Politique de confidentialité

Préambule

La présente politique de confidentialité (la « Politique ») décrit la manière dont ODRES GROUP SRL (« Odres ») collecte, utilise, conserve, communique et protège les données à caractère personnel dans le cadre de son site internet, de ses activités commerciales, de sa relation contractuelle avec ses clients professionnels et de l'exploitation de la solution logicielle Odres.io (la « Solution »).

La Solution comprend six applications : ODRES ERP (back-office des propriétaires, gérants et comptables), OdStaff (application des employés : plannings, pointages, congés, documents RH, avertissements, évaluations, formations, annonces), OdKiosk (tablette de cuisine et d'hygiène : HACCP, checklists, nettoyage, étiquettes DLC), OdStock (tablette de stock : réceptions, inventaires), OdClock (pointeuse) et OdLabels (application iOS d'impression d'étiquettes DLC). Elle est accessible à l'adresse https://app.odres.io. Le site vitrine https://odres.io est une application distincte, déployée séparément.

Elle est établie conformément au Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (le « RGPD ») et à la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel.

Conformément à l'article 12 du RGPD, la Politique est rédigée dans un langage clair et simple. Sa vocation est toutefois d'être juridiquement complète : les développements techniques nécessaires figurent dans les sections détaillées, précédés d'un résumé accessible.

Deux régimes distincts coexistent et ne doivent pas être confondus :

La présente Politique ne régit pas les traitements de la seconde catégorie. Une personne dont les données ont été introduites dans la Solution par un Client — par exemple un salarié de restaurant dont les horaires sont encodés, ou un client final inscrit à un programme de fidélité — doit adresser sa demande au Client concerné, qui est le responsable du traitement. La section 4 précise cette articulation et la manière dont Odres réachemine ces demandes.

Pour le surplus, les termes « Forfait », « Palier », « Critères de Palier », « Utilisateur Actif », « Grille Tarifaire », « Services Mesurés », « Document Comptable Traité », « Caisse Connectée », « Stockage », « Crédit IA », « Quota Inclus », « Barème Unitaire » et « Dépassement » ont, dans la présente Politique, le sens que leur donne l'article 1.2 bis des Conditions Générales d'Abonnement (document n° 06).

Rappel sur le modèle tarifaire. L'Abonnement est facturé au Forfait, déterminé par deux Critères de Palier seulement — le Pack souscrit et les modules à la carte activés, d'une part, le nombre d'Établissements couverts, d'autre part —, augmenté d'une part variable facturée à l'usage au titre de cinq Services Mesurés : les Utilisateurs Actifs, les Crédits IA, les Documents Comptables Traités, les Caisses Connectées et le Stockage. Le nombre d'Utilisateurs Actifs ne constitue pas un Critère de Palier : il est mesuré et facturé à l'unité au-delà du Quota Inclus. La connexion de comptes bancaires ne constitue pas un Service Mesuré : elle ne fait l'objet d'aucun compteur, le coût du prestataire étant refacturé au coût, sur justificatif et sans majoration.

1. Identité et coordonnées du responsable du traitement

Pour toute question relative à la présente Politique ou à l'exercice des droits décrits à la section 11, le point de contact est contact@odres.io.

Adresse postale pour les demandes écrites : ODRES GROUP SRL, à l'attention du point de contact vie privée, 20 Place Verte, 6000 Charleroi (Belgique).

2. Délégué à la protection des données ou point de contact vie privée

2.1 Situation actuelle

La désignation d'un délégué à la protection des données (« DPO ») est obligatoire dans les trois hypothèses de l'article 37.1 du RGPD : autorité ou organisme public ; activités de base consistant en un suivi régulier et systématique à grande échelle des personnes concernées ; activités de base consistant en un traitement à grande échelle de catégories particulières de données ou de données relatives à des condamnations pénales.

La qualification d'Odres au regard de l'article 37.1 dépend notamment du volume d'établissements clients, du nombre de personnes dont les données transitent par la Solution et de la présence de données de santé dans le module RH (motifs d'absence, certificats médicaux). Un logiciel de gestion 360° HORECA traitant structurellement des données de pointage de salariés et pouvant recueillir des motifs d'absence, l'hypothèse d'un traitement à grande échelle de catégories particulières de données doit être sérieusement examinée dès que la base installée atteint une taille significative.

Position retenue. Au terme de cette analyse, Odres n'a pas désigné de délégué à la protection des données au sens de l'article 37 du RGPD et a mis en place un point de contact vie privée, l'analyse ayant conduit à écarter l'obligation de désignation étant documentée dans une note interne conformément au principe de responsabilité (article 5.2 du RGPD). Cette analyse est réexaminée périodiquement, et en tout état de cause à chaque évolution significative du volume ou de la nature des traitements.

2.2 Coordonnées

Point de contact vie privée. Odres n'a pas désigné de délégué à la protection des données au sens de l'article 37 du RGPD. Un point de contact vie privée est joignable à l'adresse contact@odres.io, ou par courrier à ODRES GROUP SRL, à l'attention du point de contact vie privée, 20 Place Verte, 6000 Charleroi (Belgique), pour toute question ou demande relative aux données à caractère personnel. Si les conditions de l'article 37 du RGPD venaient à être réunies, un délégué à la protection des données sera désigné, ses coordonnées seront publiées dans la présente Politique et communiquées à l'Autorité de protection des données conformément à l'article 37.7 du RGPD.

3. Principes directeurs

Odres applique aux traitements dont elle est responsable les principes de l'article 5 du RGPD :

1. Licéité, loyauté, transparence : chaque traitement repose sur une base légale identifiée à la section 5 et est porté à la connaissance des personnes concernées.
2. Limitation des finalités : les données ne sont pas traitées ultérieurement d'une manière incompatible avec la finalité initiale.
3. Minimisation : seules les données adéquates, pertinentes et limitées à ce qui est nécessaire sont collectées.
4. Exactitude : les données inexactes sont rectifiées ou effacées sans délai.
5. Limitation de la conservation : les durées figurant aux sections 5 et 10 s'appliquent.
6. Intégrité et confidentialité : les mesures décrites à la section 9 sont mises en œuvre.
7. Responsabilité : Odres tient un registre des activités de traitement conformément à l'article 30 du RGPD et est en mesure de démontrer sa conformité.

