1. Parties et rôles
Le client professionnel est responsable du traitement pour les données personnelles qu'il saisit ou fait saisir dans RestoConcret pour gérer son établissement.
Dany Da Silva EI — RestoConcret agit comme sous-traitant au sens de l'article 28 du RGPD pour ces données. RestoConcret reste responsable des traitements qu'il détermine pour son propre compte, tels que la facturation, la sécurité de ses services et la gestion commerciale.
2. Description du traitement confié
| Objet | Hébergement, organisation, synchronisation, affichage, génération de documents, export, support et sécurisation des données utilisées dans l'application RestoConcret. |
|---|---|
| Durée | Pendant la durée du contrat, puis pendant la période limitée de réversibilité ou de suppression prévue par les CGV et la politique de confidentialité. |
| Nature des opérations | Collecte pour le compte du client, enregistrement, structuration, conservation, consultation, transmission aux utilisateurs autorisés, génération de rapports, effacement et assistance. |
| Finalités | Fournir les modules HACCP, allergènes, traçabilité, gestion d'équipe, archives, rapports et fonctions associées commandées par le client. |
| Personnes concernées | Utilisateurs et collaborateurs du client, contacts fournisseurs ou livreurs éventuellement renseignés, et toute personne dont les informations sont insérées par le client dans les documents ou enregistrements. |
| Types de données | Identité professionnelle, email, rôle, établissement, journaux d'action, commentaires, signatures ou initiales, photographies, informations liées aux réceptions et à la traçabilité, et autres données saisies par le client. |
| Données sensibles | Le service n'est pas conçu pour traiter des données de santé, biométriques, opinions, croyances, origine, vie sexuelle ou autres catégories particulières. Le client s'engage à ne pas en saisir sauf accord écrit et mesures adaptées. |
3. Instructions documentées
RestoConcret traite les données uniquement sur instruction documentée du client, constituée par le contrat, les paramétrages réalisés par les utilisateurs autorisés et les demandes de support légitimes.
Si RestoConcret estime qu'une instruction viole le RGPD ou une règle applicable, il en informe le client et peut suspendre son exécution jusqu'à clarification. Si une loi impose un traitement ou un transfert, le client est informé avant celui-ci, sauf interdiction légale.
4. Confidentialité des personnes autorisées
RestoConcret limite l'accès aux personnes qui en ont besoin pour fournir, sécuriser ou maintenir le service. Elles sont soumises à une obligation de confidentialité et sensibilisées aux exigences de protection des données.
5. Mesures de sécurité
Compte tenu de la nature du service et des risques identifiés, les mesures comprennent notamment :
- authentification des comptes et règles d'autorisation par établissement et rôle ;
- chiffrement des communications au moyen de protocoles sécurisés ;
- services d'hébergement et de base de données disposant de mécanismes de sécurité, journalisation et redondance ;
- limitation des accès administratifs et revue des habilitations ;
- mises à jour de sécurité des composants et dépendances ;
- procédures de gestion des incidents, de restauration et de suppression ;
- mesures visant à préserver la disponibilité, l'intégrité et la confidentialité selon les capacités des services utilisés.
Le client est responsable de la sécurité de ses appareils, de la gestion de ses utilisateurs, de ses mots de passe, de ses exports et de la configuration interne de ses accès.
6. Sous-traitants ultérieurs
Le client accorde une autorisation générale au recours aux sous-traitants ultérieurs nécessaires. La liste principale à la date de mise à jour comprend :
| Prestataire | Service | Localisation / garanties |
|---|---|---|
| Google Ireland Limited et entités Google Cloud/Firebase | Authentification, hébergement, base de données, stockage, fonctions techniques, journalisation et maintenance de l'infrastructure | Régions configurées dans le projet et traitements prévus par les conditions Google ; mécanismes de transfert prévus par le RGPD lorsque nécessaires |
| Prestataires techniques ponctuels soumis à confidentialité | Maintenance, diagnostic de sécurité ou support spécialisé | Accès limité au besoin, encadré contractuellement |
RestoConcret informe le client d'un ajout ou remplacement significatif au moyen du site, d'un email ou d'une notification. Le client peut émettre une objection motivée liée à la protection des données dans un délai de 15 jours. Les parties recherchent alors une solution raisonnable ; à défaut, le client peut mettre fin au module affecté avant le changement, sans pénalité pour la période future non fournie.
