Accord de traitement des données (DPA)

Annexe aux Conditions générales pour les Établissements – Version 1.0, valable dès le 14 octobre 2026

Parties

Megaphone Software AG, IDE CHE-168.400.471, Rue des Sablons 6, 3960 Sierre, Suisse (« tastee » ou le « Sous-traitant »)

et

l'entreprise qui souscrit un abonnement tastee, telle qu'identifiée dans son compte (l'« Établissement » ou le « Responsable du traitement »),

ensemble les « Parties ».

1. Préambule et conclusion

1.1 Les Parties sont liées par les Conditions générales pour les Établissements (les « CG »). Le présent accord de traitement des données (« DPA ») en fait partie intégrante.

1.2 Dans le cadre des CG, tastee traite des Données personnelles pour le compte de l'Établissement. tastee agit en tant que sous-traitant au sens de l'art. 9 de la loi fédérale sur la protection des données (LPD) et, si applicable, de l'art. 28 du Règlement général sur la protection des données (RGPD). L'Établissement est responsable du traitement et reste en tout temps responsable de la conformité des traitements à la Réglementation applicable.

1.3 Le DPA est conclu en ligne, en même temps que les CG, lorsque l'Établissement les accepte lors de son inscription. Il n'a pas besoin d'être signé séparément.

1.4 Les termes en majuscules sont définis à l'Annexe 1 ou, à défaut, dans les CG.

2. Objet

2.1 Le DPA s'applique à tout traitement de Données personnelles que tastee effectue pour le compte de l'Établissement, dès le premier accès de tastee à ces données.

2.2 L'Annexe 2 décrit les traitements confiés : personnes concernées, catégories de données, nature, finalités et durée de conservation.

2.3 Le DPA ne s'applique pas aux traitements que tastee effectue en tant que responsable du traitement, notamment la gestion des comptes Utilisateurs de l'App, la relation commerciale avec l'Établissement et la facturation. Ces traitements sont décrits dans la Déclaration de protection des données de tastee.

3. Obligations de tastee

3.1 Instructions

3.1.1 tastee traite les Données personnelles exclusivement selon les instructions de l'Établissement, le présent DPA et la loi. Les instructions sont données par les CG, le DPA et les paramétrages que l'Établissement effectue dans le Backend ; d'autres instructions doivent être données par écrit.

3.1.2 Si tastee estime qu'une instruction enfreint la loi, elle en informe immédiatement l'Établissement. tastee n'est pas tenue de vérifier systématiquement la licéité des traitements décidés par l'Établissement.

3.1.3 tastee applique les principes de protection des données dès la conception et par défaut. L'exécution du DPA est comprise dans le prix de l'abonnement.

3.2 Confidentialité

3.2.1 tastee traite les Données personnelles de manière strictement confidentielle et ne les utilise à aucune fin propre. Elle ne les vend pas et ne les communique à aucun tiers, sous réserve des sous-traitants ultérieurs (art. 4).

3.2.2 tastee limite l'accès aux Données personnelles aux seules personnes qui en ont besoin et s'assure qu'elles sont tenues à la confidentialité.

3.2.3 Si la loi oblige tastee à communiquer des Données personnelles à une autorité, elle limite la communication au strict nécessaire et, dans la mesure où la loi le permet, en informe préalablement l'Établissement.

3.3 Sécurité

3.3.1 Avant tout traitement, tastee met en œuvre des mesures techniques et organisationnelles appropriées pour garantir la confidentialité, l'intégrité, la disponibilité et la traçabilité des Données personnelles.

3.3.2 Ces mesures sont décrites à l'Annexe 4 (MTO). tastee les teste, les évalue et les met à jour régulièrement. Elle peut les adapter à l'évolution technique, à condition de ne pas réduire le niveau de sécurité.

3.4 Registre des activités de traitement

tastee tient un registre des activités de traitement qu'elle effectue pour le compte de ses clients, contenant au minimum les informations de l'Annexe 5.

3.5 Violation de la sécurité des données

En cas de violation de la sécurité des Données personnelles, y compris chez un sous-traitant ultérieur, tastee informe l'Établissement sans délai dès qu'elle en a connaissance et procède selon l'Annexe 6. Il appartient à l'Établissement, en tant que responsable du traitement, d'annoncer la violation au Préposé fédéral à la protection des données et à la transparence (PFPDT) et d'informer les personnes concernées lorsque la loi l'exige.

