Accord de traitement des données

[to confirm: projet] Projet du 23 octobre 2026, rédigé conformément à l’article 28 du règlement général sur la protection des données (RGPD). Avant publication, les points marqués [to confirm] seront complétés et le texte sera vérifié par un juriste. La version néerlandaise (verwerkersovereenkomst) fait foi ; cette traduction est fournie à titre informatif.

1. Parties et champ d’application

1. Le présent accord est conclu entre vous, le client professionnel de Mealbooks (responsable du traitement), et Sevenhills Software, entreprise individuelle (eenmanszaak) de Subhashini Sivasubramani, Saturnus 16, 1188 EC Amstelveen, Pays-Bas, KVK (registre du commerce néerlandais) 42162009 (sous-traitant, « nous »).
2. Il fait partie du contrat relatif à Mealbooks (conditions générales d’utilisation). Vous l’acceptez en même temps que les conditions lors de votre inscription, en cochant la case du formulaire d’inscription ; nous enregistrons quand et quelle version.
3. Il s’applique aux données personnelles que vous tenez dans Mealbooks sur d’autres personnes. Pour les données vous concernant en tant que client, nous sommes nous-mêmes responsable du traitement ; voir la politique de confidentialité. Si le présent accord et les conditions générales se contredisent en matière de protection des données, le présent accord prévaut.

2. Objet, nature, finalité et durée

1. Nous traitons des données personnelles pour votre compte uniquement afin de vous fournir Mealbooks : les enregistrer, les afficher à vos utilisateurs, établir des factures, des avoirs, des PDF, des fichiers de facture électronique et des impressions, envoyer les e-mails que vous faites envoyer par Mealbooks (comme les confirmations de commande et les rappels de paiement), rechercher les adresses de livraison si vous utilisez les Tournées (Route Planning), les sauvegardes et le support que vous demandez.
2. Le présent accord s’applique tant que vous utilisez Mealbooks et prend fin dès que toutes les données personnelles que nous traitons pour vous ont été supprimées (article 10).

3. Personnes concernées et données personnelles

Mealbooks n’est pas destiné aux catégories particulières de données personnelles (article 9 du RGPD), comme les données concernant la santé d’une personne. Vous ne les saisissez pas ; les allergènes sont enregistrés par plat, non par personne.

4. Vos instructions

1. Nous traitons les données uniquement sur vos instructions documentées : le présent accord, les conditions générales, l’utilisation de Mealbooks telle que vous l’avez configuré, et ce que vous nous demandez par écrit. Cela vaut aussi pour les transferts vers un pays tiers (article 7).
2. Nous n’utilisons pas les données à nos propres fins. Si nous estimons qu’une instruction enfreint le RGPD ou une autre réglementation relative à la protection des données, nous vous en informons immédiatement.
3. Sans instruction de votre part, nous ne traitons des données que si le droit de l’Union européenne ou le droit néerlandais l’exige ; nous vous en informons alors au préalable, sauf si ce droit l’interdit.

5. Confidentialité

Toute personne ayant accès aux données pour notre compte est soumise à une obligation de confidentialité. Aujourd’hui, il s’agit uniquement de la personne propriétaire de Sevenhills Software. Nous ne consultons vos données que si c’est nécessaire pour un support que vous demandez, pour la sécurité ou parce que la loi l’exige.

6. Sécurité (article 32 du RGPD)

Nous prenons des mesures techniques et organisationnelles appropriées, notamment :

• chaque entreprise ne voit que ses propres données ; accès uniquement après connexion ; mots de passe enregistrés uniquement sous forme de hachage irréversible ;
• blocage d’un compte après 5 mots de passe erronés, connexion facultative en deux étapes avec un code par e-mail, limitation du nombre de requêtes ;
• connexions chiffrées (HTTPS) et hébergement dans l’UE ou l’EEE ;
• une sauvegarde chaque nuit, effacée dans un délai de 30 jours ;
• photos téléversées réduites et débarrassées de leurs données cachées (comme la localisation) ;
• un enregistrement chaîné par entreprise de chaque facture émise, avoir, paiement et annulation de paiement ainsi que des clôtures mensuelles et annuelles : chaque entrée contient une empreinte SHA-256 de la précédente, de sorte qu’une modification ou suppression ultérieure apparaît lors de la vérification de la chaîne ; les factures émises, les avoirs et les paiements ne sont ni modifiés ni supprimés par la suite ;
• journalisation des événements de sécurité, et modifications du logiciel testées avant leur mise en production.

