Contrat de sous-traitance des données

Accord conclu en application de l’article 28 du Règlement (UE) 2016/679 (RGPD)

Dernière mise à jour du modèle : 20 juin 2026

Entre les soussignés

LE RESPONSABLE DE TRAITEMENT (« le Restaurant » ou « le Responsable de traitement ») :

• Dénomination : [À COMPLÉTER : raison sociale du restaurant client]
• Forme juridique : [À COMPLÉTER]
• Siège social : [À COMPLÉTER : adresse]
• SIRET : [À COMPLÉTER]
• Représenté par : [À COMPLÉTER : nom, prénom, qualité]

ET

LE SOUS-TRAITANT (« Sonu » ou « le Sous-traitant ») :

• Forme juridique et dénomination : [À COMPLÉTER : forme juridique + dénomination de l’éditeur de Sonu]
• Siège social : [À COMPLÉTER : adresse du siège social]
• SIRET : [À COMPLÉTER]
• Représenté par : [À COMPLÉTER : nom, prénom, qualité]
• Contact en matière de protection des données : contact@sonu.fr

Ci-après désignés ensemble « les Parties ».

Préambule

Le Restaurant utilise le service Sonu, un standard téléphonique intelligent qui, lorsqu’un client appelle le Restaurant, décroche automatiquement, propose un menu à touches (1 = réserver, 2 = horaires, 3 = laisser un message), envoie un SMS contenant un lien de réservation, gère une liste d’attente et envoie des rappels ainsi que des demandes d’avis Google.

Dans ce cadre, Sonu traite, pour le compte et sur instruction du Restaurant, des données à caractère personnel relatives aux clients finaux de ce dernier. Le Restaurant est le responsable de traitement de ces données ; Sonu en est le sous-traitant.

Le présent accord (« DPA ») a pour objet d’encadrer ce traitement conformément à l’article 28 du RGPD. Il complète les conditions générales du service Sonu, auxquelles il est annexé.

À noter : les données du compte du gérant lui-même (identité, e-mail, abonnement) ne relèvent pas du présent accord. Pour ces données, Sonu agit en qualité de responsable de traitement (voir la Politique de confidentialité).

Article 1 : Objet

Le présent accord définit les conditions dans lesquelles le Sous-traitant s’engage à effectuer, pour le compte du Responsable de traitement, les opérations de traitement de données à caractère personnel décrites à l’Annexe 1.

Article 2 : Durée

Le présent accord entre en vigueur à la date de souscription du Restaurant au service Sonu et demeure applicable pendant toute la durée du contrat de service. Il prend fin automatiquement à la cessation, pour quelque cause que ce soit, du contrat de service, sous réserve des obligations qui survivent à son terme (notamment l’article 11, sort des données).

Article 3 : Nature et finalité du traitement

Le traitement a pour nature : la collecte, l’enregistrement, l’organisation, la structuration, la conservation, la consultation, l’utilisation, la communication par transmission (envoi de SMS) et l’effacement des données.

Il a pour finalités : la prise de réservation automatisée, l’envoi de SMS (confirmation, rappel la veille, demande d’avis Google), la gestion de la liste d’attente, la production de statistiques d’usage pour le Restaurant et la génération du plan de salle.

Le détail figure à l’Annexe 1.

Article 4 : Catégories de personnes concernées et de données

Les personnes concernées sont les clients finaux (et appelants) du Restaurant.

Les catégories de données traitées sont décrites à l’Annexe 1. Elles incluent une catégorie particulière de données au sens de l’article 9 du RGPD : les informations relatives aux allergies / régimes alimentaires (données de santé), traitées avec une vigilance renforcée.

Article 5 : Obligations du Sous-traitant

Le Sous-traitant s’engage à :

5.1 Traiter les données sur instruction documentée

Traiter les données uniquement pour les finalités prévues au présent accord et sur instruction documentée du Responsable de traitement, y compris en matière de transfert de données vers un pays tiers, sauf obligation légale contraire. Dans ce dernier cas, le Sous-traitant informe le Responsable de cette obligation avant le traitement, sauf interdiction légale.

Si le Sous-traitant considère qu’une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données, il en informe immédiatement le Responsable.

5.2 Garantir la confidentialité

Veiller à ce que les personnes autorisées à traiter les données s’engagent à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et reçoivent la formation nécessaire en matière de protection des données.

5.3 Assurer la sécurité du traitement (art. 32 RGPD)

Mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, décrites à l’Annexe 3, conformément à l’article 32 du RGPD.

5.4 Recourir à des sous-traitants ultérieurs

Le Responsable autorise le Sous-traitant à recourir aux sous-traitants ultérieurs listés en Annexe 2 pour la réalisation du traitement.

Le Sous-traitant :

• impose à ces sous-traitants ultérieurs, par contrat, les mêmes obligations de protection des données que celles prévues au présent accord ;
• informe préalablement le Responsable de tout changement envisagé concernant l’ajout ou le remplacement d’un sous-traitant ultérieur, laissant ainsi au Responsable la possibilité d’émettre des objections dans un délai raisonnable ;
• demeure pleinement responsable, à l’égard du Responsable, du respect par ses sous-traitants ultérieurs de leurs obligations.

5.5 Assister le Responsable pour les droits des personnes

Aider le Responsable, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité). Si une demande est adressée directement au Sous-traitant, celui-ci la transmet dans les meilleurs délais au Responsable.

