Contrat de protection des données personnelles

Article 1 — Objet

Le présent contrat définit les conditions dans lesquelles DELI-FREE, SAS au capital de 1 000 € (représenté par Jérémy Durandeau, président, ci-après « le Sous-traitant ») s'engage à effectuer, pour le compte du restaurant partenaire (« le Responsable de traitement »), les opérations de traitement de données personnelles décrites ci-après, dans le cadre de la plateforme SaaS Deli-Free.

Article 2 — Description du traitement

Nature des opérations : hébergement de la plateforme, stockage et traitement des commandes, envoi de courriels et SMS transactionnels, calcul d'itinéraires, notifications push, génération de factures, traitement des litiges.

Finalités : permettre au Responsable de traitement de gérer son activité de vente à distance de plats préparés (gestion du catalogue, prise de commande, livraison, suivi client).

Catégories de personnes concernées : clients finaux du Responsable de traitement passant commande via le site ou l'application mobile.

Catégories de données :

• Identification — nom, prénom, identifiant de compte
• Contact — adresse e-mail, numéro de téléphone
• Adresse de livraison — rue, code postal, ville, complément, coordonnées GPS
• Commandes — contenu, montants, mode de paiement (jamais les numéros de carte), historique
• Communications — messages échangés avec le restaurant, tickets support, litiges
• Données techniques — identifiants de session, type d'appareil, adresse IP partielle, logs d'usage

Durée du traitement : pour la durée de l'abonnement du Responsable de traitement à la plateforme.

Article 3 — Obligations du Sous-traitant

Le Sous-traitant s'engage à :

1. Traiter les données personnelles uniquement sur instruction documentée du Responsable de traitement.
2. Garantir la confidentialité des données traitées et veiller à ce que les personnes autorisées s'engagent à respecter cette confidentialité.
3. Mettre en œuvre les mesures techniques et organisationnelles appropriées (article 32 RGPD) : chiffrement TLS, chiffrement des mots de passe, contrôle d'accès, journalisation, sauvegardes quotidiennes.
4. Notifier au Responsable de traitement toute violation de données personnelles dans les 72 heures maximum.
5. Aider le Responsable de traitement à répondre aux demandes d'exercice des droits des personnes concernées (articles 12 à 22).
6. Aider le Responsable de traitement à respecter les obligations prévues aux articles 32 à 36 du RGPD.
7. Mettre à disposition la documentation nécessaire pour démontrer le respect de ses obligations et permettre la réalisation d'audits.
8. Au terme du contrat, supprimer ou restituer l'ensemble des données traitées (sauf obligation de conservation prévue par le droit).

Article 4 — Obligations du Responsable de traitement

1. Documenter par écrit toute instruction concernant le traitement des données par le Sous-traitant.
2. Veiller, au préalable et pendant toute la durée du traitement, au respect des obligations prévues par le RGPD de la part du Sous-traitant.
3. Superviser le traitement, y compris en réalisant des audits.
4. Informer les personnes concernées par les opérations de traitement.

Article 5 — Sous-traitance ultérieure

Le Sous-traitant est autorisé à recourir aux sous-traitants ultérieurs ci-après pour mener les activités de traitement décrites à l'article 2. Il s'engage à informer par écrit le Responsable de traitement de tout changement (ajout ou remplacement) au moins 30 jours avant sa mise en œuvre, permettant au Responsable de traitement d'y opposer des objections motivées.

Article 6 — Transferts hors Union européenne

Le Sous-traitant s'engage à ne pas transférer les données vers un pays situé hors de l'Espace économique européen sans garanties appropriées au sens des articles 44 et suivants du RGPD (clauses contractuelles types adoptées par la Commission européenne).

Article 7 — Notification des violations de données

En cas de violation de données personnelles, le Sous-traitant notifie au Responsable de traitement, par écrit, dans un délai maximal de 72 heures après en avoir pris connaissance, les informations suivantes :

• nature de la violation et catégories de données concernées ;
• nombre approximatif de personnes concernées ;
• conséquences probables et mesures prises ou envisagées ;
• coordonnées du point de contact compétent.

Article 8 — Délégué à la protection des données

Pour toute question relative au traitement des données, le Sous-traitant est joignable à l'adresse : contact@deli-free.fr.

Article 9 — Sort des données en fin de contrat

Au terme du contrat (résiliation, expiration, non-renouvellement), le Sous-traitant procède, au choix du Responsable de traitement notifié dans un délai de 30 jours :

• soit à la restitution des données dans un format structuré et couramment utilisé (export CSV / JSON) ;
• soit à la suppression définitive des données et de toutes les copies existantes (y compris des sauvegardes selon les cycles de rotation).

Sans instruction dans le délai imparti, le Sous-traitant procède à la suppression définitive après 90 jours.

Article 10 — Durée et résiliation

Le présent contrat prend effet à l'acceptation électronique lors de l'inscription et reste en vigueur pendant toute la durée du contrat de service principal entre les parties. Il prend fin automatiquement à la résiliation ou à l'expiration de ce dernier.

Article 11 — Droit applicable et juridiction

Le présent contrat est régi par le droit français. Tout litige relatif à son exécution ou à son interprétation est soumis aux tribunaux compétents du ressort du siège social du Sous-traitant, sauf disposition impérative contraire.