Accord de traitement des données

L’Accord fixe les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données personnelles que celui-ci saisit ou recueille au moyen du Service.

• Traitements couverts : les données des clients, organisateurs, invités et autres personnes que l’Établissement saisit ou recueille avec le Service.
• Traitements exclus : l’Éditeur reste seul responsable de traitement, hors de l’Accord, pour les comptes des professionnels et de leurs équipes, l’abonnement et sa facturation, la marketplace publique, le formulaire de contact du site et la sécurité du Service (voir la politique de confidentialité).
• Demandes de devis : une demande est recueillie sur la marketplace par l’Éditeur, puis enregistrée dans l’espace de l’Établissement destinataire, qui la gère seul. Une fois transmise, elle est une donnée de l’Établissement couverte par l’Accord.

L’Accord s’applique tant que l’Établissement existe dans le Service, quelle que soit son offre : un Établissement dont l’abonnement est résilié, ou dont l’essai est terminé, passe en lecture seule et conserve ses données. Il prend fin à la suppression de l’Établissement (article 14). Les obligations de confidentialité (article 7) et de sort des données (article 14) survivent à sa fin.

Un Établissement en lecture seule, sans abonnement en cours, dont aucun membre ne s’est connecté depuis 36 mois est supprimé automatiquement, après un e-mail d’avertissement envoyé au Propriétaire 30 jours avant ; une connexion pendant ce délai suffit à le conserver. Un Établissement qui conserve des documents signés électroniquement n’est pas supprimé ainsi tant que dure leur conservation, ni un Établissement qui a émis une facture depuis moins de 10 ans (article 6).

Opérations effectuées par le Sous-traitant : hébergement et stockage ; enregistrement des réponses envoyées par les invités ; organisation et affichage aux membres de l’équipe selon leur rôle ; mise à disposition de l’organisateur de l’événement lorsque l’Établissement l’autorise ; envoi d’e-mails transactionnels ; exports ; anonymisation et suppression automatiques ; suppression à la demande.

Finalités, toutes définies par l’Établissement au moyen des fonctions du Service :

• gérer ses demandes, groupes et événements (groupes, contacts, sociétés, documents, calendrier) ;
• recueillir les choix de menu des invités, leurs allergies et régimes, pour préparer le repas ;
• permettre à l’organisateur de suivre les réponses de ses invités, par un lien qui expire ;
• envoyer à l’invité son lien de modification et, s’il l’a accepté, une demande d’avis après le repas, de même qu’à l’organisateur qui l’a accepté dans son espace organisateur ;
• prévenir l’équipe d’une nouvelle réponse ;
• faire signer un document par son client et en garder la preuve (module Signature électronique, voir sa politique de signature) ;
• établir ses factures, factures d’acompte et avoirs, et en garder la trace (module Facturation) ;
• produire des statistiques de fréquentation et de plats.

Le Sous-traitant n’utilise pas ces données pour son propre compte, sauf pour en tirer des totaux anonymes (nombre de groupes, de réponses, de signatures et d’avis par jour ou par mois), sans donnée personnelle ni identifiant de l’Établissement, afin de suivre l’activité de la plateforme. Elles ne sont ni vendues ni utilisées à des fins publicitaires ou de profilage.

• les invités d’un repas qui remplissent le formulaire de l’Établissement ;
• les clients et organisateurs enregistrés comme contacts, y compris les interlocuteurs de sociétés ;
• les organisateurs qui consultent l’espace organisateur ;
• les auteurs des demandes de devis reçues par l’Établissement ;
• les auteurs d’avis laissés après un repas ;
• les signataires des documents que l’Établissement envoie pour signature ;
• les clients que l’Établissement facture, et leurs interlocuteurs ;
• toute personne citée dans les documents ou les notes que l’Établissement dépose.

• Invités : prénom et nom ; e-mail et téléphone, facultatifs sauf si l’Établissement les rend obligatoires ; choix de plats ; commentaire libre ; allergies (parmi les 14 allergènes réglementaires, plus un texte libre), réponse « Aucune allergie » et indication d’allergie sévère ; régimes alimentaires ; accord pour recevoir une demande d’avis ; données techniques (empreinte de l’appareil pour limiter les abus, cookie de modification de 180 jours).
• Contacts et groupes : prénom, nom, e-mail, téléphone, fonction, société, notes, origine du contact ; pour chaque groupe : date, horaire, nombre de personnes, budget, type d’événement, notes et champs personnalisés, et l’accord de l’organisateur pour recevoir une demande d’avis.
• Demandes de devis : nom, e-mail, téléphone, société, date et moment souhaités, nombre de personnes, budget, type d’événement, message, provenance de la demande (liste EventPlates, moteur de recherche, réseau social, autre site ou accès direct).
• Avis : prénom et nom de l’invité ou de l’organisateur du repas, note, commentaire, choix de publication.
• Documents déposés par l’Établissement, dont le Sous-traitant ne connaît pas le contenu.
• Signatures électroniques : nom et e-mail du signataire, nom qu’il tape, déclaration d’entreprise (société, fonction), raison d’un refus, récapitulatif des montants, date de chaque étape, adresse IP et navigateur à chaque geste du signataire (chiffrés), PDF d’origine et PDF signé, journal de preuve.
• Factures : nom, adresse, e-mail et identifiants (SIREN, numéro de TVA, références Chorus Pro) du client facturé, lignes et montants, acomptes, dates et moyens de règlement, PDF émis, son empreinte SHA-256 et le journal de chaque facture.
• Journaux propres à l’Établissement : journal d’activité (actions des membres, notes, exports) et notifications de nouvelles réponses.

