Annexe RGPD - Accord de sous-traitance FoodTap

La présente Annexe est jointe au Contrat de prestation de services conclu entre la société FOODTAP (ci-après « le Sous-traitant ») et le Client identifié audit Contrat (ci-après « le Responsable du traitement »), et en fait partie intégrante.

Elle précise les obligations respectives des parties en matière de protection des données à caractère personnel, dans le cadre des traitements réalisés par FOODTAP pour le compte du Client, conformément à l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »).

La présente Annexe a pour objet de définir les conditions dans lesquelles FOODTAP s'engage à effectuer, pour le compte du Responsable du traitement, les opérations de traitement de données à caractère personnel décrites ci-après, réalisées dans le cadre de l'exécution du Contrat de prestation de services.

2.1. Nature des opérations

Les opérations réalisées par FOODTAP incluent la collecte, l'hébergement, le stockage, la consultation et l'affichage via la Plateforme, ainsi que le traitement des avis, retours, commandes ou informations liées aux clients finaux lorsque les fonctionnalités correspondantes sont utilisées.

2.2. Finalités

Les traitements ont pour finalité la fourniture de l'expérience client digitale du restaurant via FOODTAP, notamment carte digitale, avis, appel serveur, commande et paiement en ligne lorsque ces fonctionnalités sont activées.

2.3. Catégories de données

Selon les fonctionnalités utilisées, les données traitées peuvent comprendre les avis et commentaires, les coordonnées associées à une commande telles que nom, email ou téléphone, ainsi que des données techniques de connexion telles que l'adresse IP et l'horodatage.

Aucun compte client final n'est requis pour consulter la carte par QR code ; l'accès peut être anonyme.

2.4. Catégories de personnes concernées

Les personnes concernées sont les clients finaux ou dîneurs du Responsable du traitement utilisant la Plateforme dans les établissements du Client.

2.5. Durée

Les traitements sont réalisés pendant la durée du Contrat, augmentée du délai de restitution ou suppression prévu à l'article 10.7 des CGV.

FOODTAP s'engage à :

• traiter les données personnelles uniquement sur instruction documentée du Responsable du traitement, y compris en matière de transferts internationaux, sauf obligation légale contraire ;
• informer le Responsable du traitement si, selon FOODTAP, une instruction constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données ;
• garantir que les personnes autorisées à traiter les données personnelles s'engagent à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité ;
• mettre en œuvre des mesures de sécurité appropriées au sens de l'article 32 du RGPD ;
• respecter les conditions de recours aux sous-traitants ultérieurs prévues à l'article 4 de la présente Annexe ;
• aider le Responsable du traitement, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées ;
• aider le Responsable du traitement à respecter ses obligations prévues aux articles 32 à 36 du RGPD ;
• supprimer ou restituer les données personnelles à la fin du service, sous réserve des obligations légales de conservation, conformément à l'article 10.7 des CGV ;
• mettre à disposition les informations nécessaires pour démontrer le respect de la présente Annexe et permettre la réalisation d'audits, sur préavis raisonnable et pendant les heures ouvrées.

Le Responsable du traitement autorise FOODTAP à recourir à des sous-traitants ultérieurs pour la fourniture du service. FOODTAP informe le Responsable du traitement de tout ajout ou remplacement de sous-traitant ultérieur afin de lui permettre de présenter des objections raisonnables.

FOODTAP s'assure que les obligations prévues par la présente Annexe sont imposées contractuellement aux sous-traitants ultérieurs dans la mesure applicable.

Supabase et Vercel sont présumés héberger les données dans l'Union européenne, sous réserve de confirmation formelle par les fournisseurs. FOODTAP peut mettre à jour la présente Annexe en fonction de l'évolution des lieux d'hébergement.

Resend peut traiter des emails, journaux techniques et données fonctionnelles aux États-Unis par défaut. Ce transfert est encadré par des Clauses Contractuelles Types, le Data Privacy Framework UE-États-Unis et un accord de sous-traitance conforme à l'article 28 du RGPD.

Tout transfert hors Union européenne fait l'objet des garanties prévues au chapitre V du RGPD et d'une information préalable du Responsable du traitement.

Le Client, en qualité de Responsable du traitement, s'engage à :

• fournir à FOODTAP des instructions documentées, licites et complètes ;
• veiller au respect de ses propres obligations au titre du RGPD ;
• superviser les traitements réalisés pour son compte, notamment par audit lorsque cela est nécessaire ;
• informer ses propres clients finaux des traitements réalisés via FOODTAP, par la Plateforme ou par tout autre support approprié ;
• traiter en premier niveau les demandes d'exercice de droits des personnes concernées, FOODTAP apportant son assistance lorsque cela est nécessaire.

FOODTAP met en œuvre des mesures raisonnables de sécurité et de confidentialité adaptées à la nature des données traitées, à l'état de l'art, aux coûts de mise en œuvre et aux risques pour les droits et libertés des personnes concernées.

Aucun engagement de disponibilité quantifié n'est souscrit à ce stade. Un niveau de service pourra être ajouté ultérieurement après consolidation de l'historique de fiabilité de la Plateforme.

FOODTAP notifie au Responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais et, si possible, au plus tard quarante-huit (48) heures après en avoir pris connaissance.

Cette notification comprend les informations raisonnablement disponibles permettant au Responsable du traitement, le cas échéant, de notifier la CNIL dans le délai de soixante-douze (72) heures prévu par le RGPD.

La restitution ou la suppression des données en fin de contrat est régie par l'article 10.7 des CGV relatif à la réversibilité.

La présente Annexe s'applique pendant toute la durée du Contrat et prend fin avec celui-ci, sous réserve des obligations qui, par leur nature, survivent à la fin du Contrat, notamment les opérations de restitution ou suppression.

Chaque partie est responsable des dommages causés par un traitement qui constitue une violation de ses propres obligations au titre du RGPD, dans les conditions prévues par l'article 82 du RGPD.

La présente Annexe entre en vigueur à la date de signature du Contrat de prestation de services et en fait partie intégrante.