Nous réexaminons régulièrement ces mesures et pouvons les adapter, à condition que le niveau de sécurité ne diminue pas.

7. Sous-traitants ultérieurs et transferts

1. Vous donnez une autorisation écrite générale pour les sous-traitants ultérieurs suivants :

2. Mollie assure le paiement de votre propre abonnement en tant que responsable du traitement indépendant et ne reçoit aucune donnée de vos clients.
3. Nous vous informons par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez formuler une objection motivée dans ce délai ; si nous ne pouvons pas lever l’objection, vous pouvez mettre fin au contrat sans frais avant la modification.
4. Nous imposons par contrat à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données. Nous restons pleinement responsables envers vous de l’exécution de leurs obligations (article 28, paragraphe 4, du RGPD).
5. Les données personnelles ne sont transférées hors de l’Espace économique européen qu’avec une garantie prévue au chapitre V du RGPD (comme une décision d’adéquation ou des clauses contractuelles types).

8. Assistance

1. Demandes des personnes concernées : vous pouvez consulter, corriger, exporter (CSV) et supprimer vous-même la plupart des données dans Mealbooks. Lorsque ce n’est pas possible, nous vous aidons dans un délai raisonnable. Une demande que nous recevons directement vous est transmise sans que nous y répondions nous-mêmes. Les factures émises, les avoirs et les paiements ne peuvent être ni modifiés ni supprimés dans Mealbooks, et leur enregistrement chaîné (article 6) est conservé tant que votre compte existe ; le droit à l’effacement ne s’applique pas aux données que vous devez conserver en vertu de la loi (article 17, paragraphe 3, point b, du RGPD).
2. Nous vous aidons, compte tenu des informations dont nous disposons, pour la sécurité, les analyses d’impact relatives à la protection des données et la consultation préalable d’une autorité de contrôle (articles 32 à 36 du RGPD), et nous coopérons avec l’autorité de contrôle.
3. Nous tenons un registre des traitements que nous effectuons pour nos clients (article 30, paragraphe 2, du RGPD).

9. Violations de données à caractère personnel

1. Si nous découvrons une violation de données qui touche vos données, nous vous la notifions dans les meilleurs délais et au plus tard dans les 48 heures suivant sa découverte, par e-mail à l’adresse de votre compte.
2. Nous vous communiquons ce que nous savons et le complétons dès que nous en savons plus : ce qui s’est passé, quelles catégories et quel nombre approximatif de personnes concernées et d’enregistrements peuvent être touchés, les conséquences probables, et ce que nous avons fait et faisons encore.
3. Vous décidez si vous notifiez la violation à l’autorité de contrôle (dans les 72 heures, article 33 du RGPD) et aux personnes concernées ; nous vous aidons à le faire. Nous documentons chaque violation de données.

10. Fin du contrat : restitution et suppression

1. Lorsque votre compte est désactivé, vous pouvez télécharger toutes les données de votre entreprise avec Télécharger mes données pendant au moins 30 jours (50 au plus) avant leur suppression ; c’est ainsi que nous vous restituons les données.
2. Après ce délai, nous supprimons toutes les données personnelles que nous traitons pour vous, et les sauvegardes sont écrasées dans un délai de 30 jours. Nous ne conservons des données que si le droit de l’Union européenne ou le droit néerlandais l’exige ; les données relatives à vos clients n’en font pas partie.
3. Sur demande, nous confirmons la suppression par écrit.

11. Informations et audits

1. Nous mettons à votre disposition toutes les informations nécessaires pour démontrer que nous respectons l’article 28 du RGPD et le présent accord.
2. Vous pouvez faire réaliser un audit par un expert indépendant soumis à une obligation de confidentialité, au maximum une fois par an, moyennant un préavis d’au moins 30 jours, pendant les heures de bureau et sans accès aux données d’autres clients. Les frais sont à votre charge, sauf si l’audit révèle que nous avons gravement manqué au présent accord.

12. Responsabilité et dispositions diverses

1. Les limitations de responsabilité des conditions générales s’appliquent aussi au présent accord, sauf lorsque l’article 82 du RGPD ou une autre disposition impérative ne le permet pas. Elles ne limitent pas les droits des personnes concernées.
2. Le droit néerlandais s’applique ; les litiges sont portés devant le tribunal désigné dans les conditions générales.

Version 2026-10-26 (projet).