Menu QR code et RGPD : ce qu'il faut vérifier

Un menu QR code qui prend les commandes collecte, par nature, des données : contenu de la commande, parfois email ou téléphone du client, moyens de paiement traités par un tiers. En tant que restaurateur, c'est vous — et non uniquement l'éditeur du logiciel — qui restez responsable de l'expérience proposée à vos clients. Voici les questions à poser avant de choisir une solution, et ce que vous devez savoir de vos propres obligations. Cet article donne des repères pratiques, pas un conseil juridique : pour un cas particulier, appuyez-vous sur les ressources de la CNIL ou sur un conseil qualifié.

Responsable de traitement ou sous-traitant : la distinction qui décide de tout

Presque toutes les questions de conformité d'un menu digital se répondent à partir d'une seule distinction, posée par le RGPD lui-même : qui décide de ce qu'on fait des données, et qui se contente de les traiter pour le compte d'un autre. Le premier est le responsable de traitement, le second le sous-traitant. Ce ne sont pas des étiquettes commerciales que l'on choisit : le rôle découle des faits.

Le restaurateur est responsable de traitement

C'est vous qui décidez d'ouvrir un menu digital, de demander (ou non) un email au client, de lancer un programme de fidélité, de conserver un historique de commandes. Vous déterminez les finalités et les moyens : vous êtes responsable de traitement pour les données de vos clients. Cela signifie concrètement que c'est vous qui devez informer vos clients, choisir une base légale correcte, répondre aux demandes d'exercice de droits, et — si vous en avez l'obligation — tenir un registre des activités de traitement.

Ce point surprend souvent, parce que l'intuition est inverse : « le logiciel n'est pas à moi, donc les données non plus ». Juridiquement, la propriété du logiciel n'entre pas en ligne de compte. Une sanction pour information insuffisante des clients ou pour conservation abusive vise le responsable de traitement, donc l'établissement.

L'éditeur du menu est sous-traitant

L'éditeur, lui, héberge et traite ces données pour votre compte, dans les limites de ce que vous lui demandez. Il ne peut pas légitimement décider seul de réutiliser vos données clients pour son propre compte — par exemple pour bâtir une base marketing ou revendre des statistiques nominatives. Si un éditeur se réserve ce droit dans ses conditions, il sort du rôle de sous-traitant et devient responsable conjoint, ce qui doit être écrit noir sur blanc et vous être expliqué. Lisez cette clause : c'est celle qui distingue un prestataire d'un acquéreur de données.

Le contrat de sous-traitance (DPA) : ce qu'il doit contenir

Dès qu'un sous-traitant traite des données pour votre compte, le RGPD impose un contrat écrit — c'est l'objet de son article 28, souvent appelé DPA (data processing agreement) ou contrat de sous-traitance. Ce n'est pas une formalité décorative : c'est le document que vous produirez si on vous demande un jour de justifier votre organisation.

Un DPA correct décrit au minimum :

• L'objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de données et de personnes concernées — pas en termes vagues, mais effectivement listées.
• L'engagement de n'agir que sur instruction documentée du responsable de traitement, y compris pour les transferts hors Union européenne.
• La confidentialité des personnes autorisées à traiter les données et les mesures de sécurité mises en place (chiffrement, contrôle d'accès, sauvegardes).
• Le régime des sous-traitants ultérieurs : la liste de ceux déjà utilisés (hébergeur, prestataire de paiement, service d'emailing) et l'obligation de vous informer avant d'en ajouter, avec une possibilité de vous y opposer.
• L'assistance de l'éditeur pour répondre aux demandes d'exercice de droits et pour notifier une violation de données — le RGPD prévoit une notification à l'autorité de contrôle dans les 72 heures, délai intenable si l'éditeur vous prévient une semaine plus tard.
• Le sort des données en fin de contrat : suppression ou restitution, et dans quel format. Un export exploitable de vos commandes et de votre carte, sans surcoût, est ce qui vous évite d'être prisonnier d'un outil.

