Accord de traitement des données

1. Objet et parties

Le présent Accord de traitement des données (« ATD ») fait partie intégrante des Conditions d’utilisation et prend effet entre l’établissement abonné à Qungry (« Client », responsable du traitement) et Ae Telecom (« Qungry », sous-traitant) à la date d’acceptation des Conditions d’utilisation.

L’ATD s’applique aux données personnelles que Qungry traite pour le compte du Client dans le cadre de la fourniture du Service. En cas de contradiction entre les Conditions d’utilisation et le présent ATD concernant les données personnelles, l’ATD prévaut.

2. Description du traitement

Objet et finalité : fourniture, support et sécurisation du logiciel de gestion de restaurant (caisse, commandes, livraison, menu QR, site de commande, réservations, rapports, applications mobiles et intégrations).
Durée : pendant la durée des Conditions d’utilisation et, après leur fin, pendant la durée de conservation prévue à l’article 11 des Conditions d’utilisation.
Personnes concernées : clients et convives du Client, personnel (serveurs, caissiers, livreurs, responsables), fournisseurs et autres contacts professionnels.
Catégories de données : nom et prénom, téléphone, e-mail, adresse de livraison, contenu et notes des commandes, historique des commandes et paiements (hors données de carte), points de fidélité et utilisation des coupons, informations de réservation, notes et avis, données du personnel (nom, rôle, PIN haché, registres de travail, opérations de caisse, répartition des pourboires et frais de service), données de localisation des livreurs (latitude, longitude, précision et heure ; uniquement la dernière position, pendant que le livreur transporte une commande), journaux d’appareils et de sessions.
Catégories particulières de données : le Service n’est pas conçu pour traiter des catégories particulières de données. Les informations d’allergie ou de régime d’un client inscrites dans les notes de commande peuvent constituer des données de santé ; le Client veille à ce qu’elles ne soient saisies que dans la mesure nécessaire à la préparation de la commande.

3. Obligations de Qungry

Qungry :

traite les données personnelles uniquement sur instruction documentée du Client. Les Conditions d’utilisation, le présent ATD et les réglages effectués par le Client dans le Service (par ex. la connexion d’une intégration) valent instructions. S’il estime qu’une instruction enfreint le droit de la protection des données, il en informe le Client.
veille à ce que les personnes accédant aux données soient tenues à la confidentialité, et limite l’accès aux personnes et à l’étendue nécessaires à la tâche. Le compte d’un restaurant n’est consulté pour le support qu’à la demande du Client ou lorsque la sécurité ou la correction d’erreurs l’exige.
applique les mesures de sécurité techniques et organisationnelles décrites à l’annexe 1.
n’utilise pas les données pour ses propres besoins, ne les vend pas et ne les traite pas à des fins publicitaires.
aide raisonnablement le Client à répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité, etc.) et lui transmet sans délai les demandes qu’il reçoit directement.
aide le Client dans les analyses d’impact relatives à la protection des données et les consultations des autorités de contrôle, compte tenu de la nature du traitement et des informations dont il dispose.

4. Sous-traitants ultérieurs

Le Client autorise de manière générale Qungry à recourir aux prestataires listés sur la page Sous-traitants ultérieurs.
Qungry met la liste à jour et informe le Client par e-mail ou dans l’espace de gestion au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur. Le Client peut s’y opposer pendant ce délai pour des motifs raisonnables liés à la protection des données. Si les parties ne trouvent pas de solution, le Client peut résilier le Service concerné et le montant de la période non utilisée lui est remboursé.
Qungry conclut avec ses sous-traitants ultérieurs des contrats écrits offrant pour l’essentiel la même protection que les obligations du présent ATD, et reste responsable envers le Client de leurs obligations.
Services connectés par le Client : les plateformes de livraison (Uber Eats, Just Eat, Deliveroo), les prestataires de paiement et de terminaux (Stripe, SumUp) et les services similaires que le Client connecte avec son propre compte ne sont pas des sous-traitants ultérieurs de Qungry. La relation avec eux est régie par le contrat propre du Client ; Qungry n’envoie ou ne reçoit des données de ces services que sur instruction du Client.

