Politique de confidentialité et de sous-traitance

Cette page décrit quelles données personnelles passent par « Passe Resto » (le « Service »), édité par Resto Clover, entrepreneur individuel, SIRET 901 592 162 00027, 162 Rue Léon Blum, 69100 Villeurbanne, pourquoi, combien de temps, et quels sont vos droits. Sa seconde partie tient lieu d'accord de sous-traitance (article 28 du RGPD) entre chaque établissement abonné et Resto Clover.

1. Qui est responsable de quoi

2. Les données traitées

Le Service n'a pas vocation à recevoir de données sensibles (santé, opinions, appartenance syndicale). Un arrêt maladie est enregistré comme une absence, sans motif médical. Le numéro de sécurité sociale, l'IBAN d'un salarié ou une copie de pièce d'identité ne doivent pas y être saisis : la paie est produite en dehors du Service.

3. Bases légales

• Exécution du contrat d'abonnement, pour les comptes et la facturation ;
• Obligations légales de l'établissement employeur et exploitant (durée du travail, traçabilité sanitaire, conservation comptable), pour les données d'équipe, de service et de finances ;
• Intérêt légitime de l'établissement à piloter son activité et à contrôler sa caisse, et de Resto Clover à sécuriser le Service et à l'améliorer.

4. Qui y accède

Au sein de l'établissement, chacun ne voit que ce que son rôle autorise ; le cloisonnement est appliqué par la base de données elle-même, pas seulement par l'interface. Resto Clover accède aux données d'un établissement uniquement pour l'assistance, la maintenance ou à sa demande, avec un compte identifié comme tel dans l'application. Aucune donnée n'est vendue ni cédée.

Sous-traitants ultérieurs

Tout changement de sous-traitant est annoncé aux établissements au moins 30 jours avant, avec possibilité de s'y opposer par écrit ; à défaut d'accord, l'établissement peut résilier sans frais.

5. Durées de conservation

6. Sécurité

• Échanges chiffrés (HTTPS) entre l'appareil, l'application et la base ;
• Cloisonnement par établissement et par rôle appliqué par la base de données (règles de sécurité au niveau des lignes) ;
• Codes PIN jamais stockés en clair, vérifiés côté serveur, tentatives limitées ;
• Données financières jamais enregistrées sur les appareils ; les autres données locales sont purgées au changement d'établissement ;
• Clés d'accès aux services tiers conservées côté serveur uniquement ;
• Sauvegardes de la base assurées par l'hébergeur, et exports à la disposition de l'établissement à tout moment ;
• Journalisation des créations, modifications et suppressions importantes, corbeille avant suppression définitive.

En cas de violation de données susceptible d'engendrer un risque pour les personnes, Resto Clover en informe l'établissement concerné dans les 48 heures suivant sa découverte, avec les éléments nécessaires à la notification à la CNIL (que l'établissement, responsable de traitement, doit faire sous 72 heures).

7. Vos droits

Toute personne dont les données figurent dans le Service (dirigeant, salarié, fournisseur) dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, dans les limites des obligations légales de conservation.

Salariés et extras : adressez votre demande à votre employeur, responsable du traitement, qui dispose dans l'application des moyens d'y répondre (consultation, correction, export, archivage). Resto Clover l'assiste si nécessaire.

Dirigeants : pour les données du contrat, écrivez à florian@restoclover.com. Réponse sous un mois.

Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).

8. Cookies et traceurs

Le Service n'utilise ni cookie publicitaire ni outil de mesure d'audience. Il enregistre sur l'appareil uniquement ce qui est nécessaire à son fonctionnement : jeton de session, établissement en cours, préférences d'affichage, et une copie hors ligne des données non financières. Ces éléments sont supprimés à la déconnexion ou au changement d'établissement.

9. Accord de sous-traitance (article 28 du RGPD)

Entre chaque établissement abonné (le « Responsable ») et Resto Clover (le « Sous-traitant »), à compter de la souscription et pour la durée de l'abonnement.

1. Objet et instructions. Le Sous-traitant traite les données décrites à la section 2 exclusivement pour fournir le Service, sur instruction du Responsable. Les présentes conditions et les réglages effectués par le Responsable dans l'application constituent ses instructions documentées. Le Sous-traitant informe le Responsable si une instruction lui paraît contraire au RGPD.
2. Confidentialité. Le Sous-traitant, et toute personne agissant sous son autorité, ne traite les données que sous engagement de confidentialité.
3. Sécurité. Le Sous-traitant met en œuvre les mesures de la section 6 et les maintient à l'état de l'art.
4. Sous-traitants ultérieurs. Le Responsable autorise les prestataires listés à la section 4. Le Sous-traitant reste responsable de leurs manquements et encadre tout transfert hors UE par des clauses contractuelles types.
5. Assistance. Le Sous-traitant aide le Responsable à répondre aux demandes des personnes, à documenter la sécurité, et, si nécessaire, à réaliser une analyse d'impact.
6. Violations. Notification au Responsable sous 48 heures, avec la nature de la violation, les données et personnes concernées, les conséquences probables et les mesures prises.
7. Fin du traitement. À la fin de l'abonnement, le Responsable exporte ses données ; le Sous-traitant les supprime 90 jours après, sauf obligation légale contraire, et le confirme par écrit sur demande.
8. Documentation et audit. Le Sous-traitant tient un registre de ses traitements et met à disposition les informations nécessaires pour démontrer sa conformité. Un audit peut être mené une fois par an, aux frais du Responsable, avec un préavis de 30 jours, sans accès aux données des autres établissements.

10. Modifications et contact

Cette politique peut évoluer avec le Service ; la version en vigueur est celle publiée ici, avec sa date. Les changements substantiels sont annoncés par email aux établissements abonnés.

Contact données personnelles : florian@restoclover.com, ou par courrier à Resto Clover, 162 Rue Léon Blum, 69100 Villeurbanne.