Annexe — Accord de sous-traitance de données personnelles (DPA, art. 28 RGPD)

1. Rôles et objet

Pour les données des Convives (clients finaux de l'Établissement) traitées via le service Comandali, le Client (l'Établissement) est responsable de traitement et Comandali est sous-traitant au sens de l'art. 28 RGPD. La présente annexe encadre ce traitement conformément à l'art. 28(3).

2. Description du traitement (art. 28(3) al. 1)

3. Obligations de Comandali (sous-traitant)

1. Instructions — ne traiter les données que sur instruction documentée du Client (les présentes CGU/CGV et le paramétrage du service valant instructions), y compris en matière de transferts hors UE, sauf obligation légale (auquel cas Comandali informe le Client avant le traitement, sauf interdiction légale).
2. Confidentialité — garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.
3. Sécurité (art. 32) — mettre en œuvre les mesures techniques et organisationnelles décrites en appendice A2 (chiffrement en transit, contrôle d'accès par rôle, cloisonnement par établissement, sauvegardes chiffrées, purge automatique).
4. Sous-traitants ultérieurs — ne recruter un autre sous-traitant qu'avec l'autorisation écrite générale du Client, donnée par les présentes pour la liste de l'appendice A1. Comandali informe le Client de tout changement (ajout ou remplacement) avec un préavis de 30 jours, lui ouvrant la possibilité d'émettre des objections. Comandali impose à ses sous-traitants ultérieurs les mêmes obligations que les présentes et demeure pleinement responsable envers le Client.
5. Droits des personnes — aider le Client, par des mesures appropriées, à donner suite aux demandes d'exercice des droits des Convives (accès, rectification, effacement, limitation, opposition, portabilité). En pratique : effacement exécutable sous 7 jours sur demande du Client ; anonymisation automatique au-delà des durées de conservation (appendice A3).
6. Violations de données (art. 33) — notifier le Client sans délai injustifié, au plus tard 48 h après en avoir pris connaissance, avec les éléments nécessaires à la notification CNIL (le Client restant titulaire de l'obligation de notifier sous 72 h).
7. Analyse d'impact — aider le Client pour toute AIPD et consultation préalable au titre des art. 35-36, compte tenu des informations dont Comandali dispose.
8. Sort des données — au terme du contrat, au choix du Client : restitution des données des Convives dans un format structuré et couramment utilisé, puis suppression de toutes les copies existantes sous 30 jours, hors obligations légales de conservation (données comptables anonymes du journal de caisse).
9. Audit — mettre à la disposition du Client toute information nécessaire pour démontrer le respect de l'art. 28 et permettre la réalisation d'audits, dans des conditions raisonnables (préavis 15 jours, une fois par an maximum, aux frais du Client, sans accès aux données d'autres établissements).

4. Obligations du Client (responsable de traitement)

1. disposer d'une base juridique pour le traitement des données de ses Convives ;
2. informer ses Convives (la page confidentialité fournie par Comandali et la mention affichée à la commande y pourvoient par défaut ; le Client peut les compléter) ;
3. répondre aux demandes d'exercice de droits de ses Convives, Comandali relayant sans délai celles qu'il reçoit directement ;
4. ne pas utiliser le service pour collecter des données sensibles (art. 9 RGPD) — notamment ne pas solliciter d'informations de santé au-delà des mentions spontanées d'allergies dans le champ commentaire.

Appendice A1 — Sous-traitants ultérieurs autorisés

n8n est auto-hébergé sur l'infrastructure Comandali chez Hetzner : ce n'est pas un sous-traitant ultérieur distinct.

Appendice A2 — Mesures de sécurité (art. 32)

HTTPS, CSP stricte, authentification renforcée et contrôle d'accès par rôle (RBAC), cloisonnement par établissement, base de données non exposée publiquement, sauvegardes chiffrées off-site en UE, journaux d'intégrité signés, purge automatique quotidienne tracée.

Appendice A3 — Durées de conservation