4. Articulation entre le rôle de responsable et le rôle de sous-traitant

4.1 Traitements couverts par la présente Politique

Odres agit en qualité de responsable du traitement lorsqu'elle détermine seule les finalités et les moyens du traitement. Il en va notamment ainsi pour :

• la gestion du site internet https://odres.io et de la relation avec ses visiteurs ;
• la prospection commerciale et la gestion des demandes de démonstration ou d'essai ;
• la gestion des contacts professionnels des Clients et prospects (interlocuteurs, signataires, référents techniques et comptables) ;
• le recrutement et la gestion des candidatures ;
• la création et la gestion des comptes Utilisateurs et l'authentification à la Solution, en tant qu'elle relève de la sécurité et du contrôle d'accès à la plateforme d'Odres ;
• la facturation, l'encaissement, le recouvrement et la comptabilité d'Odres ;
• le support technique et la gestion des demandes d'assistance ;
• les journaux techniques, la supervision, la détection d'incidents et la sécurité de la Solution ;
• l'amélioration du produit sur la base de données agrégées et de mesures d'usage ;
• le marketing direct auprès de professionnels ;
• la gestion des obligations légales et la défense des droits d'Odres.

4.2 Traitements exclus — Odres sous-traitant

Odres agit en qualité de sous-traitant lorsqu'elle héberge et traite, pour le compte d'un Client, les Données Client introduites dans la Solution, notamment :

• les données de salariés du Client (identité, contrats, horaires, plannings, pointage, absences et, le cas échéant, motifs d'absence ou certificats médicaux) ;
• les données de clients finaux du Client (fidélité, réservations, commandes nominatives, préférences, consentements marketing), en ce compris les données de participation à la roulette et les avis en ligne publiés par ces personnes sur la fiche d'établissement du Client ;
• les données d'encaissement rattachées aux transactions du Client auprès de ses propres clients finaux ;
• les données de fournisseurs et de contacts d'exploitation du Client ;
• les données de comptes et d'opérations bancaires du Client qui seraient importées au moyen de la fonctionnalité de connexion de comptes bancaires, en ce compris les données des contreparties des opérations — fournisseurs, travailleurs payés, clients finaux —, dont certaines sont des personnes physiques sans relation contractuelle avec Odres. Cette fonctionnalité n'est pas active : aucun prestataire de services d'information sur les comptes n'est désigné à ce jour (voir la section 7.3, ligne 13). Lorsqu'elle le sera, la connexion sera réalisée par l'intermédiaire d'un prestataire tiers agréé ou inscrit au sens de la directive (UE) 2015/2366 (DSP2), auquel le Client donnera directement son consentement ; Odres n'est ni un établissement de paiement, ni un prestataire de services d'information sur les comptes agréé, et n'accède pas aux identifiants d'accès bancaires du Client ;
• les données de vente restituées par le système de point de vente (caisse) tiers du Client, récupérées par API pour affichage dans la Solution — chiffre d'affaires, tickets, panier moyen. Odres n'est pas un système de caisse : le système de point de vente demeure celui du Client, qui en assume seul la conformité ;
• les fichiers, photos et documents téléversés dans la Solution par le Client ou ses Utilisateurs (checklists, contrôles qualité, documents RH, pièces comptables, logos, selfies de pointage, pièces jointes, PDF), stockés chez Cloudinary dans un centre de données européen du prestataire ;
• les données figurant sur les documents comptables importés par le Client et soumis à un traitement automatisé de reconnaissance de caractères et d'extraction, lesquelles concernent notamment des fournisseurs, des travailleurs et des clients finaux du Client. Le prestataire de reconnaissance de documents n'est pas encore identifié : aucun traitement automatisé de ce type n'est mis en œuvre avant son inscription à l'Annexe 2 du DPA et l'information préalable du Client ;
• les données soumises aux fonctionnalités d'intelligence artificielle de la Solution — contenu des requêtes, documents et extraits transmis, sorties produites. Ces traitements sont exécutés par Anthropic Ireland Limited / Anthropic PBC, sous-traitant ultérieur inscrit à la section 7.3 (ligne 6), dont l'interface de programmation est hébergée aux États-Unis. Deux fonctions seulement y font appel : l'assistant ODRES du back-office et l'aide à la réponse aux avis en ligne du module Réputation ; aucune autre fonction de la Solution n'utilise l'intelligence artificielle, et l'usage est plafonné en volume par Utilisateur et globalement par mois. Les Données Client ne peuvent être utilisées pour entraîner, affiner ou évaluer un modèle, dans les conditions de l'article 18 quinquies du DPA. Ne sont jamais transmis à l'intelligence artificielle : les mots de passe, les codes PIN, les coordonnées bancaires, les selfies de pointage, et toute donnée d'un établissement auquel l'Utilisateur n'a pas accès.

Pour ces traitements, le Client est le responsable du traitement. Il définit les finalités, les durées de conservation, l'information des personnes concernées et les bases légales. Odres n'agit que sur instruction documentée du Client, dans les conditions du DPA (document n° 10), qui contient l'ensemble des mentions de l'article 28.3 du RGPD ainsi que les annexes relatives aux traitements, aux sous-traitants ultérieurs, aux mesures techniques et organisationnelles et aux transferts internationaux.

Distinction à ne pas manquer. L'encaissement des sommes que le Client doit à Odres au titre de son abonnement est un traitement dont Odres est responsable (section 5.5) ; il est opéré par Stripe Payments Europe, Limited, établie en Irlande, et ne porte sur aucune donnée des salariés, clients finaux ou fournisseurs du Client. Les encaissements que le Client réalise auprès de ses propres clients finaux sont, eux, des Données Client pour lesquelles Odres est sous-traitante.

4.3 Demandes adressées à Odres par erreur

Lorsqu'Odres reçoit une demande d'exercice de droits portant manifestement sur des données dont un Client est responsable, elle :

1. n'y répond pas sur le fond et ne communique aucune donnée directement à la personne concernée ;
2. transmet la demande au Client concerné dans un délai de cinq (5) Jours Ouvrables, sauf instruction contraire du Client ;
3. informe la personne concernée de cette transmission et de l'identité du responsable du traitement, dans la mesure où cette information ne porte pas atteinte aux droits de tiers ni aux obligations de confidentialité d'Odres.

