Confidentialité

Ce que je garde, et ce que j'en fais.

Un resto me confie ses horaires, ses chiffres et les dossiers de ses employés. Voici, sans jargon, ce que ça veut dire. Dernière mise à jour: 29 septembre 2026.

Qui est responsable

Bonjour Gus est un produit de Pista Studio, Québec (Canada). Le responsable de la protection des renseignements personnels est le président de Pista Studio, joignable à bonjour@bonjourgus.com. C'est lui qui répond aux demandes d'accès, de correction et d'effacement, en semaine, dans les jours qui suivent.

Ce que je garde

Pour l'entreprise cliente: le nom de l'établissement, le courriel et le nom du propriétaire et des gestionnaires, leur mot de passe (haché, jamais lisible), l'état de l'abonnement. Le paiement lui-même est chez Stripe; je ne vois jamais le numéro de carte.

Pour l'équipe, ce que le gérant entre: nom, poste, téléphone, courriel, taux horaire, horaires, disponibilités, vacances, notes du gestionnaire, et le dossier d'employé si le resto l'utilise (date de naissance, adresse, personne à joindre en cas d'urgence, numéro d'assurance sociale, compte bancaire pour la paie, documents signés). Ce dossier existe parce qu'un employeur au Québec doit le tenir; il est chiffré au repos avec une clé propre à chaque établissement, masqué à l'écran, et chaque révélation d'un N.A.S. ou d'un compte est journalisée avec le nom de la personne connectée.

Pour le resto: les ventes, les transactions, les heures travaillées, l'inventaire, les décisions et le cartable. Ce sont les données du client; je les calcule, je ne les vends à personne et je ne les compare pas entre restos.

Techniquement: l'adresse IP et le navigateur lors des connexions, des inscriptions et des formulaires (pour freiner les abus), et un journal des actions de gestion (la «boîte noire») pour que le propriétaire sache qui a changé quoi.

Où c'est hébergé

Le site tourne chez Vercel et la base de données chez Neon (Postgres), tous deux dans la région de Washington, aux États-Unis, avec des données chiffrées au repos et en transit. Les courriels partent par Resend, le paiement passe par Stripe, aux États-Unis aussi. Les dossiers d'employés sont chiffrés avant d'y arriver, avec une clé propre à chaque établissement, et l'hébergement hors Québec a fait l'objet d'une évaluation des facteurs relatifs à la vie privée, comme la Loi 25 le demande. La page Sécurité détaille tout. Aucun autre tiers ne reçoit de données de ton établissement. Pas de revente.

Les seuls traceurs du site sont le pixel Meta et la balise Google (Google Ads et Google Analytics, la mesure d'audience), sur les pages de vente seulement, et seulement si tu dis oui (voir Témoins). Sur ces mêmes pages, Vercel compte les visites (pages vues, pays, appareil) sans témoin et sans t'identifier. Rien de tout ça dans l'app de ton établissement.

«Demande à Gus», le chat du site et du Back Office, passe par Anthropic (Claude): la question et, dans le Back Office, un résumé de chiffres du resto (ventes, heures, verdicts, prénoms et postes de l'équipe) lui sont envoyés pour produire la réponse; jamais le N.A.S., les coordonnées bancaires, les adresses ni les dossiers disciplinaires. Anthropic n'utilise pas ces échanges pour entraîner ses modèles. Chez nous, le premier message d'une conversation du site est journalisé (ses 120 premiers caractères), et jusqu'à six messages sont gardés quand tu laisses une demande de contact dans le chat, pour qu'on sache de quoi tu parlais en te rappelant. Le reste n'est pas conservé au-delà de ton navigateur.

Qui y a accès

Le propriétaire et les gestionnaires qu'il invite, selon leur rôle (le gestionnaire ne voit ni les réglages de coûts, ni l'abonnement, ni la boîte noire, et ne peut pas supprimer un employé). L'équipe voit l'horaire, ses dispos et le cartable avec le code d'équipe, jamais les chiffres ni les dossiers. Pista Studio n'entre dans un établissement que sur demande du propriétaire, pour du soutien, et ça se voit dans la boîte noire.

Combien de temps

Tant que l'abonnement est actif, plus 30 jours après la fermeture du compte, le temps d'exporter. Ensuite, tout est effacé: l'établissement, les dossiers, les journaux. Les employés archivés restent tant que le resto garde son compte, parce que les obligations d'un employeur durent après le départ. La boîte noire garde deux ans d'actions de gestion, et cinq ans pour ce qui touche aux dossiers d'employés, parce que c'est la trace qui dit qui a ouvert quoi. Une sauvegarde chiffrée de chaque établissement est prise chaque nuit et gardée quatorze jours (celle du lundi, trois mois): un compte effacé disparaît donc aussi des sauvegardes au plus tard trois mois après l'effacement. L'historique de restauration de la base chez Neon est de courte durée (quelques heures avec le plan actuel).

Tes droits

Un employé peut demander à voir ce que son employeur a entré à son sujet, le faire corriger ou effacer: la demande passe d'abord par le resto, qui tient le dossier; si ça bloque, écris-nous et on l'accompagne. Un propriétaire exporte tout en CSV ou en JSON quand il veut (Réglages, Exports), et ferme son compte lui-même (Mon compte). Toute personne peut nous écrire pour savoir ce qu'on a sur elle. En cas de désaccord, la Commission d'accès à l'information du Québec peut être saisie.

S'il arrive quelque chose

Si un incident touche des renseignements personnels, on avertit le propriétaire de chaque établissement concerné, et la Commission quand la loi l'exige, en disant ce qui s'est passé et ce qu'on a fait. Le journal des incidents est tenu par le responsable.

Témoins (cookies)

Les nécessaires, posés par moi, sans traceur: gus_session (ta session de gestion, 30 jours ou jusqu'à la fermeture), gus_team (le code d'équipe sur le téléphone, 6 mois), gus_lang et gus_variant (la langue choisie et la variante du site, 180 jours), gus_ref (le code de parrainage d'un lien /r, 30 jours), gus_utm (d'où tu es arrivé: la campagne, le mot-clé et l'identifiant du clic sur l'annonce, pour savoir quelle campagne a mené à l'inscription, 30 jours). Ta réponse à la question des témoins vit dans le navigateur (gus-consent, localStorage), qui garde aussi quelques préférences locales (onglet ouvert, visite guidée vue). Des témoins publicitaires, facultatifs: le pixel Meta (Facebook et Instagram) et la balise Google (Google Ads et Google Analytics), sur les pages du site de vente bonjourgus.com seulement, jamais dans le Back Office ni du côté équipe. Ils servent à savoir si nos publicités t'ont amené ici et si tu t'es inscrit; le pixel Meta ne se charge qu'après ton «D'accord» dans la petite barre en bas de la page; la balise Google se charge en «mode consentement refusé» (aucun témoin, aucune donnée personnelle, un signal anonyme seulement) et ne pose ses témoins qu'après ton «D'accord», et «Non merci» est respecté pour de bon. Pour changer d'idée dans un sens ou dans l'autre: le lien «Témoins» au bas de chaque page du site rouvre la question. Si tu retires ton accord, les deux cessent d'envoyer et leurs témoins (_fbp, _fbc, _gcl_*) sont effacés sur-le-champ.

Les conditions d'utilisation disent le reste: ce qu'on promet, ce qu'on ne promet pas, et comment on se quitte.