3.6 Assistance

tastee assiste l'Établissement, dans une mesure raisonnable, pour respecter ses obligations légales, notamment en matière de sécurité, d'annonce des violations, d'analyse d'impact et de réponse aux demandes des personnes concernées.

3.7 Suppression et restitution

3.7.1 À la fin des CG, sur demande de l'Établissement ou lorsque la loi l'exige, tastee, au plus tard dans un délai de 30 jours :

• supprime les Données personnelles de manière sécurisée, y compris toutes les copies et sauvegardes et celles détenues par ses sous-traitants ultérieurs, ou, si l'Établissement le demande, les lui restitue dans un format usuel ;
• remet à l'Établissement, sur demande, une attestation écrite de suppression.

3.7.2 Pendant la durée des CG, l'Établissement peut exporter ses données au moyen des fonctions prévues dans le Backend.

3.7.3 Si tastee est légalement tenue de conserver certaines données, elle en informe l'Établissement, en garantit la confidentialité et la sécurité et ne les traite qu'à cette seule fin.

3.8 Contact

La personne de contact de tastee pour toutes les questions de protection des données est joignable à hi@tastee.app.

4. Sous-traitants ultérieurs

4.1 L'Établissement autorise de manière générale tastee à faire appel aux sous-traitants ultérieurs listés à l'Annexe 3.

4.2 L'Établissement accorde à tastee l'autorisation générale de faire appel à d'autres sous-traitants ultérieurs ou de remplacer des sous-traitants ultérieurs existants, pour autant que les conditions de l'art. 4.3 soient remplies. tastee tient à jour la liste actuelle sur la page Sous-traitants.

4.3 Pour tout sous-traitant ultérieur, tastee :

• s'assure au préalable qu'il offre des garanties suffisantes et un niveau de protection des données équivalent à celui du DPA ;
• lui impose par contrat écrit les obligations du DPA, et en particulier qu'il ne traite les données que pour les besoins du Service et ne recoure lui-même à d'autres sous-traitants qu'avec des garanties équivalentes ;
• fournit à l'Établissement, sur demande, les informations utiles sur ces contrats ;
• met en place, en cas de transfert à l'étranger, les garanties prévues à l'art. 5.

4.4 tastee reste responsable envers l'Établissement du respect des obligations qu'elle confie à ses sous-traitants ultérieurs.

5. Transferts à l'étranger

5.1 tastee traite les Données personnelles principalement en Suisse.

5.2 Pour certaines fonctions spécifiques de l'App (notifications push, SMS, e-mails), tastee fait appel à des sous-traitants ultérieurs qui traitent des données ciblées dans l'Union européenne ou aux États-Unis (Annexe 3).

5.3 Ces transferts n'ont lieu que vers des États offrant un niveau de protection adéquat selon le Conseil fédéral, ou moyennant des garanties appropriées, notamment les clauses contractuelles types de la Commission européenne reconnues par le PFPDT ou la certification du destinataire au Swiss-U.S. Data Privacy Framework.

6. Audit

6.1 tastee met à disposition de l'Établissement, sur demande, les informations nécessaires pour démontrer le respect du DPA, notamment la description à jour de ses MTO.

6.2 Si ces informations ne suffisent pas, l'Établissement, ou un auditeur indépendant tenu à la confidentialité qu'il mandate, peut vérifier le respect du DPA chez tastee. L'Établissement :

• annonce l'audit par écrit au moins 30 jours à l'avance ;
• limite l'audit à un par année, sauf en cas de violation de la sécurité des données ou de demande d'une autorité ;
• le réalise pendant les heures de bureau, en limitant au maximum la perturbation des activités de tastee et sans accès aux données d'autres clients.

6.3 Les frais de l'audit sont à la charge de l'Établissement, sauf si l'audit révèle une violation importante du DPA par tastee.

7. Droits des personnes concernées et demandes d'autorités

7.1 L'Établissement répond aux demandes des personnes concernées (accès, rectification, effacement, etc.) et des autorités de protection des données (les « Requêtes »).

