Accord de traitement des données

1. Parties

Le Responsable du traitement(ci-après « le Client ») : le restaurateur ou l'entreprise titulaire d'un compte professionnel QOTSER, tel qu'identifié lors de l'inscription.

Le Sous-traitant: QOTSER (« QOTSER », « nous »), SAS en cours d'immatriculation, Paris, France. Contact juridique : legal@qotser.com.

2. Objet et durée

Le présent DPA encadre le traitement par QOTSER des données personnelles que le Client lui confie dans le cadre de l'exécution des CGU/CGV. Il forme un tout indissociable avec celles-ci.

Le DPA s'applique pendant toute la durée de l'abonnement du Client et prend fin automatiquement à la résiliation, sous réserve des obligations de restitution et de suppression prévues à l'article 10.

3. Nature et finalités du traitement

QOTSER traite les données personnelles du Client et de ses utilisateurs finaux (clients du restaurant) exclusivement pour les finalités suivantes :

• Fournir le service de menu digital, de prise de commandes et de gestion des tables.
• Gérer les réservations en ligne et envoyer les notifications associées.
• Héberger et afficher les avis clients avec l'approbation du Client.
• Opérer le programme de fidélité configuré par le Client.
• Générer des statistiques anonymisées ou agrégées pour améliorer le service.
• Fournir un support technique et transactionnel au Client.

Toute finalité supplémentaire nécessitera l'instruction préalable du Client ou une modification formelle du présent DPA.

4. Catégories de données et de personnes concernées

4.1 Clients du restaurant (utilisateurs finaux)

• Identifiants : nom, prénom, numéro de téléphone (optionnel), email (optionnel lors d'une réservation ou d'un compte client).
• Données de commande : contenu du panier, horodatage, table associée, note laissée au serveur, montant.
• Données de réservation : date, heure, nombre de convives, commentaires.
• Avis clients : note, commentaire, nom optionnel.
• Données de fidélité : points, historique d'achats si le programme est activé.
• Données techniques : adresse IP (tronquée après 24h), agent utilisateur.

4.2 Personnel du restaurant

• Compte restaurateur : email, nom, prénom, téléphone.
• Compte staff (invité) : email, rôle (chef, serveur, manager), horodatage d'activité.

QOTSER ne traite aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions politiques, orientation sexuelle, etc.) et interdit expressément au Client d'en introduire dans le service.

5. Obligations de QOTSER (sous-traitant)

QOTSER s'engage à :

• Ne traiter les données que sur instruction documentéedu Client, à l'exception des cas où une obligation légale de l'Union ou d'un État membre l'impose.
• Garantir la confidentialitédes données, notamment en s'assurant que les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité (contrat ou engagement).
• Mettre en œuvre des mesures techniques et organisationnelles appropriées (voir article 8).
• Assister le Clientdans la réponse aux demandes d'exercice de droits des personnes concernées (accès, rectification, effacement, portabilité, opposition).
• Aider le Clientà respecter ses obligations en matière de sécurité des traitements, d'analyses d'impact (AIPD) et de notifications d'incidents.
• Notifier toute violation de donnéesau Client dans un délai maximum de 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD.
• Mettre à disposition les informations nécessairespour démontrer le respect des obligations issues de l'article 28 du RGPD et permettre la réalisation d'audits sur demande raisonnable.

6. Accès administrateur et journalisation

Pour les besoins d'exploitation, de support technique et de lutte contre la fraude, un nombre restreint d'administrateurs QOTSER (« superadmins ») dispose d'un accès à une console interne (« Mission Control »). Cet accès :

• est strictement limité à un petit nombre d'employés ou contractants liés par un engagement de confidentialité ;
• permet uniquement la lecture de données agrégées, le débogage d'un incident, et si nécessaire l'usurpation temporaire (« impersonation ») via un lien magique à usage unique ;
• est intégralement journalisé dans une table audit_logs comprenant l'horodatage, l'identité de l'administrateur, l'action effectuée, la cible, et le diff avant/après ;
• peut faire l'objet d'une demande d'extract par le Client à legal@qotser.com pour consulter les accès administrateur le concernant ;
• n'est jamais utilisé à des fins commerciales, publicitaires ou de profilage.

