Data Processing Agreement (DPA)

1. Définitions

Les termes employés ont le sens défini par le RGPD :

• Données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable.
• Traitement : toute opération effectuée sur des données personnelles (collecte, stockage, consultation, etc.).
• Responsable du traitement : le Client de CallEat, qui détermine les finalités et moyens du traitement.
• Sous-traitant : CallEat, qui traite les données pour le compte du Client.
• Sous-traitant ultérieur : tout prestataire auquel CallEat fait appel pour exécuter le service (cf. article 7).
• Personnes concernées : les administrateurs et employés du restaurant, ainsi que les clients finaux du restaurant.

2. Objet du DPA

CallEat fournit au Client une plateforme SaaS pour gérer la communication interne de son restaurant (appels par QR code, KDS, menus digitaux, analytics, planning). Dans le cadre de cette prestation, CallEat traite des données à caractère personnel pour le compte du Client. Le présent DPA encadré ces traitements conformément à l'article 28 du RGPD.

3. Catégories de données et personnes concernées

3.1 Données du personnel du restaurant

• Identité (nom, prénom)
• Email professionnel, identifiants de connexion (mot de passe haché)
• Données d'activité (clock-in / clock-out, sessions, statistiques)

3.2 Données techniques des clients finaux

• Données techniques anonymes (table scannée, horodatage, IP de session)
• Aucune donnée nominative collectée

3.3 Données commerciales du restaurant

• Menus, prix, photographies, descriptions de plats
• Historique d'activité (commandes, appels, avis)

4. Finalités du traitement

CallEat traite ces données aux seules fins de :

• Fournir et exploiter le service souscrit
• Assurer la sécurité et la disponibilité de la plateforme
• Permettre les fonctionnalités optionnelles activées par le Client (chatbot, avis, reviews externes)
• Répondre aux demandes de support technique
• Réaliser les sauvegardes et la restauration en cas d'incident

CallEat ne traite les données que sur instruction documentée du Client (au travers de l'usage de la plateforme et des fonctionnalités activées) et conformément aux obligations légales applicables.

5. Obligations de CallEat (sous-traitant)

CallEat s'engage notamment à :

• Ne traiter les données que sur instruction documentée du Client, y compris pour les transferts hors UE (cf. article 8).
• S'assurer que toute personne autorisée à traiter les données est soumise à une obligation de confidentialité (contrat de travail, charte interne) ou à une obligation légale appropriée.
• Mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 6.
• Respecter les conditions de recours à un sous-traitant ultérieur décrites à l'article 7.
• Assister le Client dans la mise en place de mesures permettant aux personnes concernées d'exercer leurs droits.
• Aider le Client à respecter ses propres obligations RGPD (analyse d'impact, sécurité, notification de violation).
• Notifier au Client toute violation de données personnelles dans les 48 heures suivant sa découverte.
• A la fin de la prestation, restituer toutes les données personnelles au Client ou les détruire (selon le choix du Client), sauf obligation légale de conservation.
• Mettre à disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article et permettre la réalisation d'audits.

6. Mesures techniques et organisationnelles (TOMs)

CallEat met en œuvre les mesures suivantes, évaluées au regard de l'état de l'art, des coûts, de la nature des données et des risques (article 32 du RGPD) :

6.1 Mesures techniques

• Chiffrement en transit : TLS 1.2+ obligatoire pour toute communication avec la plateforme (politique HSTS).
• Protection des données stockées : les données actives résident sur les volumes d'un serveur hébergé en France (OVHcloud, cf. article 7) ; la base de données n'est joignable que depuis le réseau interne de la plateforme, sous un rôle applicatif sans privilège d'administration. Les secrets les plus sensibles conservés en base (secrets TOTP de double authentification, jetons d'intégration) sont chiffrés au niveau applicatif. Les sauvegardes sont chiffrées (AES-256) avant stockage, cf. ci-dessous.
• Hachage des mots de passe : bcrypt (facteur de coût 12), aucun mot de passe en clair en base ou en log.
• Tokens JWT en mémoire (front), refresh token en cookie HttpOnly SameSite=Strict avec rotation à chaque refresh, blacklist Redis au logout.
• Cloisonnement multi-tenant : middleware require_tenant applique sur tous les endpoints sensibles ; un client ne peut accéder qu'aux données de son ou ses restaurant(s).
• Sauvegardes : sauvegarde quotidienne de la base de données et des fichiers déposés (images), chiffrée AES-256-CBC (clé dérivée par PBKDF2, sel aléatoire) avant stockage, avec contrôle d'intégrité SHA-256 ; restauration du dernier dump testée chaque semaine sur une base jetable, sur le serveur d'hébergement.
• Surveillance : monitoring Prometheus + Alertmanager, détection d'anomalies de connexion, blocage temporaire après 5 échecs successifs.
• Mises à jour de sécurité : chaîne de livraison continue avec détection automatisée des secrets dans le code (Gitleaks), vérification de typage et tests automatisés bloquants avant tout déploiement ; images applicatives reconstruites à chaque déploiement ; correctifs appliqués sous 7 jours pour les vulnérabilités Critical / High.

