Contrat de sous-traitance des données
Article 28 du RGPD · Version du 28 septembre 2026
Ce contrat fait partie des conditions d’utilisation de Resaflow et est accepté lors de la création du compte. Il est conclu entre :
- le Restaurateur titulaire du compte, responsable du traitement des données de ses clients ;
- TOBI, éditeur de Resaflow (voir les mentions légales), sous-traitant.
1. Description du traitement
| Objet et finalité | Prise et gestion des réservations de l’établissement du Restaurateur : enregistrement, confirmation, modification et annulation, emails aux clients et au Restaurateur, tableau de bord, statistiques. |
|---|---|
| Nature des opérations | Collecte via le widget, la page de réservation ou la saisie par le Restaurateur ; enregistrement, consultation, modification, envoi par email, anonymisation et suppression. |
| Personnes concernées | Clients et prospects du Restaurateur qui réservent une table. |
| Données | Prénom, nom, email, téléphone (facultatif), date, heure, nombre de couverts, statut de la réservation, note libre du client. |
| Données sensibles | La note peut contenir des allergies ou intolérances (données de santé), fournies volontairement par le client après information. |
| Durée | Durée du compte du Restaurateur. Pendant cette durée, les données sont conservées selon l’article 7. |
2. Instructions du Restaurateur
TOBI traite les données uniquement sur instruction documentée du Restaurateur. Ces instructions sont constituées du présent contrat, des conditions d’utilisation et des réglages effectués par le Restaurateur dans son tableau de bord. TOBI n’utilise pas les données pour son propre compte et ne les vend ni ne les loue. Si une instruction lui paraît contraire au RGPD ou au droit applicable, TOBI en informe immédiatement le Restaurateur.
3. Confidentialité
Seules les personnes habilitées par TOBI accèdent aux données, dans la limite de ce qui est nécessaire au service et au support, et sont tenues à une obligation de confidentialité.
4. Sécurité
TOBI met en œuvre les mesures techniques et organisationnelles appropriées prévues à l’article 32 du RGPD, notamment :
- chiffrement des échanges (HTTPS) entre les navigateurs, le serveur et la base de données ;
- cloisonnement des données : chaque restaurant n’accède qu’à ses propres réservations, contrôle vérifié à chaque requête ;
- connexion au tableau de bord par lien ou code à usage unique envoyé par email, sessions à durée limitée révocables, limitation des tentatives ; seules des empreintes des codes et des sessions sont stockées ;
- accès d’administration aux serveurs par clé SSH, secrets hors du code source ;
- base de données managée avec sauvegardes, hébergée par un prestataire professionnel ;
- purge automatique des données selon les durées de l’article 7.
5. Sous-traitants ultérieurs
Le Restaurateur autorise TOBI à recourir aux sous-traitants ultérieurs suivants :
| Sous-traitant | Prestation | Localisation | Garanties de transfert |
|---|---|---|---|
| Hetzner Online GmbH | Serveur de l’application | Allemagne | Union européenne |
| Neon, LLC (groupe Databricks) | Base de données | Londres (Royaume-Uni) | Décision d’adéquation, Data Privacy Framework, clauses contractuelles types |
| Plus Five Five, Inc. (Resend) | Envoi des emails | États-Unis | Data Privacy Framework, clauses contractuelles types |
| Vercel Inc. | Hébergement du site, du tableau de bord et du script du widget | États-Unis | Data Privacy Framework |
TOBI impose à chacun des obligations de protection des données au moins équivalentes à celles de ce contrat et reste responsable envers le Restaurateur de leur respect. Tout ajout ou remplacement de sous-traitant est notifié par email au Restaurateur au moins 30 jours à l’avance ; le Restaurateur peut s’y opposer pour un motif légitime et, à défaut d’accord, fermer son compte sans frais.
6. Droits des personnes
TOBI aide le Restaurateur à répondre aux demandes de ses clients (accès, rectification, effacement, opposition…). Le tableau de bord permet de consulter et de modifier les réservations ; pour toute autre demande, TOBI intervient sur simple email. Si une personne s’adresse directement à TOBI, celle-ci transmet la demande au Restaurateur sans délai et n’y répond pas elle-même sans son instruction.
7. Conservation des données
Sauf autre instruction du Restaurateur, TOBI applique automatiquement les durées suivantes :
- note du client (allergies, occasion) : effacée 30 jours après la date de la réservation ;
- nom, email et téléphone : anonymisés 12 mois après la date de la réservation ; les données sans nom (date, heure, couverts) restent disponibles pour les statistiques.
8. Violation de données
TOBI notifie au Restaurateur toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, personnes et données concernées, conséquences probables, mesures prises). Il appartient au Restaurateur, en tant que responsable du traitement, de notifier la CNIL et, le cas échéant, les personnes concernées ; TOBI l’y aide.
9. Assistance et documentation
TOBI assiste le Restaurateur, à sa demande, pour la réalisation d’analyses d’impact et la consultation de la CNIL lorsqu’elles sont requises, et met à sa disposition les informations nécessaires pour démontrer le respect du présent contrat. Le Restaurateur peut réaliser ou faire réaliser un audit, avec un préavis raisonnable, à ses frais et sans perturber le service.
10. Fin du contrat
À la fermeture du compte, TOBI fournit, sur demande formulée dans les 30 jours, un export des réservations du Restaurateur, puis supprime ses données, y compris les données de ses clients. Les copies de sauvegarde sont effacées selon le cycle de rotation de l’hébergeur.
11. Obligations du Restaurateur
- Disposer d’une base légale pour les traitements qu’il confie à TOBI et informer ses clients : le formulaire de réservation affiche une information et renvoie vers la politique de confidentialité, que le Restaurateur peut compléter sur son propre site ;
- ne collecter que les données nécessaires et ne pas utiliser la note ou les données saisies manuellement pour enregistrer des informations sans rapport avec la réservation ;
- veiller à la sécurité de l’accès à son compte (boîte email de connexion) ;
- documenter par écrit toute instruction particulière adressée à TOBI.
12. Contact
Pour toute question relative à ce contrat ou aux données : contact@resaflow.fr.