Accord de Traitement des Données

Le présent Accord de Traitement des Données (« ATD ») fait partie intégrante du contrat conclu entre Service (SAS) (« Service », « le Sous-traitant ») et le restaurant souscrivant à la plateforme Service (« le Client », « le Responsable de traitement »).

Le présent ATD traduit les obligations des parties au titre du Règlement Général sur la Protection des Données (UE) 2016/679 (« RGPD »).

1. Rôles

Le Client est le Responsable de traitement et Service est le Sous-traitant au sens de l'article 28 du RGPD. Service traite les Données personnelles uniquement pour le compte du Client et conformément à ses instructions documentées.

2. Périmètre du traitement

• Objet : fourniture de la plateforme de gestion des réservations Service et, le cas échéant, hébergement et diffusion du Site web du Client (article 9 bis des CGV)
• Durée : durée du contrat + périodes de conservation (voir §9)
• Nature et finalité : stockage, organisation, consultation et transmission de données de réservation et de gestion des clients ; pour le Site web, transmission au Client des messages envoyés par son formulaire de contact et enregistrement des inscriptions à sa lettre d'information
• Catégories de personnes concernées : clients du restaurant (convives), membres du personnel du restaurant, visiteurs du Site web du Client qui utilisent ses formulaires

3. Obligations du Sous-traitant

• Traiter les Données personnelles uniquement sur instruction documentée du Client
• Garantir la confidentialité des personnes autorisées à traiter les données
• Mettre en œuvre les mesures techniques et organisationnelles décrites ci-dessous
• Respecter les conditions relatives aux Sous-traitants ultérieurs
• Aider le Client à répondre aux demandes des personnes concernées
• Aider le Client à respecter ses obligations au titre des articles 32 à 36 du RGPD
• Restituer puis supprimer les Données personnelles au terme de la prestation (voir §9)

4. Notification de violation de données

Le Sous-traitant notifie le Client dans les meilleurs délais, et en tout état de cause dans un délai de 48 heures, après avoir pris connaissance d'une Violation de données.

5. Sous-traitants ultérieurs

Le Client accorde au Sous-traitant une autorisation écrite générale de faire appel à des Sous-traitants ultérieurs. La liste actualisée est disponible à l'adresse/legal/sub-processors. Le Sous-traitant informe le Client par email au moins 15 jours avant tout changement.

6. Droits des personnes concernées

Le Sous-traitant aide le Client à répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Si une personne concernée contacte directement le Sous-traitant, celui-ci transmet la demande au Client.

7. Transferts internationaux

Les Données personnelles sont hébergées au sein de l'Union européenne (Google Cloud Platform, région europe-west9, Paris). Certains Sous-traitants ultérieurs traitent des Données personnelles en dehors de l'EEE, notamment aux États-Unis ; ces transferts sont encadrés par des Clauses Contractuelles Types (CCT) ou le cadre UE-USA de protection des données (Data Privacy Framework). Le lieu de traitement et la garantie applicable à chaque Sous-traitant ultérieur figurent dans la liste des sous-traitants.

8. Audits

Le Client peut auditer le respect du présent ATD une fois par an, avec un préavis de 20 jours ouvrés. Les audits peuvent être réalisés à distance ou sur site, pendant les heures normales de travail.

9. Conservation et suppression

À la fin du contrat, quelle qu'en soit la cause, le Sous-traitant conserve les Données personnelles pendant 12 mois, afin que le Client puisse reprendre le service en les retrouvant intactes ; le Client peut en demander l'exportation pendant ce délai. À son expiration, ou plus tôt à la demande du Client, le Sous-traitant supprime les Données personnelles, sous réserve des obligations légales de conservation.

Annexe 1 — Catégories de données personnelles

Données des convives

• Identité : prénom, nom
• Contact : email, téléphone
• Santé : allergies, préférences alimentaires (article 9 RGPD)
• Comportemental : historique de visites, no-shows, annulations
• Préférences : VIP, liste noire, langue
• Consentement marketing : email et SMS avec horodatage

Données des visiteurs du Site web

• Formulaire de contact : nom, email, téléphone, message — transmis par email au Client
• Inscription à la lettre d'information : email, prénom, consentement marketing horodaté — enregistrés parmi les convives du Client

Données du personnel

• Prénom, nom, email, rôle, permissions, jetons d'authentification

Annexe 2 — Mesures techniques et organisationnelles

Sécurité de l'infrastructure

• Hébergement GCP europe-west9 (Paris)
• Chiffrement au repos AES-256, en transit TLS 1.2+
• Isolation réseau : VPC privé pour base de données et cache
• Gestion des secrets : Google Secret Manager + External Secrets Operator

Sécurité applicative

• Authentification JWT avec rotation de jeton et détection de vol
• Mots de passe : bcrypt
• Identifiants mobiles : Trousseau iOS (chiffrement matériel)
• Autorisation : hiérarchie de rôles à 5 niveaux
• Journal d'audit immuable pour chaque changement de statut de réservation

Sécurité opérationnelle

• Contrôle d'accès IAM, Workload Identity Federation
• Déploiement GitOps (Flux v2)
• Sauvegardes automatiques, recovery point-in-time
• Surveillance continue, alertes Slack