7.2 tastee :

• transmet sans délai à l'Établissement toute Requête qu'elle reçoit ;
• ne répond pas elle-même à une Requête sans l'accord de l'Établissement, sauf obligation légale ;
• coopère avec l'Établissement et met à sa disposition, dans le Backend ou sur demande, les moyens de répondre rapidement et complètement aux Requêtes.

8. Obligations de l'Établissement

L'Établissement :

• garantit la licéité des traitements qu'il confie à tastee, notamment l'information de ses Hôtes et collaborateurs et, le cas échéant, l'obtention de leur consentement ;
• ne transmet à tastee que les Données personnelles nécessaires au Service et s'abstient d'y enregistrer des données sensibles (p. ex. données de santé dans les remarques de réservation) au-delà de ce que le Service prévoit ;
• protège ses accès au Backend et informe tastee sans délai de toute anomalie ou violation supposée.

9. Responsabilité

9.1 Chaque Partie répond du respect de ses obligations au titre du DPA et de la loi. tastee répond des traitements qu'elle effectue elle-même ou par ses sous-traitants ultérieurs.

9.2 La responsabilité de tastee est limitée conformément à l'art. 18 des CG, notamment l'exclusion des dommages indirects et la limitation au montant payé par l'Établissement au cours des 12 derniers mois. Les cas où la loi interdit impérativement de limiter la responsabilité demeurent réservés.

10. Durée et résiliation

10.1 Le DPA s'applique pendant toute la durée des CG et prend fin automatiquement avec elles.

10.2 Les obligations de tastee continuent toutefois de s'appliquer tant qu'elle ou un sous-traitant ultérieur détient des Données personnelles de l'Établissement. L'obligation de confidentialité (art. 3.2) s'applique sans limite de durée.

10.3 En cas de violation grave du DPA par tastee qui n'est pas corrigée dans les 10 jours suivant une mise en demeure, l'Établissement peut résilier les CG avec effet immédiat (art. 7.6 des CG).

11. Dispositions finales

11.1 Priorité : en cas de contradiction, l'ordre de priorité est le suivant : (1) les clauses contractuelles types, si elles s'appliquent ; (2) le DPA ; (3) les CG.

11.2 Modifications : tastee peut adapter le DPA selon la procédure de modification des CG (art. 7.7 des CG), notamment pour tenir compte d'une évolution de la loi. Une modification ne peut pas réduire le niveau de protection des données.

11.3 Forme : la forme écrite comprend la forme électronique, notamment l'e-mail.

11.4 Nullité partielle : la nullité d'une disposition n'affecte pas la validité des autres. Elle est remplacée par une disposition valable qui se rapproche le plus de son but.

11.5 Droit applicable et for : le DPA est soumis au même droit et au même for que les CG.

Annexe 1 – Définitions

• Données personnelles : toute information concernant une personne physique identifiée ou identifiable, au sens de la Réglementation applicable.
• Données sensibles : les données personnelles sensibles au sens de l'art. 5 let. c LPD, notamment les données sur la santé.
• Hôtes : les clients de l'Établissement qui utilisent l'App, avec ou sans compte.
• Personne concernée : toute personne physique dont les Données personnelles sont traitées.
• Réglementation applicable : la LPD, son ordonnance (OPDo) et, dans la mesure où il s'applique, le RGPD.
• Traitement : toute opération relative à des Données personnelles, quels que soient les moyens utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement et la destruction.
• App, Backend, Modules, Service : ont le sens que leur donnent les CG.

Annexe 2 – Description du traitement

Personnes concernées

• Hôtes de l'Établissement (avec ou sans compte tastee)
• Collaborateurs de l'Établissement disposant d'un accès au Backend

Catégories de données

• Données d'identification et de contact : prénom, nom, numéro de téléphone, adresse e-mail
• Données de réservation (book) : date, heure, nombre de personnes, présence d'enfants, zone souhaitée, remarques
• Données de commande (order, pick up) : contenu de la commande, numéro de table ou code de retrait, statut, date et heure
• Données de paiement (pay) : montant, pourboire, référence et statut de la transaction. Les données de carte sont traitées exclusivement par le prestataire de paiement ; tastee n'y a pas accès.
• Données d'utilisation et d'accès : adresse IP, date et heure d'accès, métadonnées techniques, journaux d'accès au Backend

Données sensibles

Aucune, sous réserve d'informations qu'un Hôte communiquerait spontanément, par exemple une allergie mentionnée dans une remarque de réservation. Ces informations sont traitées uniquement pour permettre à l'Établissement d'en tenir compte.

