गोपनीयता नीति

संस्करण 2.0 — 20 जुलाई 2026

गोपनीयता नीति

अंतिम अद्यतन: [प्रकाशन तिथि] संस्करण: 2.0

1. डेटा नियंत्रक (Controller)

ALaCarte.Direct सेवा के माध्यम से एकत्र किए गए व्यक्तिगत डेटा के प्रसंस्करण का नियंत्रक है:

DGK Group, 10,000 यूरो की अधिकृत पूंजी वाली SASU RCS Paris 901 219 352 पंजीकृत कार्यालय: 25 rue de Ponthieu, 75008 Paris, France VAT संख्या: FR 57 901 219 352

डेटा संरक्षण अधिकारी (DPO): Damien GOSSARD संपर्क: [email protected]

2. एकत्रित डेटा और उद्देश्य

2.1 — ग्राहकों का डेटा (रेस्तरां संचालक)

एकत्रित डेटा	उद्देश्य	कानूनी आधार
पहचान (अंतिम नाम, प्रथम नाम, कंपनी नाम, SIRET)	खाता निर्माण और प्रबंधन, चालान	अनुबंध का निष्पादन
संपर्क विवरण (ईमेल, फोन, पता)	संचार, समर्थन, चालान	अनुबंध का निष्पादन
बैंकिंग डेटा (IBAN, Stripe/GoCardless के माध्यम से कार्ड जानकारी)	सदस्यता और कमीशन का संग्रह	अनुबंध का निष्पादन
लॉगिन डेटा (क्रेडेंशियल्स, एक्सेस लॉग, IP पता)	सेवा सुरक्षा, खोज क्षमता	वैध हित
उपयोग डेटा (सक्रिय सुविधाएँ, उपयोग सांख्यिकी)	सेवा सुधार, समर्थन	वैध हित
चालान डेटा (चालान इतिहास, राशि)	लेखांकन और कर दायित्व	कानूनी दायित्व

2.2 — अंतिम ग्राहकों का डेटा (उपभोक्ता)

अंतिम ग्राहकों का डेटा तब एकत्र किया जाता है जब वे ग्राहक (रेस्तरां) द्वारा सक्रिय की गई सेवा सुविधाओं के साथ बातचीत करते हैं:

एकत्रित डेटा	संबंधित सुविधा	उद्देश्य	कानूनी आधार
नाम, ईमेल, फोन	गिफ्ट कार्ड, Click & Collect, लॉयल्टी, समूह लाभ	ऑर्डर/सेवा का निष्पादन	अनुबंध का निष्पादन (रेस्तरां के साथ)
ऑर्डर इतिहास	Click & Collect, टेबल ऑर्डरिंग	ऑर्डर ट्रैकिंग, दावे	अनुबंध का निष्पादन
लॉयल्टी अंक / स्टैम्प	लॉयल्टी	लॉयल्टी कार्यक्रम का प्रबंधन	अनुबंध का निष्पादन
भुगतान डेटा (विशेष रूप से Stripe द्वारा संसाधित)	मेज़ पर भुगतान, Click & Collect, गिफ्ट कार्ड	भुगतान प्रसंस्करण	अनुबंध का निष्पादन
व्यावसायिक ईमेल पता	समूह लाभ	पात्रता सत्यापन	अनुबंध का निष्पादन

ALCD GDPR के अर्थ में एक प्रोसेसर (processor) के रूप में ग्राहक (रेस्तरां) की ओर से इस डेटा को संसाधित करता है, जो अपने अंतिम ग्राहकों के संबंध में नियंत्रक बना रहता है। ALCD ग्राहक को व्यक्तिगत डेटा (पहुँच, सुधार, विलोपन) के संबंध में अपने दायित्वों का पालन करने के लिए आवश्यक उपकरण प्रदान करता है।

2.3 — नेविगेशन डेटा

एकत्रित डेटा	उद्देश्य	कानूनी आधार
आवश्यक कुकीज़ (सत्र, प्रमाणीकरण, CSRF)	सेवा संचालन	वैध हित
एनालिटिक्स कुकीज़ (Google Analytics 4)	दर्शक मापन, सेवा सुधार	सहमति
IP पता, ब्राउज़र प्रकार, ऑपरेटिंग सिस्टम	सुरक्षा, तकनीकी संगतता	वैध हित

3. उप-प्रसंस्करणकर्ता (Sub-processors)