6.2 Mesures organisationnelles

• Double authentification (TOTP, avec code de secours par e-mail) : disponible pour tout compte et recommandée pour tout administrateur ; les appareils de confiance sont limités à 30 jours et révoqués à tout changement ou réinitialisation du mot de passe.
• Contrôle d'accès basé sur les rôles (RBAC) : Super Admin, Group Owner, Restaurant Admin, Manager, Waiter ; principe du moindre privilège.
• Journalisation d'audit : chaque action sensible (connexion, modification de role, suppression, export) est tracée dans un journal d'audit conserve 24 mois.
• Procédure de révocation : révocation immédiate des accès à la sortie d'un collaborateur ou en cas de suspicion d'incident.
• Chaîne de livraison : chaque changement passe par une analyse statique et un typage strict, une suite de tests automatisés bloquant le déploiement et un scan de secrets avant publication ; les dépendances sont épinglées.
• Gestion des incidents : procédure formalisée de détection, qualification, notification et remédiation.

7. Sous-traitants ultérieurs

Le Client autorise CallEat à recourir aux sous-traitants ultérieurs suivants, ayant souscrit à des obligations de protection des données équivalentes à celles du présent DPA. Google Ireland Ltd, listé pour l'information du Client, intervient en responsable de traitement indépendant et non en sous-traitant ultérieur :

CallEat informera le Client de tout changement envisage concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, avec un préavis de 30 jours, permettant au Client de formuler des objections motivées. En l'absence d'accord, le Client pourra résilier l'abonnement sans frais.

8. Transferts hors Union européenne

La majorité des traitements est réalisée dans l'Union européenne. Deux catégories de traitements peuvent impliquer un transfert vers les États-Unis : d'une part le traitement des paiements par Stripe Payments Europe Ltd, qui transfère les données de paiement à sa société affiliée Stripe, LLC (transfert inhérent au service, indépendant des options activées par le Client) ; d'autre part trois fonctionnalités optionnelles — le chatbot IA et l'analyse IA des avis (OpenAI), les avis externes & réponse Google — qui peuvent impliquer un transfert ponctuel. S'y ajoute l'accès de support de Brevo, Inc. (États-Unis) à la plateforme d'envoi d'e-mails et de SMS, encadré par le DPA de Brevo. Ces transferts sont encadrés par :

• Les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914), complétées le cas échéant par la certification des prestataires au titre du Data Privacy Framework UE–États-Unis ;
• Les DPA officiels de Stripe (avec son addendum relatif aux transferts de données), de Brevo et d'OpenAI inclus dans nos accords avec ces prestataires ; pour Google, responsable de traitement indépendant, les Google Controller-Controller Data Protection Terms et sa certification au Data Privacy Framework ;
• La possibilité pour le Client de désactiver les fonctionnalités optionnelles à tout moment depuis /admin/features.

9. Notification de violation

En cas de violation de données personnelles, CallEat s'engage à notifier le Client dans les 48 heures suivant la découverte de l'incident, avec à minima :

• la nature de la violation, les catégories et le volume de données concernées ;
• les conséquences probables et les mesures prises ou proposées ;
• les coordonnées du point de contact (contact@calleat.fr).

Le Client demeure responsable de la notification à l'autorité de contrôle compétente (CNIL) et, le cas échéant, aux personnes concernées, dans les délais prévus par les articles 33 et 34 du RGPD. CallEat lui apporte son aide effective dans ce cadre.

10. Audit et droit d'inspection

Le Client peut, à sa charge, faire réaliser un audit annuel des traitements opérés par CallEat, sous réserve d'un préavis de 30 jours et de la signature d'un accord de confidentialité spécifique. CallEat met à disposition, en alternative, la documentation des mesures décrites à l'article 6 (configuration de la chaîne de livraison, journal des sauvegardes et des tests de restauration).

11. Durée et fin du traitement

Le présent DPA prend effet à la date de souscription du Client et reste applicable pendant toute la durée de la prestation. A son terme, CallEat propose au Client :

• Un export complet des données au format JSON portable (RGPD article 20) ;
• La suppression effective des données à sa demande, dans un délai maximum de 30 jours ;
• L'archivage limite aux données pour lesquelles une obligation légale impose une conservation (factures : 10 ans).

12. Contact

Pour toute question relative au présent DPA :

• Email RGPD : rgpd@calleat.fr
• Courrier : CallEat — Contact RGPD (pas de DPO désigné, art. 37), 323 boulevard de la Coopérative, Villa 10 résidence Terre Nature, 13610 Le Puy-Sainte-Réparade, France

Pour signer le DPA dans le cadre d'une procédure d'achat client (validation juridique, signature électronique), adressez votre demande à contact@calleat.fr : nous vous transmettons la version PDF signable et retournons la version contresignée dans un délai de 7 jours ouvrés.