Données sensibles : les allergies, les intolérances, la réponse « Aucune allergie » et l’indication d’allergie sévère sont des données de santé ; certains régimes peuvent révéler des convictions religieuses ou philosophiques (article 9 du RGPD). Leur saisie est facultative pour l’invité et n’est proposée que si l’Établissement active les allergies ou les régimes sur le menu. Le Responsable de traitement ne saisit lui-même une allergie, la réponse « Aucune allergie » ou un régime pour un invité que si celui-ci le lui a communiqué et accepte qu’il serve à préparer son repas ; il l’atteste dans le Service à chaque saisie, et la date de cette attestation est conservée avec la réponse.

Le Responsable de traitement s’engage à ne pas saisir dans les champs libres (notes, commentaires, champs personnalisés, documents) de données sensibles au-delà de ce qui est nécessaire à la préparation du repas.

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Constituent ces instructions : les CGU, l’Accord, et les réglages et actions effectués dans le Service par les membres de l’Établissement (par exemple activer les allergies sur un menu, autoriser l’organisateur à voir le détail des choix ou à les exporter, exporter, supprimer une réponse, un contact ou l’Établissement).

Contacts : les sociétés et les personnes enregistrées par l’Établissement, clients comme prospects, ne sont pas supprimées automatiquement, sauf avec l’Établissement lorsqu’il est supprimé pour inactivité (article 2) : le Responsable de traitement fixe lui-même leur durée de conservation et les supprime depuis le Service ; pour un prospect, 3 ans au plus après le dernier échange sont recommandés.

Signatures électroniques : en envoyant un document à signer, le Responsable de traitement donne pour instruction de conserver le document signé et sa preuve 10 ans après l’événement (la date du repas à l’envoi, sinon celle de la signature), 5 ans lorsque le signataire a déclaré signer pour une entreprise, et d’effacer une demande jamais signée 12 mois après sa date limite ; le code envoyé au signataire est effacé dès son usage. Pendant ces durées, le document d’origine, le PDF signé et le groupe qui les contient ne peuvent pas être supprimés depuis le Service ; sur demande motivée du Propriétaire à rgpd@eventplates.fr, par exemple après une erreur de destinataire, l’Éditeur efface une demande et le note dans son journal d’administration. Le document d’origine, les conditions générales jointes et le PDF signé d’une demande signée sont copiés chaque semaine dans un second espace de stockage privé du même hébergeur, situé à Paris (France) ; chaque copie est supprimée en même temps que l’original.

Factures : en validant une facture, le Responsable de traitement donne pour instruction de la conserver, avec son PDF et son journal, tant que l’Établissement existe : elle ne se modifie plus et n’est jamais supprimée automatiquement dans les 10 ans qui suivent son émission. Les PDF sont stockés dans un espace privé réservé aux factures, situé à Paris (France), et copiés chaque semaine dans un second espace privé du même hébergeur, situé lui aussi à Paris ; chaque copie est supprimée en même temps que l’original. Un Établissement qui a émis des factures ne peut être supprimé depuis le Service qu’après le téléchargement de leur export comptable ; ses factures sont alors supprimées avec lui.

Le Sous-traitant informe immédiatement le Responsable de traitement si, selon lui, une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données. Si le droit de l’Union ou le droit français l’oblige à un traitement non prévu par ces instructions, il en informe le Responsable de traitement avant le traitement, sauf si ce droit l’interdit pour des motifs importants d’intérêt public. Les transferts hors de l’Union européenne sont limités à ceux décrits à l’article 9.

Seul l’Éditeur, Aurélien Wikart, a accès aux données traitées pour le compte des Établissements ; il est tenu à la confidentialité. Il n’en prend connaissance que pour fournir le Service, répondre à une demande de l’Établissement ou remplir une obligation légale.