4.4 Compte Utilisateur : double qualification

Le compte d'un Utilisateur donne lieu à deux traitements superposés qu'il convient de distinguer :

• Odres est responsable du traitement des données d'identification et d'authentification nécessaires à la sécurité de la plateforme, à la prévention des accès non autorisés, à la traçabilité des connexions, à la mesure du nombre d'Utilisateurs Actifs et à la facturation (identifiant, adresse e-mail professionnelle, empreinte du mot de passe, journaux de connexion, second facteur d'authentification le cas échéant).
• Le Client est responsable de la décision d'ouvrir, de modifier ou de fermer un accès, du niveau d'habilitation attribué, ainsi que de l'ensemble des données métier saisies par l'Utilisateur ou le concernant dans les modules de la Solution.

5. Tableau des traitements dont Odres est responsable

Les durées de conservation s'entendent à compter de l'événement déclencheur indiqué. À l'expiration de la durée active, les données peuvent être conservées en archivage intermédiaire à accès restreint pour la seule durée des prescriptions légales applicables, avant suppression ou anonymisation définitive.

5.1 Site internet, visiteurs et mesure d'audience

5.1 bis Assistant du site (OdBot)

Ne saisissez dans l'assistant ni données sensibles ni données concernant des tiers : il sert à l'information générale sur Odres. Pour une demande personnelle, utilisez le formulaire de contact du Site.

5.2 Prospects, demandes de démonstration et d'essai

5.3 Candidats au recrutement

Rappel. Odres ne sollicite ni ne conserve, dans le cadre du recrutement, de données relevant de l'article 9 du RGPD (santé, opinions, convictions, origine, appartenance syndicale, orientation sexuelle) ni de données relatives à des condamnations pénales, sauf lorsque la loi l'impose expressément pour un poste déterminé.

5.4 Contacts des Clients, relation contractuelle et comptes Utilisateurs

Mot de passe. Odres ne conserve jamais les mots de passe en clair. Seule une empreinte cryptographique issue d'une fonction de dérivation adaptée est stockée ; les mots de passe et les codes PIN sont stockés uniquement sous forme hachée (PBKDF2-SHA256) et ne sont jamais lisibles.

5.5 Facturation, encaissement, recouvrement et comptabilité

Qualité d'Odres pour les données de mesure. Pour les relevés de Services Mesurés, Odres agit en qualité de responsable du traitement, aux seules fins de facturation de la part variable du prix, de justification de celle-ci et de preuve en cas de contestation, sur le fondement des articles 6.1.b et 6.1.c du RGPD. Ces relevés sont mis à la disposition du Client en continu depuis son Compte. Odres ne les exploite à aucune autre finalité et, en particulier, ne les utilise ni pour analyser l'activité économique du Client, ni pour un profilage de ses Utilisateurs. La mesure des Utilisateurs Actifs repose sur un simple indicateur d'activité mensuelle et ne comporte aucune analyse du comportement, du temps de connexion, de la productivité ou du contenu des actions de l'Utilisateur ; elle ne peut fonder aucune évaluation individuelle. Les données métier figurant dans les documents et les requêtes ainsi comptabilisés demeurent, quant à elles, des Données Client pour lesquelles Odres est sous-traitante, conformément à la section 4.2.

Moyens de paiement et données de carte. Les paiements s'effectuent par prélèvement automatique (domiciliation SEPA) ou par carte bancaire, par l'intermédiaire du prestataire de services de paiement mandaté par Odres, actuellement Stripe Payments Europe, Limited, établie en Irlande. Les Parties peuvent également convenir d'une domiciliation bancaire directe. Odres ne collecte, ne stocke et ne traite aucune donnée de carte de paiement complète : la saisie intervient directement auprès du prestataire, sur les pages hébergées par celui-ci, dans un environnement conforme au référentiel PCI DSS ; Odres ne reçoit que des données tronquées et des références de transaction, et ne voit ni ne stocke jamais de numéro de carte ni d'IBAN complet.

Qualification du prestataire de services de paiement. Un prestataire de services de paiement se présente généralement comme responsable de traitement indépendant pour les traitements qu'il met en œuvre au titre de ses obligations propres — lutte contre la fraude, lutte contre le blanchiment, obligations prudentielles —, et comme sous-traitant pour les seules opérations d'encaissement exécutées sur instruction du donneur d'ordre. Conformément aux conditions du prestataire, Stripe agit en responsable de traitement indépendant pour les données de paiement, au titre de ses obligations réglementaires, et sur la base d'un accord de traitement des données pour les opérations d'encaissement exécutées pour le compte d'Odres. La qualification ainsi retenue est inscrite à l'Annexe 2 du DPA. L'encaissement est localisé en Irlande, au sein de l'Union européenne ; certaines fonctions du groupe Stripe sont toutefois assurées depuis les États-Unis par Stripe, LLC, et sont encadrées dans les conditions de la section 8.

Changement de prestataire. Odres peut changer de prestataire de services de paiement, ou revenir à une domiciliation bancaire directe, moyennant une information préalable du Client de trente (30) jours, conformément à l'article 21.5 des CGA. Aucun frais lié à cette intermédiation n'est refacturé au Client.

5.6 Support technique et assistance

Avertissement à porter à la connaissance des Utilisateurs. Les pièces jointes transmises au support peuvent contenir des Données Client (extraits de plannings, listes de clients finaux). Odres invite les Utilisateurs à ne transmettre que les éléments strictement nécessaires au diagnostic et à anonymiser les extraits lorsque cela est possible. Le traitement de ces pièces relève alors du DPA et non de la présente Politique.

Accès du support au compte d'un Client. L'intervention du support d'Odres sur le compte d'un Client prend la forme d'une session d'assistance limitée dans le temps, en lecture seule par défaut, tracée dans le journal d'audit et notifiée au Client.

