Accord de sous-traitance (DPA)

Version du 19 octobre 2026.

Pourquoi cet accord

Le restaurant reste maître des données de son équipe et de ses clients. Mizen les traite seulement pour faire fonctionner l'application, sur ses instructions. Cet accord décrit nos engagements de sous-traitant au sens du RGPD. Il fait partie des conditions générales et s'applique dès l'ouverture du compte, sans signature séparée. Un exemplaire signé est fourni sur simple demande.

Préambule

Le présent accord est conclu entre Mizen, [raison sociale à compléter], [forme juridique et capital], [adresse du siège], [numéro SIREN] (ci-après « Mizen » ou « le Sous-traitant »), et le restaurant titulaire d'un compte Mizen (ci-après « le Client » ou « le Responsable de traitement »). Il précise, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée, les conditions dans lesquelles Mizen traite des données à caractère personnel pour le compte du Client. En cas de contradiction avec les conditions générales sur ce sujet, le présent accord prévaut.

1. Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens de l'article 4 du RGPD.

2. Rôles

2.1. Mizen est sous-traitant du Client pour les données que le Client et ses équipes saisissent ou font saisir dans l'application : équipe, planning, checklists, relevés, cahier de liaison, incidents, documents, coffre employé, inventaire, Click&collect et fidélité. Le présent accord régit ce seul périmètre.

2.2. Mizen est responsable de ses propres traitements liés au contrat (identité et coordonnées du titulaire du compte, facturation, support, sécurité de la plateforme), décrits dans la politique de confidentialité.

2.3. Assistants IA. Lorsqu'un propriétaire, un gérant ou un manager raccorde un assistant compatible MCP (par exemple Claude d'Anthropic), les réponses transmises à cet assistant le sont sur instruction du Client, sous les conditions de l'éditeur de l'assistant, avec lequel le Client contracte directement. Cet éditeur n'est pas un sous-traitant ultérieur de Mizen. Le coffre employé, le registre du personnel et la facturation ne lui sont jamais transmis.

3. Description du traitement

La nature, la finalité, la durée, les catégories de données et de personnes concernées sont décrites en annexe 1.

4. Obligations de Mizen

Mizen s'engage à :

• Suivre les instructions du Client. Traiter les données uniquement pour fournir l'application, sur instruction documentée du Client : le contrat, le présent accord et les réglages que le Client fait dans l'application. Si le droit de l'Union ou d'un État membre impose un autre traitement, Mizen en informe le Client au préalable, sauf interdiction légale.
• Alerter immédiatement le Client si une instruction lui paraît contraire au RGPD.
• Garantir la confidentialité. Les personnes autorisées à traiter les données sont tenues à la confidentialité et y accèdent selon le principe du moindre privilège. Le support n'entre dans le compte d'un Client que pour répondre à sa demande ou résoudre un incident, et chaque entrée est journalisée.
• Sécuriser les données par les mesures techniques et organisationnelles de l'annexe 2.
• Encadrer les sous-traitants ultérieurs selon l'article 5.
• Aider le Client à répondre aux personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition), notamment par les fonctions de l'application (fiche de la personne, export, archivage). Une demande reçue directement par Mizen est transmise au Client dans les meilleurs délais, sans y répondre lui-même sauf instruction contraire.
• Aider le Client à respecter ses obligations des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact, consultation préalable), selon les informations dont Mizen dispose.
• Notifier les violations de données au Client sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à sa propre notification à la CNIL et, le cas échéant, aux personnes concernées.
• Tenir un registre des catégories de traitements effectués pour le compte du Client (article 30.2 du RGPD).
• Démontrer sa conformité et permettre les audits dans les conditions de l'article 7.

5. Sous-traitants ultérieurs

5.1. Le Client autorise Mizen à recourir aux sous-traitants ultérieurs de l'annexe 3.

5.2. Mizen impose à chacun, par contrat, des obligations de protection des données équivalentes à celles du présent accord et reste pleinement responsable envers le Client de leur respect.

5.3. Tout ajout ou remplacement est annoncé par e-mail au titulaire du compte au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif légitime lié à la protection des données ; à défaut de solution, il peut résilier sans frais le service concerné avant la date du changement.

6. Localisation et transferts

6.1. L'application, la base de données et les fichiers sont hébergés en France, chez Hodi. Les échanges passent par le réseau de diffusion de Bunny, limité à ses serveurs situés dans l'Union européenne. Mizen ne déplace pas les données hors de l'Union européenne sans l'accord du Client.

6.2. Seul le paiement en ligne peut donner lieu à un transfert hors de l'Union européenne, par Stripe, encadré par les clauses contractuelles types de la Commission européenne et le cadre de protection des données UE et États-Unis (Data Privacy Framework).

7. Audits

7.1. Mizen fournit sur demande les informations et documents qui démontrent sa conformité, dont le présent accord, la description des mesures de sécurité et les engagements de ses sous-traitants ultérieurs.

7.2. Si ces informations ne suffisent pas, le Client peut faire réaliser un audit à ses frais, une fois par an au plus, avec un préavis de 30 jours, par un auditeur tenu à la confidentialité et non concurrent de Mizen, sans perturber le service ni compromettre la sécurité des autres clients. Un audit supplémentaire est possible après une violation avérée ou à la demande d'une autorité de contrôle.

