Accord de traitement des données (DPA)

1. Parties et rôles

Le Client (restaurateur, exploitant, réseau) agit en qualité de responsable de traitement. FOODEATUP (« FoodEatUp »), 900 337 973, 11 allée Paul Éluard, Cité G. Péri, 93300 Aubervilliers, agit en qualité de sous-traitant.

Lorsque le Client agit lui-même pour le compte d’un tiers (par exemple un siège pour ses franchisés), FoodEatUp agit en qualité de sous-traitant ultérieur et le Client garantit disposer des autorisations nécessaires.

2. Description des traitements

Objet: Fourniture du logiciel FoodEatUp et des services associés (hébergement, caisse, commandes, réservations, fidélité, marketing, assistants vocaux et IA, gestion de l’équipe, hygiène, stocks).
Durée: Durée du contrat, puis période de restitution et de suppression prévue à l’article 10.
Nature des opérations: Collecte, enregistrement, organisation, conservation, consultation, utilisation, communication par transmission aux sous-traitants ultérieurs, rapprochement, effacement.
Finalités: Celles définies par le Client au moyen des fonctions du logiciel : encaissement et commandes, réservations, relation client et fidélité, campagnes marketing, prise d’appels, gestion du personnel, traçabilité sanitaire.
Personnes concernées: Clients finaux et prospects du Client, participants aux jeux et sondages, appelants, employés et candidats, fournisseurs et leurs contacts.
Catégories de données: Identité et coordonnées ; historique de commandes, de réservations, de paiements (sans numéro de carte complet) ; points de fidélité ; consentements marketing ; enregistrements, transcriptions et résumés d’appels ; données d’emploi (contrats, plannings, pointages, variables de paie) ; préférences et allergies signalées par les clients finaux.
Données sensibles: Le Client évite d’enregistrer des données sensibles. Les allergies ou régimes signalés par un client final pour sa commande peuvent constituer des données de santé : le Client les limite au strict nécessaire de la commande.

3. Instructions du Client

FoodEatUp traite les données uniquement sur instruction documentée du Client, constituée par le contrat, le présent accord et les paramétrages et actions effectués par le Client et ses utilisateurs dans le logiciel (y compris par les agents IA qu’ils autorisent). Si FoodEatUp estime qu’une instruction constitue une violation du RGPD, il en informe immédiatement le Client.

FoodEatUp n’utilise pas les données du Client pour ses propres finalités, sauf statistiques anonymisées et agrégées et sécurité du service.

4. Obligations du Client

disposer d’une base légale pour chaque traitement et informer les personnes concernées (mentions sur son site, ses tickets, son accueil téléphonique, ses formulaires) ;
recueillir et conserver les consentements requis (prospection par SMS, WhatsApp, e-mail aux particuliers, jeux) à l’aide des outils fournis ;
tenir son propre registre des traitements ;
paramétrer les droits d’accès de ses utilisateurs et les durées de conservation qui le concernent ;
répondre aux demandes d’exercice des droits de ses clients finaux et employés.

5. Confidentialité

FoodEatUp veille à ce que les personnes autorisées à traiter les données s’engagent à la confidentialité ou soient soumises à une obligation légale de confidentialité, et n’y accèdent que dans la mesure nécessaire (support, maintenance, sécurité).

6. Sécurité

FoodEatUp met en œuvre les mesures techniques et organisationnelles appropriées (article 32 du RGPD), notamment :

hébergement chez Amazon Web Services EMEA SARL, région Europe (Paris), eu-west-3 ;
chiffrement des communications (HTTPS) et chiffrement en base des identifiants de connexion aux services tiers ;
cloisonnement des données par établissement et contrôle d’accès par rôle ; vérification de l’appartenance des objets à l’établissement à chaque requête ;
journalisation des actions des utilisateurs et des agents connectés ;
confirmation explicite avant les actions sensibles réalisées par les assistants ;
sauvegardes et procédures de restauration [à compléter : fréquence et lieu des sauvegardes].

7. Sous-traitants ultérieurs

Le Client autorise de manière générale FoodEatUp à recourir aux sous-traitants ultérieurs listés dans la politique de confidentialité, ainsi qu’aux prestataires que le Client active lui-même (paiement, connecteurs comptables, plateformes de livraison, terminaux), qui interviennent alors selon leurs propres conditions.

FoodEatUp informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur au moins trente jours à l’avance ; le Client peut formuler des objections motivées et, à défaut d’accord, résilier le service concerné. FoodEatUp impose à ses sous-traitants des obligations équivalentes à celles du présent accord et reste responsable de leur exécution.

8. Transferts hors de l’Union européenne

Les données sont hébergées dans l’Union européenne. Certaines fonctions (intelligence artificielle, messagerie, téléphonie, voix) impliquent un transfert vers des sous-traitants établis hors de l’Union, notamment aux États-Unis. Ces transferts sont encadrés par une décision d’adéquation (Data Privacy Framework) ou par les clauses contractuelles types de la Commission européenne, complétées si nécessaire de mesures supplémentaires.

9. Assistance au Client

Droits des personnes : le logiciel permet de consulter, rectifier, exporter et supprimer les fiches clients et employés ; FoodEatUp transmet au Client, sans délai, toute demande reçue directement d’une personne concernée.
Violations de données : FoodEatUp notifie le Client dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance [à valider], avec les informations disponibles.
Analyses d’impact et consultation de la CNIL : FoodEatUp fournit au Client les informations utiles dont il dispose.

10. Fin du contrat

À la fin du contrat, le Client peut exporter ses données pendant une durée de [à compléter] jours. FoodEatUp supprime ensuite les données personnelles, y compris les copies, dans un délai de [à compléter], sauf obligation légale de conservation (notamment pour les données d’encaissement et de facturation).

11. Documentation et audits

FoodEatUp met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations et permet des audits, y compris des inspections, menés par le Client ou un auditeur mandaté tenu au secret, sur demande écrite avec un préavis de trente jours, au plus une fois par an sauf violation de données, aux frais du Client et sans perturber l’exploitation du service.

FoodEatUp tient un registre des catégories d’activités de traitement effectuées pour le compte de ses clients (article 30.2 du RGPD).

12. Dispositions générales

En cas de contradiction, le présent accord prévaut sur les autres documents contractuels pour ce qui concerne la protection des données. Il est régi par le droit français. Contact : Braindcode@outlook.fr.

Une version signée de cet accord peut être fournie sur demande [à compléter : modèle à signer et annexe des mesures de sécurité].