5.7 Journaux techniques, supervision et sécurité

Les journaux de sécurité font l'objet d'un accès restreint et sont, dans la mesure du possible, protégés contre la modification. Ils ne sont pas utilisés à des fins de contrôle individuel des Utilisateurs par Odres.

5.8 Amélioration du produit et statistiques d'usage

Odres n'exploite pas le contenu métier des Données Client à des fins d'amélioration produit sans une base contractuelle explicite figurant au DPA et, le cas échéant, une instruction du Client.

5.9 Marketing direct

Chaque communication comporte un lien de désabonnement fonctionnel. Le retrait du consentement ou l'opposition prend effet dans les meilleurs délais et au plus tard dans les cinq (5) Jours Ouvrables.

Cadre applicable : article XII.13 du Code de droit économique belge et arrêté royal du 4 avril 2003 relatif à l'envoi de publicités par courrier électronique. En Belgique, l'envoi de publicité par voie électronique à une personne physique requiert en principe un consentement préalable, libre, spécifique et éclairé, sous réserve de l'exception applicable aux clients existants pour des produits ou services analogues. Les adresses de contact fonctionnelles et impersonnelles d'une personne morale (par exemple info@ ou contact@) bénéficient d'un régime distinct.

5.10 Obligations légales, litiges et défense des droits

6. Sources des données

Odres collecte les données :

1. Directement auprès de la personne concernée : formulaires du site, échanges commerciaux, création de compte, tickets de support, candidatures, inscription à la lettre d'information.
2. Auprès du Client : lorsqu'un Client communique à Odres les coordonnées professionnelles de ses préposés afin de leur ouvrir un accès à la Solution ou de désigner un interlocuteur. Le Client garantit à Odres avoir informé ces personnes conformément aux articles 13 et 14 du RGPD.
3. Automatiquement, lors de l'utilisation du site ou de la Solution : journaux techniques, cookies et technologies assimilées (voir la Politique de cookies), mesures d'usage.
4. Auprès de sources accessibles au public : registres publics (BCE, Moniteur belge), sites internet professionnels, réseaux sociaux professionnels, dans le cadre strict de la prospection B2B et sous réserve de l'information prévue à l'article 14 du RGPD. Le recours éventuel à des fournisseurs de données de prospection tiers n'est pas arrêté ; à défaut de recours, la présente mention est sans objet.
5. Auprès de la plateforme d'avis en ligne du Client : lorsque le Client active le module Réputation, les avis publiés sur sa fiche d'établissement Google Business Profile sont lus par la Solution (nom public de l'auteur, note, texte). Ces données sont publiées par leur auteur lui-même sur la plateforme du destinataire ; Odres les traite pour le compte du Client, qui en est responsable.

Lorsque des données sont collectées indirectement, Odres fournit l'information requise par l'article 14 du RGPD dans un délai raisonnable et au plus tard un (1) mois après l'obtention des données, ou lors de la première communication avec la personne concernée si celle-ci intervient plus tôt.

7. Destinataires et sous-traitants ultérieurs

7.1 Principes

Les données ne sont ni vendues, ni louées, ni échangées. Elles ne sont communiquées qu'aux destinataires nécessaires à la réalisation des finalités décrites, dans la limite de ce qui leur est utile, et sous réserve d'engagements de confidentialité appropriés.

7.2 Catégories de destinataires

• Personnel habilité d'Odres, selon un principe de moindre privilège et de besoin d'en connaître.
• Sous-traitants d'Odres, agissant sur instruction documentée d'Odres, liés par un contrat conforme à l'article 28 du RGPD.
• Prestataires indépendants agissant en qualité de responsables du traitement pour leurs propres finalités : expert-comptable, avocat, réviseur, prestataire de services de paiement, établissement bancaire, assureur, plateforme d'avis en ligne et plateforme de diffusion vidéo.
• Autorités publiques, uniquement en vertu d'une obligation légale ou d'une décision de justice exécutoire.
• Acquéreur ou repreneur, en cas de fusion, scission, cession d'activité ou opération assimilée, sous réserve d'une information préalable des personnes concernées et du maintien d'un niveau de protection équivalent.

7.3 Liste nominative des prestataires

Liste arrêtée au 14 octobre 2026. Elle correspond à l'Annexe 2 du DPA (document n° 10), dont elle reprend la numérotation. Les prestataires non listés ici n'ont accès à aucune donnée.

Site vitrine odres.io. Pour ses seuls traitements propres (sections 5.1, 5.1 bis, 5.2, 5.3 et 5.9), et sans accès à aucune Donnée Client, le Site recourt à : Vercel Inc. — 440 N Barranca Avenue #4133, Covina, CA 91723, États-Unis — pour l'hébergement et la diffusion du Site, ses fonctions serveur s'exécutant à Francfort (Union européenne) et ses contenus statiques étant diffusés depuis le point de présence le plus proche du visiteur ; Neon (ligne 2), pour la base de données du Site — registre des demandes, des candidatures et des consentements —, à Francfort ; Mailjet (ligne 4), pour les e-mails du Site et la liste de diffusion ; Anthropic (ligne 6), pour l'assistant du Site.

Polices, icônes et bibliothèques. Les polices de caractères, la bibliothèque d'icônes et les bibliothèques d'affichage utilisées par les pages de la Solution sont des copies locales servies par la plateforme elle-même, hébergée dans l'Union européenne. Aucune page ne charge de ressource depuis un réseau de diffusion tiers, et l'adresse IP du visiteur n'est transmise à aucun tel réseau. Les seules ressources tierces chargées sont les lecteurs vidéo du module Formation (lignes 11 et 12), et uniquement lorsqu'un Utilisateur lance une vidéo.

Intégrations prévues, non activées. Les intégrations suivantes existent dans la Solution mais ne sont pas activées à ce jour : aucune clé d'accès n'est configurée, aucun appel n'est émis, aucune donnée n'est transmise. Elles sont annoncées dès à présent afin d'obtenir l'autorisation générale du Client prévue à l'article 8 du DPA : Ibanity / Ponto (Isabel Group, Belgique — liaison bancaire) ; e-invoice.be (Belgique — facturation électronique Peppol) ; Meta WhatsApp Business (Meta Platforms Ireland Ltd., Irlande — messages aux fournisseurs et aux employés) ; Twilio (Twilio Inc., États-Unis — envoi de SMS) ; Perplexity (Perplexity AI Inc., États-Unis — fournisseur d'intelligence artificielle alternatif). Leur activation donnera lieu à une mise à jour de la présente section, de l'Annexe 2 du DPA et à une information préalable du Client.

