Accord de traitement des données

1. Parties, objet et instructions

Responsable du traitement : [raison sociale et forme juridique du restaurant, SIREN/SIRET, adresse du siège et établissement concerné, représentant habilité, qualité et pouvoir de signature, contact protection des données]. Sous-traitant : Samy Ajouid, entrepreneur individuel, SIREN 106 387 491, SIRET principal 106 387 491 00017, 95 rue Émile Zola, 91100 Corbeil-Essonnes, France, contact@samy-dev.fr, 07 67 60 53 71. Convention de pilote concernée : [date et référence].

Le restaurant confie à l’éditeur l’exploitation de Kaicet pour le suivi de ses opérations et de son personnel pendant la durée de la convention, puis les opérations de restitution et de suppression prévues ci-dessous. Les opérations comprennent collecte, enregistrement, hébergement, organisation, consultation autorisée, calcul, transmission nécessaire, restitution et effacement.

L’éditeur ne traite les données que sur instruction documentée du restaurant, y compris concernant les transferts hors EEE, sauf obligation légale applicable dont il l’informe préalablement lorsque la loi le permet. Il signale immédiatement toute instruction qu’il estime contraire aux règles de protection des données. Toute finalité supplémentaire nécessite un cadre juridique distinct.

2. Personnes et données concernées

Personnes : dirigeants, responsables, employés, extras et personnes identifiables dans les justificatifs autorisés. Données : identités et contacts professionnels, rôles, présences, horaires, taux et rémunérations, opérations et montants attribuables, observations, justificatifs, tracés de signature, dates et journaux d’actions.

Le restaurant limite les données au nécessaire, informe les personnes, détermine les bases légales et s’assure de la licéité des instructions. Aucune collecte de catégories particulières de données ni de numéros complets de carte bancaire n’est prévue par cet accord.

3. Confidentialité et sécurité

L’éditeur réserve l’accès aux personnes autorisées, soumises à une obligation de confidentialité, et met en œuvre des mesures adaptées au risque conformément à l’article 32 du RGPD. Les accès techniques de maintenance sont limités aux besoins du service.

Mesures constatées dans le logiciel : authentification, contrôle serveur des permissions et du périmètre d’établissement, transport HTTPS en production, stockage privé des justificatifs, validation des fichiers, limitation de tentatives d’accès, mots de passe et PIN protégés, journalisation et protections du navigateur.

Mesures opérationnelles à compléter avant signature : comptes techniques et MFA, gestion des secrets, fréquence de revue des accès et mises à jour, sauvegardes et durée de rétention, essais de restauration, procédure d’incident et de suppression. Les mesures logicielles seules ne prouvent pas que ces procédures sont opérationnelles.

4. Prestataires ultérieurs et transferts

Le restaurant autorise par écrit les prestataires ultérieurs listés dans l’annexe complétée : Vercel pour l’hébergement et les fichiers, Neon / Databricks pour la base, et Resend / Plus Five Five, Inc. pour les emails. Pour chacun, renseigner entité et adresse contractuelles, prestation, données, régions, pays d’accès, contrat applicable et mécanisme de transfert. Les informations non vérifiées empêchent de considérer cette annexe comme prête à signer.

Le DPA public Vercel du 17 mars 2026 vise les offres Pro et Enterprise ; son applicabilité au plan Kaicet reste à vérifier. Il prévoit notamment les clauses contractuelles types de 2021 et un délai public d’objection de 5 jours calendaires après notification d’un nouveau sous-traitant. Le Trust Center fournit la liste dynamique, qui comprend notamment AWS, Microsoft Azure et Google Cloud pour l’infrastructure.

Les conditions publiques Neon du 5 août 2026 désignent Databricks, Inc. comme partie contractante. Le DPA public utilise notamment les clauses contractuelles types de 2021 ; la liste prévoit plusieurs pays et ajoute Grafana Labs aux États-Unis pour Neon. Le préavis public annoncé est de 30 jours et le délai d’objection de 10 jours. Le contrat réellement applicable au compte doit être contrôlé.

Resend est exploité par Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, États-Unis. Le DPA public inclut les clauses contractuelles types et annonce un accord article 28 pré-signé disponible dans le tableau de bord. Resend stocke publiquement aux États-Unis le contenu, les journaux de livraison, les webhooks et les données de compte ; une région d’envoi européenne ne constitue pas une résidence générale des données. Le préavis public avant changement de sous-traitant est de 14 jours.

Les parties doivent choisir un mécanisme d’information des changements et un délai d’objection compatibles avec les préavis réellement obtenus des prestataires. En cas d’objection motivée, elles recherchent une alternative ; à défaut, elles arrêtent le traitement concerné et organisent sa restitution. Aucun délai uniforme n’est fixé dans ce projet avant cette vérification.

