Accord de sous-traitance (DPA)

Version du 13 octobre 2026.

Cet accord est annexé aux conditions générales de vente (« CGV ») et fait partie du contrat entre le Client et SUPPLEMENT BACON, éditeur de Kitchen (« Kitchen »). Il met en œuvre l'article 28 du règlement (UE) 2016/679 (RGPD). Il est publié sur le centre juridique https://legal.kitchen-app.io, à une adresse fixe, et chaque version à une adresse datée.

1. Parties et rôles#

• Le Client est le groupe hôtelier ou de restauration qui souscrit à Kitchen. Il est responsable de traitement des données de ses collaborateurs et des utilisateurs de son back-office.
• Kitchen est sous-traitant : il traite ces données pour le compte du Client et sur ses instructions.
• Kitchen est responsable de traitement, et non sous-traitant, des données qu'il traite pour son propre compte : le compte client et la facturation, le support, les statistiques d'usage du produit, la sécurité de la plateforme et le journal interne des accès de son équipe. La politique de confidentialité décrit ces traitements.

2. Objet et durée#

Kitchen traite des données personnelles pour le compte du Client, uniquement pour fournir le service décrit dans les CGV et en annexe 1. L'accord s'applique pendant toute la durée du contrat, puis jusqu'à la suppression des données prévue à l'article 12.

3. Instructions du Client#

• Kitchen traite les données seulement sur instruction documentée du Client. Les CGV, cet accord et les réglages faits par le Client dans le back-office constituent ces instructions.
• Si une instruction lui paraît contraire au RGPD, Kitchen en informe le Client immédiatement.
• Si le droit de l'Union européenne ou d'un État membre oblige Kitchen à un traitement non prévu, Kitchen en informe le Client avant de le faire, sauf si ce droit l'interdit.

4. Obligations du Client#

Le Client :

• définit la base légale de chaque traitement et informe ses collaborateurs et les utilisateurs de son back-office (il peut reprendre la section 2 de la politique de confidentialité) ;
• informe et, le cas échéant, consulte son comité social et économique (CSE) avant de déployer Kitchen, qui permet de suivre l'activité des collaborateurs sur les formations ;
• ne verse dans Kitchen aucune donnée sensible (art. 9 RGPD) ni aucune donnée relative à des condamnations ou infractions (art. 10 RGPD) ;
• choisit la durée de conservation des données des collaborateurs partis (13 mois par défaut, modifiable par Kitchen à la demande du Client) ;
• répond aux demandes d'exercice de droits de ses collaborateurs et des utilisateurs de son back-office ;
• reste seul responsable des outils qu'il choisit de connecter à Kitchen : son annuaire Microsoft Entra ID (option de connexion unique et de provisionnement SCIM des comptes du back-office) et, une fois disponible, son logiciel de paie (par exemple Silae). Ces outils ne sont pas des sous-traitants de Kitchen.

5. Obligations de Kitchen#

Kitchen :

• traite les données uniquement pour les finalités de l'annexe 1 ;
• ne vend pas les données, ne les utilise pas pour ses propres besoins et ne les fait pas utiliser pour entraîner un modèle d'intelligence artificielle ;
• isole les données du Client de celles des autres clients (annexe 2) ;
• tient le registre des traitements qu'il effectue en tant que sous-traitant (art. 30.2 RGPD) ;
• informe le Client de toute demande d'une autorité portant sur ses données, sauf si la loi l'interdit.

6. Confidentialité et accès de l'équipe Kitchen#

• Les personnes de Kitchen autorisées à traiter les données sont tenues à la confidentialité.
• L'équipe Kitchen n'a aucun compte dans l'espace du Client. Pour le support, un membre de l'équipe peut ouvrir un accès en lecture seule à un groupe à la fois, pour 12 heures au plus, après une double authentification obligatoire (code TOTP). Aucun motif n'est enregistré. Chaque accès est inscrit dans un journal interne à Kitchen (membre de l'équipe, groupe, début et fin). Ce journal n'est pas encore consultable par le Client ; il est conservé jusqu'à la suppression des données du groupe.

7. Sécurité#

Kitchen met en œuvre les mesures de l'annexe 2 (art. 32 RGPD). Il peut les faire évoluer, sans en réduire le niveau.

8. Sous-traitants ultérieurs#

• Le Client autorise de façon générale Kitchen à faire appel aux sous-traitants ultérieurs de l'annexe 3.
• Kitchen prévient le Client par e-mail au moins 30 jours avant tout ajout ou remplacement d'un sous-traitant ultérieur. Le Client peut s'y opposer pendant ce délai, par écrit et pour un motif lié à la protection des données. Les parties cherchent alors une solution. À défaut, le Client peut résilier le contrat sans frais avant l'entrée en fonction du nouveau sous-traitant.
• Kitchen impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles de cet accord, et reste responsable envers le Client de leur respect.
• La liste à jour figure aussi sur la page sous-traitants.

9. Transferts hors de l'Union européenne#

Les données principales sont hébergées dans l'Union européenne (Paris). Certains sous-traitants ultérieurs sont établis hors de l'Union européenne ou y traitent des données (annexe 3). Chaque transfert est encadré, selon le prestataire, par une décision d'adéquation (Data Privacy Framework UE–États-Unis pour un prestataire certifié, Royaume-Uni) ou par les clauses contractuelles types de la Commission européenne (décision 2021/914). La garantie de chaque prestataire est indiquée en annexe 3.