Mise à jour de la liste. Toute inscription, tout remplacement et toute suppression sont portés à la présente section et à l'Annexe 2 du DPA. Les Clients en sont informés au moins trente (30) jours avant que le prestataire concerné n'accède aux Données Client, et disposent d'un droit d'objection motivée dans les conditions de l'article 8.2 du DPA.

Portée de la liste. Les lignes 1 à 4, 6 à 12 et 13 à 14 concernent, en tout ou en partie, des Données Client pour lesquelles Odres est sous-traitante ; les garanties correspondantes sont détaillées aux articles 18 quater et 18 quinquies du DPA. La ligne 5 concerne un traitement propre à Odres (section 5.5) et ne porte sur aucune donnée des salariés, clients finaux ou fournisseurs du Client. À la date ci-dessus, aucun autre prestataire n'est inscrit, notamment au titre de la sauvegarde et de l'archivage, du support et du ticketing, de la supervision et de la sécurité. Les outils qu'Odres utilisera pour ses traitements propres — gestion de la relation commerciale, ticketing, mesure d'audience ou d'usage, gestion des candidatures — ne sont pas arrêtés à ce jour : ils sont identifiés comme tels à la section 5 et seront nommés dès leur mise en service.

Évolutions intervenues en version 5.0. Sept prestataires effectivement actifs ont été inscrits, qui ne figuraient pas à la liste de la version 4.0 : Anthropic (fonctions d'intelligence artificielle), Google LLC — Business Profile (avis en ligne), Google LLC — Firebase Cloud Messaging, Apple et Mozilla (notifications push), Vimeo et Google LLC — YouTube (vidéos du module Formation). L'emplacement laissé ouvert en version 4.0 pour le fournisseur de modèles d'intelligence artificielle est en conséquence pourvu (ligne 6). Les emplacements relatifs au prestataire de connexion bancaire et au service de reconnaissance de documents demeurent ouverts (lignes 13 et 14) et les fonctionnalités correspondantes ne sont pas disponibles.

Systèmes de point de vente. Le système de caisse tiers auquel la Solution se connecte par API est choisi et contracté par le Client ; il n'est pas un sous-traitant ultérieur d'Odres et ne figure pas à la présente liste.

8. Transferts de données hors de l'Espace économique européen

8.1 Constat au 14 octobre 2026

L'application, la base de données et les fichiers — y compris les documents RH et les pièces jointes — sont hébergés dans l'Union européenne. Trois fonctions accessoires font appel à des prestataires établis aux États-Unis : l'acheminement des notifications push, la lecture et la réponse aux avis en ligne, et les fonctions d'intelligence artificielle. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914) et, lorsque le prestataire y est certifié, sur le cadre de protection des données UE–États-Unis.

Site vitrine odres.io. Les fonctions serveur du Site s'exécutent à Francfort (Union européenne) et ses données sont conservées chez Neon, à Francfort. Deux éléments relèvent toutefois des États-Unis : l'hébergeur du Site, Vercel Inc., y a son siège (section 8.4), et les messages saisis dans l'assistant du Site sont traités par Anthropic (section 8.2).

À la date de la présente version, la chaîne de traitement est la suivante :

• l'hébergement applicatif est assuré par Railway, dont le traitement est localisé en Union européenne — Pays-Bas (région Europe-Ouest), avec un point d'entrée réseau à Bruxelles ;
• les données métier sont conservées dans une base de données PostgreSQL managée par Neon, hébergée sur l'infrastructure AWS en Union européenne — Allemagne, Francfort (région eu-central-1) ;
• les fichiers, images et documents, en ce compris les documents RH, les selfies de pointage et les pièces jointes, sont stockés chez Cloudinary, dans un centre de données européen du prestataire ;
• les e-mails transactionnels et de notification sont acheminés par Mailjet, dans l'Union européenne ;
• l'encaissement des sommes dues par le Client est opéré par Stripe Payments Europe, Limited, établie en Irlande, État membre de l'Union européenne ; certaines fonctions du groupe Stripe sont toutefois assurées depuis les États-Unis ;
• les polices, icônes et bibliothèques des pages sont des fichiers statiques servis par la plateforme elle-même, dans l'Union européenne : aucune ressource tierce n'est chargée et l'adresse IP du visiteur n'est transmise à aucun réseau de diffusion.

Transferts effectivement opérés vers les États-Unis. Outre les trois fonctions accessoires visées ci-dessus, deux transferts complémentaires doivent être signalés : les lecteurs vidéo du module Formation (Vimeo et YouTube en mode sans cookie), activés uniquement lorsqu'un Utilisateur lance une vidéo, et les fonctions du groupe Stripe assurées depuis les États-Unis. Les données de la base de données et les fichiers ne quittent pas l'Union européenne.

Deux précisions sur la proportionnalité de ces transferts. D'une part, les notifications push ne transportent aucune donnée de la base : seuls le texte de la notification et le jeton d'appareil sont transmis, ce qui circonscrit le transfert à son strict nécessaire. D'autre part, les avis en ligne sont des données publiques : le nom public de l'auteur et le texte de son avis sont publiés par lui-même sur la plateforme du destinataire.

Aucun prestataire de connexion bancaire n'est désigné et la fonctionnalité correspondante n'est pas active. Le prestataire qui sera retenu devra être agréé ou inscrit auprès d'une autorité compétente d'un État membre de l'EEE.

Les données sont chiffrées en transit (HTTPS/TLS) et au repos.

Odres vérifie au moins annuellement, et à chaque modification de sa chaîne de sous-traitance, l'exactitude du présent constat ainsi que le maintien des accords de traitement et de l'inscription des prestataires concernés au registre officiel du cadre de protection des données UE–États-Unis. Toute modification est portée à la section 7.3 et à l'Annexe 2 du DPA, et les Clients en sont informés préalablement dans les conditions de cette section.