L’éditeur impose par écrit des obligations équivalentes à ses sous-traitants ultérieurs et reste responsable envers le restaurant de leur exécution. Aucun transfert hors EEE n’est effectué sans instruction et mécanisme valide au titre du chapitre V du RGPD, avec les évaluations et mesures complémentaires nécessaires.

Google, lorsque la connexion Google est choisie, intervient également comme fournisseur d’identité pour ses propres finalités. Les requêtes de Google Fonts doivent être documentées séparément. Ne pas les assimiler automatiquement à un contrat Google Cloud de sous-traitance.

5. Droits, incidents et coopération

L’éditeur transmet sans délai indu au restaurant toute demande d’une personne concernant les traitements confiés et l’aide à y répondre par des mesures appropriées. Il ne répond sur le fond que sur instruction du restaurant ou obligation légale.

Il notifie au restaurant toute violation de données personnelles sans délai indu après en avoir connaissance, au contact d’urgence [nom, email et téléphone à compléter]. Il communique les faits connus, catégories et volumes approximatifs, conséquences probables, mesures prises et contact de suivi ; les informations peuvent être complétées progressivement.

Le restaurant décide des notifications à la CNIL et aux personnes. Le délai légal de 72 heures concerne, lorsque les conditions sont réunies, la notification du responsable à l’autorité ; il ne constitue pas un délai d’attente accordé à l’éditeur.

L’éditeur aide le restaurant, compte tenu des informations disponibles et de la nature du traitement, à assurer la sécurité, évaluer les risques, réaliser une analyse d’impact et consulter l’autorité si nécessaire. Il fournit les informations démontrant ses obligations et permet les audits, y compris inspections, du restaurant ou d’un auditeur mandaté, avec des modalités protégeant les données des autres clients sans rendre l’audit impossible.

6. Conservation, restitution et effacement

À compléter par catégorie avant signature : comptes et accès [durée / critère], personnel et rémunérations [durée / critère], clôtures et justificatifs [durée / critère], signatures [durée / critère], audits et journaux [durée / critère], emails [durée / critère], sauvegardes [durée, fenêtre d’historique et cycle]. Les délais résultent des finalités et obligations du restaurant ; aucune durée uniforme de dix ans n’est imposée à toutes les données.

Choix du restaurant : [restitution puis suppression / suppression seule]. Formats de restitution : [à convenir]. Canal sécurisé et destinataire habilité : [à compléter]. Délai de restitution : [à convenir après recette]. Délai de suppression des données actives : [à convenir après recette]. Cycle d’élimination des sauvegardes : [à vérifier et compléter].

Aucun export exhaustif par restaurant, ZIP, manifeste, dictionnaire des données, comptage d’exhaustivité ou procédure de reprise n’existe actuellement. Les utilisateurs peuvent appartenir à plusieurs restaurants ; leurs secrets et leur compte global ne doivent jamais être exportés ou supprimés automatiquement. Les justificatifs, signatures, audits et instantanés doivent être inclus dans le périmètre convenu sans fuite entre établissements.

La suppression complète n’est pas encore opérationnelle : aucun service de suppression d’organisation n’existe, plusieurs relations de base bloquent la suppression, les clôtures signées et audits sont immuables, et la suppression des fichiers et de la base n’est pas atomique. Les objets Blob orphelins ne sont pas inventoriables par l’adaptateur actuel. Une sauvegarde Neon ne contient pas les fichiers Blob et aucune restauration complète Neon + Blob n’a été testée.

Avant tout engagement, l’éditeur doit développer et tester sur des données fictives un export complet filtré par organisation, un manifeste avec comptages, tailles et empreintes SHA-256, l’inventaire des fichiers, des tests avec utilisateur partagé et une suppression privilégiée, ordonnée, idempotente et relançable. Toute restauration doit réappliquer les suppressions déjà effectuées. Les obligations de protection persistent tant que des données subsistent.

7. Validation et signatures

Cet accord prime sur toute clause contradictoire de la convention concernant les données personnelles. Les modifications sont convenues par écrit et conservées avec la version signée. Il ne réduit aucun droit des personnes prévu par le RGPD.

Annexes à joindre : inventaire final des prestataires et transferts ; durées par catégorie ; mesures opérationnelles et procédure de restitution/effacement. Date et version : [à compléter].

Pour le restaurant : nom, qualité, date et signature [à compléter]. Pour Samy Ajouid EI : date et signature [à compléter]. La présence de ce modèle sur le site ne vaut ni autorisation des prestataires ni signature.