• Le back-office de l’Éditeur exige une nouvelle saisie du mot de passe avant tout accès, puis toutes les 12 heures. Il affiche, pour un Établissement, sa fiche, son abonnement, ses membres et des compteurs (nombre de groupes, de réponses, de contacts…), jamais le contenu des réponses ni des contacts. Il liste aussi les demandes de devis encore au statut « Nouvelle » 48 heures après leur arrivée (établissement, date de la demande, date souhaitée, nombre de personnes), sans le message ni les coordonnées de l’organisateur, pour que l’Éditeur puisse relancer l’Établissement.
• Chaque modification faite depuis le back-office est inscrite dans un journal d’administration conservé 12 mois.
• Les accès techniques (hébergement, base de données, paiement, suivi des erreurs, envoi des e-mails) sont réservés à l’Éditeur, avec une double authentification activée sur chacun.

Le Sous-traitant met en œuvre les mesures suivantes (article 32 du RGPD), au titre d’une obligation de moyens adaptée à sa taille :

• Chiffrement des échanges : site servi uniquement en HTTPS (HSTS de deux ans), appels chiffrés vers la base de données et vers le service d’envoi des e-mails. Le chiffrement du stockage relève des hébergeurs, selon leurs propres engagements.
• Isolation des Établissements : chaque donnée porte l’identifiant de son Établissement ; tout identifiant venant du navigateur est vérifié avant usage ; la session relit à chaque requête le compte, l’appartenance à l’Établissement et le rôle.
• Contrôle d’accès : quatre rôles (Propriétaire, Manager, Équipier, Consultation) ; le rôle Consultation ne voit coordonnées, notes, documents et montants que si le Propriétaire l’active ; l’export complet est réservé au Propriétaire, limité en fréquence et tracé ; la suppression de l’Établissement exige son nom et le mot de passe du Propriétaire.
• Authentification : mots de passe hachés avec bcrypt ; sessions signées de 30 jours dans un cookie HttpOnly et Secure, révocables appareil par appareil, invalidées à un changement de mot de passe et supprimées après 31 jours sans activité ; tentatives limitées à la connexion et sur les formulaires publics ; liens de réinitialisation à usage unique et à durée limitée.
• Liens personnels : le formulaire invité, l’espace organisateur et la demande d’avis s’ouvrent par des liens longs et non devinables ; le lien organisateur cesse de fonctionner à sa date d’expiration, le lien d’avis 90 jours après son envoi. Ils sont conservés sous forme d’empreinte et de copie chiffrée, et le rôle Consultation n’y a pas accès.
• Documents : stockés dans un espace privé, servis par le serveur après contrôle d’accès.
• Protection du navigateur : politique de sécurité du contenu, interdiction d’afficher le Service dans le cadre d’un autre site.
• Journaux : journal d’activité propre à chaque Établissement ; suivi des erreurs (Sentry) configuré pour ne transmettre ni cookies, ni contenu de formulaire, ni adresse IP, ni e-mail, et pour masquer les liens personnels, sans enregistrement des sessions.
• Conservation : une tâche quotidienne supprime ou anonymise les données selon les durées publiées dans la politique de confidentialité ; les réponses des invités sont supprimées 90 jours après l’événement.
• Restauration : la base de données peut être restaurée à un instant des 6 dernières heures (fonction de restauration de l’hébergeur de la base, Neon), ou à partir d’une copie de sauvegarde faite avant chaque mise à jour, supprimée au bout de 14 jours au plus. Les PDF des factures émises et les documents des demandes signées ont en outre une copie de sauvegarde, faite chaque semaine dans un second espace de stockage privé du même hébergeur, situé à Paris, et supprimée en même temps que l’original.

Le Sous-traitant réexamine ces mesures après tout incident de sécurité et lorsque le Service évolue.

Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs suivants, qui traitent des données de l’Établissement :

Les autres prestataires de la politique de confidentialité (paiement de l’abonnement, carte de la marketplace) servent les propres traitements de l’Éditeur et ne reçoivent aucune donnée des invités ni des contacts de l’Établissement.

• Changement : le Sous-traitant informe le Propriétaire de chaque Établissement par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur, en indiquant son nom, son rôle, sa localisation et les garanties de transfert.
• Opposition : pendant ce délai, le Responsable de traitement peut s’opposer au changement par e-mail à rgpd@eventplates.fr, pour un motif lié à la protection des données. Les parties cherchent alors une solution ; à défaut, il peut mettre fin à l’Accord en supprimant l’Établissement (article 14) avant l’entrée en vigueur du changement.
• Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes à celles de l’Accord, au moyen de leurs accords de traitement des données, et reste responsable de leur exécution envers le Responsable de traitement.