8.2 Transferts par destinataire

Les accords et certifications ci-dessus ont été relevés sur les pages officielles des prestataires et sont vérifiés, ainsi que l'inscription au registre officiel du cadre de protection des données UE–États-Unis, à chaque révision de la présente Politique.

8.3 Mécanismes de transfert appliqués

Les transferts décrits à la section 8.2 sont encadrés par les mécanismes du chapitre V du RGPD, effectivement appliqués et non seulement prévus à titre de référence :

1. Clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914 de la Commission du 4 juin 2021 (article 46.2.c), avec le module approprié selon la qualité des parties — module 1 : responsable vers responsable ; module 2 : responsable vers sous-traitant ; module 3 : sous-traitant vers sous-traitant ; module 4 : sous-traitant vers responsable. Ce mécanisme constitue le fondement premier de chaque transfert pour lequel il est disponible.
2. Certification au cadre de protection des données UE–États-Unis, invoquée à titre de garantie additionnelle lorsque le destinataire y est inscrit, et non en substitution des clauses contractuelles types. Cet ordre est délibéré : une position fondée sur les clauses contractuelles types survit à une éventuelle invalidation du cadre, l'inverse n'étant pas vrai. Apple et Mozilla ne figurent pas à ce cadre : pour ces deux destinataires, le transfert repose sur les clauses contractuelles types déclarées par le prestataire uniquement.
3. Décision d'adéquation de la Commission européenne (article 45), le cas échéant assortie d'une certification du destinataire lorsque l'adéquation en dépend. Tel est le cas d'Israël, où Cloudinary Ltd. a son siège, au titre de la décision 2011/61/UE — étant rappelé que le traitement des fichiers a lieu dans un centre de données européen du prestataire.
4. Règles d'entreprise contraignantes approuvées (article 47), auxquelles Odres ne recourt pas à ce jour.
5. À défaut, et de manière exceptionnelle, l'une des dérogations de l'article 49, dont Odres ne fait aucun usage structurel.

8.4 Siège des prestataires hors Union européenne

Railway, Neon et Cloudinary ont leur siège hors de l'Union européenne, bien que le traitement qu'ils opèrent pour Odres ait lieu dans l'Union — respectivement aux Pays-Bas, en Allemagne et dans un centre de données européen du prestataire. Railway Corporation et Neon, LLC sont établies aux États-Unis ; Cloudinary Ltd. est établie en Israël et est une filiale de Cloudinary Inc., établie aux États-Unis. Vercel Inc., hébergeur du Site, est également établie aux États-Unis ; les fonctions serveur du Site s'exécutent à Francfort, et Vercel déclare fonder ses transferts sur les clauses contractuelles types, en étant en outre certifiée au cadre de protection des données UE–États-Unis.

Un prestataire soumis au droit d'un pays tiers demeure soumis aux injonctions de ce droit, quel que soit le lieu du serveur. Ce point n'est pas neutralisé par la localisation européenne du traitement : il est expressément pris en compte dans l'analyse d'impact des transferts annexée au DPA (document n° 10), et les accords de traitement de Railway et de Neon intègrent pour cette raison les clauses contractuelles types pour tout accès depuis les États-Unis.

8.5 Évaluation d'impact des transferts

Conformément à l'arrêt de la Cour de justice de l'Union européenne du 16 juillet 2020 (Data Protection Commissioner c. Facebook Ireland et Maximillian Schrems, C-311/18) et aux recommandations 01/2020 du Comité européen de la protection des données, chaque transfert fondé sur les clauses contractuelles types fait l'objet d'une évaluation d'impact du transfert documentée, annexée au DPA et portant notamment sur :

• la description précise du transfert (données, finalités, destinataires, chaîne de sous-traitance, localisation effective, accès à distance depuis un pays tiers) ;
• le mécanisme de transfert retenu et le module de clauses applicable ;
• l'analyse de la législation et des pratiques du pays de destination, en particulier les pouvoirs d'accès des autorités publiques et l'existence de voies de recours effectives ;
• le cas du prestataire dont le siège est situé hors de l'Union alors que le traitement a lieu dans l'Union (section 8.4) ;
• l'identification de mesures supplémentaires techniques (chiffrement avec conservation des clés dans l'EEE, pseudonymisation, fragmentation, chiffrement de bout en bout des notifications), contractuelles (obligation de notification des demandes d'accès, engagement de contestation, politique de transparence) et organisationnelles ;
• la conclusion motivée sur le caractère substantiellement équivalent de la protection, et la décision de procéder, de suspendre ou d'assortir le transfert de mesures ;
• la date de réexamen.

Une copie des garanties mises en place, en ce compris l'évaluation d'impact des transferts, peut être obtenue sur demande écrite adressée à contact@odres.io, sous réserve d'occultation des éléments confidentiels ou couverts par le secret des affaires.

9. Sécurité des données

9.1 Engagement

Odres met en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD, en tenant compte de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes.

9.2 Mesures

Les mesures effectivement mises en œuvre par Odres sont décrites à l'Annexe 3 du DPA (document n° 10).

Mesures établies. Sont d'ores et déjà en place : le chiffrement des communications par HTTPS/TLS, avec HSTS et préchargement ; le chiffrement des données au repos, assuré par les prestataires d'hébergement de la base de données et des fichiers ; l'hébergement applicatif chez Railway, dont le traitement est localisé aux Pays-Bas (Union européenne) ; la conservation des données métier dans une base PostgreSQL managée par Neon sur infrastructure AWS à Francfort (Allemagne, région eu-central-1) ; le stockage des fichiers chez Cloudinary dans un centre de données européen du prestataire, en mode privé pour les fichiers contenant des données personnelles ou confidentielles, servis par un lien signé expirant après quatre (4) heures ; l'acheminement des e-mails transactionnels par Mailjet dans l'Union européenne ; l'encaissement par Stripe Payments Europe, Limited en Irlande ; la double authentification (TOTP) obligatoire pour l'équipe d'Odres ayant accès au back-office et disponible pour tous les Utilisateurs clients ; le blocage temporaire après cinq (5) échecs de connexion en cinq (5) minutes ; le hachage des mots de passe et des codes PIN (PBKDF2-SHA256) ; le cloisonnement par société et par établissement ; la vérification de signature des webhooks entrants ; et l'absence d'accès d'Odres aux identifiants d'accès bancaires du Client. Les données de la base de données et les fichiers ne quittent pas l'Union européenne ; les transferts accessoires effectivement opérés vers les États-Unis sont décrits à la section 8.

