisateur lui-même.
4. Intelligence artificielle
Le Service utilise des modèles d'IA générative fournis par des tiers (actuellement Anthropic pour les modèles de langage et OpenAI pour la transcription des notes vocales). Les instructions, extraits d'historique, listes de produits et images nécessaires à une action sont transmis à ces fournisseurs pour être traités, dans le cadre de contrats commerciaux (API) qui interdisent l'utilisation de ces données pour entraîner leurs modèles. Alpha 11 n'entraîne pas de modèle sur les données personnelles de ses clients. Lorsque l'Utilisateur accède au Service via son propre assistant IA (par exemple Claude ou ChatGPT), les conditions et la politique de confidentialité de cet assistant s'appliquent aux échanges qui y ont lieu.
5. Destinataires et sous-traitants ultérieurs
Les données sont accessibles uniquement à Alpha 11 (accès restreint aux personnes habilitées) et aux prestataires suivants, agissant sur nos instructions :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Google Cloud (Cloud Run, Cloud SQL PostgreSQL, stockage) | Hébergement et base de données | UE — région europe-west1 (Belgique) |
| WorkOS | Authentification des Utilisateurs (AuthKit, OAuth) | États-Unis (clauses contractuelles types) |
| Anthropic | Modèles de langage (chat, composition de paniers, analyses) | États-Unis (clauses contractuelles types) |
| OpenAI | Transcription des notes vocales WhatsApp (Whisper) | États-Unis (clauses contractuelles types) |
| Anchor Browser | Navigateur cloud sécurisé utilisé lors de la connexion initiale au compte Enseigne | UE / États-Unis selon la session (clauses contractuelles types) |
| Cloudflare | Hébergement du site vitrine, protection réseau, vérification anti-robot (Turnstile) et mesure d'audience sans cookie (Web Analytics, après consentement) | UE / mondial (clauses contractuelles types) |
| Google Ireland Limited (Google Analytics 4) | Mesure d'audience du site vitrine, après consentement | Collecte via des serveurs UE ; traitement possible aux États-Unis (cadre de protection des données UE–États-Unis / clauses contractuelles types) |
| PostHog, Inc. (PostHog Cloud UE) | Mesure d'audience et analyse des parcours sur le site vitrine, après consentement | UE — Francfort, Allemagne (AWS eu-central-1) ; transferts éventuels vers les États-Unis encadrés par clauses contractuelles types |
| Microsoft Ireland Operations Limited (Microsoft Clarity) | Analyse de navigation du site vitrine (cartes de clics, enregistrements de sessions), après consentement | Microsoft Azure ; transferts vers Microsoft Corporation (États-Unis) encadrés par clauses contractuelles types |
| Dealfront Group GmbH (Leadfeeder) | Identification des entreprises visitant le site vitrine (prospection B2B), après consentement | UE — Irlande (Amazon Web Services) |
| Meta Platforms (WhatsApp Business) | Acheminement des messages WhatsApp, si le canal est activé | UE / États-Unis (clauses contractuelles types) |
| Zoho Corporation (Zoho ZeptoMail / Zoho CPaaS) | Acheminement des e-mails de demande de démo | UE (centre de données UE) |
Logiciels tiers du Client (par exemple Koust) : lorsque le Client connecte l'un de ses propres outils au Service, des données sont échangées avec cet outil à la demande du Client. Cet éditeur agit pour le compte du Client, selon ses propres conditions ; il n'est pas un sous-traitant d'Alpha 11.
Les Enseignes (Solucious, Vajra / Delibio, Terroirist, Bionaturels, Delhaize, Colruyt / Collect&Go, Bio-Planet, etc.) sont des responsables du traitement distincts : lorsque le Service agit sur votre compte Enseigne à votre demande, l'Enseigne traite vos données selon sa propre politique de confidentialité.
Nous ne vendons pas de données personnelles et ne les utilisons à aucune fin publicitaire. Nous pouvons communiquer des données à une autorité si la loi l'exige.
6. Transferts hors de l'Union européenne
Les données sont hébergées dans l'Union européenne. Certains prestataires (authentification, modèles d'IA, messagerie et, uniquement après votre consentement, certains outils de mesure d'audience et d'analyse de navigation du site vitrine — voir §10) peuvent traiter des données depuis les États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914) et, le cas échéant, par la certification du prestataire au Cadre de protection des données UE–États-Unis, complétées de mesures techniques (chiffrement en transit et au repos, minimisation des données transmises).
7. Durées de conservation
| Données | Durée |
|---|---|
| Compte Utilisateur et organisation | Durée du Contrat, puis 30 jours (export possible), puis suppression |
| Jeton de session Enseigne | Jusqu'à déconnexion ou expiration (au plus quelques jours selon l'Enseigne) |
| Données de courses (historique, paniers, préférences, tickets, recettes) | Durée du Contrat ; les préférences inactives depuis 180 jours sont ignorées ; suppression à la fin du Contrat après export |
| Messages du chat et WhatsApp | Durée nécessaire à la conversation puis conservation limitée à des fins de support et d'amélioration (au plus 12 mois) |
| Journaux techniques | 90 jours (sauf incident de sécurité) |
| Données de facturation | 7 ans (obligations comptables et fiscales) |
| Demandes de démo n'ayant pas abouti à un contrat | 12 mois après le dernier échange, puis suppression |
8. Sécurité
Alpha 11 applique des mesures techniques et organisationnelles adaptées : hébergement UE, chiffrement des communications (TLS) et des données au repos, chiffrement applicatif des jetons de session au repos, isolés par Utilisateur, cloisonnement des données par organisation, authentification OAuth, journaux expurgés des secrets, accès administrateur restreint et tracé, sauvegardes, analyse statique de sécurité du code, et un processus de divulgation responsable des vulnérabilités (voir notre politique de sécurité (communiquée sur demande)). Le Service étant en phase bêta, aucune sécurité absolue ne peut être garantie ; en cas de violation de données susceptible d'engendrer un risque pour vos droits, nous vous en informerons conformément aux articles 33 et 34 du RGPD.
9. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité et, le cas échéant, de retrait du consentement. Vous pouvez également vous déconnecter d'une Enseigne et supprimer les données importées à tout moment depuis le Service.
Pour exercer vos droits : [email protected]. Nous répondons dans un délai d'un mois. Si vos données ont été confiées au Service par votre employeur (Client professionnel), nous transmettrons votre demande à celui-ci ou vous inviterons à le contacter, conformément à l'Accord de sous-traitance.
Vous pouvez introduire une réclamation auprès de l'Autorité de protection des données (Rue de la Presse 35, 1000 Bruxelles — www.autoriteprotectiondonnees.be).
10. Cookies
Principe. Sur le site vitrine (ret-ai-ler.com), aucun cookie ni traceur non nécessaire n'est déposé ou lu, et aucun outil de mesure n'est chargé, avant que vous ayez fait un choix. Lors de votre première visite, un bandeau vous permet de tout accepter, de tout refuser ou de personnaliser votre choix par catégorie. Refuser est aussi simple qu'accepter et ne limite en rien votre navigation ; aucune catégorie n'est activée par défaut.
Durée du choix. Votre choix, qu'il s'agisse d'une acceptation ou d'un refus, est conservé 6 mois dans le cookie ral_consent, après quoi nous vous le redemandons. Il vous est également redemandé lorsque nous ajoutons un outil ou modifions une finalité. Certains navigateurs effacent ce cookie plus tôt ; le bandeau réapparaît alors.
Retrait. Vous pouvez modifier ou retirer votre consentement à tout moment, aussi simplement que vous l'avez donné, via le lien « Gérer les cookies » présent en pied de chaque page. Le retrait arrête les outils concernés et efface de notre site les cookies qu'ils y avaient déposés ; il ne remet pas en cause la licéité des traitements effectués auparavant.
Catégories. Nécessaires (toujours actifs, exemptés de consentement) ; Mesure d'audience ; Analyse de navigation ; Prospection B2B. Seuls les outils effectivement en service sont proposés dans le bandeau.
| Outil | Émetteur | Catégorie | Finalité | Cookies / traceurs et durée | Localisation / transfert hors UE |
|---|---|---|---|---|---|
| Choix de cookies | Alpha 11 SRL | Nécessaire | Mémoriser votre choix de consentement et sa date | ral_consent — 6 mois | Votre navigateur uniquement |
| Cloudflare Turnstile | Cloudflare, Inc. | Nécessaire | Protéger le formulaire de demande de démo contre les robots | Signaux techniques du navigateur, strictement nécessaires (voir ci-dessous) | UE / mondial (clauses contractuelles types) |
| Cloudflare Web Analytics | Cloudflare, Inc. | Mesure d'audience | Statistiques de fréquentation et de performance des pages | Aucun cookie ni stockage local ; script de mesure exécuté dans le navigateur | UE / mondial (clauses contractuelles types) |
| Google Analytics 4 | Google Ireland Limited | Mesure d'audience | Visites, pages consultées, parcours et sources de trafic (sans fonctionnalité publicitaire) | _ga, _ga_<identifiant> — 2 ans | Collecte via des serveurs UE, adresse IP non enregistrée ; traitement possible aux États-Unis (cadre de protection des données UE–États-Unis / clauses contractuelles types) |
| PostHog (Cloud UE) | PostHog, Inc. | Mesure d'audience ; enregistrements de sessions seulement si l'analyse de navigation est aussi acceptée | Mesure d'audience et analyse des parcours (événements de navigation) | ph_<clé>_posthog — 1 an ; entrées ph_… du stockage local | UE — Francfort (Allemagne) |
| Microsoft Clarity | Microsoft Ireland Operations Limited | Analyse de navigation | Cartes de clics et enregistrements de sessions (mouvements, clics, défilement ; contenus saisis masqués) | _clck — 1 an ; _clsk — 1 jour | Microsoft Azure ; transfert vers Microsoft Corporation (États-Unis) encadré par clauses contractuelles types |
| Dealfront (Leadfeeder) | Dealfront Group GmbH | Prospection B2B | Identifier l'entreprise depuis laquelle le site est consulté (à partir de l'adresse IP de son réseau) et les pages vues, pour la recontacter | _lfa — 1 an ; _lfa_consent — 2 ans ; _lfa_expiry (stockage local) | UE — Irlande (Amazon Web Services) |
Ces outils ne sont utilisés à aucune fin publicitaire : les signaux publicitaires de Google et de Microsoft restent refusés. L'application web utilise uniquement des cookies strictement nécessaires (session authentifiée, sécurité), exemptés de consentement.
Le formulaire de demande de démo est protégé par Cloudflare Turnstile, qui peut traiter des données techniques du navigateur pour distinguer un humain d'un robot. Ce traitement est décrit dans le Turnstile Privacy Addendum de Cloudflare.
11. Modifications
Cette politique peut être mise à jour, notamment en fonction de l'évolution du Service, des Enseignes et des prestataires. La version en vigueur est celle publiée sur ret-ai-ler.com ; la date en tête fait foi. Les modifications substantielles sont notifiées aux Clients par e-mail.