व्यक्तिगत डेटा के प्रसंस्करण के लिए ALCD निम्नलिखित उप-प्रसंस्करणकर्ताओं का उपयोग करता है:

उप-प्रसंस्करणकर्ता	स्थान	भूमिका	संसाधित डेटा	EU के बाहर स्थानांतरण	सुरक्षा उपाय
OVH SAS	Roubaix, फ्रांस	सर्वर और डेटा होस्टिंग	सभी डेटा	नहीं	—
Stripe Payments Europe Ltd	Dublin, आयरलैंड	भुगतान प्रसंस्करण (Stripe Connect)	भुगतान डेटा, पहचान	हाँ (USA)	EU-US Data Privacy Framework
GoCardless Ltd	London, UK	SEPA प्रत्यक्ष डेबिट	IBAN, ग्राहक की पहचान	नहीं	UK पर्याप्तता निर्णय
Brevo (Sendinblue SAS)	Paris, फ्रांस	लेन-देन और मार्केटिंग ईमेल भेजना	ईमेल, अंतिम नाम, प्रथम नाम	नहीं	—
HubSpot Inc.	Cambridge, USA	CRM — व्यावसायिक संबंध प्रबंधन	पहचान, संपर्क विवरण, व्यावसायिक इतिहास	हाँ (USA)	EU-US Data Privacy Framework
Google Ireland Ltd	Dublin, आयरलैंड	एनालिटिक्स (Google Analytics 4)	अनाम नेविगेशन डेटा, छंटा हुआ IP पता	हाँ (USA)	EU-US Data Privacy Framework
Anthropic PBC	San Francisco, USA	कृत्रिम बुद्धिमत्ता — सहायता और स्वचालन	संदर्भित प्रसंस्करण डेटा	हाँ (USA)	मानक संविदात्मक खंड

ALCD सुनिश्चित करता है कि प्रत्येक उप-प्रसंस्करणकर्ता GDPR के अनुच्छेद 28 के अनुसार उचित तकनीकी और संगठनात्मक उपायों के कार्यान्वयन के संबंध में पर्याप्त गारंटी प्रस्तुत करे।

4. यूरोपीय संघ के बाहर डेटा स्थानांतरण

Stripe, HubSpot, Google और Anthropic द्वारा प्रदान की जाने वाली सेवाओं के संबंध में कुछ डेटा संयुक्त राज्य अमेरिका में स्थानांतरित किया जा सकता है। ये स्थानांतरण निम्नलिखित द्वारा नियंत्रित हैं:

Stripe, Google और HubSpot के लिए EU-US Data Privacy Framework (10 जुलाई 2023 का यूरोपीय आयोग पर्याप्तता निर्णय), जो इस ढांचे के तहत प्रमाणित हैं
Anthropic के लिए यूरोपीय आयोग द्वारा अपनाए गए मानक संविदात्मक खंड (4 जून 2021 का निर्णय)

ALCD नियमित रूप से इन स्थानांतरण तंत्रों की वैधता सत्यापित करता है और अमान्यता की स्थिति में आवश्यक कदम उठाएगा।

5. प्रतिधारण अवधि

डेटा श्रेणी	प्रतिधारण अवधि	औचित्य
सक्रिय ग्राहक (रेस्तरां संचालक) खाता डेटा	अनुबंध की अवधि	अनुबंध का निष्पादन
समाप्ति के बाद ग्राहक खाता डेटा	3 वर्ष	नागरिक सीमा अवधि (फ्रांसीसी नागरिक संहिता का अनुच्छेद 2224)
चालान डेटा	10 वर्ष	लेखांकन दायित्व (फ्रांसीसी वाणिज्यिक संहिता का अनुच्छेद L.123-22)
अंतिम ग्राहक डेटा (लॉयल्टी)	अंतिम गतिविधि के 24 महीने बाद	आनुपातिकता
अंतिम ग्राहक डेटा (ऑर्डर)	अंतिम ऑर्डर के 5 वर्ष बाद	संविदात्मक सीमा अवधि
अंतिम ग्राहक डेटा (गिफ्ट कार्ड)	कार्ड की वैधता + 12 महीने	दावा प्रबंधन
कानूनी दस्तावेज़ों की स्वीकृति का डेटा	असीमित	संविदात्मक स्वीकृति का प्रमाण
कनेक्शन लॉग	12 महीने	कानूनी दायित्व (LCEN)
सत्र कुकीज़	सत्र की अवधि	तकनीकी संचालन
एनालिटिक्स कुकीज़	अधिकतम 13 महीने	CNIL अनुशंसा
वाणिज्यिक प्रॉस्पेक्टिंग डेटा (HubSpot)	अंतिम संपर्क के 3 वर्ष बाद	CNIL अनुशंसा