Référentiel visé. Les mesures suivantes constituent le référentiel de sécurité d'Odres, détaillé et assorti d'un statut mesure par mesure à l'Annexe 3 du DPA :

• le chiffrement des communications et le chiffrement des données au repos ;
• le cloisonnement des données entre Clients dans un environnement multi-tenant ;
• la gestion des identités, des accès et des habilitations, avec authentification renforcée pour les accès d'administration ;
• la journalisation des accès et des actions sensibles ;
• les sauvegardes régulières et les tests de restauration ;
• la gestion des vulnérabilités et l'application des correctifs de sécurité ;
• les pratiques de développement sécurisé et la séparation des environnements ;
• la sensibilisation et l'engagement de confidentialité du personnel ;
• une procédure documentée de gestion des incidents et des violations de données.

Réserve de sincérité. À l'exception des mesures expressément qualifiées d'établies ci-dessus, les mesures énumérées décrivent le référentiel visé par Odres et doivent être confirmées ligne par ligne par l'équipe technique avant publication. Odres ne détient à ce jour aucune certification : ni ISO/IEC 27001, ni SOC 2 Type II, ni aucune autre. Aucune certification ne sera annoncée tant qu'elle n'aura pas été effectivement obtenue et qu'un certificat en cours de validité ne pourra être produit.

9.3 Violation de données

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes, Odres notifie l'Autorité de protection des données dans les meilleurs délais et, si possible, dans les soixante-douze (72) heures après en avoir pris connaissance, conformément à l'article 33 du RGPD. Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées en sont informées conformément à l'article 34.

Lorsque la violation concerne des Données Client pour lesquelles Odres agit comme sous-traitant, Odres en informe le Client sans retard injustifié et au plus tard dans les quarante-huit (48) heures, dans les conditions de l'article 13 du DPA, à charge pour le Client, responsable du traitement, d'apprécier l'obligation de notification.

10. Durées de conservation — règles générales

1. Les durées applicables à chaque traitement dont Odres est responsable figurent au tableau de la section 5.
2. À l'expiration de la durée d'utilisation active, les données sont supprimées, anonymisées, ou placées en archivage intermédiaire à accès restreint lorsqu'une obligation légale de conservation ou la défense d'un droit en justice le justifie.
3. Les données figurant dans les sauvegardes sont supprimées selon le cycle de rotation des sauvegardes, dont la durée est de quatre-vingt-dix (90) jours ; ces sauvegardes sont assurées par le prestataire de base de données dans l'Union européenne, avec restauration à un instant donné. Une suppression demandée en base active est répercutée sur les sauvegardes au terme de ce cycle, sans restauration ultérieure des données supprimées.
4. Les Données Agrégées anonymes ne sont pas soumises à une durée de conservation, l'anonymisation étant irréversible.
5. Les durées peuvent être prolongées lorsque la loi l'impose ou lorsque la conservation est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice.
6. Les durées applicables aux Données Client, pour lesquelles le Client est responsable du traitement, sont fixées par lui et figurent au DPA. Les mécanismes techniques de purge suivants sont d'ores et déjà en place dans la Solution : selfies de pointage, supprimés automatiquement vingt-quatre (24) heures après la prise ; photos de preuve (checklists, nettoyage, étiquettes DLC, réceptions), sept (7) jours par défaut, durée réglable par le Client ; données métier (pointages, plannings, RH, HACCP, stock, factures) conservées pour la durée du contrat, puis trente (30) jours de lecture seule pour export après résiliation, avant blocage et suppression, sous réserve des données soumises à une obligation légale de conservation — paie, facturation, traçabilité alimentaire — conservées le temps requis par la loi belge, sous forme anonymisée lorsque c'est possible ; conversations avec l'assistant et preuves de prise de connaissance du bandeau d'information, conservées pour la durée du contrat puis supprimées avec le compte ; clés de stockage local du navigateur effacées après douze (12) mois sans visite.

11. Droits des personnes concernées

11.1 Étendue des droits

Toute personne concernée dispose, dans les conditions et limites prévues par le RGPD, des droits suivants :

11.2 Modalités d'exercice

Les demandes sont adressées par courrier électronique à contact@odres.io, ou par courrier postal à ODRES GROUP SRL, point de contact vie privée, 20 Place Verte, 6000 Charleroi (Belgique). La demande précise, dans la mesure du possible, le droit exercé, le traitement concerné et les éléments permettant d'identifier la personne.

Vérification d'identité. Lorsqu'Odres a des doutes raisonnables quant à l'identité du demandeur, elle peut solliciter les informations supplémentaires nécessaires (article 12.6 du RGPD). Odres ne réclame pas systématiquement de copie d'une pièce d'identité ; lorsqu'une telle copie est indispensable, il est recommandé d'occulter les mentions non nécessaires (photographie, numéro de registre national) et la copie est supprimée dès la vérification effectuée.

Délai de réponse. Odres répond dans un délai d'un (1) mois à compter de la réception de la demande. Ce délai peut être prolongé de deux (2) mois compte tenu de la complexité et du nombre de demandes ; la personne concernée en est informée dans le mois suivant la réception de la demande, avec les motifs de la prolongation.

Gratuité. L'exercice des droits est gratuit. En cas de demandes manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, Odres peut exiger le paiement de frais raisonnables tenant compte des coûts administratifs, ou refuser de donner suite, en motivant sa décision.

Refus. Tout refus est motivé et accompagné de l'information sur la possibilité d'introduire une réclamation auprès d'une autorité de contrôle et de former un recours juridictionnel.

