Version 1.0 — Dernière mise à jour : 3 mai 2026
Cet accord s'applique conformément à l'article 28 du RGPD (Règlement UE 2016/679) et est incorporé par référence aux Conditions Générales d'Utilisation.
Le présent Accord de Traitement de Données (ci-après « DPA ») est conclu entre le Client (ci-après « le Responsable de traitement ») et RestoGuardian SAS (ci-après « RestoGuardian » ou « le Sous-traitant »), dans le cadre de l'utilisation du Service RestoGuardian.
Ce DPA est incorporé par référence aux Conditions Générales d'Utilisation (CGU) et entre en vigueur à la date d'acceptation des CGU par le Client. Il complète et précise les obligations respectives des parties au regard du Règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée (loi Informatique et Libertés).
Dans le cadre de la fourniture du Service, RestoGuardian traite des données à caractère personnel pour le compte et selon les instructions du Client. Le Client agit en qualité de Responsable de traitement ; RestoGuardian agit en qualité de Sous-traitant au sens de l'article 28 du RGPD.
Dans le cadre du Service, RestoGuardian peut être amené à traiter les catégories de données suivantes pour le compte du Client :
RestoGuardian traite les données à caractère personnel pendant toute la durée du contrat liant les parties. À l'expiration ou à la résiliation du contrat, RestoGuardian supprime ou restitue toutes les données à caractère personnel, selon les modalités décrites à l'article 5.8.
RestoGuardian s'engage à ne traiter les données à caractère personnel que sur instruction documentée du Client, notamment en ce qui concerne les transferts de données vers un pays tiers. Les présentes CGU et le présent DPA constituent les instructions documentées du Client.
Si RestoGuardian est tenu de procéder à un traitement en vertu du droit de l'Union ou du droit d'un État membre auquel il est soumis, RestoGuardian en informe le Client avant d'effectuer le traitement, sauf si la loi interdit une telle information.
Si RestoGuardian estime qu'une instruction enfreint le RGPD ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données, il en informe immédiatement le Client.
RestoGuardian s'assure que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité.
RestoGuardian met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment :
Le Client autorise RestoGuardian à faire appel aux sous-traitants ultérieurs listés ci-dessous. RestoGuardian informe le Client de tout changement envisagé concernant l'ajout ou le remplacement de sous-traitants ultérieurs, en lui laissant la possibilité de s'y opposer.
RestoGuardian s'assure que chaque sous-traitant ultérieur présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.
Compte tenu de la nature du traitement, RestoGuardian aide le Client à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (droit d'accès, rectification, effacement, portabilité, limitation, opposition).
Pour toute demande reçue directement d'une personne concernée, RestoGuardian la redirige vers le Client sans délai.
RestoGuardian fournit au Client les outils permettant l'export des données d'un employé au format CSV/JSON sur demande.
RestoGuardian aide le Client à garantir le respect des obligations relatives à la sécurité des traitements (art. 32 RGPD), à la notification des violations (art. 33-34 RGPD) et aux analyses d'impact (art. 35-36 RGPD), compte tenu de la nature du traitement et des informations à la disposition de RestoGuardian.
RestoGuardian met à disposition du Client, sur demande écrite à privacy@restoguardian.io, les informations nécessaires pour démontrer le respect des obligations du présent article et permettre la réalisation d'audits ou d'inspections.
En cas de violation de données à caractère personnel, RestoGuardian en notifie le Client dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les 72 heures suivant la découverte de l'incident, sauf si la violation ne présente pas de risque pour les droits et libertés des personnes physiques.
La notification contient au minimum : la description de la violation (nature, catégories et nombre approximatif de personnes et d'enregistrements concernés), le nom et coordonnées du DPO ou point de contact, les conséquences probables, les mesures prises ou envisagées pour remédier à la violation.
À l'issue du contrat, RestoGuardian procède, au choix du Client formulé par écrit dans un délai de 30 jours suivant la fin du contrat, à la restitution ou à la destruction de toutes les données à caractère personnel traitées pour le compte du Client.
En l'absence d'instruction, les données sont supprimées définitivement 30 jours après la fin du contrat, sauf obligation légale de conservation contraire.
RestoGuardian fournit au Client une attestation de suppression sur demande.
RestoGuardian met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations du présent DPA et permettre la réalisation d'audits, y compris des inspections, par le Client ou un auditeur mandaté.
RestoGuardian s'engage à contribuer à ces audits dans des conditions raisonnables, sous réserve d'un préavis de 30 jours et que l'audit n'interfère pas de manière excessive avec les opérations de RestoGuardian.
Les coûts des audits sont à la charge du Client, sauf en cas de manquement avéré de RestoGuardian aux obligations du présent DPA.
En sa qualité de Responsable de traitement, le Client est seul responsable de la licéité de la collecte des données à caractère personnel transmises à RestoGuardian. Le Client s'engage notamment à :
RestoGuardian s'engage à ne pas transférer les données à caractère personnel en dehors de l'Espace Économique Européen (EEE) sans garanties appropriées.
Dans les cas où des sous-traitants ultérieurs établis hors EEE sont utilisés (notamment pour le routage d'emails ou la journalisation des erreurs), RestoGuardian s'assure que des garanties appropriées sont en place : décision d'adéquation de la Commission européenne, clauses contractuelles types (CCT) approuvées par la Commission (décision 2021/914/UE), ou autres mécanismes prévus par l'article 46 du RGPD.
La liste des transferts hors EEE et des mécanismes de garantie applicables est disponible sur demande à privacy@restoguardian.io.
Le présent DPA entre en vigueur à la date d'acceptation des CGU et reste en vigueur aussi longtemps que RestoGuardian traite des données à caractère personnel pour le compte du Client.
Le DPA prend fin automatiquement à la résiliation ou à l'expiration du contrat principal, sous réserve des obligations de suppression et de restitution des données prévues à l'article 3.8.
La responsabilité de chaque partie pour les dommages causés à des personnes physiques du fait d'un manquement au RGPD ou au présent DPA est régie par les articles 82 et suivants du RGPD ainsi que par les dispositions de limitation de responsabilité prévues aux CGU.
RestoGuardian ne peut être tenu responsable que des dommages causés par le traitement lorsqu'il n'a pas respecté les obligations du RGPD qui incombent spécifiquement aux sous-traitants ou lorsqu'il a agi en dehors des instructions licites du Client.
Pour toute question relative au présent DPA ou à la protection des données, le Client peut contacter RestoGuardian à l'adresse : privacy@restoguardian.io.
RestoGuardian SAS, France — En cas de désaccord persistant, les parties peuvent saisir la CNIL (Commission Nationale de l'Informatique et des Libertés) ou toute autorité de contrôle compétente.
Le présent DPA est soumis au droit français et au droit de l'Union européenne. Tout litige relatif à son interprétation ou à son exécution est soumis à la compétence exclusive des tribunaux de Paris, conformément à la clause attributive de juridiction prévue aux CGU.