Un éditeur sérieux fournit ce document sans négociation, souvent en téléchargement direct. Un éditeur qui « n'en a pas encore » ou qui vous renvoie à ses seules CGV vous laisse exposé, puisque c'est vous, et non lui, que l'absence de contrat met en défaut.

Où sont hébergées les données ?

L'hébergement hors Union européenne n'est pas interdit par le RGPD, mais il implique des garanties supplémentaires (clauses contractuelles types, cadre d'adéquation) et un devoir d'information renforcé. Demandez explicitement où sont hébergés les serveurs de l'application, et pas seulement où se trouve le siège social de l'éditeur : les deux n'ont aucune raison d'être au même endroit. Qoul héberge ses serveurs chez Hetzner, en Finlande (Union européenne) — le détail complet des sous-traitants et des transferts est public dans notre politique de confidentialité.

Attention également aux sous-traitants indirects : un menu hébergé en Europe qui envoie ses emails de confirmation via un service américain, ou qui charge une police de caractères depuis un serveur tiers, fait quand même sortir des données. Ces cas se repèrent dans la liste des sous-traitants ultérieurs du DPA.

Quelles données sont collectées, et pendant combien de temps ?

Une politique de confidentialité sérieuse détaille, catégorie par catégorie, quelles données sont traitées, pour quelle finalité, sur quelle base légale, et pendant combien de temps elles sont conservées. Si cette information n'est pas publique ou reste vague (« nous conservons vos données le temps nécessaire »), c'est un signal à prendre au sérieux.

Le principe de minimisation mérite aussi un passage en revue de votre côté : un menu qui exige un nom, un email et un numéro de téléphone pour une commande à emporter payée en ligne collecte probablement plus que nécessaire. Chaque champ obligatoire doit pouvoir se justifier par une finalité réelle. Un champ facultatif clairement présenté comme tel est toujours préférable à un champ obligatoire dont personne ne sait à quoi il sert.

À quoi ressemble une durée de conservation crédible

Une durée crédible n'est jamais unique : elle varie selon la catégorie de données, parce que les obligations qui la fondent varient. Une facture relève des obligations comptables et se conserve plusieurs années à ce titre ; un panier abandonné n'a aucune raison de survivre plus de quelques jours ; une adresse email collectée pour de la prospection se périme, la CNIL retenant classiquement un repère de trois ans à compter du dernier contact pour un prospect.

Une politique qui affiche la même durée pour tout, ou qui n'en affiche aucune, indique simplement que la question n'a pas été traitée. Vous pouvez la poser très concrètement : dans douze mois, que reste-t-il des données du client qui a commandé chez moi aujourd'hui, et pourquoi ?

Qui traite les paiements ?

Le traitement des paiements par carte doit passer par un prestataire de paiement agréé (Stripe, Adyen, etc.) — jamais par un stockage direct des numéros de carte sur les serveurs de l'éditeur du menu. Vérifiez que l'éditeur ne stocke jamais lui-même les données de carte bancaire : chez qoul, le paiement est entièrement délégué à Stripe, et les données de carte ne transitent pas par nos serveurs. C'est aussi ce qui explique qu'un remboursement ou une contestation se règle dans les outils du prestataire de paiement, et non dans le menu.

Cookies et consentement sur la page du menu

La page du menu est un site web comme un autre, et le régime des cookies ne dépend pas du RGPD seul mais de l'article 82 de la loi Informatique et Libertés. La règle utile à retenir : les traceurs strictement nécessaires au service demandé par l'utilisateur ne requièrent pas de consentement — un cookie de session qui garde le panier d'un client pendant qu'il compose sa commande entre dans cette catégorie. Tout le reste (mesure d'audience non exemptée, pixels publicitaires, outils de retargeting) suppose un consentement préalable, libre et aussi facile à refuser qu'à accepter.

