Accord de traitement des données (DPA)

Le présent accord est conclu en application de l'article 28 du règlement (UE) 2016/679 (« RGPD ») entre :

• le Client, restaurant qui souscrit au Service Suni, responsable de traitement (le « Responsable de traitement ») ;
• Antoine Haguet (Entrepreneur individuel (EI) exerçant sous le nom commercial Suni), SIRET 10871434600013, adresse 231 rue Saint-Honoré, 75001 Paris (« Suni » ou le « Sous-traitant »).

Il fait partie du contrat avec les conditions générales de vente et est accepté avec elles lors de l'inscription. En cas de contradiction sur les données personnelles, le présent accord prévaut.

Article 1 — Objet et rôles

Suni traite des données personnelles pour le compte du Client, pour fournir le Service (assistant de réservation, Dashboard, notifications). Le Client est responsable de traitement des données de ses clients ; Suni en est sous-traitant. Suni est responsable de traitement pour ses propres traitements (compte du Client, facturation, sécurité), décrits dans sa politique de confidentialité et qui ne relèvent pas du présent accord.

Article 2 — Description du traitement

Article 3 — Obligations de Suni

Suni s'engage à :

1. traiter les données uniquement sur instruction documentée du Client — le contrat, la configuration du Service par le Client et les demandes écrites du Client constituent ses instructions ; Suni informe le Client si une instruction lui paraît contraire au RGPD ;
2. garantir la confidentialité des données et s'assurer que les personnes autorisées à les traiter y sont tenues ;
3. mettre en œuvre les mesures de sécurité décrites à l'annexe ;
4. ne pas utiliser les données des clients du restaurant pour ses propres finalités (publicité, revente, profilage) ;
5. tenir un registre de ses activités de traitement pour le compte du Client.

Article 4 — Sous-traitants ultérieurs

4.1. Le Client autorise d'une manière générale Suni à recourir aux sous-traitants ultérieurs listés sur la page sous-traitants (hébergement, paiement, envoi d'e-mails et de SMS, messagerie, modèle d'intelligence artificielle).

4.2. Suni informe le Client de tout ajout ou remplacement de sous-traitant ultérieur avec un préavis de 30 jours, pendant lequel le Client peut s'y opposer pour un motif légitime lié à la protection des données. À défaut d'accord, le Client peut résilier sans frais.

4.3. Suni impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes et demeure responsable envers le Client de leur exécution.

Article 5 — Transferts hors Espace économique européen

Un transfert de données en dehors de l'Espace économique européen n'a lieu que dans le respect du chapitre V du RGPD. Garanties applicables : [À COMPLÉTER — Garanties applicables aux transferts hors Espace économique européen].

Article 6 — Droits des personnes

6.1. Le Client reste l'interlocuteur des personnes concernées. Suni l'aide, par des mesures techniques et organisationnelles appropriées, à répondre à leurs demandes.

6.2. Fonctionnalités existantes : l'assistant permet à un client du restaurant de consulter et de corriger ses données de contact ; il transmet au Client les demandes de suppression, que le Client valide dans son Dashboard — la suppression efface alors la personne, ses réservations, ses conversations, ses notifications et les demandes qui la concernent.

6.3. Pour tout autre droit (copie complète des données, limitation, opposition), le Client adresse sa demande à contact@suniapp.fr ; Suni l'exécute manuellement et informe le Client de la suite donnée. Si une personne s'adresse directement à Suni, Suni transmet sa demande au Client.

Article 7 — Violation de données

Suni notifie le Client de toute violation de données personnelles affectant les données traitées pour son compte dans un délai de 48 heures après en avoir pris connaissance, avec les informations dont elle dispose (nature, personnes et données concernées, conséquences probables, mesures prises), afin de permettre au Client de respecter ses obligations de notification.

Article 8 — Assistance et audit

8.1. Suni assiste le Client pour les analyses d'impact et les consultations préalables de l'autorité de contrôle, dans la limite des informations dont elle dispose.

8.2. Suni met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut demander un audit raisonnable, une fois par an au plus, sur préavis écrit, sans perturber le Service et sous obligation de confidentialité.

Article 9 — Sort des données à la fin du contrat

Dans un délai de 30 jours après la fin du contrat, Suni, au choix du Client exprimé par écrit, lui restitue ses données dans un format structuré et couramment utilisé, puis les supprime ; à défaut de choix, Suni les supprime. Une conservation ultérieure n'est possible que si la loi l'impose.

Article 10 — Données sensibles

Les allergies, régimes alimentaires et besoins particuliers peuvent constituer des données de santé ou révéler des convictions religieuses (article 9 du RGPD). Le Client, responsable de traitement, détermine la base légale du traitement — en principe le consentement explicite du client du restaurant, donné en communiquant volontairement ces informations — et l'en informe. Suni limite l'usage de ces données à la préparation de l'accueil et ne les utilise à aucune autre fin.

Article 11 — Changement de Sous-traitant

Si le contrat est transféré à une société qui reprend l'activité de Suni (article 14 des conditions générales de vente), le présent accord est transféré avec lui : cette société devient le Sous-traitant, dans les mêmes conditions, et le Client en est informé avant que le transfert ne prenne effet.

Article 12 — Responsabilité

La responsabilité de chaque partie est régie par les conditions générales de vente et par l'article 82 du RGPD.

Annexe — Mesures de sécurité mises en œuvre

• Authentification : mots de passe conservés sous forme chiffrée irréversible ; codes de vérification temporaires ; limitation des tentatives.
• Session : cookie de session inaccessible au JavaScript du navigateur, transmis uniquement en HTTPS.
• Transport : connexions chiffrées (HTTPS) et en-têtes de sécurité (HSTS, X-Content-Type-Options, politique de référent, protection du Dashboard contre son intégration dans un cadre tiers).
• Cloisonnement : isolation des données de chaque restaurant, vérifiée par des tests automatisés.
• Protection contre les abus : limitation du nombre de requêtes sur les points d'accès publics.
• Traçabilité : journal d'audit des actions dans le Dashboard.
• Journaux : coordonnées masquées dans les journaux techniques de l'application.
• Environnements : séparation des environnements de test et de production ; aucune donnée de production dans les tests ; secrets de production conservés hors du code.
• Paiement : aucune donnée de carte bancaire n'est conservée par Suni.

Version validée le [À COMPLÉTER — Date de validation finale des textes juridiques].