Contrat de sous-traitance (DPA)

1. Parties et objet

Le présent DPA est conclu entre, d'une part, tout restaurant client du Service (le « Responsable de traitement »), et d'autre part Studiolabs Software, SAS au capital de 1 000 €, exerçant sous le nom commercial GOOMBE, immatriculée sous le numéro 109 875 112 RCS Toulon, dont le siège social est situé 14 rue Patron Ravello, 83980 Le Lavandou, France (le « Sous-traitant »).

Il a pour objet d'encadrer le traitement, par le Sous-traitant, des données personnelles des convives du Responsable de traitement, réalisé pour le compte de ce dernier dans le cadre de la fourniture du Service.

2. Définitions

Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant » et « violation de données à caractère personnel » ont le sens qui leur est donné par le RGPD.

3. Description du traitement

Nature et finalité : hébergement, stockage et traitement des données des convives nécessaires à la gestion des réservations (prise, confirmation, rappel, annulation, modification), à la tenue de la fiche client du Responsable de traitement, et, lorsqu'activées par celui-ci, à la gestion d'une empreinte bancaire, à la vente et au suivi des cartes cadeaux, à l'hébergement du site internet du restaurant (visiteurs du site), et à l'identification des appels entrants (acheminement de l'appel vers le restaurant, affichage de la fiche du convive à son équipe, journal des appels conservé 90 jours). Les appels ne sont ni enregistrés ni écoutés. Et, lorsque le Responsable de traitement utilise les campagnes e-mail, à l'envoi de ses actualités aux convives qui y ont consenti, à la conservation de la preuve de ce consentement, à la prise en compte des désinscriptions, et au suivi de la remise de ces e-mails (remis, adresse invalide, signalement comme indésirable). Aucune mesure d'ouverture ou de clic n'est effectuée. Enfin, à la réception et à la transmission au Responsable de traitement des réponses d'un convive à un e-mail de réservation, conservées 12 mois dans l'historique de la réservation.

Personnes concernées : les convives du Responsable de traitement effectuant ou associés à une réservation, ou appelant le numéro Goombe du Responsable de traitement lorsque l'identification des appels est activée ; les acheteurs et bénéficiaires de cartes cadeaux ; les visiteurs du site internet du restaurant.

Catégories de données : nom, téléphone, e-mail, taille du groupe, historique des réservations (dont annulations et absences) et, uniquement si le Responsable de traitement active ces champs ou si le convive les renseigne librement, allergies (données de santé), occasion de la visite, nombre d'enfants, consentement à recevoir des communications, message libre ; pour les cartes cadeaux, nom et e-mail de l'acheteur, prénom et e-mail du bénéficiaire, message personnel éventuel, montant et code de la carte ; pour l'identification des appels, numéro de l'appelant, horaire et suite donnée à l'appel ; pour les campagnes e-mail, adresse e-mail, prénom, preuve du consentement (date, origine, phrase présentée), état de remise de chaque e-mail, désinscription ; pour les réponses à un e-mail de réservation, adresse e-mail de l'expéditeur et contenu de son message. Le détail figure à l'article 2 de la politique de confidentialité.

Durées de conservation : le Responsable de traitement détermine la durée de conservation des fiches de ses convives et peut les effacer à tout moment ; les durées propres à certaines données figurent à l'article 6 de la politique de confidentialité.

4. Durée

Le présent DPA prend effet à la création du compte du Responsable de traitement et reste en vigueur pendant toute la durée de l'abonnement, jusqu'à suppression complète des données concernées dans les conditions de l'article 9 ci-dessous.

5. Obligations du Sous-traitant

Conformément à l'article 28.3 du RGPD, le Sous-traitant :

• ne traite les données que sur instruction documentée du Responsable de traitement, y compris pour un transfert vers un pays tiers, sauf obligation légale contraire ; le présent contrat, la politique de confidentialité et le paramétrage effectué par le Responsable de traitement dans le Service (champs activés, durées de conservation, options) constituent ses instructions documentées ;
• informe immédiatement le Responsable de traitement si, selon lui, une instruction constitue une violation du RGPD ou d'une autre disposition du droit de l'Union ou du droit d'un État membre relative à la protection des données ;
• veille à ce que les personnes autorisées à traiter les données soient tenues à une obligation de confidentialité ;
• met en œuvre les mesures techniques et organisationnelles décrites à l'article 7 de la politique de confidentialité (connexion chiffrée, mots de passe hachés, cloisonnement strict des données entre restaurants, connexion en deux étapes en option, code PIN en option, journal des ouvertures par le support des sections protégées, limitation des tentatives, sauvegardes régulières, confidentialité du personnel et des prestataires) ;
• respecte les conditions de l'article 6 ci-dessous pour le recours à d'autres sous-traitants ;
• aide le Responsable de traitement, dans la mesure du possible, à répondre aux demandes d'exercice des droits des convives, en priorité en relayant directement toute demande reçue par erreur vers le Responsable de traitement ;
• aide le Responsable de traitement à respecter ses propres obligations (sécurité, notification des violations de données, analyses d'impact) compte tenu de la nature du traitement et des informations à sa disposition ;
• supprime ou retourne toutes les données à l'issue de la prestation, selon les modalités de l'article 9 ci-dessous ;
• met à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect du présent article, et permet la réalisation d'un audit, sur demande écrite avec un préavis de trente (30) jours, pendant les heures ouvrées, aux frais du Responsable de traitement, et sans accès au code source ni aux données d'autres restaurants. Un audit par an suffit en temps normal ; un audit supplémentaire est possible en cas de violation de données, de manquement sérieux raisonnablement suspecté et documenté, ou à la demande d'une autorité de contrôle.

