Politique de confidentialité

Dernière mise à jour : septembre 2026

La présente Politique de confidentialité décrit comment Miso (« nous », « notre »), éditeur de la plateforme Miso Resa, collecte, utilise, partage et protège les données personnelles dans le cadre du Site et de l'application Miso Resa.

1. Qui est responsable de quoi

Deux rôles coexistent dans Miso Resa, et ils n'entraînent pas les mêmes obligations.

Miso est responsable du traitement pour les données des restaurateurs et de leurs équipes : création et gestion du compte, facturation, sécurité, support, amélioration du service.

Le restaurant est responsable du traitement pour les données de ses propres clients (les personnes qui réservent une table). C'est lui qui décide pourquoi et comment ces données sont utilisées. Miso agit alors comme sous-traitant au sens de l'article 28 du RGPD : nous traitons ces données sur instruction du restaurant, dans le cadre du contrat de sous-traitance annexé à nos conditions générales.

Concrètement, une personne qui a réservé une table et qui veut exercer ses droits peut s'adresser au restaurant concerné, ou nous écrire : nous transmettrons sa demande au restaurant et l'assisterons dans son traitement.

L'éditeur :

Miso, SAS au capital de 10 000 €, immatriculée sous le numéro SIREN 105 989 305 (RCS Rennes), dont le siège social est situé 2 rue de la Mabilais, 35000 Rennes.

Pour toute question relative à vos données personnelles : contact@misogroup.ai

2. À qui s'applique cette politique

Miso Resa met en relation deux catégories de personnes, dont les données sont traitées différemment :

• Les restaurateurs et leurs équipes (Owner, Manager, Staff) : utilisateurs disposant d'un compte Miso Resa pour gérer leur établissement.
• Les clients finaux des restaurants : personnes qui effectuent une réservation via le module de réservation en ligne, l'agent vocal IA, WhatsApp, ou dont la réservation est saisie par le restaurant.

3. Données que nous collectons

3.1 Comptes restaurateurs (Owner / Manager / Staff)

• Identité : nom, prénom, adresse e-mail, numéro de téléphone
• Identifiants de connexion, ou identifiant Google si connexion via Google Sign-In
• Informations sur le restaurant : nom, adresse, horaires, configuration du plan de salle, menu
• Données de facturation : gérées par notre prestataire de paiement (voir 5.)
• Logs de connexion et d'utilisation de la plateforme

3.2 Clients finaux (personnes réservant une table)

• Identité : nom, prénom, numéro de téléphone, adresse e-mail
• Détails de réservation : date, heure, nombre de couverts, table attribuée, demandes particulières saisies en texte libre
• Préférences et restrictions alimentaires, y compris allergènes : ces données peuvent constituer des données de santé au sens de l'article 9 du RGPD. Elles sont renseignées soit par la personne elle-même dans le champ de demandes particulières, soit par le restaurant sur la fiche client, sur la base de ce que la personne lui a indiqué. Elles servent exclusivement à la préparation du service. Le recueil du consentement explicite relève du restaurant, en sa qualité de responsable de traitement.
• Historique de réservation, statut de fiabilité (calculé à partir des absences et annulations), statut VIP
• Contenu des échanges avec l'agent vocal IA (transcription d'appel) ou l'agent WhatsApp, dans la limite nécessaire au traitement de la demande de réservation
• Données transmises par les canaux tiers de réservation (WhatsApp, téléphone)

3.3 Données issues de la connexion Google Business Profile

Lorsqu'un restaurateur connecte son compte Google Business Profile à Miso Resa, nous accédons, avec son autorisation explicite (OAuth), aux données suivantes :

• Informations publiques de la fiche établissement (nom, adresse, horaires, catégorie)
• Avis clients (Google Reviews) laissés sur la fiche établissement

3.4 Données issues de l'intégration caisse (POS)

Si le restaurant connecte sa caisse (Zelty, ou à terme d'autres systèmes de caisse), nous recevons les tickets de caisse (montants, horaires) afin d'enrichir les statistiques de fréquentation et le profil client.

4. Finalités et bases légales du traitement

5. Partage des données : destinataires et sous-traitants

Nous ne vendons aucune donnée personnelle. Nous ne partageons aucune donnée avec des tiers à des fins publicitaires.

Pour faire fonctionner le Service, nous faisons appel à des sous-traitants techniques, qui traitent les données pour notre compte, sur instruction, et dans le cadre strict des finalités décrites ci-dessus. Ils relèvent des catégories suivantes :

La liste nominative et à jour de nos sous-traitants figure en annexe du contrat de sous-traitance remis à nos clients professionnels lors de la souscription. Elle est également communiquée à toute personne qui en fait la demande à contact@misogroup.ai. Tout changement de sous-traitant est notifié à nos clients professionnels avant sa mise en œuvre, avec possibilité d'opposition dans les conditions prévues au contrat.

6. Transferts de données hors Union européenne

L'hébergement de la base de données et le calcul principal de l'application sont configurés dans l'Union européenne. Le stockage et le traitement principaux restent donc dans l'UE.

Des transferts hors UE existent néanmoins :

• Certains de nos prestataires sont des sociétés américaines. Même avec une infrastructure configurée en Europe, certaines données techniques (notamment les adresses IP, nécessaires à la protection contre les attaques) transitent par leurs infrastructures, et ces prestataires peuvent transférer des données vers les États-Unis dans le cadre de leur activité.
• Certains fournisseurs de téléphonie, de synthèse vocale et de modèles d'intelligence artificielle peuvent traiter des données en dehors de l'UE selon leur propre infrastructure.

Ces transferts sont encadrés par les Clauses Contractuelles Types de la Commission européenne et, lorsque le prestataire y est certifié, par le EU-U.S. Data Privacy Framework, mécanismes reconnus par le RGPD pour transférer des données hors UE.

