Annexe — sous-traitance des données personnelles
1. Objet et qualité des parties
La présente annexe encadre le traitement de données à caractère personnel que l'éditeur effectue pour le compte du client dans le cadre du service Madelaine. Elle est conclue en application de l'article 28 du règlement (UE) 2016/679 (« RGPD »).
- Le client — la structure de portage — est responsable de traitement : c'est lui qui décide des finalités et des moyens.
- L'éditeur (SLC Digital, SIREN 848037305) est son sous-traitant : il exécute, sur instruction.
Elle est acceptée par voie électronique, ce que permet l'article 28.9. La trace de cette acceptation — qui, quand, quelle version — est conservée par l'éditeur et consultable par le client dans les paramètres de son espace.
2. Description du traitement
| Nature des opérations | Collecte, enregistrement, organisation, conservation, consultation, extraction, rapprochement, effacement. |
|---|---|
| Finalités | Gérer les bénéficiaires et leurs contrats, planifier la production et les tournées, recueillir les choix de menus, facturer et encaisser, tenir les traces que la loi impose. |
| Catégories de personnes | Bénéficiaires du portage, leurs proches désignés, prospects, salariés du client, livreurs, contacts des financeurs et des traiteurs. |
| Catégories de données | Identité et coordonnées, adresse et coordonnées de géolocalisation, consignes d'accès au domicile, contrats et prises en charge, choix de repas, preuves de livraison, données bancaires (IBAN, mandat SEPA), factures et règlements, traces de connexion et d'intervention. |
| Données sensibles | Les allergies alimentaires déclarées, qui relèvent de l'article 9. Elles ne sont traitées qu'avec le consentement explicite de la personne, recueilli et prouvé par le client dans le service ; sans lui, le service les verrouille et elles ne circulent nulle part. |
| Durée | Celle du contrat de service, puis les durées de conservation que le client règle lui-même dans les paramètres de son espace, sous réserve des durées imposées par la loi (dix ans pour les pièces comptables, article L123-22 du code de commerce). |
3. Instructions documentées (article 28.3.a)
L'éditeur ne traite les données que sur instruction documentée du client. Constituent des instructions documentées : la présente annexe, les paramètres réglés par le client dans son espace (durées de conservation, suivi des allergies, outils d'information), et toute demande écrite adressée à l'éditeur.
L'éditeur informe le client si une instruction lui paraît contraire au droit de la protection des données, comme le prévoit le second alinéa de l'article 28.3.
4. Confidentialité (article 28.3.b)
L'éditeur veille à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité, par contrat ou par obligation légale, et limite les accès à ce qui est nécessaire à leur mission.
5. Sécurité (articles 28.3.c et 32)
Les mesures en place, à la date de la présente version :
- cloisonnement des clients dans la base de données, imposé par le moteur lui-même (row level security PostgreSQL) et non par le seul code applicatif — une requête mal écrite ne peut pas franchir la frontière ;
- chiffrement des échanges (HTTPS) sur l'ensemble du service ;
- double authentification obligatoire pour les comptes de l'éditeur ayant accès à plusieurs clients, et disponible pour les comptes du client ;
- journal des interventions conservé et consultable : chaque action sensible dit qui l'a faite, quand, et sur quel dossier ;
- accès aux fichiers déposés (photos, pièces jointes, coupons scannés) contrôlé par le service, jamais par une adresse devinable ;
- aucun traceur publicitaire, aucun réseau de diffusion tiers : les polices et les bibliothèques sont servies par le service lui-même.
