Accord de sous-traitance des données personnelles

Pour les traitements couverts par le présent accord, le Client agit en qualité de responsable de traitement et CulinaePro en qualité de sous-traitant.

Cette qualification ne vaut que pour les traitements dont le Client détermine les finalités et les moyens. Pour ses propres traitements — gestion de la relation commerciale, facturation, sécurité, obligations légales — CulinaePro agit en qualité de responsable de traitement, dans les conditions décrites par la Politique de confidentialité.

CulinaePro traite les données personnelles aux seules fins de fournir le Service décrit aux Conditions Générales, notamment :

• la gestion des établissements et des utilisateurs ;
• la traçabilité HACCP et les enregistrements de conformité ;
• la gestion documentaire et les rapports de conformité ;
• la gestion du temps de travail, du planning et des absences lorsque ces fonctionnalités sont activées ;
• les fonctionnalités d’intelligence artificielle et de lecture de documents lorsqu’elles sont utilisées.

Les opérations réalisées comprennent la collecte, l’enregistrement, l’organisation, la conservation, la consultation, la modification, l’extraction, l’export, la sauvegarde, la transmission aux sous-traitants ultérieurs nécessaires et la suppression.

Le traitement est réalisé pendant toute la durée d’utilisation des fonctionnalités concernées. À la fin du contrat, les données sont restituées ou supprimées dans les conditions prévues à l’article 12 et à l’article 19 des Conditions Générales, sous réserve des obligations légales de conservation.

• dirigeants, gérants et responsables d’établissement ;
• salariés, apprentis, extras et collaborateurs du Client ;
• utilisateurs du Service désignés par le Client ;
• contacts professionnels des fournisseurs, lorsque des données personnelles figurent dans les documents transmis.

Identification et données professionnelles

• nom, prénom, adresse électronique, téléphone le cas échéant ;
• identifiant utilisateur, rôle applicatif, poste occupé ;
• établissement de rattachement, photographie de profil si déposée.

Données d’utilisation

• connexions, actions réalisées dans l’application, validations et signatures d’enregistrements ;
• historiques de traçabilité rattachés à une personne identifiée.

Données relatives au temps de travail

Lorsque les fonctionnalités correspondantes sont activées par le Client : horaires types, planning, absences, pointages d’entrée et de sortie, pauses, temps calculé, position approximative au moment du pointage si la vérification géographique est activée, photographie prise au badgeage si cette option est activée.

Données figurant dans les documents transmis

Des données personnelles peuvent apparaître incidemment dans les factures, bons de livraison, attestations, documents administratifs et photographies déposés par le Client.

Le Client s’engage à ne pas transmettre au Service de données relevant de l’article 9 du RGPD qui ne seraient pas nécessaires à la finalité poursuivie, notamment des données de santé, des opinions politiques ou des convictions religieuses. Il veille en particulier à ne pas en introduire dans les documents soumis aux fonctionnalités d’IA.

CulinaePro traite les données personnelles conformément aux instructions documentées du Client. Constituent notamment de telles instructions les Conditions Générales, le présent accord et le paramétrage du Service effectué par le Client (activation des fonctionnalités, durées de rétention, habilitations).

CulinaePro informe le Client si une instruction lui paraît constituer une violation du RGPD ou d’une autre disposition applicable en matière de protection des données.

CulinaePro veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité, n’accèdent aux données que dans la mesure nécessaire à leur mission et respectent les procédures de sécurité applicables.

CulinaePro met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques, notamment : cloisonnement des données par établissement au niveau de la base de données, chiffrement des communications, authentification et gestion des droits, journalisation, sauvegardes, chaînage cryptographique des événements de conformité. Ces mesures évoluent avec l’état de l’art et le Service.

Le Client autorise CulinaePro à recourir aux sous-traitants ultérieurs nécessaires au fonctionnement du Service. Leur liste, leur fonction et leur localisation figurent à l’article 6 de la Politique de confidentialité, qui vaut information au sens de l’article 28.2 du RGPD.

CulinaePro informe le Client de tout changement envisagé concernant l’ajout ou le remplacement d’un sous-traitant ultérieur, laissant au Client la possibilité d’émettre des objections. CulinaePro demeure responsable de la sélection et de l’encadrement de ses sous-traitants.

Lorsque des données sont transférées vers un pays tiers, CulinaePro met en œuvre un mécanisme de transfert reconnu par le RGPD (décision d’adéquation, clauses contractuelles types au sens de l’article 46, ou autre mécanisme valable). Les localisations concernées sont indiquées à l’article 6 de la Politique de confidentialité.

Compte tenu de la nature du traitement, CulinaePro apporte au Client une assistance raisonnable pour :

• répondre aux demandes d’exercice de droits des personnes concernées ;
• rechercher, extraire, exporter ou supprimer des données ;
• traiter un incident de sécurité ;
• documenter la conformité du traitement, y compris pour une analyse d’impact lorsque celle-ci est requise.

Le Client demeure responsable du traitement des demandes émanant des personnes concernées relevant de sa responsabilité. Lorsqu’une telle demande est adressée directement à CulinaePro, elle est transmise au Client.

CulinaePro notifie au Client toute violation de données personnelles affectant les données traitées pour son compte, dans les meilleurs délais après en avoir pris connaissance.

La notification comprend, dans la mesure des informations disponibles : la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises ou envisagées. CulinaePro coopère raisonnablement avec le Client pour lui permettre de respecter ses propres obligations de notification.

CulinaePro met à disposition du Client les informations nécessaires pour démontrer le respect des obligations lui incombant en qualité de sous-traitant.

Les audits éventuels sont réalisés :

• pendant les heures ouvrées, avec un préavis raisonnable ;
• sans perturber excessivement le fonctionnement du Service ;
• dans le respect de la confidentialité et de la sécurité des données des autres Clients.

Les coûts raisonnables d’un audit spécifique excédant les informations et contrôles standards mis à disposition peuvent être facturés au Client.

À la fin du contrat, le Client dispose des exports intégrés au Service pendant que son compte est actif, puis d’un délai de trente (30) jours pour demander la restitution de ses données à contact@eazyhaccp.com.

À l’issue de ce délai, les données peuvent être supprimées, sous réserve des obligations légales de conservation, des données nécessaires à la preuve et du cycle normal de rotation des sauvegardes techniques.

Le Client s’engage à :

• disposer d’une base juridique pour les traitements qu’il met en œuvre au moyen du Service ;
• informer les personnes concernées, notamment ses salariés, et consulter les instances représentatives lorsque la loi l’impose ;
• ne transmettre que les données nécessaires aux finalités poursuivies ;
• paramétrer les durées de rétention et les habilitations de manière cohérente avec ses obligations ;
• gérer la création et la suppression des comptes utilisateurs ;
• informer CulinaePro de toute instruction particulière nécessaire au traitement.

Chaque Partie répond des obligations qui lui incombent au titre du RGPD. Le présent accord ne transfère pas au sous-traitant les obligations relevant légalement du responsable de traitement.

En cas de contradiction avec les Conditions Générales sur les seules dispositions relatives à la protection des données personnelles, le présent accord prévaut.

CulinaePro — Florent Saugeron · contact@eazyhaccp.com