8. Obligations du Client

Le Client dispose d'une base légale pour les traitements qu'il met en œuvre avec Mizen, informe ses salariés et ses clients, donne des instructions licites et ne saisit dans l'application que les données utiles. Il reste responsable de la licéité des données qu'il traite et des personnes à qui il ouvre l'accès à son compte.

9. Fin du contrat

9.1. Avant la fin du contrat, le Client peut récupérer ses données par les exports de l'application ou sur demande, dans un format courant (CSV, PDF ou fichiers d'origine).

9.2. Dans les 30 jours suivant la fin du contrat, Mizen supprime les données à caractère personnel du Client, sauf obligation légale de conservation. Les sauvegardes de l'hébergeur s'effacent ensuite d'elles-mêmes, dans un délai de 30 jours au plus. Une attestation de suppression est fournie sur demande.

10. Responsabilité

Mizen n'est responsable des dommages causés par un traitement que s'il n'a pas respecté les obligations du RGPD propres aux sous-traitants ou s'il a agi en dehors des instructions licites du Client. Les limitations de responsabilité des conditions générales s'appliquent au présent accord.

11. Durée

Le présent accord s'applique pendant toute la durée du traitement des données pour le compte du Client. L'obligation de confidentialité subsiste 12 mois après sa fin.

12. Droit applicable

Le présent accord est soumis au droit français. Après une tentative de règlement amiable, tout litige relève des tribunaux compétents du ressort du siège de Mizen.

13. Contact

Pour toute question sur cet accord ou pour signaler un incident de sécurité : bonjour@mizen.one, ou par courrier à [adresse du siège].

Annexe 1 : description du traitement

• Nature et finalité : hébergement, stockage, affichage et mise à disposition des données saisies dans l'application pour l'exploitation quotidienne du restaurant (checklists et HACCP, équipe et planning, cahier de liaison, incidents, documents, coffre employé, inventaire, Click&collect, fidélité), envoi des e-mails et notifications de l'application.
• Durée : durée du contrat, puis article 9.
• Personnes concernées : salariés et collaborateurs du Client, gérants et managers, clients du restaurant (commandes Click&collect, carte de fidélité), contacts des fournisseurs.
• Données : identité et coordonnées (prénom, nom, e-mail, téléphone), rôle et établissement, planning et pointages, actions dans l'application (qui, quand, valeurs saisies, photos, signatures), messages et incidents, documents et pièces du coffre employé déposés par le Client ou le salarié (dont pièce d'identité, RIB, attestation de sécurité sociale), commandes et historique de fidélité des clients du restaurant, données techniques de connexion (adresse IP, appareil).
• Données sensibles : l'application n'en demande pas. Le Client s'interdit d'y saisir des catégories particulières de données (article 9 du RGPD), notamment de santé, hors du coffre employé et des besoins prévus par le droit du travail.
• Opérations : collecte par saisie, enregistrement, consultation, modification, archivage, export, transmission aux destinataires choisis par le Client, sauvegarde et suppression.

Annexe 2 : mesures de sécurité

• Hébergement : centres de données de Hodi en France (accès physique contrôlé, alimentation et climatisation redondantes, détection incendie), sauvegardes quotidiennes chiffrées, supervision 24 h sur 24, selon l'accord de sous-traitance de Hodi.
• Cloisonnement : chaque restaurant ne voit que ses données, contrôle appliqué par la base de données elle-même (sécurité au niveau des lignes, forcée sur toutes les tables), pas seulement par le code.
• Chiffrement : échanges en HTTPS de bout en bout, pièces du coffre employé chiffrées par l'application avant leur écriture sur le disque, secrets (clés de paiement, mots de passe SMTP) chiffrés en base.
• Accès : connexion des gérants par lien ou code à usage unique envoyé par e-mail, sans mot de passe à voler ; employés par code personnel sur la tablette du restaurant ; droits par rôle ; limitation des tentatives ; le serveur refuse tout accès qui ne passe pas par le réseau de diffusion.
• Traçabilité : chaque action laisse une trace (qui, quand) ; rien n'est effacé en cours de contrat, les éléments retirés sont archivés.
• Exploitation : mises à jour régulières, déploiements contrôlés, accès du support journalisés, gestion des incidents avec notification au Client (article 4).

Annexe 3 : sous-traitants ultérieurs

• HODI SAS (Hodi), 14 rue Pasteur, 97400 Saint-Denis
  Rôle : Hébergement de l'application, de la base de données et des fichiers, sauvegardes, envoi des e-mails
  Données : France
  Immatriculation : SIREN 910 167 758
• BunnyWay d.o.o. (bunny.net), Slovénie
  Rôle : Réseau de diffusion : transit chiffré des échanges, cache des seuls fichiers publics (scripts, logos, photos de la carte), polices de la marque blanche
  Données : Union européenne (serveurs de l'UE seulement)
  Immatriculation : Matična št. 7297513000
• Stripe Payments Europe, Limited, Dublin, Irlande
  Rôle : Paiement en ligne (abonnement, Click&collect payé en ligne)
  Données : Union européenne, transferts vers les États-Unis encadrés (article 6.2)
  Immatriculation : Irlande, n° 513174

Quand le Client relie son propre compte Stripe pour encaisser le Click&collect, Stripe traite les paiements de ses clients selon le contrat que le Client a conclu directement avec Stripe.