Accord de sous-traitance de données à caractère personnel (DPA)

Le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement dans le seul but de fournir le service Concierge Gourmand, selon les instructions documentées du Responsable de traitement (paramétrage de son espace et des présentes conditions).

Nature : collecte, enregistrement, conservation, structuration et suppression de données. Finalité : permettre au concierge de recommander des produits et de collecter, à la demande du commerçant, les contacts de ses clients finaux.

Le traitement dure le temps de l'abonnement. À son terme, les données sont traitées conformément à l'article 8 ci-dessous.

Personnes concernées : les clients finaux du commerçant. Données : adresse email, préférences alimentaires et, le cas échéant, allergies déclarées volontairement, sélections générées. Aucune donnée n'est demandée au-delà de ce qui est nécessaire au service.

Le Sous-traitant s'engage à : (a) ne traiter les données que sur instruction du Responsable de traitement ; (b) garantir la confidentialité des données et la formation des personnes autorisées ; (c) mettre en œuvre des mesures techniques et organisationnelles appropriées (chiffrement des mots de passe, isolation stricte des données par compte, contrôle des accès) ; (d) aider le Responsable de traitement à répondre aux demandes d'exercice des droits des personnes ; (e) l'assister dans ses obligations de sécurité, de notification de violation et d'analyse d'impact ; (f) notifier toute violation de données dans les meilleurs délais après en avoir pris connaissance.

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants : l'hébergeur et l'infrastructure technique (Lovable), le prestataire de paiement (Stripe), et le fournisseur de la technologie d'intelligence artificielle. Le Sous-traitant informe le Responsable de traitement de tout changement et lui impose des garanties équivalentes aux présentes.

Tout transfert de données hors de l'Union européenne est encadré par les garanties appropriées prévues par le RGPD, notamment les clauses contractuelles types de la Commission européenne.

Au terme de l'abonnement, le Responsable de traitement peut exporter ses données. Elles sont ensuite supprimées dans un délai de 90 jours, sauf obligation légale de conservation.

Le Sous-traitant met à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d'audits, dans des conditions raisonnables.

Chaque partie répond des manquements qui lui sont propres au regard de la réglementation applicable à la protection des données.