Contrat de sous-traitance des données personnelles

Annexe 1 aux conditions générales d'abonnement MiamDrive — version du 31 octobre 2026 (2^e version : durées de conservation) — article 28 du RGPD

Préambule

Le Responsable de traitement utilise MiamDrive pour vendre (site de commande, commande à table, caisse), livrer et gérer son restaurant. Pour fournir ce service, Pikali traite pour son compte des données personnelles. Le présent contrat fixe les conditions de ce traitement (règlement (UE) 2016/679, « RGPD », art. 28). Il fait partie des conditions d'abonnement.

Article 1 — Objet, nature, finalités et durée du traitement

• Nature : hébergement, enregistrement, consultation, transmission (e-mails, paiement, facture électronique), sauvegarde, export, suppression.
• Finalités : prise et suivi des commandes ; encaissement ; livraison et suivi du livreur ; journal fiscal et comptabilité ; factures et notes clients ; demandes d'avis (si activées) ; comptes du personnel ; import de factures fournisseurs (module stock).
• Personnes concernées : clients du restaurant ; salariés et livreurs ; contacts des fournisseurs ; visiteurs du site du restaurant.
• Données : identité, téléphone, e-mail, adresse et coordonnées GPS de livraison, détail des commandes et paiements (jamais de numéro de carte), messages du formulaire de contact ; pour le personnel : identifiants de compte, rôle, positions GPS du livreur pendant ses tournées ; pour les fournisseurs : données figurant sur leurs factures. Aucune donnée sensible (art. 9) n'est demandée.
• Durée : celle de l'abonnement, puis la période de transition (article 2.7).

Article 2 — Obligations du Sous-traitant

2.1 Instructions documentées (art. 28.3.a). Pikali ne traite les données que sur instruction documentée du Responsable de traitement : le présent contrat, les réglages faits dans le back-office et ses demandes écrites. Si une instruction lui paraît contraire au RGPD, il l'en informe immédiatement.

2.2 Confidentialité (art. 28.3.b). Les personnes autorisées à traiter les données chez Pikali sont soumises à une obligation de confidentialité.

2.3 Sécurité (art. 28.3.c et 32). Chiffrement des échanges (HTTPS, HSTS) ; cloisonnement des données de chaque restaurant en base (sécurité au niveau des lignes, rôle applicatif sans privilège) ; mots de passe hachés (Argon2) ; identifiants des prestataires de paiement chiffrés ; limitation des tentatives de connexion ; journal fiscal scellé ; sauvegardes quotidiennes conservées 14 jours ; hébergement dans l'Union européenne.

2.4 Sous-traitance ultérieure (art. 28.2 et 28.4). Le Responsable de traitement autorise les sous-traitants ultérieurs ci-dessous. Pikali l'informe de tout ajout ou remplacement au moins 30 jours à l'avance, par un avis dans son espace et par e-mail ; il peut s'y opposer et, dans ce cas, résilier sans frais. Pikali impose à chacun des obligations équivalentes à celles du présent contrat.

Ne sont pas des sous-traitants de Pikali, car le restaurant contracte directement avec eux et en répond : ses prestataires de paiement (SumUp, Stripe, Mollie) et sa plateforme de facturation électronique agréée. Services publics appelés lors de la saisie d'une adresse de livraison : Base Adresse Nationale (api-adresse.data.gouv.fr, État français) puis, à défaut, Nominatim (OpenStreetMap Foundation, Royaume-Uni, pays reconnu adéquat) ; seule l'adresse saisie est transmise. geo.api.gouv.fr ne reçoit que la zone de livraison, sans donnée personnelle.

2.5 Droits des personnes (art. 28.3.e). Pikali aide le Responsable de traitement à répondre aux demandes d'accès, de rectification, d'effacement, de portabilité et d'opposition : recherche, export et suppression des données d'une personne dans les 10 jours ouvrés de sa demande écrite.

2.6 Violations de données, analyses d'impact (art. 28.3.f et 33). Pikali notifie au Responsable de traitement toute violation de données personnelles dans les 48 heures après en avoir pris connaissance, par e-mail à l'administrateur et par téléphone, avec : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements, les conséquences probables, les mesures prises ou proposées et un contact. Il l'aide pour la notification à la CNIL (72 heures), l'information des personnes et, le cas échéant, l'analyse d'impact.

2.7 Fin du contrat (art. 28.3.g). À la fin de l'abonnement, le Responsable de traitement garde 30 jours d'accès en lecture pour exporter ses données (conditions d'abonnement, art. 8). Ensuite, Pikali supprime toutes les copies, sauvegardes comprises au plus tard à l'expiration de leur rotation (14 jours), et lui en donne confirmation écrite. Exception : les données que la loi impose de conserver (journal fiscal, clôtures et archives fiscales, montants des ventes : 10 ans ; factures : 10 ans), gardées isolées et sans autre usage.

2.8 Information et audits (art. 28.3.h). Pikali met à disposition les informations nécessaires pour démontrer le respect du présent contrat et permet un audit par an, à la charge du Responsable de traitement, avec un préavis de 30 jours.

2.9 Durées de conservation appliquées par le service (art. 5.1.e). Sauf autre instruction écrite du Responsable de traitement (article 4), MiamDrive applique automatiquement, chaque nuit :

• positions GPS des livreurs : effacées 30 jours après leur enregistrement (de même que les estimations de délai liées à une adresse et les tickets en attente d'impression) ;
• données qui identifient un client (nom, téléphone, e-mail, adresse et position de livraison, note de commande) : anonymisées 3 ans après sa dernière commande ; la commande, son contenu et ses montants restent, sans son identité ;
• journal fiscal, clôtures, archives fiscales et montants des ventes : 10 ans (la loi impose au moins 6 ans, article L102 B du Livre des procédures fiscales) ; factures adressées à un client, identité de l'acheteur comprise : 10 ans (article L123-22 du Code de commerce) ;
• exports complets des données : 7 jours ; sauvegardes : 14 jours.

Article 3 — Registre

Pikali tient le registre des catégories d'activités de traitement effectuées pour le compte de ses clients (RGPD, art. 30.2).

Article 4 — Obligations du Responsable de traitement

Il fournit les données, informe les personnes concernées (sa politique de confidentialité), fixe les durées de conservation de ses données et en informe ses clients, et documente par écrit toute instruction particulière ; Pikali applique ses instructions écrites.

Article 5 — Durée, acceptation

Le présent contrat prend effet à son acceptation par un administrateur du Responsable de traitement, en même temps que les conditions d'abonnement, dans son espace MiamDrive (case dédiée, acceptation horodatée et conservée). Il dure autant que l'abonnement et la période de transition. Ses modifications suivent l'article 15 des conditions d'abonnement.

Contact pour toute question relative aux données : contact@miamdrive.com — PIKALI, 37 rue Principale, 67310 Dahlenheim, 01 62 04 56 70.