Accord de sous-traitance
Traitement de données à caractère personnel — Annexe aux CGVU du Service Ardoise
Dernière mise à jour : juillet 2026
Préambule
Le présent accord est conclu entre le restaurant partenaire (ci-après « le Client », responsable de traitement) et Popa, Stefan, opérant sous la marque Ardoise (Personne physique, 7060 Soignies, Belgique) (ci-après « Ardoise », sous-traitant), en application de l'article 28 du Règlement Général sur la Protection des Données (RGPD), en annexe aux Conditions Générales de Vente et d'Utilisation (CGVU) du Service Ardoise.
Le Client agit en qualité de responsable de traitement pour les données à caractère personnel de ses propres clients finaux (personnes passant commande auprès de son établissement). Ardoise agit en qualité de sous-traitant pour le compte du Client, dans la stricte mesure nécessaire à la fourniture du Service.
Article 1 — Objet
Le présent accord précise les conditions dans lesquelles Ardoise traite, pour le compte du Client, les données à caractère personnel des clients finaux du Client, dans le cadre de la fourniture du Service défini aux CGVU (site de commande, caisse, cuisine, borne, réservations, fidélité).
Article 2 — Description du traitement
- Nature du traitement : hébergement, stockage et traitement technique nécessaires au fonctionnement du Service.
- Finalité : permettre au Client d'exploiter le Service Ardoise pour la gestion de ses commandes, livraisons, réservations et programme de fidélité.
- Catégories de données traitées : identité (nom), coordonnées (e-mail, téléphone), adresse de livraison, historique de commandes, données de compte de fidélité, préférences de notification.
- Catégories de personnes concernées : clients finaux du Client, personnes physiques passant commande auprès de son établissement.
- Durée du traitement : pour toute la durée du contrat principal (CGVU), et selon la politique de conservation définie à l'article 6 du présent accord.
Article 3 — Obligations d'Ardoise
Ardoise s'engage à :
- ne traiter les données à caractère personnel que sur instruction documentée du Client, sauf obligation légale contraire à laquelle Ardoise est soumis ;
- garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
- mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées, incluant le chiffrement des données à caractère personnel, tant au repos qu'en transit ;
- ne recourir à un sous-traitant ultérieur qu'avec l'autorisation générale ou spécifique préalable du Client (voir article 5), et sous sa propre responsabilité contractuelle envers ce sous-traitant ;
- assister le Client, dans la mesure raisonnablement possible, pour répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, suppression, opposition, portabilité) ;
- notifier au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance ;
- supprimer ou restituer, au choix du Client, l'ensemble des données à caractère personnel au terme du contrat, sous réserve des durées de conservation prévues à l'article 6 ;
- mettre à disposition du Client toute information raisonnablement nécessaire pour démontrer le respect du présent accord.
Article 4 — Obligations du Client
Le Client garantit disposer d'une base légale valide pour la collecte et le traitement des données de ses clients finaux, y compris, le cas échéant, pour toute communication promotionnelle qui leur est adressée (consentement explicite préalable et libre de la personne concernée).
Le Client s'engage à informer ses clients finaux de leurs droits et des modalités de traitement de leurs données, notamment au moyen de la politique de confidentialité mise à disposition par Ardoise sur le site de commande.
Article 5 — Sous-traitants ultérieurs
Ardoise a recours, à la date du présent accord, aux sous-traitants ultérieurs suivants pour l'exécution du Service :
- Hébergement VPS (Union européenne) — hébergement et stockage chiffré des données.
- Postal (auto-hébergé) — acheminement des notifications transactionnelles et promotionnelles par e-mail.
Toute modification de cette liste sera communiquée au Client avec un préavis raisonnable, lui permettant de s'y opposer pour un motif légitime lié à la protection des données.
Article 6 — Durée de conservation et sort des données
6.1. Compte client final inactif. Tout compte de client final sans connexion ni commande pendant une durée de deux (2) ans est automatiquement supprimé, sans intervention nécessaire du Client.
6.2. Fin du contrat principal. En cas de résiliation du contrat principal (CGVU) par le Client, les données des clients finaux du Client sont conservées pendant une durée maximale de deux (2) ans à compter de la date de résiliation, afin de permettre une éventuelle reprise du Service, puis supprimées définitivement.
6.3. Demande de suppression anticipée. Toute demande de suppression émanant d'une personne concernée est traitée sans délai par Ardoise, indépendamment des durées de conservation prévues aux articles 6.1 et 6.2 ci-dessus, qui ne constituent que des durées maximales.
Article 7 — Chiffrement et sécurité
L'ensemble des données à caractère personnel traitées dans le cadre du Service est chiffré, tant au repos qu'en transit, selon les standards en vigueur. Ardoise revoit régulièrement ses mesures de sécurité afin de les maintenir adaptées à l'état de l'art.
Article 8 — Responsabilité
Chaque partie est responsable des dommages résultant d'un manquement à ses propres obligations au titre du RGPD et du présent accord. La responsabilité d'Ardoise au titre du présent accord demeure soumise aux limitations prévues à l'article 9 des CGVU du Service Ardoise.
Article 9 — Durée
Le présent accord est conclu pour la durée du contrat principal (CGVU) et prend fin de plein droit avec celui-ci, sous réserve des dispositions de l'article 6 du présent accord, qui survivent à la résiliation pour la durée qui y est prévue.
Contact
Pour toute question relative à la protection des données ou pour exercer vos droits, contactez-nous à popa.stefan.pro@gmail.com.