5.6 Assister le Responsable pour ses obligations de sécurité et de conformité

Aider le Responsable à garantir le respect de ses obligations relatives à la sécurité (art. 32), aux analyses d’impact (AIPD, art. 35) et à la consultation préalable de l’autorité de contrôle (art. 36), compte tenu de la nature du traitement et des informations à la disposition du Sous-traitant.

5.7 Notifier les violations de données sous 72 heures

Notifier au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance. Cette notification s’accompagne de toute documentation utile pour permettre au Responsable, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente.

La notification décrit au minimum : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées.

5.8 Mettre à disposition les informations et permettre les audits

Mettre à la disposition du Responsable toutes les informations nécessaires pour démontrer le respect des obligations de l’article 28 du RGPD et permettre la réalisation d’audits, y compris des inspections, par le Responsable ou un auditeur qu’il mandate, dans des conditions raisonnables (préavis, confidentialité, respect de la continuité de service).

5.9 Tenir un registre des activités de traitement

Tenir, conformément à l’article 30.2 du RGPD, un registre de toutes les catégories d’activités de traitement effectuées pour le compte du Responsable.

Article 6 : Obligations du Responsable de traitement

Le Responsable de traitement s’engage à :

• fournir au Sous-traitant les instructions documentées nécessaires au traitement ;
• veiller, en amont et pendant toute la durée du traitement, au respect des obligations prévues par le RGPD côté responsable (notamment la licéité du traitement, l’information des personnes concernées et le recueil des consentements requis, en particulier pour les SMS de demande d’avis et pour les données de santé) ;
• documenter par écrit toute instruction concernant le traitement des données.

Article 7 : Information des personnes concernées

Il incombe au Responsable de traitement (le Restaurant) de fournir aux personnes concernées, au moment de la collecte, l’information prévue aux articles 13 et 14 du RGPD, et de recueillir, le cas échéant, leur consentement (notamment pour le SMS de demande d’avis Google et pour les données relatives aux allergies).

Article 8 : Délégué à la protection des données

Chaque Partie communique à l’autre, le cas échéant, le nom et les coordonnées de son délégué à la protection des données (DPO) s’il en a désigné un. Le point de contact de Sonu en matière de protection des données est : contact@sonu.fr.

Article 9 : Sécurité (rappel art. 32)

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites à l’Annexe 3. Compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques pour les droits et libertés des personnes, ces mesures visent à garantir la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes.

Article 10 : Transferts hors Union européenne

Certains sous-traitants ultérieurs (Annexe 2) peuvent traiter des données hors de l’Union européenne, notamment aux États-Unis. Ces transferts sont encadrés par des garanties appropriées au sens du chapitre V du RGPD : Clauses Contractuelles Types (CCT) de la Commission européenne et, le cas échéant, Data Privacy Framework.

Article 11 : Sort des données en fin de contrat

Au terme de la prestation, et selon le choix du Responsable de traitement exprimé par écrit, le Sous-traitant s’engage à :

• restituer au Responsable toutes les données à caractère personnel dans un format réutilisable, ou
• supprimer toutes les données à caractère personnel,

puis à détruire les copies existantes, sauf obligation légale de conservation. À défaut de choix exprimé dans un délai de 30 jours après la fin du contrat, le Sous-traitant procède à la suppression des données.

En particulier, l’enregistrement vocal d’accueil est supprimé à la résiliation du contrat.

Article 12 : Responsabilité

Chaque Partie répond des dommages qu’elle cause du fait d’un manquement à ses obligations au titre du RGPD et du présent accord, dans les conditions prévues à l’article 82 du RGPD.

Article 13 : Droit applicable et juridiction

Le présent accord est régi par le droit français et soumis, en cas de litige, aux juridictions françaises compétentes, sous réserve des règles impératives applicables.

Annexe 1 : Description du traitement

Catégories de données traitées

Durées de conservation appliquées (à valider)

Annexe 2 : Liste des sous-traitants ultérieurs

Toute modification de cette liste (ajout ou remplacement d’un sous-traitant ultérieur) fait l’objet d’une information préalable du Responsable de traitement, qui peut formuler des objections (article 5.4).

Annexe 3 : Mesures de sécurité techniques et organisationnelles

Conformément à l’article 32 du RGPD, le Sous-traitant met en œuvre notamment les mesures suivantes :

Signatures

[À COMPLÉTER] : Bloc de signature à remplir et signer par les deux Parties avant le premier traitement.

Pour le Responsable de traitement (le Restaurant) :

• Date : [À COMPLÉTER]
• Lieu : [À COMPLÉTER]
• Nom et prénom du signataire : [À COMPLÉTER]
• Qualité : [À COMPLÉTER]
• Signature : ____________________

Pour le Sous-traitant (Sonu) :

• Date : [À COMPLÉTER]
• Lieu : [À COMPLÉTER]
• Nom et prénom du signataire : [À COMPLÉTER]
• Qualité : [À COMPLÉTER]
• Signature : ____________________

Document généré pour le projet Sonu. Les éléments marqués [À COMPLÉTER] ou (à valider) doivent être renseignés avant signature : voir le fichier À-COMPLÉTER.md (dossier de travail). Il est fortement recommandé de faire relire ce DPA par un juriste spécialisé en RGPD avant la signature du premier client.