Le tableau d'administration Mission Control applique par défaut un masquage partiel des PII (emails, téléphones) dans les listes, pour minimiser l'exposition des données personnelles aux superadmins.

7. Sous-traitants ultérieurs

QOTSER ne recourt à aucun sous-traitant ultérieur sans autorisation écrite préalable du Client, au sens de l'article 28 §2 du RGPD. Par la signature des CGU/CGV, le Client autorise de manière générale et spécifique les sous-traitants suivants :

QOTSER informera le Client de toute intention d'ajouter ou de remplacer un sous-traitant avec un préavis minimum de 30 jours, par email ou via une notification dans le dashboard. Le Client disposera d'un droit d'opposition motivée.

Les transferts hors Union européenne (Stripe, Railway, Anthropic, Flutterwave) sont couverts par les clauses contractuelles types (SCCs) de la Commission européenne, ou par une décision d'adéquation lorsque disponible (par exemple, EU–US Data Privacy Framework pour Anthropic).

8. Mesures techniques et organisationnelles

QOTSER met en œuvre les mesures suivantes, au sens de l'article 32 du RGPD :

• Chiffrement : TLS 1.2+ pour tous les transports, chiffrement at-rest via AWS / Supabase.
• Contrôle d'accès: authentification Supabase JWT, sessions cookies httpOnly, Row-Level Security (RLS) activé sur toutes les tables Postgres, scope RLS basé sur l'utilisateur.
• Principe du moindre privilège: les rôles staff sont distincts des rôles owner, et les superadmins ne sont qu'une poignée.
• Journalisation : table audit_logs pour toute action administrative, conservation 18 mois minimum.
• Ségrégation des environnements : production, preview, développement séparés, clés distinctes.
• Sauvegardes : backups automatiques quotidiens Supabase, rétention 7 jours minimum, point-in-time recovery pour les comptes payants.
• Minimisation : collecte limitée au strict nécessaire pour le service. Les numéros de téléphone et emails sont optionnels pour la plupart des fonctions clientes.
• Sécurité applicative : CSP headers, rate-limiting sur les endpoints sensibles, tests réguliers via les outils Supabase advisors.

9. Notification de violation

En cas de violation de données personnelles (perte, accès non autorisé, altération, divulgation), QOTSER s'engage à notifier le Client dans un délai maximum de 72 heures après en avoir pris connaissance, par email à l'adresse de contact du compte, avec a minima :

• la description de la nature de la violation ;
• les catégories de données et de personnes concernées ;
• les mesures prises ou envisagées pour atténuer les conséquences ;
• les coordonnées du point de contact pour plus d'informations.

10. Fin du traitement

À la fin de la prestation (résiliation, expiration) :

• Le Client peut exporter ses données via le dashboard pendant 30 jours après la résiliation.
• Passé ce délai de 30 jours, QOTSER procède à l'anonymisation ou à la suppression de l'ensemble des données personnelles confiées, sauf obligation légale de conservation (comptabilité, litiges en cours).
• Les sauvegardes résiduelles expirent automatiquement selon le cycle de rétention des sous-traitants (7 jours Supabase).
• Les journaux d'audit (audit_logs) peuvent être conservés jusqu'à 5 ans pour des raisons probatoires et de conformité.

Sur demande écrite du Client adressée à legal@qotser.com, une attestation de suppression sera délivrée.

11. Audits

Le Client peut demander un audit de conformité au présent DPA, au maximum une fois par an et avec un préavis minimum de 30 jours. L'audit se fera sous la forme d'un questionnaire écrit ou, si nécessaire, d'une réunion à distance. Un audit sur site peut être envisagé en cas de circonstances exceptionnelles, aux frais du Client et sans perturber les opérations.

QOTSER partagera volontiers les rapports d'audit des sous-traitants critiques (SOC 2 Supabase, PCI-DSS Stripe, etc.) quand ils sont disponibles.

12. Droit applicable et litiges

Le présent DPA est régi par le droit français et, pour ce qui concerne la protection des données, par le Règlement (UE) 2016/679 (RGPD). Tout litige relatif à son interprétation ou à son exécution sera soumis à la compétence exclusive des tribunaux de Paris.