7. Durée de conservation

• Données de compte restaurateur : pendant toute la durée de la relation contractuelle. À la fin du contrat, le restaurant dispose de 30 jours pour récupérer ses données, qui sont ensuite supprimées de nos systèmes de production dans les 30 jours, et purgées de nos sauvegardes dans un délai maximal de 90 jours.
• Profil client final (contact, préférences, historique) : anonymisation automatique après 36 mois sans nouvelle réservation. Ce délai est configurable par le restaurant (Owner) dans ses paramètres, entre 1 et 120 mois. L'anonymisation porte sur la fiche client et sur l'ensemble des enregistrements qui s'y rattachent : réservations, liste d'attente, journaux d'envoi de notifications et appels vocaux.
• Enregistrements des appels vocaux IA : aucun enregistrement audio n'est conservé par Miso Resa.
• Transcription et contenu des appels vocaux IA : conservés au plus 90 jours, puis supprimés. Seul un résumé structuré, sans donnée verbatim, est conservé sur la fiche client et suit alors la durée de conservation du profil client.
• Historique des conversations WhatsApp : supprimé dans les 90 jours suivant une demande d'arrêt de la personne concernée.
• Notifications transactionnelles (e-mail, WhatsApp, SMS) : nous conservons une trace de chaque envoi (canal, date, destinataire, statut de remise), rattachée à la réservation concernée et conservée pour la même durée qu'elle. Ces messages sont nécessaires à l'exécution de la réservation et ne constituent pas de la prospection commerciale : ils ne font pas l'objet d'un désabonnement.
• Données de facturation : durée légale de conservation comptable (10 ans).

8. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données, notamment :

• un cloisonnement strict entre établissements : chaque restaurant n'accède qu'à ses propres données, contrôlé au niveau de la base de données et non seulement de l'application ;
• une gestion des rôles et des permissions par utilisateur ;
• le chiffrement des données en transit, et le stockage chiffré des secrets et des clés d'accès aux services tiers ;
• une authentification par mot de passe robuste ou via Google Sign-In ;
• la journalisation des accès et des modifications sensibles ;
• des sauvegardes régulières.

9. Vos droits

Conformément au RGPD, toute personne concernée dispose des droits suivants sur ses données :

• Droit d'accès et de rectification
• Droit à l'effacement
• Droit à la limitation du traitement
• Droit d'opposition
• Droit à la portabilité des données
• Droit de retirer son consentement à tout moment (sans effet rétroactif)
• Droit d'introduire une réclamation auprès de la CNIL (cnil.fr)

Pour les données de compte restaurateur, ces droits s'exercent auprès de Miso : contact@misogroup.ai.

Pour les données des clients finaux, le responsable de traitement est le restaurant. La demande doit lui être adressée directement. Si elle nous parvient, nous la transmettons sans délai au restaurant concerné et l'assistons dans son traitement, conformément à l'article 28 du RGPD.

10. Utilisation des données issues des API Google

Miso Resa propose une connexion via Google Sign-In (création de compte / connexion) et une intégration avec Google Business Profile (gestion des avis, fiche établissement). L'utilisation et le transfert par Miso Resa des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences de Limited Use :

• Les données obtenues via les API Google (identifiant, e-mail, avis Google, informations de fiche établissement) sont utilisées uniquement pour fournir et améliorer les fonctionnalités visibles par l'utilisateur (connexion au compte, affichage et gestion des avis clients).
• Ces données ne sont jamais vendues à des tiers.
• Ces données ne sont jamais utilisées à des fins publicitaires, y compris pour du reciblage publicitaire (remarketing).
• Ces données ne sont pas utilisées pour entraîner des modèles d'intelligence artificielle généralistes.
• L'accès à ces données peut être révoqué à tout moment par l'utilisateur depuis les paramètres de son compte Google (myaccount.google.com/permissions) ou depuis les paramètres Miso Resa.

11. Cookies

Le Site utilise deux catégories de cookies.

Cookies strictement nécessaires. Ils assurent le fonctionnement du Site et de l'application (session, authentification) et retiennent votre choix en matière de cookies (miso_consent, conservé 6 mois). Ils ne nécessitent pas de consentement.

Cookies de mesure d'audience. Avec votre accord uniquement, nous utilisons Google Analytics pour mesurer la fréquentation des pages de présentation du Site (pages vues, provenance des visites, clics sur les boutons) et les améliorer. Les cookies _ga et _ga_<identifiant> sont alors déposés pour une durée maximale de 13 mois. Tant que vous n'avez pas accepté, aucun de ces cookies n'est déposé et aucune donnée n'est transmise à Google. Nous n'utilisons aucun cookie publicitaire, et les informations saisies dans nos formulaires ne sont jamais transmises à l'outil de mesure.

Ces données sont traitées par Google Ireland Limited, qui peut les transférer à Google LLC aux États-Unis, dans les conditions décrites à la section 6.

Vous pouvez modifier votre choix ou retirer votre accord à tout moment, par le lien « Gestion des cookies » situé en bas des pages de présentation du Site. Le retrait entraîne la suppression des cookies de mesure d'audience de votre navigateur.

12. Mineurs

Miso Resa n'est pas destiné aux mineurs de moins de 15 ans et le Site ne sollicite pas sciemment de données auprès de cette population.

13. Modification de la présente politique

Nous pouvons être amenés à modifier la présente politique de confidentialité. Toute modification substantielle sera notifiée aux utilisateurs (bandeau sur l'application et/ou e-mail) avant son entrée en vigueur, et un nouveau consentement sera sollicité si nécessaire, notamment concernant l'usage des données Google.

14. Contact

Pour toute question relative à cette politique ou à vos données personnelles : contact@misogroup.ai