Accord de traitement des données

Entre le Client (responsable du traitement) et l’exploitant de TableServe désigné dans les Mentions légales (Impressum) (sous-traitant).

1. Objet et durée

Le sous-traitant traite des données personnelles pour le compte du responsable du traitement afin de fournir le service TableServe décrit dans les Conditions générales d’utilisation, pendant toute la durée de l’abonnement et pendant la période d’export qui suit.

2. Nature et finalité du traitement

Stockage et affichage du menu du responsable du traitement ; réception et acheminement des commandes, demandes, réservations et avis des clients vers les écrans du responsable du traitement ; conservation des enregistrements de service du responsable du traitement ; mise à disposition d’exports, de sauvegardes et de restaurations au responsable du traitement.

3. Types de données et personnes concernées

Clients du responsable du traitement : contenu des commandes, table ou chambre, lettre de place, coordonnées de réservation (nom, téléphone, e-mail) lorsqu’elles sont fournies, avis, jetons de notification. Personnel du responsable du traitement : nom, e-mail, rôle, journaux de connexion et d’actions. Aucune catégorie particulière de données n’est prévue ; les remarques sur les allergies saisies par les clients ne sont traitées que pour être transmises à la cuisine du responsable du traitement.

4. Instructions

Le sous-traitant ne traite les données que sur instructions documentées du responsable du traitement, données au moyen du service lui-même (paramètres, actions et exports du responsable du traitement). Le sous-traitant informe le responsable du traitement si une instruction lui paraît contraire à la loi.

5. Confidentialité

Les personnes travaillant pour le sous-traitant et susceptibles d’accéder aux données sont tenues à la confidentialité. Le personnel de la Plateforme n’ouvre les données d’un responsable du traitement qu’à la demande d’assistance de celui-ci, et chacun de ces accès est journalisé.

6. Sécurité (art. 32 RGPD)

Chiffrement en transit (TLS) et des sauvegardes au repos ; hachage à sens unique des mots de passe et des codes PIN ; accès par rôle avec administration réservée au propriétaire ; connexion en deux étapes pour le personnel de la plateforme ; journalisation des actions de sécurité ; pare-feu limité aux ports du service ; sauvegardes nocturnes chiffrées par client, conservées 30 nuits avec contrôles de restauration hebdomadaires, et une copie chiffrée hors site de l’ensemble du système.

7. Sous-traitants ultérieurs

Hébergeur (Allemagne) ; prestataire d’envoi d’e-mails ; prestataire de stockage des sauvegardes hors site. La liste actuelle est disponible dans le Centre de confiance. Le sous-traitant informe le responsable du traitement de tout changement au moins 30 jours à l’avance ; le responsable du traitement peut s’y opposer pour un motif légitime.

8. Assistance

Le sous-traitant aide le responsable du traitement à répondre aux demandes des personnes concernées et à remplir ses obligations au titre des art. 32–36 RGPD grâce aux outils de l’administration (export, suppression, anonymisation, journaux) et, au-delà, sur demande.

9. Suppression et restitution

Le responsable du traitement peut exporter et supprimer des données à tout moment. À la fin du contrat, les données restent disponibles à l’export pendant 30 jours, puis sont supprimées du système en production et, avec la rotation des copies nocturnes, des sauvegardes, sauf si une loi exige leur conservation.

10. Audit

Le sous-traitant fournit les informations nécessaires pour démontrer sa conformité et permet des audits par le responsable du traitement ou par un auditeur mandaté par celui-ci, moyennant un préavis raisonnable et aux frais du responsable du traitement lorsque l’audit ne révèle aucune violation.

11. Responsabilité et droit applicable

Les règles de responsabilité des Conditions générales d’utilisation s’appliquent. Le droit allemand s’applique.