इन अवधियों की समाप्ति पर, डेटा अपरिवर्तनीय रूप से हटा दिया या अनाम कर दिया जाता है।

6. डेटा विषयों के अधिकार

GDPR (अनुच्छेद 15 से 22) के अनुसार, किसी भी व्यक्ति जिसका डेटा संसाधित किया जाता है, उसके पास निम्नलिखित अधिकार हैं:

पहुँच का अधिकार (अनुच्छेद 15): पुष्टि प्राप्त करना कि डेटा संसाधित किया जा रहा है और एक प्रति प्राप्त करना
सुधार का अधिकार (अनुच्छेद 16): गलत या अधूरे डेटा को ठीक करना
मिटाने का अधिकार (अनुच्छेद 17): कानूनी प्रतिधारण दायित्वों के अधीन, डेटा को हटाने का अनुरोध करना
प्रसंस्करण के प्रतिबंध का अधिकार (अनुच्छेद 18): अस्थायी रूप से प्रसंस्करण को प्रतिबंधित करना
पोर्टेबिलिटी का अधिकार (अनुच्छेद 20): अपने डेटा को संरचित, सामान्य रूप से उपयोग किए जाने वाले और मशीन-पठनीय प्रारूप में प्राप्त करना
आपत्ति का अधिकार (अनुच्छेद 21): वैध हित पर आधारित प्रसंस्करण पर आपत्ति करना, विशेष रूप से वाणिज्यिक प्रॉस्पेक्टिंग उद्देश्यों के लिए
किसी भी समय सहमति वापस लेने का अधिकार, जब प्रसंस्करण सहमति पर आधारित हो

अपने अधिकारों का प्रयोग कैसे करें

इनमें से किसी भी अधिकार का प्रयोग करने के लिए, अपना अनुरोध इस पते पर भेजें:

ईमेल: [email protected]
डाक: DGK Group — DPO, 25 rue de Ponthieu, 75008 Paris, France

ALCD अनुरोध की प्राप्ति से तीस (30) दिनों के भीतर जवाब देने का वचन देता है। इस अवधि को जटिलता या बड़ी संख्या में अनुरोधों की स्थिति में दो महीने तक बढ़ाया जा सकता है, जिस स्थिति में अनुरोधकर्ता को प्रारंभिक 30-दिन की अवधि के भीतर इस विस्तार के बारे में सूचित किया जाता है।

अनुरोधकर्ता की पहचान के बारे में उचित संदेह होने पर पहचान का प्रमाण माँगा जा सकता है।

अंतिम ग्राहक (उपभोक्ता)

जिन अंतिम ग्राहकों का डेटा सेवा के माध्यम से संसाधित किया जाता है, उन्हें सबसे पहले संबंधित रेस्तरां (नियंत्रक) से संपर्क करना चाहिए। यदि रेस्तरां अब सक्रिय नहीं है या उचित अवधि के भीतर जवाब नहीं देता है, तो ALCD सीधे अनुरोधों को संसाधित कर सकता है।

CNIL में शिकायत

यदि आपके डेटा के प्रसंस्करण के संबंध में लगातार असहमति है, तो आपको Commission Nationale de l'Informatique et des Libertés (CNIL — फ्रांसीसी डेटा संरक्षण प्राधिकरण) में शिकायत दर्ज करने का अधिकार है:

ऑनलाइन: https://www.cnil.fr/fr/plaintes
डाक द्वारा: CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France

7. कुकीज़ और ट्रैकर

7.1 — आवश्यक कुकीज़ (सहमति के बिना)

ये कुकीज़ सेवा के संचालन के लिए कड़ाई से आवश्यक हैं। इन्हें अक्षम नहीं किया जा सकता:

कुकी	उद्देश्य	अवधि
Laravel सत्र	उपयोगकर्ता सत्र का रखरखाव	सत्र की अवधि
XSRF-TOKEN	CSRF हमलों से सुरक्षा	सत्र की अवधि
कुकी वरीयता कुकी	आपकी कुकी पसंद को याद रखना	13 महीने