5. Transferts internationaux

Les données personnelles sont hébergées en France ; les sauvegardes sont conservées aux Pays-Bas. En cas de transfert hors de l’Espace économique européen ou du Royaume-Uni vers un pays ne bénéficiant pas d’une décision d’adéquation, Qungry s’appuie sur des garanties appropriées telles que les clauses contractuelles types de la Commission européenne (2021/914) et l’UK International Data Transfer Addendum (IDTA / Addendum), et prend des mesures supplémentaires si nécessaire.

L’équipe d’assistance et de développement de Qungry est basée en Turquie ; l’accès de l’équipe aux données hébergées sur les serveurs constitue un transfert au sens du présent article et est soumis aux mêmes garanties.

6. Violations de données personnelles

Lorsque Qungry a connaissance d’une violation de données personnelles touchant les données du Client, il en informe le Client dans les meilleurs délais et au plus tard dans les 48 heures. La notification précise, à mesure que les informations sont disponibles, la nature de la violation, les catégories de données et le nombre approximatif de personnes concernées, les conséquences probables, les mesures prises ou envisagées et un interlocuteur. Qungry prend les mesures nécessaires pour en atténuer les effets et aide le Client à respecter son obligation de notifier l’autorité et les personnes concernées.

7. Restitution et suppression des données en fin de contrat

À la fin des Conditions d’utilisation, Qungry exporte les données dans un format courant (par ex. CSV / JSON) à la demande du Client pendant la durée de conservation, et supprime les données à l’issue de cette durée. Les copies dans les sauvegardes sont supprimées selon le cycle normal de sauvegarde. Les données dont la loi impose la conservation ne sont conservées que pour cette obligation et pour sa durée.

8. Informations et audits

Qungry fournit, sur demande écrite du Client, les informations démontrant le respect du présent ATD. Si ces informations ne suffisent pas, le Client peut réaliser un audit lui-même ou par un auditeur indépendant, sous réserve d’un préavis d’au moins 30 jours, au plus une fois par an, pendant les heures ouvrées et sous confidentialité. Les frais d’audit sont à la charge du Client, sauf si un manquement substantiel de Qungry est constaté.

9. Obligations du Client

Le Client confirme qu’il collecte les données sur une base légale licite, qu’il a fourni aux personnes concernées (clients, personnel) l’information requise (par ex. en publiant une politique de confidentialité sur son site de commande) et que ses instructions à Qungry sont conformes à la loi.

Si l’application livreur est utilisée, il incombe au Client de déterminer la base légale du suivi de localisation, d’informer les livreurs au préalable et de respecter les obligations découlant du droit du travail (par ex. l’accord des représentants du personnel dans les pays où il est requis).

10. Responsabilité et durée

La responsabilité au titre du présent ATD est soumise aux clauses de responsabilité des Conditions d’utilisation, sauf pour les responsabilités que la loi ne permet pas de limiter. L’ATD reste en vigueur tant que Qungry traite des données personnelles pour le compte du Client.

Annexe 1 — Mesures de sécurité techniques et organisationnelles

Chiffrement : HTTPS/TLS sur toutes les connexions ; clés d’API, clés des prestataires de paiement et jetons de carte enregistrés chiffrés en base de données ; mots de passe et codes PIN hachés de manière irréversible.
Séparation des données : les données de chaque restaurant sont conservées dans une base de données distincte.
Contrôle d’accès : accès selon les rôles et les droits ; droits par établissement ; caisses et appareils serveurs reconnus par une clé d’enregistrement ; durée de session limitée.
Données de paiement : les numéros de carte ne sont jamais traités ni stockés sur les serveurs de Qungry ; les paiements passent par la page sécurisée ou le terminal du prestataire.
Protection contre les abus : limitation du débit sur la connexion et les formulaires publics, protection contre la falsification de requêtes intersites (CSRF), vérification de signature des notifications des plateformes.
Sauvegarde et continuité : sauvegardes automatiques quotidiennes ; les sauvegardes sont conservées chiffrées pendant 30 jours dans le centre de données de Backblaze à Amsterdam (Pays-Bas) ; fonctionnement hors ligne de la caisse en cas de coupure internet.
Surveillance : journalisation et surveillance des erreurs et des événements de sécurité ; les données personnelles sont autant que possible exclues des journaux d’erreurs.
Personnel : engagements de confidentialité, principe du moindre privilège, retrait des accès à la fin des fonctions.
Développement : application régulière des mises à jour de sécurité et test des modifications.