Accord de traitement des données (DPA)
Annexe contractuelle encadrant les traitements de données personnelles réalisés par Maneo pour le compte d’un client professionnel.
1. Parties et intégration au contrat
Le « Client » est le restaurant ou l’entreprise ayant souscrit à Maneo. Le « Sous-traitant » est Evan Cotte, Entrepreneur individuel, 19 rue d’Ecancourt, 78510 Triel-sur-Seine, France — SIREN 108 814 591, exploitant le service Maneo.
Le présent DPA fait partie intégrante des CGV Maneo. Lorsque Maneo agit comme sous-traitant, l’acceptation des CGV vaut acceptation du présent DPA.
2. Rôles
Le Client agit comme responsable du traitement pour les données métier dont il détermine les finalités et les moyens essentiels. Maneo agit comme sous-traitant lorsqu’il traite ces données pour fournir le service selon les instructions du Client.
Pour ses propres traitements de gestion du compte, facturation, sécurité, support et relation commerciale, l’Éditeur agit comme responsable du traitement distinct, conformément à la politique de confidentialité.
3. Objet, durée, nature et finalités
Objet : fournir les fonctions Maneo activées par le Client.
Durée : durée du contrat, augmentée des délais nécessaires à la restitution, suppression et extinction des sauvegardes.
Nature : hébergement, organisation, consultation, analyse, communication, génération d’assistance IA et exécution d’opérations demandées ou autorisées par le Client.
Finalités : gestion opérationnelle de l’établissement selon les modules utilisés.
4. Personnes concernées et catégories de données
Selon les usages activés, les personnes concernées peuvent inclure : salariés et candidats, clients du restaurant, fournisseurs, prestataires et contacts professionnels.
Les catégories de données peuvent comprendre : identité et coordonnées, fonctions et rôles, planning, disponibilités, absences, tâches, réservations, communications, informations professionnelles, documents, données de stock et informations financières de pilotage. Le Client s’engage à ne pas utiliser Maneo pour des catégories de données dont le traitement serait incompatible avec le service ou non nécessaire.
5. Instructions documentées
Maneo traite les données uniquement sur instruction documentée du Client, notamment au travers des fonctions, réglages, automatisations et demandes effectuées dans le service, sauf obligation légale contraire. Si Maneo estime qu’une instruction enfreint le droit applicable en matière de protection des données, il en informe le Client dans la mesure permise par la loi.
6. Confidentialité et habilitations
Les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité appropriée et n’accèdent qu’aux informations nécessaires à leurs missions. Les habilitations et accès d’administration doivent être revus régulièrement.
7. Mesures de sécurité
Maneo met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment : hachage des mots de passe, sessions protégées, contrôles d’accès par rôle, protection CSRF, limitation de débit, chiffrement de certains secrets et documents, séparation logique des établissements, journalisation d’événements pertinents et procédures de gestion d’incident. La page Sécurité décrit les mesures principales.
8. Sous-traitants ultérieurs
Le Client donne une autorisation générale au recours aux prestataires nécessaires à la fourniture de Maneo. La liste à jour est disponible sur la page Prestataires et sous-traitants.
En cas d’ajout ou de remplacement significatif d’un sous-traitant traitant des données pour le compte du Client, Maneo met à jour cette liste et peut informer les clients par un moyen approprié. Le Client peut formuler une objection motivée liée à la protection des données ; les parties recherchent alors une solution raisonnable.
9. Assistance au Client
Compte tenu de la nature du traitement et des informations à sa disposition, Maneo assiste raisonnablement le Client pour répondre aux demandes d’exercice de droits, évaluer la sécurité, gérer les violations de données, réaliser une analyse d’impact lorsqu’elle est nécessaire et démontrer le respect de ses obligations.
10. Violations de données
Maneo informe le Client sans délai indu après avoir pris connaissance d’une violation de données personnelles affectant les traitements réalisés pour son compte. Maneo communique les informations disponibles permettant au Client d’évaluer ses obligations de notification et complète ces informations à mesure de l’enquête.
11. Restitution et suppression en fin de contrat
Le Client peut demander un export des données disponibles avant la fermeture définitive de son espace. Sauf obligation légale ou litige nécessitant un archivage limité, Maneo procède à la suppression des données actives du Client au plus tard dans les 30 jours suivant la fermeture définitive du compte ou la demande de suppression confirmée.
Les copies résiduelles présentes dans des sauvegardes sécurisées ne sont plus utilisées à des fins courantes et disparaissent avec le cycle de rotation documenté des sauvegardes. Si une sauvegarde est restaurée pour un besoin de continuité, l’instruction de suppression est réappliquée. Le cycle de sauvegarde et de rétention effectivement retenu pour la production est vérifié avant ouverture commerciale.
12. Documentation et audits
Maneo tient à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations de sous-traitant. Sauf incident grave ou demande d’une autorité, un audit spécifique peut être demandé au maximum une fois par période de 12 mois, avec un préavis raisonnable d’au moins 30 jours, en privilégiant d’abord la fourniture de documents et preuves à distance.
L’audit doit respecter la confidentialité, la sécurité et les droits des autres clients. Les coûts spécifiques d’un audit demandé par le Client sont à sa charge, sauf si l’audit révèle un manquement substantiel imputable à Maneo.
13. Transferts internationaux
Lorsque le recours à un prestataire entraîne un transfert de données hors de l’Espace économique européen, Maneo s’assure que le transfert repose sur un mécanisme prévu par le RGPD, tel qu’une décision d’adéquation ou des clauses contractuelles types, selon le cas. Les informations disponibles sont synthétisées dans la liste des prestataires.
14. Fin du DPA et ordre de priorité
Le DPA prend fin lorsque Maneo ne traite plus de données personnelles pour le compte du Client, sous réserve des obligations qui survivent à la fin du contrat. En cas de contradiction sur un sujet de protection des données, le présent DPA prévaut sur les stipulations générales du contrat dans la mesure de cette contradiction.
15. Contact
Questions relatives au DPA et à la protection des données : evan.entreprisepro@gmail.com.