7.2 — एनालिटिक्स कुकीज़ (सहमति के साथ)

ये कुकीज़ केवल आपकी पूर्व सहमति से रखी जाती हैं:

कुकी	प्रदाता	उद्देश्य	अवधि
_ga, ga*	Google Analytics 4	अनाम दर्शक मापन	13 महीने

Google Analytics 4 को IP पता अनाम करने के साथ कॉन्फ़िगर किया गया है। डेटा डिफ़ॉल्ट रूप से यूरोपीय संघ में होस्ट किया जाता है। सहमति पैरामीटर (Google Consent Mode v2) का उपयोग केवल स्पष्ट सहमति के बाद डेटा एकत्र करने के लिए किया जाता है।

7.3 — अपनी वरीयताओं का प्रबंधन

आपकी पहली यात्रा पर, एक बैनर आपको गैर-आवश्यक कुकीज़ को स्वीकार या अस्वीकार करने का विकल्प प्रदान करता है। आप साइट के फुटर में मौजूद «कुकीज़ प्रबंधित करें» लिंक पर क्लिक करके किसी भी समय अपनी पसंद बदल सकते हैं।

एनालिटिक्स कुकीज़ को अस्वीकार करने का सेवा के उपयोग पर कोई प्रभाव नहीं पड़ता।

8. डेटा सुरक्षा

ALCD व्यक्तिगत डेटा की सुरक्षा के लिए निम्नलिखित तकनीकी और संगठनात्मक उपाय लागू करता है:

ट्रांज़िट में एन्क्रिप्शन: ब्राउज़र और हमारे सर्वर के बीच सभी संचार TLS/SSL (HTTPS) के माध्यम से एन्क्रिप्टेड हैं
आराम पर एन्क्रिप्शन: संवेदनशील डेटा (क्रेडेंशियल्स, बैंकिंग डेटा) डेटाबेस में एन्क्रिप्टेड है
एक्सेस नियंत्रण: अधिकृत कर्मचारियों तक सीमित डेटा एक्सेस, मजबूत प्रमाणीकरण के साथ
बैकअप: 7 दिनों की प्रतिधारण के साथ दैनिक एन्क्रिप्टेड बैकअप
सुरक्षा अद्यतन: पूरे बुनियादी ढाँचे में नियमित रूप से सुरक्षा पैच का अनुप्रयोग
सुरक्षा परीक्षण: कोड समीक्षा और नियमित परीक्षण

9. डेटा उल्लंघन

GDPR के अनुच्छेद 33 के अर्थ में व्यक्तिगत डेटा के उल्लंघन की स्थिति में, ALCD वचन देता है:

CNIL को सूचित करना जागरूक होने के 72 घंटों के भीतर, यदि उल्लंघन डेटा विषयों के अधिकारों और स्वतंत्रताओं के लिए जोखिम उत्पन्न कर सकता है
डेटा विषयों को सूचित करना जितनी जल्दी संभव हो यदि उल्लंघन उनके अधिकारों और स्वतंत्रताओं के लिए उच्च जोखिम उत्पन्न कर सकता है
किसी भी उल्लंघन का दस्तावेज़ीकरण एक आंतरिक रजिस्टर में, GDPR के अनुच्छेद 33.5 के अनुसार
संबंधित ग्राहक (रेस्तरां) को सूचित करना, ताकि वे नियंत्रक के रूप में अपने स्वयं के अधिसूचना दायित्वों को पूरा कर सकें

10. इस नीति में परिवर्तन

ALCD किसी भी समय इस गोपनीयता नीति को संशोधित कर सकता है। महत्वपूर्ण परिवर्तनों के बारे में उनके प्रभावी होने से कम से कम तीस (30) दिन पहले ईमेल या सेवा में अधिसूचना के माध्यम से सूचित किया जाता है।

अंतिम अद्यतन की तारीख इस दस्तावेज़ के शीर्ष पर दिखाई देती है। सबसे हालिया संस्करण हमेशा https://alacarte.direct/hi/legals/confidentialite पर उपलब्ध है।

11. संपर्क

अपने व्यक्तिगत डेटा की सुरक्षा से संबंधित किसी भी प्रश्न के लिए:

ईमेल: [email protected]
डाक: DGK Group — DPO, 25 rue de Ponthieu, 75008 Paris, France
फोन: +33 (0)7 82 82 00 27

← वापस v2.0