Accord de traitement des données (article 28 RGPD)

Le présent accord fait partie du contrat de service Ordisto. Il lie NODETECH CONSULTING, société par actions simplifiée (SAS) au capital de 1 000,00 EUR, sise 45 Boulevard Gallieni, 95100 Argenteuil, France, SIREN 908 701 741, SIRET 908 701 741 00013, RCS Pontoise, TVA intracommunautaire FR66908701741 (Nodetech), et la société exploitant le restaurant, identifiée dans Ordisto par sa dénomination sociale et son SIRET et représentée par son CompanyManager habilité (le Restaurant). La version française fait foi ; l'anglais est une traduction.

1. Rôles, objet et durée

Pour les traitements décrits à l'article 2, effectués pour le Restaurant, celui-ci est responsable du traitement et Nodetech son sous-traitant au sens de l'article 28 du RGPD. Le traitement dure pendant le contrat de service, sous réserve des opérations de sortie et conservations légales prévues ci-dessous. Chaque Restaurant ne détermine les finalités que pour ses propres données.

Nodetech agit en qualité de responsable de traitement distinct pour le compte Ordisto commun aux restaurants, la connexion, les preuves de vérification, le regroupement global des clients par adresse e-mail, ainsi que la sécurité du service et la prévention de la fraude. Le Restaurant accepte que les données de ses clients nécessaires à ces finalités soient utilisées par Nodetech à ce titre ; ces traitements ne relèvent pas de ses instructions et la politique de confidentialité du compte Ordisto les décrit.

2. Nature, finalités, personnes et données

Nodetech collecte, conserve, consulte, transmet et efface les données nécessaires à la prise, préparation, livraison et facturation des commandes, aux réservations, à la liste de clients et aux statistiques du Restaurant, aux notifications, promotions, demandes de support et demandes d'effacement, et à la mesure des conversions publicitaires lorsque des identifiants Google ou Meta sont configurés pour l'établissement et que le client y consent. Les personnes concernées sont les clients du Restaurant, ses utilisateurs membres du personnel et les livreurs Uber Direct affectés à ses commandes.

Les catégories traitées sont : l'identité, l'adresse e-mail et le téléphone ; l'adresse de livraison et ses coordonnées géographiques ; l'historique des commandes et réservations, y compris les instructions et remarques saisies librement, qui peuvent révéler une allergie ou un régime ; le statut du paiement ; pour le personnel, l'identifiant, le rôle et les actions dans le tableau de bord ; pour les livreurs, le nom, le téléphone, le véhicule et la position transmis par Uber ; pour la sécurité, les données d'appareil et de connexion ; pour la mesure publicitaire, les identifiants de mesure et de clic, l'adresse IP et le navigateur, ainsi que les nom, prénom, adresse e-mail, téléphone, ville et code postal hachés, transmis avec le montant et le contenu de la commande aux outils de mesure de Google et Meta. Nodetech ne reçoit pas les données de carte bancaire : le prestataire de paiement les traite directement.

3. Instructions et confidentialité

Nodetech ne traite ces données que sur instructions documentées du Restaurant, constituées du présent accord, des paramètres et actions du tableau de bord et des demandes écrites licites. Elle informe immédiatement le Restaurant si une instruction lui semble contraire au RGPD ou au droit applicable, sauf interdiction légale. Elle ne communique les données que sur instruction ou obligation légale, après information du Restaurant si la loi le permet. Elle veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité et reçoivent les consignes appropriées. Le Restaurant garantit la licéité de ses instructions et des traitements qu'il confie, et informe ses clients, notamment par la politique de confidentialité de son site.

4. Sécurité et violations

Nodetech met en œuvre les mesures techniques et organisationnelles adaptées au risque décrites en annexe A et les réexamine. Elle aide le Restaurant à satisfaire à ses obligations de sécurité. Elle lui notifie toute violation de données personnelles dont elle a connaissance sans délai injustifié, et au plus tard dans les 48 heures après en avoir pris connaissance, avec les informations disponibles et les compléments ultérieurs nécessaires. Le Restaurant reste responsable de ses notifications aux autorités et aux personnes concernées.

5. Sous-traitants ultérieurs et transferts

Le Restaurant autorise de manière générale les sous-traitants ultérieurs de la première liste de l'annexe B, selon les fonctionnalités réellement utilisées. Nodetech impose à chacun des obligations de protection équivalentes et reste responsable de leur exécution envers le Restaurant. Elle annonce par e-mail tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours avant sa prise d'effet ; cette annonce met à jour l'annexe B sans nouvelle acceptation. Le Restaurant peut s'opposer à ce changement pour un motif raisonnable de protection des données et, faute de solution, résilier le contrat de service avant sa prise d'effet. Les destinataires de la seconde liste de l'annexe B traitent les données sous leur propre responsabilité ; Nodetech ne répond pas de leurs traitements.

Un transfert hors de l'Union européenne ou de l'Espace économique européen n'est effectué que sur une base valable du chapitre V du RGPD, notamment une décision d'adéquation, le cadre UE–États-Unis de protection des données lorsque le destinataire est certifié, ou des clauses contractuelles types assorties, si nécessaire, de mesures complémentaires. Nodetech informe le Restaurant des mécanismes applicables sur demande.