Le Service permet à l’Établissement de répondre lui-même aux demandes des personnes :

• accès et portabilité : export des réponses de chaque formulaire, et export complet de l’Établissement par le Propriétaire ;
• rectification : modification des contacts et des groupes ; l’invité modifie lui-même sa réponse par son lien privé ;
• effacement : suppression d’un contact, avec ses notes et, au choix, ses documents et ses demandes de devis ; suppression d’une demande de devis ; suppression d’une réponse ;
• opposition aux demandes d’avis : lien de désinscription dans chaque e-mail.

Lorsqu’une personne s’adresse directement à l’Éditeur au sujet de données de l’Établissement, l’Éditeur transmet sa demande au Propriétaire sous 5 jours ouvrés et ne lui répond pas lui-même, sauf instruction de l’Établissement. Par exception, l’Éditeur traite lui-même la demande de l’auteur d’un avis qui en veut la suppression (voir Comment fonctionne Repas de groupe). Pour les demandes que l’Établissement ne peut traiter seul, le Sous-traitant l’aide dans la mesure du possible, sur demande à rgpd@eventplates.fr.

Le Sous-traitant fournit au Responsable de traitement, sur demande, les informations utiles à son analyse d’impact et, le cas échéant, à la consultation préalable de la CNIL (articles 35 et 36 du RGPD) : l’Accord, la description des mesures de sécurité, la liste des sous-traitants ultérieurs et les durées de conservation.

Le Sous-traitant notifie au Propriétaire de l’Établissement concerné, par e-mail, toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance.

La notification indique, dans la mesure où elles sont connues : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées et un contact. Les informations manquantes sont communiquées dès qu’elles sont disponibles.

Le Sous-traitant tient le registre des catégories d’activités de traitement effectuées pour le compte de ses clients (article 30, paragraphe 2, du RGPD). Le Responsable de traitement tient son propre registre.

Restitution : avant la fin du contrat, le Responsable de traitement récupère ses données au moyen des exports de l’article 10 ; les documents se téléchargent un par un depuis l’application, et les factures par leur export comptable.

Suppression par le Propriétaire (« Supprimer l’établissement », dans les paramètres) : l’export comptable des factures doit d’abord avoir été téléchargé, puis l’abonnement est résilié, et rien n’est supprimé si cette résiliation échoue ; l’Établissement est ensuite supprimé avec toutes ses données (groupes, menus, formulaires, réponses des invités, contacts, documents, demandes, avis, factures, notifications, journal d’activité, statistiques, équipe), puis les comptes des membres qui ne sont rattachés à aucun autre Établissement ; les fichiers sont effacés du stockage et un e-mail confirme la suppression au Propriétaire. Avant de supprimer lui-même l’Établissement, le Propriétaire voit la liste de ses documents signés, à télécharger : ils sont supprimés avec lui.

Suppression par l’Éditeur : dans le cas prévu à l’article 2, la tâche quotidienne de conservation supprime l’Établissement avec toutes ses données et ses fichiers, puis les comptes des membres qui ne sont rattachés à aucun autre Établissement.

Ce qui subsiste : la liste des adresses qui ont refusé les demandes d’avis, gardée pour ne plus leur écrire, sans lien avec l’Établissement, et supprimée 3 ans après la désinscription ; le compte d’un membre rattaché à un autre Établissement ; les copies de la base pendant la fenêtre de restauration de 6 heures, et la copie de sauvegarde faite avant chaque mise à jour, supprimée au bout de 14 jours au plus ; les journaux des prestataires (suivi des erreurs, historique d’envoi des e-mails), selon leurs propres durées ; les données de facturation, que l’Éditeur conserve pour son propre compte au titre de ses obligations comptables. Le Sous-traitant ne garde aucune autre copie des données, sauf obligation légale.

Le Sous-traitant met à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de l’article 28 du RGPD : l’Accord, la politique de confidentialité, la liste des sous-traitants ultérieurs et des réponses écrites à ses questions, sous 30 jours.

Le Responsable de traitement peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent de l’Éditeur, au plus une fois par an sauf après une violation de données, avec un préavis de 30 jours, à ses frais, de préférence sur pièces et à distance, sans accès aux données des autres Établissements.

• déterminer les finalités et la base légale de ses traitements ;
• informer les personnes concernées ; le Service affiche aux invités une information courte sous le formulaire, que l’Établissement reste responsable de vérifier et de compléter ;
• décider s’il autorise l’organisateur à voir le détail des réponses et à les exporter ;
• attribuer à chaque membre de son équipe le rôle adapté et retirer l’accès des membres qui partent ;
• ne saisir dans le Service que les données nécessaires ;
• tenir son registre des traitements et réaliser, si elle est requise, son analyse d’impact.

Les stipulations des CGU relatives à la responsabilité, au droit applicable et aux litiges s’appliquent à l’Accord.