Annexe — protection des données
1. Rôles
Pour les données de ses clients et de ses salariés, le Restaurateur est responsable de traitement et Umiz son sous-traitant au sens de l'article 28 du règlement (UE) 2016/679 (RGPD) — et, lorsque la loi suisse s'applique, de l'article 9 de la loi fédérale sur la protection des données. Umiz est responsable de traitement pour ce qui relève de sa propre activité : gestion du contrat, facturation, assistance, sécurité de la plateforme, et tenue du compte qui permet à un client de s'identifier auprès des boutiques qui utilisent Umiz.
2. Description du traitement
Objet et finalités : fournir le service décrit aux conditions générales — prise et suivi de commandes, livraison et son suivi en direct, encaissement, fidélité et outils marketing, envoi d'emails au nom du Restaurateur, statistiques, et selon la formule gestion, planning, pointage, congés et contrôles d'hygiène.
Personnes concernées : clients et prospects du Restaurateur, membres de son équipe, livreurs, contacts de ses fournisseurs. Données : identité et coordonnées, adresses de livraison, contenu et historique des commandes, fidélité, avis, préférences de communication ; pour l'équipe : identité, poste, contrat, horaires, pointages, congés et absences, relevés d'hygiène ; pour les livreurs, leur position pendant une course, dont seule la dernière est conservée, jusqu'à la fin de la course. Le service n'est pas conçu pour recevoir des données sensibles ; le Restaurateur s'abstient d'en saisir.
Durée : celle du contrat, augmentée du délai de restitution prévu aux conditions générales. Les durées de conservation appliquées par défaut sont publiées sur umiz.online/confidentialite.
3. Instructions
Umiz ne traite les données que sur instruction documentée du Restaurateur. Le contrat, les réglages que le Restaurateur opère dans son espace et ses demandes écrites constituent ces instructions. Umiz l'informe si une instruction lui paraît contraire à la réglementation, et peut alors en suspendre l'exécution.
4. Confidentialité et sécurité
Les personnes autorisées à accéder aux données chez Umiz sont tenues à la confidentialité et n'y accèdent que pour l'exploitation du service et l'assistance. Umiz met en œuvre des mesures adaptées au risque : chiffrement des échanges, mots de passe hachés, cloisonnement des données entre établissements, stockage privé des fichiers, journal des opérations sensibles, limitation des tentatives d'accès, sauvegardes, et suppression des données à l'échéance de leur durée de conservation.
5. Sous-traitants ultérieurs
Le Restaurateur autorise de manière générale Umiz à recourir à des sous-traitants ultérieurs pour l'hébergement de l'application et des données, l'envoi des emails, l'acheminement des notifications, le calcul des itinéraires de livraison et l'affichage des cartes. Leur liste à jour est publiée sur umiz.online/confidentialite. Umiz leur impose des obligations équivalentes aux présentes et reste responsable de leur exécution.
Umiz informe le Restaurateur de tout ajout ou remplacement au moins trente jours à l'avance. Le Restaurateur peut s'y opposer pour un motif légitime ; à défaut de solution, il peut résilier le service concerné sans pénalité.
Le prestataire de paiement agit comme responsable de traitement distinct pour ses propres obligations. Le logiciel de caisse que le Restaurateur choisit de relier est son propre sous-traitant.
6. Transferts hors de l'Espace économique européen
Les données sont hébergées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur est établi hors de l'Espace économique européen ou de la Suisse, le transfert est encadré par une décision d'adéquation ou par les clauses contractuelles types de la Commission européenne.
7. Assistance
Umiz met à la disposition du Restaurateur les outils lui permettant de répondre aux demandes des personnes concernées (accès, rectification, effacement, opposition, portabilité) et l'assiste lorsque ces outils ne suffisent pas. Une demande reçue directement par Umiz et qui concerne le Restaurateur lui est transmise sans délai. Umiz l'assiste également pour ses analyses d'impact et ses échanges avec l'autorité de contrôle.
8. Violation de données
Umiz notifie au Restaurateur toute violation de données le concernant dans les meilleurs délais et au plus tard quarante-huit heures après en avoir eu connaissance, avec les informations dont elle dispose sur sa nature, les personnes et données touchées, ses conséquences probables et les mesures prises. La notification à l'autorité et aux personnes incombe au Restaurateur.
9. Sort des données
À la fin du contrat, et selon le choix du Restaurateur, Umiz restitue ou supprime les données dans le délai prévu aux conditions générales, et supprime les copies existantes à l'expiration du cycle de ses sauvegardes, sauf obligation légale de conservation.
10. Documentation et audit
Umiz tient un registre des traitements effectués pour le compte du Restaurateur et met à sa disposition, sur demande, les informations nécessaires pour démontrer le respect des présentes. Un audit peut être réalisé une fois par an, avec un préavis de trente jours, aux frais du Restaurateur, dans le respect de la confidentialité des autres clients d'Umiz.
11. Statistiques d'Umiz
Umiz peut produire, pour piloter et améliorer son service, des statistiques agrégées qui ne permettent d'identifier ni un client, ni un salarié.