11.3 Cas particulier des Données Client

Lorsque la demande porte sur des données traitées par Odres pour le compte d'un Client, la marche à suivre décrite à la section 4.3 s'applique : la demande doit être adressée au Client, responsable du traitement. La Solution met à cette fin à la disposition des personnes concernées un espace « Mes données » dans l'ERP et dans l'application OdStaff, permettant l'export immédiat des données personnelles au format JSON ou CSV et le dépôt d'une demande de suppression, traitée par le back-office d'Odres sur instruction du Client.

12. Réclamation auprès d'une autorité de contrôle

Toute personne concernée a le droit d'introduire une réclamation auprès d'une autorité de contrôle, en particulier dans l'État membre de sa résidence habituelle, de son lieu de travail ou du lieu où la violation aurait été commise.

Odres étant établie en Belgique, l'autorité compétente est :

Cette faculté est sans préjudice de tout autre recours administratif ou juridictionnel, et notamment du droit d'introduire un recours devant les juridictions compétentes conformément aux articles 78 et 79 du RGPD.

Odres invite toutefois les personnes concernées à la contacter préalablement à contact@odres.io, afin de tenter de résoudre la difficulté directement et rapidement.

13. Prise de décision automatisée et profilage

Odres ne prend pas de décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques concernant une personne ou l'affectant de manière significative de façon similaire, au sens de l'article 22 du RGPD, dans le cadre des traitements dont elle est responsable.

Les mesures d'usage et les statistiques décrites à la section 5.8 servent à orienter les développements produit et n'emportent aucune décision individuelle. La mesure des Utilisateurs Actifs décrite à la section 5.5 repose sur un simple indicateur d'activité et ne constitue pas un profilage.

Fonctions d'intelligence artificielle. L'assistant du back-office et l'aide à la réponse aux avis en ligne (section 4.2) ne prennent aucune décision automatisée : l'assistant n'exécute une action dans l'ERP qu'après confirmation explicite de l'Utilisateur et dans le périmètre des droits propres de celui-ci, et une réponse à un avis n'est publiée qu'après validation par le gérant. Des règles de sécurité fixes encadrent l'assistant : il ne peut révéler ses instructions, produire de code exécutable, divulguer d'information technique sur la plateforme, ni agir sans confirmation. Le selfie de pointage est une photographie simple destinée à un contrôle visuel par le gérant : aucun traitement biométrique n'est effectué — ni extraction de gabarit, ni reconnaissance faciale, ni comparaison automatique.

Réserve d'évolution. Si Odres devait introduire dans la Solution des fonctionnalités de prévision, de scoring ou d'aide à la décision, en particulier en matière de gestion du personnel (prévision de charge, suggestion automatique de plannings, évaluation de performance), les conséquences suivantes en découleraient et devront être traitées avant leur mise en production :

1. la présente section serait mise à jour pour décrire la logique sous-jacente, l'importance et les conséquences envisagées du traitement ;
2. un droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision serait garanti ;
3. le règlement (UE) 2024/1689 (« AI Act ») devrait être examiné, une fonctionnalité d'aide à la décision en matière d'emploi étant susceptible de relever de l'annexe III et donc du régime des systèmes à haut risque ;
4. le DPA interdit contractuellement l'usage décisionnel automatisé non supervisé à l'égard des salariés du Client (article 18 quater.5).

14. Mineurs

La Solution est un outil professionnel destiné à des entreprises. Elle n'est ni conçue ni proposée directement à des mineurs, et Odres ne collecte pas sciemment de données relatives à des mineurs dans le cadre des traitements dont elle est responsable.

Deux situations doivent néanmoins être signalées, qui relèvent de la responsabilité du Client :

1. Travailleurs mineurs. Le secteur HORECA emploie des étudiants et des travailleurs de moins de dix-huit (18) ans. Lorsque de telles données sont introduites dans le module RH de la Solution, le Client en est responsable et doit respecter les dispositions protectrices du droit du travail belge relatives au travail des jeunes.
2. Clients finaux mineurs. Un programme de fidélité ou de réservation peut concerner des personnes mineures. Le Client doit alors veiller à l'application de l'article 8 du RGPD ; en Belgique, l'âge du consentement propre d'un mineur au titre des services de la société de l'information est fixé à treize (13) ans par l'article 7 de la loi du 30 juillet 2018.

Si Odres constatait qu'elle a collecté, dans le cadre de ses propres traitements, des données relatives à un mineur sans base valable, elle les supprimerait sans délai injustifié.

15. Liens vers des sites tiers

Le site et la Solution peuvent contenir des liens vers des sites ou services édités par des tiers. Odres n'exerce aucun contrôle sur ces sites et décline toute responsabilité quant aux traitements de données qu'ils opèrent. Il est recommandé de consulter la politique de confidentialité de chaque site visité.

16. Cookies et technologies assimilées

L'usage des cookies, pixels, stockage local et technologies assimilées sur le site https://odres.io et dans la Solution est décrit dans la Politique de cookies (document n° 04), qui fait partie intégrante de la présente Politique.

La Solution ne dépose aucun cookie publicitaire ni de mesure d'audience. Les seuls traceurs tiers susceptibles d'être déposés sont ceux des lecteurs vidéo du module Formation (Vimeo, YouTube en mode sans cookie), et uniquement au lancement d'une vidéo par l'Utilisateur ; ils sont déclarés dans la Politique de cookies et emportent un transfert vers les États-Unis dans les conditions de la section 8.

17. Modifications de la présente politique

La présente Politique peut être modifiée pour tenir compte de l'évolution de la législation, de la jurisprudence, des recommandations des autorités de contrôle, ou de l'évolution des traitements mis en œuvre par Odres.

La version applicable est celle publiée sur https://odres.io à la date de la consultation. La date de dernière mise à jour figure en tête du document.

En cas de modification substantielle — c'est-à-dire affectant les finalités, les bases légales, les catégories de destinataires, les transferts hors EEE ou les droits des personnes —, Odres en informe les personnes concernées par un moyen approprié (bandeau sur le site, notification dans la Solution ou courrier électronique) trente (30) jours avant l'entrée en vigueur de la nouvelle version, sauf lorsque la modification résulte d'une obligation légale d'application immédiate.

Un historique des versions est tenu et peut être communiqué sur demande.