6. Sous-traitance ultérieure (article 28.3.d et 28.2)
Le client autorise l'éditeur à recourir aux sous-traitants ultérieurs listés ci-dessous. L'éditeur informe le client de tout ajout ou remplacement avant qu'il ne prenne effet, et le client dispose d'un délai raisonnable pour s'y opposer.
| Sous-traitant | Rôle | Données concernées | Lieu |
|---|---|---|---|
| Railway | Hébergement de l'application et de la base de données | l'ensemble des données du service | société de droit américain, infrastructures dans l'UE |
| Mistral AI | Lecture automatique des coupons de menus scannés, des factures déposées dans Rentabilité › Dépenses, et des menus des traiteurs déposés en PDF | l'image du coupon rempli à la main (écriture, nom, choix) ; la facture d'un fournisseur de véhicule ou du traiteur, seule ; le menu d'un traiteur, seul | France |
| API Adresse (data.gouv.fr) | Géocodage des adresses de livraison | l'adresse postale du bénéficiaire | France — service public |
| IGN (Géoplateforme) | Fond de carte des écrans de tournées et de vérification d'adresse | la zone regardée, sous forme de coordonnées de tuiles — jamais un nom ni une adresse | France — service public |
| openrouteservice | Calcul d'itinéraires de tournées | des coordonnées de domiciles, sans nom | Allemagne |
| Scaleway (Transactional Email) | Acheminement des coupons, factures, relances et notifications | adresse e-mail, contenu du message et pièces jointes | France |
6.1 Transferts hors Union européenne
⚠️ L'hébergement est aujourd'hui assuré par une société de droit américain (Railway), ce qui constitue un transfert au sens des articles 44 à 49. Les données sont hébergées sur des infrastructures situées dans l'Union européenne, mais l'éditeur ne peut pas exclure un accès depuis les États-Unis.
L'éditeur le déclare ici plutôt que de le taire : un client soumis à une exigence de souveraineté doit pouvoir en tenir compte avant de confier ses données. La migration vers un hébergement européen est un point de suivi actif de l'éditeur ; le client en sera informé au titre de l'article 6 ci-dessus.
7. Assistance au client (articles 28.3.e et 28.3.f)
L'éditeur assiste le client, par les fonctions mêmes du service :
- droit d'accès et portabilité — le dossier complet d'une personne s'édite en un document lisible et en un fichier réutilisable ;
- rectification — chaque donnée se corrige depuis l'écran où elle a été saisie ;
- effacement — la fiche s'anonymise, les pièces que la loi impose de conserver gardant l'identité figée à leur émission ;
- limitation et opposition — l'usage d'un dossier se gèle, et l'opposition à la photo de livraison est honorée par le service ;
- information des personnes — une notice d'une page, éditable pour une personne ou pour toutes celles qui restent à informer ;
- délai de réponse — une demande de droits enregistrée dans le service affiche le mois que l'article 12.3 accorde pour y répondre.
L'éditeur fournit au client, sur demande, les éléments nécessaires à son analyse d'impact et à sa consultation préalable (articles 35 et 36).
8. Sort des données à la fin du contrat (article 28.3.g)
À la fin du contrat, au choix du client et sur son instruction écrite, l'éditeur lui restitue l'ensemble des données dans un format réutilisable, puis les supprime, ou les supprime directement. La suppression couvre les copies, à l'exception de ce que le droit de l'Union ou le droit français impose de conserver.
⚠️ Les sauvegardes suivent leur propre cycle. Une suppression demandée disparaît des sauvegardes au terme de leur rotation, et non le jour même ; l'éditeur ne les restaure pas pour en extraire des données supprimées.
9. Violations de données (article 33.2)
L'éditeur notifie au client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, avec ce qu'il en sait : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises. C'est au client, responsable de traitement, qu'il revient de notifier la CNIL sous 72 heures et, s'il y a lieu, d'informer les personnes.
10. Documentation et audit (article 28.3.h)
L'éditeur met à la disposition du client les informations nécessaires pour démontrer le respect de la présente annexe, et tient à jour le registre de l'article 30.2. Il fournit au client, s'il le demande, un modèle pré-rempli de son propre registre (article 30.1).
Le client peut faire réaliser un audit, à ses frais, par lui-même ou par un auditeur qu'il mandate, sous réserve d'un préavis raisonnable et d'un engagement de confidentialité couvrant les autres clients de l'éditeur.
11. Contact
Pour toute question relative à la présente annexe : rgpd@madelaine.ai.