Accord de traitement des données (DPA) et sous-traitants
Dernière mise à jour : 2 novembre 2026
Le présent accord complète les CGV et en fait partie intégrante. Il encadre le traitement, par À COMPLÉTER (le « Sous-traitant »), des données personnelles des clients finaux pour le compte du restaurant abonné (le « Responsable de traitement »), conformément à l’article 28 du RGPD.
1. Objet, nature et durée
Le Sous-traitant héberge et traite, pour fournir le service Ordka, les données saisies ou collectées par le restaurant : gestion des commandes en ligne, suivi par e-mail ou notification, fidélité, fichier clients. Le traitement dure aussi longtemps que l’abonnement et, ensuite, jusqu’à la restitution ou la suppression des données (article 9).
2. Données et personnes concernées
- Personnes concernées : clients finaux du restaurant et, le cas échéant, membres de son équipe.
- Données : prénom, numéro de téléphone, adresse e-mail éventuelle, historique de commandes, points de fidélité, préférences de notification.
- Aucune donnée sensible au sens de l’article 9 du RGPD n’est destinée à être collectée ; le restaurant s’interdit de les saisir dans les champs libres.
3. Instructions
Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement, matérialisée par les CGV, le paramétrage du service et les actions effectuées par le restaurant dans son espace. Il l’informe s’il estime qu’une instruction viole le droit applicable.
4. Confidentialité
Les personnes autorisées à traiter les données sont tenues à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire à leur mission.
5. Sécurité (article 32)
- Chiffrement des échanges ; mots de passe hachés ; authentification à deux facteurs disponible.
- Cloisonnement des données de chaque restaurant au niveau de la base de données (règles d’accès par ligne) ; accès par rôles (propriétaire, responsable, équipe).
- Journaux techniques expurgés des données sensibles ; traçabilité des actions d’administration.
- Sauvegardes et procédure de restauration ; revue régulière des accès.
6. Sous-traitants ultérieurs
Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ci-dessous. Le Sous-traitant l’informe de tout ajout ou remplacement avant sa mise en œuvre, afin qu’il puisse s’y opposer pour un motif légitime ; il impose à ses sous-traitants des obligations équivalentes à celles du présent accord et reste responsable de leur exécution.
| Prestataire | Finalité | Données | Localisation | Garanties de transfert |
|---|---|---|---|---|
| Vercel Inc. | Hébergement de l'application web (site, espace restaurateur, API). | Toutes les données transitant par l'application (chiffrées en transit). | À COMPLÉTER | À COMPLÉTER |
| Supabase | Base de données et authentification. | Comptes, restaurants, cartes, commandes, clients finaux, abonnements. | À COMPLÉTER | À COMPLÉTER |
| Stripe Payments Europe, Ltd. | Paiement des abonnements, facturation. | Adresse e-mail, nom, adresse de facturation, numéro de TVA, moyen de paiement (traité par Stripe ; Ordka n'en conserve que la marque et les 4 derniers chiffres). | Union européenne (Irlande) ; transferts possibles vers des sociétés du groupe Stripe | À COMPLÉTER |
| Resend | Envoi des e-mails transactionnels (confirmation, factures, alertes de paiement). | Adresse e-mail, contenu du message. | À COMPLÉTER | À COMPLÉTER |
| Apple (service de notifications push APNs) | Notifications de l'application iPhone Ordka à l'équipe du restaurant. | Jeton d'appareil, contenu de la notification. | Selon Apple | À COMPLÉTER |
| Anthropic | Assistant de réponse aux questions des clients et lecture assistée de la carte (fonctions optionnelles). | Texte des messages posés à l'assistant, photos de cartes transmises par le restaurant. | À COMPLÉTER | À COMPLÉTER |
7. Droits des personnes
Le Sous-traitant aide le Responsable de traitement à répondre aux demandes d’exercice des droits. Le restaurant dispose, dans son espace, d’outils d’export et d’effacement des données d’un client. Toute demande reçue directement par le Sous-traitant lui est transmise.
8. Violation de données
Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, avec les informations utiles pour que celui-ci puisse remplir ses propres obligations de notification.
9. Sort des données en fin de contrat
À la fin de l’abonnement, et sur demande, le Sous-traitant restitue les données dans un format courant puis les supprime, sous réserve de l’obligation légale de conservation. À défaut de demande, elles sont conservées pour permettre une réactivation, puis supprimées selon les durées de la politique de confidentialité.
10. Audit et documentation
Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d’audits, par le Responsable de traitement ou un auditeur qu’il mandate, dans des conditions raisonnables de préavis et de confidentialité.
11. Contact
Pour toute question relative à ce traitement : À COMPLÉTER.