Accord de traitement des données (article 28 RGPD)

1. Objet, nature et durée

Collecte, enregistrement, organisation, consultation, extraction, analyse, communication autorisée, conservation et suppression pour les modules activés : personnel, plannings, présences, HACCP, stocks, production, documents, ventes, événements et communication. Durée des services et opérations convenues de restitution/suppression.

2. Personnes et catégories

Personnel, collaborateurs, administrateurs, contacts fournisseurs/clients et personnes dans les fichiers. Identité, coordonnées, contrat/rémunération, identifiants sociaux dans les documents, plannings, présences, absences, photos, signatures, position transmise dans les fonctions actives, messages, documents et métadonnées. Les documents médicaux peuvent relever de l’article 9 : minimisation, condition valable et instructions spécifiques nécessaires.

3. Instructions et licéité

Traitement seulement sur instructions documentées, transferts compris, sauf obligation légale ; information préalable sauf interdiction. Instructions : contrat, réglages et demandes autorisées. Le sous-traitant signale immédiatement une instruction estimée illicite et demande clarification. Ses finalités propres, comme facturation, sont distinctes dans la confidentialité.

4. Confidentialité et sécurité

Engagement de confidentialité des personnes autorisées et mesures proportionnées de l’article 32 : accès par organisation/site, authentification, transmission protégée, incidents, continuité et revue périodique. Infrastructure et sauvegardes doivent être décrites dans les annexes, pas présumées. Certaines images partagées sont accessibles par URL : limiter les données confidentielles publiées.

5. Prestataires et autorisation

Liste dans /legal/privacy et /legal/mentions-legales : Supabase, Vercel, Google Firebase, Resend, Google Gemini, OpenAI, Google Maps Platform, Gurtam UAB (flespi) pour le module Flotte ; Stripe gère les paiements avec possibles finalités propres. Tous ne sont pas sous-traitants pour chaque activité. Identifier les prestataires concernés et l’autorisation spécifique/générale au contrat.

Avant ajout/remplacement, information permettant une objection motivée ; convenir d’une solution, alternative ou cessation du traitement concerné. Obligations équivalentes imposées par écrit ; responsabilité envers le client pour le sous-traitant ultérieur. Aucune affirmation de vérification déjà accomplie de tous les accords.

6. Transferts et IA

Garanties valables du chapitre V pour les transferts RGPD ; documenter pays, mécanismes et mesures pour les services réels. L’hébergement européen seul n’exclut pas les transferts.

L’IA peut transmettre texte, contexte autorisé, contrats, images et audio à Google Gemini/OpenAI, y compris dans les flux automatiques activés. Le client examine nécessité, catégories et instructions ; aucune autorisation illimitée pour les données sensibles. Vérification humaine des décisions importantes.

7. Droits des personnes

Assistance par mesures techniques/organisationnelles pour les articles 15–22 selon la nature du traitement. Transmettre les demandes au client sans décider seul des bases de conservation. L’export personnel disponible ne garantit pas à lui seul tous les fichiers ou données associés.

8. Incidents, analyses et consultation

Notification des violations sans retard injustifié après découverte, avec informations progressives sur nature, catégories, impact, contact et mesures. Assistance pour les articles 32–36, analyses d’impact et consultation préalable selon les informations disponibles. Les 72 heures de l’article 33 concernent le responsable envers l’autorité, pas un délai d’attente autorisé pour le sous-traitant.

9. Restitution, suppression et conservation

La demande ne déclenche pas la suppression automatique de toutes les copies chez les services IA ou de notification. Les données déjà transmises nécessitent vérification des conditions, délais et procédures du destinataire, et demandes complémentaires si applicables.

À la fin, restituer ou supprimer au choix du client et supprimer les copies sauf obligation légale, en documentant modalités, délais et cycles de sauvegarde. Accès résiduel limité. Anonymiser un profil ne supprime pas les noms dans messages/fichiers : vérifier irréversibilité et résidus. Les durées du client respectent la loi.

10. Informations et audits

Fournir les informations nécessaires à l’article 28, permettre et contribuer aux audits/inspections du client ou de son auditeur, avec mesures proportionnées protégeant les autres clients. Les limites organisationnelles ne peuvent vider ce droit légal.

11. Contact et compléments

Instructions/demandes : admin@mtdigitalservices.net. Compléter identité/contact du client, modules, catégories sensibles admises, durée, mesures, sous-traitants autorisés et transferts. Le client conserve ses devoirs d’information, bases légales et droit du travail ; le fournisseur ses devoirs propres RGPD.