6. Assistance et droits

Compte tenu de la nature du traitement, Nodetech aide le Restaurant à répondre aux demandes d'exercice des droits prévus aux articles 15 à 22 du RGPD. Le tableau de bord permet d'effacer, pour un établissement, la fiche d'un client invité ou d'un client venu d'une place de marché et d'anonymiser ses commandes ; l'effacement pour un client titulaire d'un compte Ordisto, ainsi que celui des réservations, des données de livraison déléguée et des données détenues par le prestataire de paiement, se demande à support@ordisto.io. Nodetech aide, sur demande et avec les informations dont elle dispose, aux analyses d'impact et consultations préalables auprès de l'autorité de contrôle, ainsi qu'aux obligations de sécurité et de notification des violations. Le Restaurant répond des décisions relatives à ses clients.

7. Conservation et fin du service

Le Restaurant donne pour instruction les durées de conservation suivantes, sauf obligation légale différente ou autre instruction licite de sa part : fiches clients, trois ans après la dernière commande ou activité ; pièces comptables, dix ans ; journaux techniques et d'administration, douze mois ; preuves de consentement et d'effacement, cinq ans. À la date de la présente version, la suppression à l'échéance n'est pas automatique : le Restaurant peut effacer une fiche client depuis le tableau de bord dans les conditions de l'article 6, et Nodetech supprime ou anonymise les données échues sur sa demande écrite.

À la fin du contrat, au choix du Restaurant, Nodetech restitue ou efface les données traitées pour lui dans les 90 jours, puis efface les copies, sauf les données qu'une obligation légale propre à Nodetech lui impose de conserver ; les pièces comptables du Restaurant lui sont restituées ou, sur son instruction, conservées pour son compte jusqu'au terme de leur durée légale de dix ans. Elle indique sur demande les catégories conservées et la base légale.

8. Informations et audit

Nodetech met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet les audits requis par l'article 28 du RGPD. Le Restaurant peut réaliser un audit sur site par an, par lui-même ou par un auditeur indépendant tenu au secret qui n'est pas un concurrent de Nodetech, à ses frais, avec un préavis écrit de 30 jours, pendant les heures ouvrables, sous réserve de confidentialité et de la sécurité des autres clients. Une obligation légale ou un incident grave peut justifier un audit supplémentaire raisonnable.

9. Responsabilité

La responsabilité des parties est régie par le contrat de service, sous réserve des dispositions impératives du RGPD et des droits des personnes concernées.

Annexe A. Mesures de sécurité

Les services sont hébergés dans la région AWS Europe (Irlande, eu-west-1). Les échanges entre les sites, le tableau de bord, l'application et les serveurs du service sont chiffrés par TLS ; l'impression vers les imprimantes du Restaurant passe par son réseau local ou en Bluetooth, sous sa responsabilité. Les bases de données et le stockage de fichiers AWS chiffrent les données au repos avec des clés gérées par AWS. L'accès des utilisateurs est limité selon leur rôle et leur établissement, celui des services par des autorisations AWS dédiées. Certaines bases de données disposent d'une restauration à un instant donné ; toutes les données ne font pas l'objet d'une sauvegarde. Nodetech limite l'accès de son personnel aux personnes qui en ont besoin et traite les incidents de sécurité. Aucune mesure ne supprime tout risque.

Annexe B. Sous-traitants ultérieurs et autres destinataires

Sous-traitants ultérieurs de Nodetech :

• Amazon Web Services EMEA SARL (Luxembourg) : hébergement, bases de données, stockage, envoi des e-mails (Amazon SES) et des SMS (Amazon SNS), recherche d'adresses (Amazon Location Service) (fournisseur de données cartographiques Esri pour la recherche d'adresses) ; région eu-west-1.
• PayGreen (France) : paiement en ligne et statut des paiements sur le compte sous-marchand de l'établissement, lorsque ce moyen est activé ; PayGreen agit en responsable de traitement distinct pour l'exécution des paiements et ses obligations réglementaires (KYC, lutte contre le blanchiment).
• Uber Portier France SAS : demandes et suivi des livraisons Uber Direct commandées par Nodetech pour le Restaurant, lorsque cette fonction est activée.
• 650 Industries, Inc. (Expo) (États-Unis) : envoi des notifications push de l'application de gestion des commandes (nom du client, nombre d'articles, détails de la réservation), relayées par Google (Firebase Cloud Messaging) et Apple (Apple Push Notification service) ; transfert encadré par les clauses contractuelles types ou le cadre de protection des données UE–États-Unis selon le destinataire.
• Cloudflare, Inc. (États-Unis, certifiée au cadre de protection des données UE–États-Unis) : vérification anti-robot Turnstile sur le site de commande et de réservation, lorsque le contrôle est affiché.

Destinataires agissant selon leurs propres conditions, sur instruction du Restaurant, qui ne sont pas des sous-traitants ultérieurs de Nodetech :

• Uber Portier France SAS (Uber Eats) et Deliveroo : commandes, menus et disponibilités échangés par les connecteurs que le Restaurant active.
• PayPal : paiements encaissés sur le compte marchand PayPal du Restaurant, lorsque ce moyen est configuré.
• Meta Platforms Ireland Ltd et Google Ireland Ltd : outils de mesure et de publicité configurés pour l'établissement, uniquement avec le consentement du client.
• OpenStreetMap (tuiles de carte) et Unsplash (images d'illustration par défaut) : contenus chargés directement par le navigateur des visiteurs du site, qui reçoivent à ce titre leur adresse IP.