1. Parties et intégration au contrat#
Le « Client » est le restaurant ou l’entreprise ayant souscrit à Maneo. Le « Sous-traitant » est Evan Cotte, Entrepreneur individuel, 19 rue d’Ecancourt, 78510 Triel-sur-Seine, France — SIREN 108 814 591, exploitant le service Maneo.
Le présent DPA fait partie intégrante des CGV Maneo. Lorsque Maneo agit comme sous-traitant, l’acceptation des CGV vaut acceptation du présent DPA.
2. Rôles#
Le Client agit comme responsable du traitement pour les données métier dont il détermine les finalités et les moyens essentiels. Maneo agit comme sous-traitant lorsqu’il traite ces données pour fournir le service selon les instructions du Client.
Pour ses propres traitements de gestion du compte, facturation, sécurité, support et relation commerciale, l’Éditeur agit comme responsable du traitement distinct, conformément à la politique de confidentialité.
3. Objet, durée, nature et finalités#
Objet : fournir les fonctions Maneo activées par le Client.
Durée : durée du contrat, augmentée des délais nécessaires à la restitution, suppression et extinction des sauvegardes.
Nature : hébergement, organisation, consultation, analyse, communication, génération d’assistance IA et exécution d’opérations demandées ou autorisées par le Client.
Finalités : gestion opérationnelle de l’établissement selon les modules utilisés.
4. Personnes concernées et catégories de données#
Selon les usages activés, les personnes concernées peuvent inclure : salariés et candidats, clients du restaurant, fournisseurs, prestataires et contacts professionnels.
Les catégories de données peuvent comprendre : identité et coordonnées, fonctions et rôles, planning, disponibilités, absences, tâches, réservations, communications, informations professionnelles, documents, données de stock et informations financières de pilotage. Le Client s’engage à ne pas utiliser Maneo pour des catégories de données dont le traitement serait incompatible avec le service ou non nécessaire.
Lorsque le Client importe un relevé bancaire, les données traitées sont les opérations qu’il valide (date, libellé, montant, débit ou crédit, contrepartie et référence éventuelles), dont les libellés peuvent désigner ses salariés, fournisseurs ou clients, et une trace minimale de l’import. Le fichier d’origine n’est jamais conservé : il est lu en mémoire, et l’aperçu soumis à la vérification du Client reste au plus 30 minutes en mémoire du serveur, sans écriture en base ni en sauvegarde.
5. Instructions documentées#
Maneo traite les données uniquement sur instruction documentée du Client, notamment au travers des fonctions, réglages, automatisations et demandes effectuées dans le service, sauf obligation légale contraire. Si Maneo estime qu’une instruction enfreint le droit applicable en matière de protection des données, il en informe le Client dans la mesure permise par la loi.
6. Confidentialité et habilitations#
Les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité appropriée et n’accèdent qu’aux informations nécessaires à leurs missions. Les habilitations et accès d’administration doivent être revus régulièrement.
7. Mesures de sécurité#
Maneo met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment : hachage des mots de passe, sessions protégées, contrôles d’accès par rôle, protection CSRF, limitation de débit, chiffrement de certains secrets et documents, séparation logique des établissements, journalisation d’événements pertinents et procédures de gestion d’incident. La page Sécurité décrit les mesures principales.
8. Sous-traitants ultérieurs#
Le Client donne une autorisation générale au recours aux prestataires nécessaires à la fourniture de Maneo. La liste à jour est disponible sur la page Prestataires et sous-traitants.
Avant tout ajout ou remplacement d’un sous-traitant traitant des données pour le compte du Client, Maneo met à jour cette liste et en informe le Client, par email ou dans le service, dans un délai raisonnable lui permettant de s’y opposer. Maneo impose à ces prestataires, par contrat, des obligations de protection des données au moins équivalentes à celles du présent DPA et demeure responsable envers le Client de l’exécution de leurs obligations. Le Client peut formuler une objection motivée liée à la protection des données ; les parties recherchent alors une solution raisonnable.
OpenAI ne reçoit un relevé bancaire que s’il s’agit d’un PDF ou d’une photo, lorsque Maneo AI est activé et que l’utilisateur a donné son accord explicite pour cet import ; l’appel est effectué sans stockage applicatif de la réponse chez OpenAI (paramètre store:false), mais, aux conditions API standard d’OpenAI, les données transmises peuvent être conservées jusqu’à 30 jours pour la surveillance des abus. La connexion bancaire automatique via Powens n’est pas activée à ce jour.
9. Assistance au Client#
Compte tenu de la nature du traitement et des informations à sa disposition, Maneo assiste raisonnablement le Client pour répondre aux demandes d’exercice de droits, évaluer la sécurité, gérer les violations de données, réaliser une analyse d’impact lorsqu’elle est nécessaire et démontrer le respect de ses obligations.
10. Violations de données#
Maneo informe le Client sans délai indu après avoir pris connaissance d’une violation de données personnelles affectant les traitements réalisés pour son compte. Maneo communique les informations disponibles permettant au Client d’évaluer ses obligations de notification et complète ces informations à mesure de l’enquête.
11. Restitution et suppression en fin de contrat#
Le Client peut demander un export des données disponibles avant la fermeture définitive de son espace. Sauf obligation légale ou litige nécessitant un archivage limité, Maneo procède à la suppression des données actives du Client au plus tard dans les 30 jours suivant la fermeture définitive du compte ou la demande de suppression confirmée.
Les copies résiduelles présentes dans des sauvegardes sécurisées ne sont plus utilisées à des fins courantes et disparaissent avec le cycle de rotation documenté des sauvegardes. Si une sauvegarde est restaurée pour un besoin de continuité, l’instruction de suppression est réappliquée. L’ouverture commerciale du service est conditionnée à la vérification de ce cycle et à un test de restauration ; la durée de rétention des sauvegardes en vigueur est communiquée au Client sur demande.
12. Documentation et audits#
Maneo tient à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations de sous-traitant. Sauf incident grave ou demande d’une autorité, un audit spécifique peut être demandé au maximum une fois par période de 12 mois, avec un préavis raisonnable d’au moins 30 jours, en privilégiant d’abord la fourniture de documents et preuves à distance.
L’audit doit respecter la confidentialité, la sécurité et les droits des autres clients. Les coûts spécifiques d’un audit demandé par le Client sont à sa charge, sauf si l’audit révèle un manquement substantiel imputable à Maneo.
13. Transferts internationaux#
Lorsque le recours à un prestataire entraîne un transfert de données hors de l’Espace économique européen, Maneo s’assure que le transfert repose sur un mécanisme prévu par le RGPD, tel qu’une décision d’adéquation ou des clauses contractuelles types, selon le cas. Les informations disponibles sont synthétisées dans la liste des prestataires.
14. Fin du DPA et ordre de priorité#
Le DPA prend fin lorsque Maneo ne traite plus de données personnelles pour le compte du Client, sous réserve des obligations qui survivent à la fin du contrat. En cas de contradiction sur un sujet de protection des données, le présent DPA prévaut sur les stipulations générales du contrat dans la mesure de cette contradiction.
15. Contact#
Questions relatives au DPA et à la protection des données : contact@maneo-ai.fr.