Contrat de sous-traitance

Traduction à titre informatif. En cas de doute, la version espagnole prévaut.

Article 28 du Règlement (UE) 2016/679 (RGPD) · Version 2026-10-01

1. Objet

Le Responsable du traitement confie à elpizzero le traitement des données à caractère personnel nécessaire à la fourniture des services de la plateforme : carte numérique, réception et gestion des commandes, caisse, réservations, notifications, facturation et outils associés. elpizzero traitera ces données uniquement pour le compte et selon les instructions documentées du Responsable du traitement.

2. Durée

Ce contrat est en vigueur tant qu'il existe une relation de service entre les parties. À son terme, la clause 9 (restitution/effacement) s'appliquera.

3. Nature, finalité et données traitées

• Catégories de personnes concernées : clients finaux du restaurant et, le cas échéant, personnel/utilisateurs du restaurant.
• Types de données : données d'identification et de contact (nom, téléphone, e-mail, adresse de livraison), données de la commande et de paiement (gérées par le prestataire de paiement) et historique des commandes. Aucune catégorie particulière de données n'est traitée de manière intentionnelle.
• Finalité : exclusivement l'exécution des services souscrits par le Responsable du traitement.

4. Obligations de elpizzero (Sous-traitant)

1. Ne traiter les données que sur instructions documentées du Responsable du traitement, y compris en ce qui concerne les transferts internationaux, sauf obligation légale. Si, à son avis, une instruction constitue une violation du RGPD ou d'une autre règle de protection des données, elpizzero en informera immédiatement le Responsable du traitement (art. 28.3 RGPD).
2. Garantir la confidentialité et que les personnes autorisées s'y engagent.
3. Appliquer les mesures techniques et organisationnelles appropriées (art. 32 RGPD) : chiffrement des identifiants sensibles, contrôle d'accès par rôle, isolation des données entre restaurants, sauvegardes chiffrées et journalisation de l'activité.
4. Aider le Responsable du traitement à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, opposition, portabilité, limitation).
5. Aider le Responsable du traitement à respecter les art. 32 à 36 (sécurité, notification des violations et analyses d'impact).
6. Notifier au Responsable du traitement, dans les meilleurs délais et au plus tard dans les 48 heures après en avoir pris connaissance, toute violation de la sécurité affectant ses données, avec les informations nécessaires pour que le Responsable du traitement s'acquitte de son obligation de notification à l'autorité (72 h) et, le cas échéant, aux personnes concernées.
7. Mettre à la disposition du Responsable du traitement les informations nécessaires pour démontrer le respect des obligations et permettre des audits raisonnables.

5. Sous-traitants ultérieurs

📣 Modifications communiquées le 2 octobre 2026, en vigueur le 18 octobre 2026 : ipwho.is n'est plus utilisé (la localisation approximative de l'IP est désormais calculée sur notre propre serveur) ; la messagerie électronique est fournie par Hostinger, qui figure déjà comme sous-traitant ultérieur ; et les services d'OpenStreetMap sont également utilisés pour les cartes de la page de suivi de la commande. En outre, la section 4 consigne par écrit votre instruction nous demandant de traiter en votre nom les demandes d'effacement de vos clients reçues sur la plateforme, en conservant ce que la loi oblige à conserver. Vous pouvez vous y opposer en écrivant à privacidad@elpizzero.com avant cette date (art. 28.2 RGPD).

Le Responsable du traitement autorise elpizzero à recourir aux sous-traitants ultérieurs suivants pour fournir le service, elpizzero s'engageant à leur imposer des obligations équivalentes en matière de protection des données :