Nature et fréquence du traitement

Traitement continu, à chaque réservation, commande ou paiement effectué par un Hôte via l'App, ainsi qu'à chaque utilisation du Backend : collecte, enregistrement, hébergement, affichage dans le Backend, transmission à l'Établissement, envoi de confirmations et de notifications, export et suppression.

Finalités

Permettre à l'Établissement de recevoir et gérer les réservations de tables, les commandes à table et à emporter et les paiements, de communiquer avec ses Hôtes au sujet de leurs réservations et commandes, et de consulter ses statistiques.

Durée de conservation

• Réservations et commandes : au plus 24 mois après la visite ou la commande, ou moins sur instruction de l'Établissement, puis suppression ou anonymisation automatique
• Journaux d'accès et d'activité : 12 mois
• À la fin des CG : suppression ou restitution dans les 30 jours (art. 3.7)
• Les pièces comptables liées aux paiements sont conservées 10 ans selon les obligations légales.

Annexe 3 – Sous-traitants ultérieurs

La liste à jour est également publiée sur notre page Sous-traitants.

CCT : clauses contractuelles types · DPF : Data Privacy Framework.

Pour l'encaissement des paiements, l'Établissement conclut en outre son propre contrat avec Worldline (art. 9.1 des CG). Dans ce cadre, Worldline agit sous sa propre responsabilité et selon ses propres conditions.

Annexe 4 – Mesures techniques et organisationnelles (MTO)

La description détaillée figure sur notre page Mesures techniques et organisationnelles.

Mesures techniques

• Contrôle des accès : authentification à deux facteurs pour l'accès aux systèmes de production ; accès basés sur les rôles selon le principe du moindre privilège ; accès aux serveurs et bases de données réservé aux personnes autorisées, avec mots de passe robustes et 2FA.
• Chiffrement : données chiffrées lors du transfert (TLS) et au repos (AES-256).
• Sécurité des réseaux et des systèmes : pare-feu et système de détection d'intrusion ; protection contre les attaques DDoS ; mises à jour de sécurité régulières.
• Journalisation et surveillance : enregistrement automatique des accès et des actions pertinentes, vérifiés régulièrement ; détection automatique des activités suspectes avec alertes ; conservation sécurisée des journaux pendant 12 mois.
• Sauvegardes : sauvegardes régulières, testées et stockées de manière sécurisée sur plusieurs sites géographiquement distincts.
• Gestion des vulnérabilités : contrôle de sécurité des nouvelles fonctionnalités et modifications avant leur mise en production.

Mesures organisationnelles

• Directive interne sur la protection des données applicable à l'ensemble de l'entreprise.
• Formation régulière des collaborateurs : protection des données, sécurité des mots de passe, traitement sécurisé des informations, détection du phishing.
• Restriction des accès selon des rôles et responsabilités définis et documentés.
• Registre des activités de traitement précisant la nature, la finalité, les catégories de données et les droits d'accès.
• Sous-traitants ultérieurs tenus par un accord de traitement des données de respecter les mêmes exigences que tastee.

Annexe 5 – Contenu du registre des activités de traitement

• l'identité et les coordonnées de tastee et de l'Établissement ;
• les catégories de traitements effectués pour le compte de l'Établissement ;
• les catégories de Données personnelles traitées, quand et par qui ;
• les destinataires, y compris à l'étranger, et les garanties de transfert ;
• une description générale des mesures de sécurité (Annexe 4).

Annexe 6 – Violation de la sécurité des données

En cas de violation de la sécurité des Données personnelles, tastee :

• informe l'Établissement dès qu'elle en a connaissance et lui indique une personne de contact ;
• ouvre immédiatement une enquête pour en identifier les causes et les circonstances ;
• prend toutes les mesures nécessaires pour contenir la violation et en limiter les effets ;
• remet dès que possible à l'Établissement un rapport écrit indiquant :
• la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, le moment et la durée de la violation ;
• les conséquences possibles ;
• les mesures prises ou envisagées pour y remédier ;
• conserve les preuves et documente toutes les mesures prises ;
• coopère pleinement à toute enquête de l'Établissement ou d'une autorité.