Data Processing Agreement — Article 28 RGPD · En vigueur à partir du 23 avril 2026
Version officielle signée et datée
Téléchargez le PDF pour archivage ou signature
📥 Télécharger le DPA (PDF, 8 pages)Le présent contrat de sous-traitance (ci-après le « Contrat » ou le « DPA ») est conclu entre les parties désignées ci-dessous. Il a pour objet d'encadrer les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données à caractère personnel collectées dans le cadre de l'utilisation du service RestoDaily (ci-après le « Service »).
Il constitue un complément aux Conditions Générales de Vente (CGV) et s'applique automatiquement dès l'acceptation de celles-ci par le Client. En cas de contradiction entre le présent Contrat et les CGV sur la protection des données personnelles, les stipulations du présent Contrat prévalent.
Nom commercial : RestoDaily
Siège social : 336 Chemin du Mas de Berthe, 30670 Aigues-Vives, France
SIRET : 495 084 733 — RCS Nîmes
N° de gestion : 2026A01117
Représenté par : M. Loïc GUIRAUD, en qualité d'exploitant
Contact : rgpd@restodaily.fr
Ci-après désigné le « Sous-traitant » ou « RestoDaily ».
Le Client du service RestoDaily, tel qu'identifié lors de la souscription au Service (via les informations de compte saisies à l'inscription : dénomination du restaurant, adresse email du responsable, et, le cas échéant, raison sociale et SIRET fournis dans les paramètres de son compte).
Ci-après désigné le « Responsable de traitement » ou le « Client ».
Le Sous-traitant et le Responsable de traitement sont ci-après désignés ensemble « les Parties ».
Le présent Contrat a pour objet de définir les conditions dans lesquelles le Sous-traitant s'engage à effectuer, pour le compte du Responsable de traitement, les opérations de traitement de données à caractère personnel définies à l'Article 2.
Dans le cadre de leurs relations contractuelles, les Parties s'engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier, le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le « RGPD ») et la Loi Informatique et Libertés n°78-17 du 6 janvier 1978 modifiée.
Le Sous-traitant est autorisé à traiter, pour le compte du Responsable de traitement, les données à caractère personnel nécessaires à la fourniture du Service RestoDaily, lequel comprend notamment :
Données relatives aux clients finaux du Restaurant :
Données relatives aux salariés du Restaurant (module Pointage) :
Données relatives au Responsable de traitement et à ses utilisateurs :
Le Sous-traitant n'est pas autorisé à traiter, pour le compte du Responsable de traitement, de données dites « sensibles » au sens de l'article 9 du RGPD (données de santé, origine ethnique, opinions politiques, convictions religieuses, etc.).
Le présent Contrat prend effet à la date de son acceptation par le Client (via la case à cocher lors de l'inscription au Service) et demeure en vigueur pendant toute la durée d'utilisation du Service, jusqu'à la résiliation de l'abonnement ou la clôture du compte.
Les obligations de confidentialité et celles prévues à l'Article 13 (sort des données) survivent à la fin du Contrat.
Le Sous-traitant s'engage à :
Le Responsable de traitement autorise expressément le Sous-traitant à recourir aux sous-traitants ultérieurs listés ci-dessous, en vertu d'une autorisation générale au sens de l'article 28.2 du RGPD :
| Sous-traitant | Service fourni | Localisation |
|---|---|---|
| Google Ireland Ltd (Firebase Firestore) |
Base de données et authentification, hébergement des données clients | Union européenne (europe-west1) |
| Cloudflare, Inc. | Hébergement du site, CDN, protection DDoS, Workers (envoi d'emails) | Réseau mondial (traitement EU) |
| Resend, Inc. | Envoi d'emails transactionnels (confirmations, rappels, rapports) | États-Unis (SCC UE signées) |
| Stripe Payments Europe Ltd | Traitement des paiements (abonnements) | Union européenne (Irlande) |
En cas d'ajout ou de remplacement d'un sous-traitant ultérieur, le Sous-traitant informera préalablement et par écrit le Responsable de traitement (par email à l'adresse renseignée au compte) avec un délai de préavis minimum de 30 jours. Le Responsable de traitement dispose de ce délai pour présenter ses objections motivées. En cas d'objection raisonnable, les Parties rechercheront une solution amiable. À défaut, le Responsable de traitement pourra résilier le Contrat sans indemnité.
Le Sous-traitant ultérieur est tenu de respecter des obligations au moins équivalentes à celles du présent Contrat. Le Sous-traitant demeure pleinement responsable devant le Responsable de traitement de l'exécution des obligations du sous-traitant ultérieur.
Il appartient au Responsable de traitement (le Client) de fournir aux personnes concernées par les opérations de traitement (clients finaux, salariés) l'information prévue aux articles 12, 13 et 14 du RGPD, au moment de la collecte des données. Le Client veillera notamment à afficher dans son établissement et/ou à communiquer les mentions d'information requises.
Le Sous-traitant met toutefois à disposition, de manière générale via la page de confidentialité de RestoDaily, l'information relative à ses propres traitements en tant que Sous-traitant, ainsi que des modèles d'informations que le Client peut utiliser.
