Accord de sous-traitance des données

1. Objet

Juliette traite, pour le compte du Client, les données personnelles que le Client et ses utilisateurs enregistrent dans le Service. Le présent accord définit les conditions dans lesquelles Juliette effectue ces traitements.

2. Description des traitements

Nature

Hébergement, enregistrement, consultation, organisation, mise à jour, calculs, envoi par e-mail, export et suppression de données, au moyen de l'application Juliette.

Finalités

Gestion du personnel (planning, pointage, congés, contrats et documents RH, messagerie interne), hygiène et traçabilité alimentaire, stocks et achats, service en salle et réservations, pilotage de l'activité.

Durée

Durée de l'abonnement, augmentée du délai de restitution et de suppression prévu à l'article 10.

Personnes concernées

Salariés, extras, stagiaires et dirigeants du Client ; candidats à l'embauche ; clients du restaurant (réservations, commandes à emporter et livraisons) ; contacts des fournisseurs.

Catégories de données

• Identité et coordonnées : nom, prénom, date de naissance, photo, adresse e-mail, téléphone, adresse postale.
• Vie professionnelle : poste, fonction, type et nature du contrat, date d'embauche et de départ, durée du travail, rémunération, primes, acomptes, avantages.
• Temps de travail : planning, pointages (arrivées, pauses, départs), corrections et justificatifs, congés et absences.
• Documents RH : contrats, avenants, fiches de poste, remises de matériel, avertissements, convocations, certificats, attestations, avec leurs signatures électroniques et leur horodatage.
• Numéro de sécurité sociale et nationalité, lorsque le Client les fait figurer dans un contrat de travail.
• Communications : messages de la messagerie interne et pièces jointes ; e-mails échangés avec les fournisseurs.
• Traçabilité : nom des personnes ayant réalisé un relevé HACCP, une réception ou une déclaration de perte.
• Clients du restaurant : nom, téléphone, e-mail, adresse de livraison, nombre de couverts et remarques, qui peuvent comporter une allergie ou un régime alimentaire.

Les allergies et régimes alimentaires peuvent constituer des données de santé au sens de l'article 9 du RGPD. Le numéro de sécurité sociale fait l'objet d'un encadrement particulier. Le Client s'engage à ne les enregistrer que lorsque c'est nécessaire (service du client en toute sécurité, obligations déclaratives de l'employeur) et dans le respect des règles qui leur sont propres.

3. Instructions du responsable de traitement

Juliette ne traite les données que sur instruction documentée du Client. Les présentes conditions, le paramétrage du Service et les actions réalisées par le Client dans l'application constituent ces instructions, y compris en ce qui concerne les transferts de données. Si Juliette estime qu'une instruction constitue une violation du RGPD ou d'une autre règle relative à la protection des données, elle en informe immédiatement le Client.

Juliette n'utilise les données du Client pour aucune autre finalité, et notamment pas à des fins commerciales ou publicitaires.

4. Confidentialité

Les personnes autorisées par Juliette à traiter les données sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire à leur mission (assistance demandée par le Client, maintenance, sécurité).

5. Sécurité des données

Juliette met en œuvre les mesures techniques et organisationnelles prévues à l'article 32 du RGPD, notamment :

• chiffrement des échanges (HTTPS) et chiffrement des données au repos chez l'hébergeur ;
• cloisonnement des établissements appliqué par la base de données elle-même (règles d'accès au niveau des lignes) ;
• contrôle des accès par niveau (directeur, responsable, salarié) et par module, défini par le Client ;
• mots de passe conservés sous forme chiffrée irréversible ; secrets de connexion aux logiciels tiers chiffrés en AES-256-GCM ;
• horodatage serveur des pointages et des enregistrements HACCP, et empreinte des documents signés ;
• hébergement des données dans l'Union européenne ;
• accès administratifs restreints, réservés à l'équipe Juliette et vérifiés côté serveur.

6. Sous-traitants ultérieurs

Le Client autorise Juliette à recourir aux sous-traitants ultérieurs ci-dessous. Juliette leur impose, par contrat, des obligations de protection des données équivalentes à celles du présent accord et reste responsable de leur respect.

Juliette informe le Client de tout ajout ou remplacement d'un sous-traitant ultérieur au moins trente jours à l'avance. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut d'accord, il peut résilier son abonnement sans frais.

Lorsque le Client connecte un service tiers de son choix (logiciel de caisse, par exemple), ce service n'est pas un sous-traitant de Juliette : le Client contracte directement avec lui et Juliette n'échange les données que sur son instruction.

7. Droits des personnes

Le Client répond aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Le Service lui permet de consulter, corriger, exporter et supprimer les données. Juliette l'assiste pour les demandes qu'il ne peut pas traiter seul ; si une personne s'adresse directement à Juliette, sa demande est transmise sans délai au Client.

8. Violations de données

Juliette notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées. Juliette fournit ensuite toute information utile pour permettre au Client de notifier l'autorité de contrôle et, le cas échéant, les personnes concernées.

9. Analyses d'impact et assistance

Juliette fournit au Client, sur demande, les informations nécessaires à la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de l'autorité de contrôle.

10. Sort des données en fin de contrat

À la fin de l'abonnement, Juliette restitue au Client, à sa demande formulée dans les trente jours, ses données dans un format courant. Elle supprime ensuite toutes les données et leurs copies dans un délai maximal de quatre-vingt-dix jours, y compris dans les sauvegardes à l'expiration de leur cycle de rotation, sauf obligation légale de conservation. Elle confirme la suppression par écrit sur demande.

11. Documentation et audits

Juliette met à la disposition du Client la documentation nécessaire pour démontrer le respect de ses obligations. Le Client peut faire réaliser un audit, une fois par an, par lui-même ou par un auditeur indépendant tenu au secret, avec un préavis de trente jours et à ses frais. L'audit porte sur les seuls traitements réalisés pour le Client et ne doit pas compromettre la sécurité ni la confidentialité des données des autres clients.

12. Obligations du client

• Fournir des instructions conformes au RGPD et disposer d'une base légale pour chaque traitement.
• Informer les personnes concernées, en particulier ses salariés, des traitements réalisés avec Juliette (pointage, planning, contrats, messagerie) et, le cas échéant, consulter ses représentants du personnel.
• Tenir son registre des activités de traitement et limiter les données saisies à ce qui est nécessaire.
• Attribuer les accès avec soin et retirer ceux des personnes qui quittent l'établissement.

Contact de Juliette pour toute question relative au présent accord : bonjour@juliette-app.fr.