10. Aide au Client#

Kitchen aide le Client, dans la mesure du possible :

• à répondre aux demandes d'exercice de droits. Le back-office permet au Client de consulter, modifier et désactiver un collaborateur ; un collaborateur désactivé est anonymisé automatiquement à la fin de la durée de conservation. Un collaborateur peut demander la suppression de son compte depuis l'application : Kitchen enregistre la demande et la traite en lien avec le Client. Kitchen transmet au Client, sans délai, toute autre demande reçue directement d'une personne concernée ;
• à réaliser une analyse d'impact (AIPD) et, si nécessaire, à consulter la CNIL, en fournissant les informations utiles sur le service ;
• à remplir ses obligations de sécurité et de notification des violations (article 11).

11. Violation de données#

• Kitchen notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance.
• La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées. Kitchen complète ces informations dès qu'il les obtient.
• Le Client reste chargé de notifier la CNIL et, le cas échéant, les personnes concernées.

12. Fin du contrat : restitution et suppression#

• La résiliation prend effet à la fin du mois civil en cours. Kitchen désactive alors le groupe du Client : plus aucun membre n'y accède.
• Restitution : sur demande du Client, faite avant la suppression définitive, Kitchen lui remet un export de ses données en trois fichiers CSV : les collaborateurs, les formations et les statistiques de suivi des formations. Les médias (images, vidéos, sons, documents) et les actualités ne font pas partie de l'export.
• Suppression : les données du groupe sont supprimées définitivement 7 jours après sa désactivation, dans la base de données, le stockage des fichiers et chez les sous-traitants ultérieurs concernés (vidéos et sons chez Mux, notamment). Jusqu'à cette date, le groupe peut être réactivé. Les comptes des personnes qui n'appartiennent à aucun autre groupe sont supprimés en même temps.
• Les sauvegardes de la base de données sont quotidiennes et conservées 7 jours : les données supprimées en disparaissent au plus tard 7 jours après leur suppression.
• Kitchen conserve un journal du cycle de vie du groupe (nom du groupe, étapes, identifiants des membres de l'équipe Kitchen), sans donnée des collaborateurs. Les factures restent conservées par Stripe pendant la durée légale de conservation comptable (10 ans).
• Sur demande, Kitchen confirme la suppression par écrit.

13. Audit#

• Kitchen met à la disposition du Client les informations nécessaires pour démontrer le respect de cet accord.
• Le Client peut faire réaliser un audit, à ses frais, une fois par an au plus, avec un préavis écrit de 30 jours. L'audit est mené par le Client ou par un auditeur indépendant tenu au secret, qui n'est pas un concurrent de Kitchen, pendant les heures ouvrées et sans perturber le service.
• Un audit supplémentaire est possible après une violation de données concernant le Client.

---

Annexe 1 — Description du traitement#

Annexe 2 — Mesures de sécurité#

• Isolation des clients : chaque donnée appartient à un seul groupe ; l'accès est filtré dans la base de données elle-même (row level security), et cette isolation est testée automatiquement.
• Contrôle d'accès : rôles par groupe (collaborateur pour l'application ; contributeur et administrateur pour le back-office) ; seuls les numéros invités par le Client peuvent se connecter à l'application, par code SMS ; le back-office se connecte par e-mail et mot de passe ou par Microsoft ; un accès révoqué est refusé aussitôt par la base de données ; les jetons d'accès expirent après 1 heure ; le back-office déconnecte une session après 8 heures d'inactivité.
• Accès de l'équipe Kitchen : aucun compte dans l'espace du Client ; accès de support en lecture seule, à un groupe à la fois, pour 12 heures au plus, avec double authentification obligatoire (TOTP) ; chaque accès est inscrit dans un journal interne (membre de l'équipe, groupe, début et fin) ; aucun motif n'est enregistré ; le journal n'est pas encore consultable par le Client.
• Hébergement : données principales hébergées dans l'Union européenne (Paris).
• Chiffrement : échanges chiffrés (TLS) ; données chiffrées au repos par les hébergeurs (AES-256) ; identifiants du logiciel de paie du Client stockés dans un coffre chiffré (Supabase Vault), jamais lisibles par un utilisateur.
• Clés et secrets : clés secrètes uniquement côté serveur, jamais dans les applications ni dans le navigateur.
• Minimisation : journaux techniques limités à des identifiants et à des codes, sans nom, e-mail ni téléphone ; tâches en arrière-plan déclenchées avec des identifiants seulement ; statistiques d'usage du produit pseudonymes, sans adresse IP ni géolocalisation ; statistiques du Client stockées dans sa base, jamais dans un outil d'analyse.
• Sauvegardes : sauvegardes quotidiennes de la base de données, conservées 7 jours.
• Supervision : suivi des erreurs et des performances (Datadog, site européen).

Annexe 3 — Sous-traitants ultérieurs#

« CCT » : clauses contractuelles types de la Commission européenne (décision 2021/914). « DPF » : Data Privacy Framework UE–États-Unis (décision d'adéquation du 10 juillet 2023).

Stripe, PostHog et Gleap traitent surtout des données dont Kitchen est responsable de traitement (facturation, usage du produit, support) ; ils figurent ici par transparence.

Option Microsoft (connexion unique et provisionnement SCIM) : le Client active cette option avec son propre annuaire Microsoft Entra ID. Microsoft est alors le prestataire du Client, et non un sous-traitant ultérieur de Kitchen. Kitchen traite seulement les données reçues de cet annuaire (annexe 1) pour connecter les utilisateurs du back-office et créer, mettre à jour et désactiver leurs comptes.

De même, le logiciel de paie du Client (par exemple Silae), une fois la connexion disponible, est choisi et contrôlé par le Client et n'est pas un sous-traitant de Kitchen.