Ce point a une conséquence directe sur le choix d'une solution : un menu digital qui n'embarque aucun traceur publicitaire n'a besoin d'aucune bannière, ce qui supprime une friction au moment précis où le client veut consulter la carte. Si une bannière de consentement apparaît sur votre menu, demandez à l'éditeur la liste exacte des traceurs déposés et pour le compte de qui.

Répondre à une demande d'accès ou de suppression

Un client peut vous demander quelles données vous détenez sur lui (droit d'accès), leur rectification, ou leur effacement. Le RGPD prévoit une réponse dans un délai d'un mois, prolongeable en cas de demande complexe, et cette réponse vous incombe en tant que responsable de traitement — même si l'outil qui détient les données est celui de l'éditeur.

Autant s'être demandé avant de signer comment cela se passe en pratique : existe-t-il un export des données d'un client donné depuis le tableau de bord, ou faut-il ouvrir un ticket au support et attendre ? La deuxième réponse n'est pas disqualifiante, mais elle vous rend dépendant du délai de réponse d'un tiers pour tenir le vôtre.

Le cas particulier de la suppression

Le droit à l'effacement n'est pas absolu, et c'est une bonne nouvelle pour un restaurateur : vous n'avez pas à supprimer une facture parce qu'un client le demande, puisque sa conservation répond à une obligation légale distincte. En revanche, ce qui n'est justifié par aucune obligation — une adresse conservée pour la prospection, un historique de préférences alimentaires — doit bien pouvoir être supprimé.

La formulation d'une bonne réponse tient donc en deux temps : ce qui a été supprimé, et ce qui est conservé avec le motif précis. Une suppression partielle motivée est conforme ; un « nous ne pouvons pas supprimer » sans explication ne l'est pas.

Y a-t-il un risque de faux QR code ?

Le risque ne vient pas du logiciel mais du support physique : un tiers malveillant peut, en théorie, coller un autocollant frauduleux par-dessus un QR code légitime pour rediriger vers un faux site de paiement. C'est un risque propre à tout support imprimé exposé au public, quel que soit l'éditeur du menu, et il vise vos clients autant que votre réputation.

Les parades sont physiques et coûtent peu :

• Privilégier un support difficile à recouvrir proprement : une carte de table imprimée dans la masse, ou un chevalet, plutôt qu'un autocollant nu sur lequel un second autocollant passe inaperçu.
• Intégrer le QR code dans un visuel aux couleurs de l'établissement : un faux collé par-dessus détonne immédiatement.
• Vérifier les supports au moment de la mise en place des tables, comme on vérifie les salières — c'est une habitude, pas une procédure.
• Savoir quelle adresse doit s'afficher : si toute l'équipe connaît le domaine légitime du menu, une redirection étrangère se repère en une seconde.

Un client qui signale une page inhabituelle doit être pris au sérieux immédiatement : retirer le support, vérifier, et prévenir votre éditeur si l'adresse usurpe votre marque.

Checklist avant de signer

• Localisation des serveurs identifiée et communiquée par écrit.
• Politique de confidentialité publique, précisant finalité, base légale et durée de conservation par catégorie de données.
• Paiement délégué à un prestataire agréé, jamais stocké par l'éditeur du menu.
• Procédure claire pour exercer un droit d'accès ou de suppression pour un client.
• Contrat de sous-traitance (DPA) disponible, avec la liste des sous-traitants ultérieurs.
• Engagement de ne pas réutiliser vos données clients pour le compte propre de l'éditeur.
• Export de vos données et de votre carte possible en fin de contrat, sans surcoût.

En résumé

Un menu QR code conforme au RGPD n'est pas une case à cocher, c'est une transparence vérifiable : rôles clarifiés entre vous et l'éditeur, contrat de sous-traitance disponible, hébergement identifié, durées de conservation publiées, paiement délégué à un prestataire agréé. Si un éditeur refuse de préciser ces points, ce refus est en lui-même une information. Ces éléments comptent autant que le prix ou les fonctionnalités au moment de comparer deux offres — voir notre guide complet du menu QR code et notre panorama des plateformes du marché.