Le Sous-traitant aide le Responsable de traitement à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées : droit d'accès, de rectification, d'effacement, d'opposition, de limitation du traitement, de portabilité des données, et droit de ne pas faire l'objet d'une décision individuelle automatisée.
À cette fin, le Sous-traitant met à disposition directement dans le Service :
Lorsque les personnes concernées (clients finaux, salariés) adressent directement au Sous-traitant une demande d'exercice de leurs droits, ce dernier la transmet sans délai au Responsable de traitement par email à l'adresse renseignée dans le compte, sauf si la personne peut résoudre sa demande directement via les outils cités ci-dessus.
Conformément à l'article 32 du RGPD, le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque :
En cas de violation de données à caractère personnel au sens de l'article 4.12 du RGPD (destruction, perte, altération, divulgation non autorisée, etc.), le Sous-traitant s'engage à notifier au Responsable de traitement toute violation dont il aurait connaissance dans un délai maximum de 72 heures après en avoir pris connaissance.
La notification est effectuée par email à l'adresse renseignée dans le compte du Client et contient au moins :
Il appartient au Responsable de traitement (le Client), qui est destinataire de la notification, d'apprécier si la violation doit être notifiée à la CNIL dans les 72 heures (art. 33 RGPD) et, le cas échéant, aux personnes concernées (art. 34 RGPD). Le Sous-traitant l'assiste dans cette démarche.
Le Sous-traitant aide le Responsable de traitement, dans la mesure du raisonnable et compte tenu de la nature du traitement et des informations à sa disposition, à :
Le Sous-traitant déclare tenir par écrit, conformément à l'article 30.2 du RGPD, un registre de toutes les catégories d'activités de traitement effectuées pour le compte des responsables de traitement, comprenant :
Le Sous-traitant met à la disposition du Responsable de traitement la documentation nécessaire pour démontrer le respect des obligations découlant de l'article 28 du RGPD et du présent Contrat.
Le Responsable de traitement peut, sous réserve d'un préavis écrit raisonnable (30 jours minimum) et au maximum une fois par an, demander à réaliser un audit (ou le faire réaliser par un tiers indépendant soumis à une obligation de confidentialité) afin de vérifier le respect par le Sous-traitant de ses obligations. Les frais d'audit sont à la charge du Responsable de traitement, sauf si l'audit révèle un manquement grave imputable au Sous-traitant.
Au terme du Contrat, quelle qu'en soit la cause (résiliation, clôture de compte, non-renouvellement), le Responsable de traitement dispose d'un choix parmi les options suivantes, à exercer dans un délai de 30 jours suivant la date d'effet de la fin du Contrat :
À défaut d'instruction dans le délai de 30 jours suivant la fin du Contrat, et sauf obligation légale de conservation (comptabilité, litiges), le Sous-traitant procède automatiquement à la destruction des données dans un délai de 90 jours supplémentaires.
La destruction s'accompagne de la suppression de toutes les copies existantes, y compris auprès des sous-traitants ultérieurs, dans le respect des délais techniques de purge propres à chacun.
Les données à caractère personnel traitées par le Sous-traitant sont hébergées au sein de l'Union européenne (région europe-west1 de Google Cloud).
Certains sous-traitants ultérieurs peuvent, dans le cadre de leurs prestations, réaliser des transferts ponctuels hors UE (notamment Resend, Inc., établi aux États-Unis, pour l'envoi d'emails, et Cloudflare dont le réseau est mondial). Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne (décision UE 2021/914), garantissant un niveau de protection équivalent à celui de l'UE.
Le Responsable de traitement s'engage à :
Chacune des Parties répond des dommages causés par un traitement qui constitue une violation du RGPD dans les conditions prévues par l'article 82 du RGPD.
La responsabilité du Sous-traitant ne saurait être engagée en cas de force majeure, de faute du Responsable de traitement ou d'une personne concernée, ou d'instruction illicite documentée du Responsable de traitement.
Le présent Contrat est régi par le droit français et le droit européen applicable en matière de protection des données personnelles.
En cas de litige relatif à l'interprétation, l'exécution ou la résiliation du présent Contrat, les Parties s'efforceront de trouver une solution amiable. À défaut d'accord dans un délai de 60 jours à compter de la notification du litige, compétence exclusive est attribuée aux tribunaux compétents du ressort du Tribunal de commerce de Nîmes, nonobstant pluralité de défendeurs ou appel en garantie.
Le présent Contrat de sous-traitance est accepté par le Responsable de traitement au moment de la création de son compte RestoDaily, via la case à cocher dédiée. Cette acceptation électronique, horodatée et conservée dans les systèmes du Sous-traitant, vaut signature au sens de l'article 1367 du Code civil.
Le Responsable de traitement peut à tout moment consulter la version en vigueur du Contrat depuis les Paramètres de son compte, rubrique « Mes données personnelles ».
Fait à Aigues-Vives, le 23 avril 2026
Pour le Sous-traitant : M. Loïc GUIRAUD, exploitant de RestoDaily