Contrat de sous-traitance des données

Parties et acceptation

Ce contrat lie l'entreprise cliente qui ouvre un espace sur bravochef (le « responsable du traitement ») et Valentin Sandillon, qui fournit le service (le « sous-traitant » ; voir les mentions légales). Il fait partie des conditions d'utilisation et est accepté avec elles à la création de l'espace. Il répond à l'article 28 du RGPD.

Objet, durée et nature

• Objet : fournir le service de gestion du restaurant (équipe, planning et pointage, stock, factures, comptabilité, banque, ventes).
• Durée : celle du contrat de service.
• Nature : hébergement, consultation, lecture automatique, calcul, rapprochement et envoi d'alertes, par des moyens automatisés.
• Personnes concernées : salariés et collaborateurs du responsable, ses fournisseurs et clients, et les personnes dont les données figurent dans ses documents.
• Données : identité et contact, poste, horaires, pointages (avec photo et position approximative si le responsable l'active), coût du personnel, factures, mouvements bancaires, ventes. Le service n'est pas prévu pour des données sensibles (santé, etc.) : le responsable ne doit pas en saisir.

Obligations du sous-traitant

• Ne traiter les données que sur instruction documentée du responsable (l'usage de l'application et ses réglages), sauf obligation légale, qui lui sera signalée.
• Veiller à ce que les personnes autorisées à accéder aux données soient tenues à la confidentialité.
• Appliquer les mesures de sécurité de l'article 32 : chiffrement en transit et au repos, séparation stricte entre entreprises, accès selon le rôle, journal des actions sensibles, sauvegardes de l'hébergeur.
• Aider le responsable à répondre aux demandes d'exercice des droits (export, rectification, suppression depuis l'application ou sur demande).
• Aider le responsable pour la sécurité, la notification des violations et les analyses d'impact (art. 32 à 36).
• Notifier au responsable toute violation de ses données dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles.
• Mettre à sa disposition les informations nécessaires pour démontrer la conformité et permettre des audits raisonnables, sur préavis.
• Informer le responsable si une instruction lui paraît contraire au RGPD.

Sous-traitants ultérieurs

Le responsable autorise de façon générale le recours aux sous-traitants listés dans la politique de confidentialité, avec leur rôle et leur pays. Le sous-traitant leur impose les mêmes obligations par contrat et en répond. Il prévient par email de tout nouveau sous-traitant au moins 30 jours à l'avance ; le responsable peut s'y opposer et, dans ce cas, résilier sans frais. Les transferts hors UE reposent sur le cadre de protection des données UE–États-Unis ou sur les clauses contractuelles types de la Commission européenne.

Obligations du responsable

• Disposer d'une base légale pour chaque donnée saisie et informer ses salariés (y compris du pointage avec photo ou position et de sa finalité).
• Réaliser, si nécessaire, l'analyse d'impact prévue à l'article 35, notamment pour le pointage avec géolocalisation.
• Ne donner accès qu'aux personnes qui en ont besoin et régler leurs rôles.

Fin du contrat

À la fin du service, le responsable peut exporter ses données. Le sous-traitant les supprime à sa demande, ou au plus tard 90 jours après la fin du contrat, sauf celles que la loi oblige à conserver, qui sont alors isolées.

Contact

Pour toute question sur ce contrat : comenda.site@proton.me.