• Hostinger — hébergement et infrastructure (serveurs dans l'UE).
• Stripe — traitement des paiements (lorsque le restaurant l'active avec ses propres clés).
• Prestataire de messagerie électronique SMTP — envoi de notifications et de communications.
• OpenAI (États-Unis) — traduction de la carte et des remarques que le client rédige dans sa commande, et lecture de menus et de factures ; sans nom, téléphone, e-mail ni adresse.
• Twilio (États-Unis) — appels automatiques d'avis au restaurant, lorsqu'ils sont activés (téléphone du restaurant).
• Telegram — avis de commandes au restaurant, uniquement si le Responsable du traitement les active ; ils ne comportent que le numéro et le montant de la commande, aucune donnée de ses clients (Telegram ne propose pas de contrat de sous-traitance, c'est pourquoi aucune donnée ne lui est confiée).
• hCaptcha · Intuition Machines (États-Unis) — protection contre les robots sur les formulaires publics (IP et données du navigateur).
• Services de recherche d'adresses et de calcul d'itinéraires basés sur OpenStreetMap (Nominatim, OSRM, openrouteservice) — adresse de livraison.
• Reparto — plateforme de logistique du dernier kilomètre (api.elpizzero.es), uniquement si le Responsable du traitement active l'intégration « Reparto » et fournit son propre jeton. Pour chaque commande livrée à domicile, elle reçoit l'indispensable pour exécuter la livraison : adresse et coordonnées de livraison, téléphone de contact, montant à encaisser et détail de la commande. Elle traite ces données exclusivement pour le compte du Responsable du traitement et est soumise à des obligations équivalentes à celles du présent contrat. Effacement : lorsque le Responsable du traitement ordonne l'effacement des données d'un client, l'ordre est automatiquement communiqué à Reparto, qui supprime l'adresse, les coordonnées, le téléphone, les remarques et le détail de la commande, en ne conservant que des données opérationnelles non identifiantes (statut, dates et montants).

La liste en vigueur est disponible et sera mise à jour dans ce document. elpizzero informera des changements de sous-traitants ultérieurs, en donnant au Responsable du traitement la possibilité de s'y opposer.

Ne sont pas des sous-traitants ultérieurs les outils de tiers que le Responsable du traitement décide d'activer dans sa carte avec son propre compte (par exemple, le pixel de Meta, qui n'est chargé que si le client accepte les cookies de marketing) : ce prestataire traite les données en tant que responsable conjoint du traitement avec le Responsable du traitement, et non pour le compte de elpizzero (arrêt de la Cour de justice de l'UE du 29 juillet 2019, Fashion ID, affaire C-40/17).

5 bis. Recours à l'intelligence artificielle

Certaines fonctions de la plateforme utilisent des services d'intelligence artificielle (actuellement OpenAI, États-Unis, avec des garanties de transfert adéquates) pour : la numérisation de cartes/menus (extraction de catégories et de produits à partir de photos ou de PDF du restaurant), la numérisation de factures de fournisseurs (conseil comptable et inventaire), la traduction de la carte et de textes dans d'autres langues, et la détection d'inventaire ainsi que la génération de contenus d'appui.

Seul le contenu nécessaire est envoyé et aucune donnée de clients finaux n'est envoyée de manière intentionnelle ; ponctuellement, une traduction pourrait inclure un texte libre rédigé par le client (par ex. une remarque de commande). Le Responsable du traitement autorise ce traitement par IA en acceptant le présent contrat et s'engage à ne pas saisir de données à caractère personnel inutiles dans ces fonctions. Chaque fonction qui utilise l'IA est identifiée comme telle dans le panneau, conformément aux principes de transparence (y compris le Règlement (UE) 2024/1689 sur l'IA).

6. Obligations du Responsable du traitement (restaurant)

• Garantir la base de licéité des traitements qu'il confie et l'information des personnes concernées.
• Disposer de sa propre politique de confidentialité et d'une identification fiscale correcte dans son profil.
• Ne pas saisir dans la plateforme de catégories particulières de données sans base appropriée.

7. Localisation des données et transferts

Les données sont hébergées sur des serveurs situés dans l'Union européenne. Si un sous-traitant ultérieur impliquait un transfert international, celui-ci sera effectué avec les garanties du chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types).

8. Violations de la sécurité

En cas de violation de la sécurité des données, elpizzero suivra son protocole de réponse et le notifiera au Responsable du traitement conformément à la clause 4.6 afin que celui-ci puisse se conformer à l'art. 33 RGPD (notification à l'autorité de contrôle dans un délai de 72 h le cas échéant).

9. Restitution ou effacement au terme du contrat

Au terme du service, et au choix du Responsable du traitement, elpizzero restituera ou effacera les données à caractère personnel traitées pour son compte, ainsi que les copies existantes, sauf obligation légale de conservation.

10. Responsabilité et droit applicable

Chaque partie répond du manquement à ses obligations conformément au RGPD et à la LO 3/2018 (LOPDGDD). Ce contrat est régi par le droit espagnol et le droit de l'UE.

L'acceptation de ce contrat est enregistrée avec la date, la version et l'IP lors de l'inscription ou de l'acceptation depuis le panneau. Dernière mise à jour : 2026-10-01.