Accord de sous-traitance des données
Mise à jour le 15 octobre 2026
Pilote Auto IA est en cours d'immatriculation. Les informations marquées « à compléter » seront ajoutées dès l'inscription de la société au registre du commerce.
Cet accord fait partie du contrat entre chaque restaurateur client (le « responsable de traitement ») et à compléter (Pilote Auto IA, le « sous-traitant »). Il fixe les engagements prévus par l'article 28 du règlement général sur la protection des données (RGPD) pour les données personnelles traitées dans le service.
1. Objet, durée et finalité
Le sous-traitant traite des données personnelles pour le compte du client, uniquement pour fournir le service décrit dans les conditions d'utilisation : lecture des rapports de caisse, clôtures, tableau de bord, alertes, feuille du comptable et outils reliés. L'accord s'applique pendant toute la durée du contrat.
2. Données et personnes concernées
| Personnes concernées | Données |
|---|---|
| Salariés du client | Prénom figurant dans les rapports de caisse (chiffre encaissé par serveur), prénom de la personne qui fait la clôture, e-mail et rôle des comptes invités |
| Équipe du client (agrégé) | Masse salariale et heures travaillées par établissement et par jour, issues de l'outil de planning relié — aucune donnée individuelle de paie |
| Auteurs d'avis publics | Nom ou pseudonyme public, note et texte des avis Google de l'établissement |
| Interlocuteurs du client | Données éventuellement présentes dans les documents que le client dépose (relevés, exports) |
3. Engagements du sous-traitant
- Ne traiter les données que sur instruction documentée du client (le contrat, ces conditions, les réglages du service), et le prévenir si une instruction lui paraît contraire au RGPD.
- Garantir la confidentialité : seules les personnes habilitées de Pilote Auto IA y accèdent, pour l'assistance et la maintenance, et sont tenues au secret.
- Mettre en œuvre les mesures de sécurité décrites ci-dessous et les maintenir à jour.
- N'utiliser les données à aucune autre fin : ni revente, ni publicité, ni constitution de fichiers.
- Aider le client à répondre aux demandes d'exercice des droits des personnes et, le cas échéant, aux analyses d'impact.
- Notifier au client toute violation de données le concernant dans les 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL.
- À la fin du contrat, restituer les données sur demande (exports), puis les supprimer, ainsi que leurs copies, dans les 3 mois.
- Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des vérifications raisonnables, à la charge du client, avec un préavis de 30 jours.
4. Sous-traitants ultérieurs
Le client autorise le recours aux prestataires suivants. Tout ajout ou remplacement lui est notifié au moins 30 jours à l'avance ; il peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais.
| Prestataire | Mission | Localisation et garanties |
|---|---|---|
| Vercel Inc. | Hébergement de l'application et du site | Serveurs en Europe (Dublin, Irlande) Société américaine : clauses contractuelles types de la Commission européenne et cadre de protection des données UE–États-Unis |
| Supabase Pte. Ltd. | Base de données, comptes et fichiers | Serveurs en Europe (Irlande) Accès possible depuis les États-Unis et Singapour pour l'assistance : clauses contractuelles types de la Commission européenne |
| O2switch SAS | Nom de domaine et boîtes e-mail (dont la réception des rapports Z) | Serveurs en France |
| Sendinblue SAS (Brevo) | Envoi des e-mails de service (invitations, mots de passe, demandes de démo) | Serveurs en Europe |
Les outils que le client relie lui-même (Skello, Google…) restent ses propres prestataires ; Pilote Auto IA se limite à y lire les données avec l'autorisation qu'il a donnée.
5. Mesures de sécurité
- Chiffrement des échanges (HTTPS) et des mots de passe ; clés des outils reliés dans un coffre-fort chiffré.
- Cloisonnement par client et par établissement appliqué par la base de données (règles d'accès par ligne).
- Accès par invitation personnelle, rôles distincts patron / serveur, retrait immédiat des accès.
- Hébergement des données en Europe (Irlande) ; journaux techniques pour détecter les accès anormaux.
6. Engagements du client
- Disposer d'une base légale pour les traitements confiés et informer les personnes concernées, notamment ses salariés.
- Ne déposer dans le service que les documents nécessaires à sa gestion.
- Désigner les personnes autorisées à accéder au service et tenir leurs accès à jour.