Menu QR code et RGPD : ce qu'il faut vérifier

Un menu QR code qui prend les commandes collecte, par nature, des données : contenu de la commande, parfois email ou téléphone du client, moyens de paiement traités par un tiers. En tant que restaurateur, c'est vous — et non uniquement l'éditeur du logiciel — qui restez responsable de l'expérience proposée à vos clients. Voici les questions à poser avant de choisir une solution.

Où sont hébergées les données ?

L'hébergement hors Union européenne n'est pas interdit par le RGPD, mais il implique des garanties supplémentaires (clauses contractuelles types, cadre d'adéquation). Demandez explicitement où sont hébergés les serveurs de l'application. Qoul héberge ses serveurs chez Hetzner, en Finlande (Union européenne) — le détail complet des sous-traitants et des transferts est public dans notre politique de confidentialité.

Quelles données sont collectées, et pendant combien de temps ?

Une politique de confidentialité sérieuse détaille, catégorie par catégorie, quelles données sont traitées, pour quelle finalité, sur quelle base légale, et pendant combien de temps elles sont conservées. Si cette information n'est pas publique ou reste vague (« nous conservons vos données le temps nécessaire »), c'est un signal à prendre au sérieux.

Qui traite les paiements ?

Le traitement des paiements par carte doit passer par un prestataire de paiement agréé (Stripe, Adyen, etc.) — jamais par un stockage direct des numéros de carte sur les serveurs de l'éditeur du menu. Vérifiez que l'éditeur ne stocke jamais lui-même les données de carte bancaire.

Y a-t-il un risque de faux QR code ?

Le risque ne vient pas du logiciel mais du support physique : un tiers malveillant peut, en théorie, coller un autocollant frauduleux par-dessus un QR code légitime pour rediriger vers un faux site de paiement. C'est un risque propre à tout support imprimé exposé au public, quel que soit l'éditeur du menu — vérifiez périodiquement que les QR codes affichés en salle sont intacts.

Vos propres obligations en tant que restaurateur

Même en utilisant une solution tierce, vous restez responsable de traitement pour les données que vous collectez via votre menu (par exemple un programme de fidélité). Assurez- vous que votre solution vous permet d'informer vos clients et de répondre à leurs demandes d'exercice de droits (accès, suppression) sans dépendre entièrement de l'éditeur.

En résumé

Un menu QR code conforme au RGPD n'est pas une case à cocher, c'est une transparence vérifiable : hébergement identifié, durées de conservation publiées, paiement délégué à un prestataire agréé. Demandez ces informations avant de signer, elles doivent être disponibles sans effort.