RestoConcret impose à ses sous-traitants ultérieurs des obligations de protection des données compatibles avec la présente annexe et demeure responsable de leurs obligations dans les conditions prévues par le RGPD.
7. Assistance pour les droits des personnes
Lorsqu'une demande d'accès, rectification, effacement, limitation, opposition ou portabilité concerne les données placées sous la responsabilité du client, RestoConcret la transmet au contact client concerné et ne répond pas au fond sans instruction, sauf obligation légale.
RestoConcret fournit, dans la mesure du possible et compte tenu de la nature du traitement, les fonctions ou informations raisonnablement nécessaires pour permettre au client de répondre. Une prestation exceptionnelle nécessitant un développement ou une extraction complexe peut faire l'objet d'un devis.
8. Violations de données
RestoConcret notifie au client toute violation de données personnelles affectant les traitements confiés dans les meilleurs délais et, lorsque raisonnablement possible, dans les 48 heures après en avoir eu connaissance.
La notification comprend les informations disponibles utiles : nature de l'incident, catégories de données et personnes concernées, conséquences probables, mesures prises ou envisagées et point de contact. Les informations manquantes peuvent être communiquées progressivement.
Le client demeure responsable de la notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées, sauf accord écrit confiant cette tâche à RestoConcret.
9. Assistance à la conformité
Compte tenu de la nature du traitement et des informations disponibles, RestoConcret aide raisonnablement le client pour ses obligations de sécurité, analyses d'impact, consultations préalables et documentation des violations.
L'assistance standard consiste à fournir les informations déjà disponibles sur le service. Les audits sur site, questionnaires complexes ou travaux spécifiques peuvent être facturés après accord.
10. Sort des données en fin de prestation
Le client peut exporter les données disponibles au moyen des fonctions fournies pendant la durée du contrat et la période de réversibilité.
À la fin de cette période, RestoConcret supprime les données personnelles confiées et les copies actives, sauf obligation légale de conservation. Les copies résiduelles de sauvegarde sont isolées et purgées selon le cycle technique annoncé, au plus tard sous 90 jours.
11. Documentation et audit
RestoConcret met à disposition les informations raisonnablement nécessaires pour démontrer le respect de la présente annexe. Le client peut demander un audit documentaire au maximum une fois par an, sauf incident ou demande d'une autorité.
Tout audit doit préserver la sécurité, la confidentialité des autres clients et les secrets d'affaires, être annoncé au moins 30 jours à l'avance et être réalisé pendant les heures ouvrées par une personne compétente soumise à confidentialité. Les coûts de l'audit sont supportés par le client, sauf non-conformité substantielle imputable à RestoConcret.
12. Transferts internationaux
RestoConcret ne transfère pas les données confiées hors de l'Espace économique européen sans mécanisme juridique approprié. Lorsque ses sous-traitants réalisent un transfert, celui-ci est encadré par une décision d'adéquation, des clauses contractuelles types ou un autre mécanisme admis, complété si nécessaire par des mesures supplémentaires.
13. Obligations du client responsable de traitement
Le client s'engage à :
- disposer d'une base légale et informer les personnes concernées ;
- ne fournir que des données adéquates, pertinentes et nécessaires ;
- documenter ses instructions et respecter les droits des personnes ;
- gérer les habilitations et retirer rapidement les accès devenus inutiles ;
- ne pas utiliser RestoConcret pour des finalités illicites ou incompatibles ;
- signaler les exigences particulières de sécurité ou de conservation avant la commande.
14. Contact relatif à la sous-traitance
Contact : contact@restoconcret.fr.
Cette annexe entre en vigueur avec la commande du client et suit la durée du contrat principal.