Interdiction de réutilisation. Le Sous-traitant n'utilise jamais les données des convives pour son propre compte, à quelque fin que ce soit (statistiques commerciales, prospection, amélioration de produit à partir de données identifiantes, autre service), et ne les partage jamais avec un autre restaurant client. Les seuls traitements réalisés pour son propre compte portent sur des données agrégées et anonymes (volumes, taux d'utilisation).

Campagnes e-mail. Le Sous-traitant n'envoie une campagne qu'aux convives du Responsable de traitement dont il détient la preuve du consentement, insère dans chaque e-mail un lien de désinscription fonctionnel, applique immédiatement toute désinscription, et cesse d'écrire à toute adresse invalide ou ayant signalé un e-mail comme indésirable. Il peut suspendre les campagnes d'un Responsable de traitement lorsque celles-ci génèrent un nombre anormal d'adresses invalides ou de signalements, afin de protéger l'ensemble des utilisateurs du Service, et l'en informe.

6. Sous-traitants ultérieurs

Le Responsable de traitement autorise de façon générale le Sous-traitant à recourir aux sous-traitants ultérieurs listés à l'article 4 (« Destinataires et sous-traitants ») de la politique de confidentialité, chacun n'accédant qu'aux données nécessaires à sa mission et étant lié par des obligations de protection des données équivalentes à celles du présent DPA. Le Sous-traitant informe le Responsable de traitement, par e-mail, de tout ajout ou remplacement de sous-traitant ultérieur au moins trente (30) jours avant sa mise en œuvre. Le Responsable de traitement peut s'y opposer pour des motifs légitimes liés à la protection des données en écrivant à support@goombe.com ; à défaut de solution, il peut résilier son abonnement sans frais avant la date de mise en œuvre. Le Sous-traitant demeure pleinement responsable à l'égard du Responsable de traitement de l'exécution, par ses sous-traitants ultérieurs, de leurs obligations en matière de protection des données.

7. Transferts hors UE

Tout transfert de données hors de l'Union européenne par un sous-traitant ultérieur repose sur un mécanisme reconnu par le RGPD (clauses contractuelles types de la Commission européenne, ou cadre de protection des données applicable) — voir l'article 5 de la politique de confidentialité.

8. Violation de données

En cas de violation de données à caractère personnel affectant les données traitées pour le compte du Responsable de traitement, le Sous-traitant en informe ce dernier par e-mail dans les meilleurs délais, et au plus tard quarante-huit (48) heures après en avoir pris connaissance, avec les éléments alors disponibles (nature de la violation, données et convives concernés, mesures prises), puis complète cette information au fur et à mesure, afin de lui permettre de respecter ses propres obligations de notification à la CNIL (72 heures) et d'information des personnes concernées.

9. Sort des données à l'issue du contrat

À la fin de l'abonnement, le Responsable de traitement peut demander à support@goombe.com la restitution des données de ses convives (historique des réservations et fichier clients) : l'export lui est remis sans frais et sous trente (30) jours, dans un format structuré. Cette demande n'entraîne aucune suppression. Il peut demander séparément, et expressément, la suppression de ces données, à laquelle le Sous-traitant procède dans les meilleurs délais. À défaut de demande, le Sous-traitant supprime ces données quatre-vingt-dix (90) jours après la fin de l'abonnement, après avoir averti le Responsable de traitement par e-mail et à l'issue d'un délai de trente (30) jours à compter de cet avertissement, pendant lequel celui-ci peut demander leur restitution ou leur conservation (par exemple en réactivant son abonnement). Les sauvegardes de la base de données sont chiffrées et conservées trente (30) jours au plus : les données supprimées en disparaissent au plus tard à ce terme. Restent conservées uniquement les données dont la loi impose la conservation (archives comptables) et les éléments nécessaires au respect des désinscriptions (preuves de consentement, empreintes d'adresses désinscrites) — voir l'article 6 de la politique de confidentialité.

10. Responsabilité et droit applicable

Le présent DPA est régi par le droit français et soumis aux mêmes stipulations de responsabilité et de compétence juridictionnelle que les conditions générales (articles 15 et 17).

11. Contact

Pour toute question relative au présent DPA : support@goombe.com, ou depuis la page Contact.