Accord de sous-traitance des données

Cet accord fait partie du contrat d'abonnement entre le restaurant (« le Responsable de traitement ») et [À compléter : raison sociale], ci-après « Maresa » ou « le Sous-traitant », conformément à l'article 28 du Règlement général sur la protection des données (RGPD). Il s'applique dès la souscription, avec les conditions générales de vente.

1. Objet du traitement

Maresa traite, pour le compte du restaurant et sur ses instructions, les données personnelles de ses clients afin de fournir le service : prise et gestion des réservations, envoi des confirmations et rappels par e-mail et SMS, fiches clients, placement en salle et statistiques du restaurant.

• Personnes concernées : les clients et prospects du restaurant (personnes qui réservent ou dont le restaurant enregistre la fiche).
• Données : nom, prénom, téléphone, e-mail, détails des réservations (date, heure, couverts, table), historique de visites, notes du restaurant, préférences et allergies signalées, consentement aux messages commerciaux.
• Durée : celle de l'abonnement, puis jusqu'à la suppression prévue à l'article 7.

Les allergies et préférences alimentaires peuvent révéler des données de santé. Le restaurant ne les enregistre que si elles sont utiles au service du client, et Maresa ne les utilise pour rien d'autre.

2. Engagements du restaurant

Le restaurant détermine pourquoi et comment les données de ses clients sont utilisées. Il s'assure d'avoir une base légale pour chaque usage, informe ses clients, recueille leur consentement avant tout message commercial, et ne saisit que des données utiles.

3. Engagements de Maresa

• Ne traiter les données que sur instruction du restaurant, pour fournir le service, et jamais pour son propre compte (ni revente, ni publicité, ni partage avec un autre restaurant).
• Prévenir le restaurant si une instruction lui paraît contraire au RGPD.
• Garantir la confidentialité : seules les personnes de Maresa qui en ont besoin accèdent aux données, et elles sont tenues au secret.
• Assurer la sécurité des données (article 4).
• Aider le restaurant à répondre aux demandes de ses clients (accès, rectification, effacement, opposition), à réaliser une analyse d'impact si nécessaire, et à démontrer sa conformité.

4. Sécurité

Maresa met en œuvre des mesures adaptées, notamment : isolation des données de chaque restaurant, chiffrement des échanges (HTTPS), mots de passe stockés sous forme hachée, accès par rôle dans l'équipe, hébergement principal dans l'Union européenne, sauvegardes régulières dont la restauration est testée, et suivi des erreurs techniques.

5. Violation de données

En cas de violation de données touchant le restaurant, Maresa le prévient dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles pour que le restaurant puisse, s'il y a lieu, la notifier à la CNIL et informer les personnes concernées.

6. Sous-traitants ultérieurs

Le restaurant autorise Maresa à faire appel aux prestataires ci-dessous. Maresa leur impose par contrat des obligations de protection équivalentes à celles de cet accord. Tout ajout ou changement est annoncé par e-mail au moins 30 jours à l'avance ; le restaurant peut s'y opposer pour un motif légitime et, à défaut de solution, résilier sans frais.

• Hetzner Online GmbH : Hébergement de l'application et de la base de données (Allemagne (UE)).
• Vercel Inc. : Hébergement et diffusion du site web (États-Unis et UE).
• Cloudflare Inc. : Noms de domaine (DNS) et réception des e-mails envoyés à Maresa (États-Unis et UE).
• Resend (Plus Five Five Inc.) : Envoi des e-mails (confirmations, rappels, comptes) (Envoi depuis l'UE (Irlande), société aux États-Unis).
• Brevo (Sendinblue SAS) : Envoi des SMS de confirmation et de rappel (France (UE)).
• Stripe Payments Europe Ltd. : Paiement de l'abonnement Maresa (Irlande (UE) et États-Unis).
• Google (Google Cloud, Firebase) : Notifications sur mobile, saisie assistée des adresses, connexion avec Google (États-Unis et UE).
• Anthropic PBC : Lecture automatique d'une carte (texte ou photo) pour la pré-remplir, sans données de clients (États-Unis).
• Functional Software Inc. (Sentry) : Détection des erreurs techniques (États-Unis).

Lorsque des données sont traitées hors de l'Union européenne, ces transferts sont encadrés par le cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsque le prestataire y adhère, ou par les clauses contractuelles types de la Commission européenne.

7. Fin de l'abonnement

À la fin de l'abonnement ou à la suppression du compte du restaurant, Maresa remet au restaurant, s'il le demande, une copie de ses données, puis les supprime définitivement dans un délai de 30 jours, sauf obligation légale de conservation.

8. Contrôle

Maresa met à disposition du restaurant les informations nécessaires pour démontrer le respect de cet accord, et répond à ses questions à contact@maresa.app. Un audit plus poussé peut être convenu par écrit, à des conditions raisonnables.