Accord de sous-traitance

conformément à l'art. 28 DSGVO (RGPD) · Version du 7 octobre 2026

entre le client qui utilise HelpYa (responsable du traitement, ci-après le « Client ») et FFM&M RE GmbH, Sybelstraße 31, 10629 Berlin, Allemagne (sous-traitant, ci-après « HelpYa »). Le présent accord fait partie intégrante du contrat d'utilisation régi par les conditions générales et s'applique sans signature distincte.

1. Objet et durée

HelpYa traite des données à caractère personnel pour le compte du Client afin d'informer les clients finaux de celui-ci de l'état de leur commande, de leur table, de leur rendez-vous ou de leur intervention (bipeur numérique) et – dans la mesure où le Client utilise « Commander & payer » – afin de recevoir les commandes passées par les clients finaux depuis leur place et de les transmettre au Client. HelpYa traite en outre des données dans la mesure où le Client lui donne accès dans le cadre d'un accès d'assistance (n° 3, al. 4). L'accord s'applique pendant la durée du contrat d'utilisation.

2. Nature des données et personnes concernées

Personnes concernées : clients finaux ou clients du Client qui prennent un numéro ou pour lesquels le Client crée un numéro ; dans les garages, en outre les détenteurs ou utilisateurs de véhicules ; pour « Urgence & sécurité », en outre les personnes enregistrées par le Client comme destinataires d'alarme (par exemple exploitant, société de sécurité).

Données :

• numéro de retrait, identifiant aléatoire, statut et horodatages (créé, prêt, retiré, accusé de remise),
• identifiant aléatoire de l'appareil (cookie), langue, adresse push du navigateur,
• en cas d'utilisation d'une carte Wallet : identifiant de la carte chez Google ou Apple,
• dans les garages : numéro d'immatriculation, mois du prochain contrôle technique réglementaire (Hauptuntersuchung), preuve du consentement (date, libellé) et journal d'envoi des rappels,
• pour « Commander & payer » : articles et options commandés, place (par exemple table), demandes particulières ou remarques (texte libre), mode de paiement, statut du paiement, pourboire et identifiant de paiement Stripe (aucune donnée de carte ou de compte),
• pour « Urgence & sécurité » : heure et type d'une alarme, lieu ou texte fourni volontairement par le client final, identifiant aléatoire de l'appareil (protection contre les abus), acquittement, mention de fausse alerte ou de fin d'alerte et journal de remise ; nom, rôle et numéro de mobile des destinataires d'alarme ainsi que, le cas échéant, l'adresse du webhook d'alarme,
• pendant un accès d'assistance : informations techniques sur les appareils du Client (type d'appareil, navigateur, écran, autorisation des notifications, connexion, messages d'erreur techniques) et un journal des pages consultées et des modifications effectuées par l'assistance.

Les noms, numéros de téléphone ou adresses e-mail des clients finaux ne sont pas collectés. Les catégories particulières de données à caractère personnel (art. 9 DSGVO (RGPD)) ne font pas l'objet du traitement ; le Client ne saisit pas de telles informations comme numéro ou texte libre.

3. Instructions

(1) HelpYa ne traite les données que sur instruction documentée du Client. Les instructions résultent du présent accord, des conditions générales et de l'utilisation des fonctions du service par le Client ; le Client donne toute autre instruction sous forme textuelle (Textform).

(2) Si HelpYa estime qu'une instruction est illicite, elle en informe immédiatement le Client et peut en suspendre l'exécution jusqu'à clarification.

(3) Le traitement en vertu d'une obligation légale demeure réservé ; HelpYa en informe préalablement le Client, sauf si la loi l'interdit.

(4) Accès d'assistance : si le Client donne accès à HelpYa dans l'espace client au moyen d'un code, cela constitue une instruction de consulter les données du Client pendant la durée de l'accès (60 minutes au maximum) aux fins d'assistance et – uniquement en mode « consultation et modification » – de les modifier en concertation avec le Client. Même dans ce cas, l'assistance ne peut modifier ni les identifiants de connexion, ni les accès de l'équipe, ni la formule, ni les données de paiement et bancaires, ni le compte de paiement du Client chez Stripe. Le Client peut mettre fin à l'accès à tout moment ; chaque page consultée et chaque modification sont journalisées.

4. Confidentialité

HelpYa n'emploie que des personnes qui se sont engagées à respecter la confidentialité ou qui sont soumises à une obligation légale de secret.

5. Mesures techniques et organisationnelles

HelpYa prend les mesures décrites à l'annexe 1 conformément à l'art. 32 DSGVO (RGPD). Elles peuvent évoluer, à condition que le niveau de protection ne soit pas abaissé.

6. Sous-traitants ultérieurs

(1) Le Client consent au recours aux sous-traitants ultérieurs mentionnés à l'annexe 2.

(2) HelpYa informe le Client sous forme textuelle (Textform), au moins quatre semaines à l'avance, de tout changement envisagé. Le Client peut s'y opposer pour un motif grave tenant à la protection des données ; à défaut d'accord, il peut résilier le contrat d'utilisation à la date du changement.

(3) HelpYa impose contractuellement aux sous-traitants ultérieurs un niveau de protection correspondant au présent accord.

7. Assistance au Client

(1) HelpYa aide le Client, par des mesures appropriées, à donner suite aux droits des personnes concernées (art. 12 à 22 DSGVO (RGPD)). Les clients finaux peuvent eux-mêmes se désabonner des notifications, retirer leurs consentements et effacer les données de leur véhicule. Si un client final s'adresse directement à HelpYa, HelpYa transmet la demande au Client.

(2) HelpYa aide le Client à respecter les obligations prévues aux articles 32 à 36 DSGVO (RGPD), notamment en matière de notification des violations de données et d'éventuelles analyses d'impact relatives à la protection des données.

8. Violations de données à caractère personnel

HelpYa notifie au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, avec les informations prévues à l'art. 33, paragraphe 3, DSGVO (RGPD), dans la mesure où elles sont disponibles.

9. Effacement et restitution

(1) Pendant la durée du contrat, HelpYa efface ou anonymise automatiquement les données : les numéros de retrait 24 heures après le retrait, pour les interventions de plusieurs jours au plus tard 30 jours après la création ; les demandes particulières et remarques relatives aux commandes après 24 heures ; les données des véhicules sans consentement à la clôture de l'intervention, avec consentement au plus tard trois ans après le dernier contact ou immédiatement à la demande du client final ; le journal et les données des appareils d'un accès d'assistance après 30 jours ; le lieu, le texte et l'identifiant d'appareil d'une alarme ainsi que les tentatives d'alarme rejetées après 30 jours, les destinataires d'alarme lors de leur suppression par le Client. Les articles et montants des commandes sans lien avec une personne sont conservés pour les enregistrements du Client.

(2) Après la fin du contrat, HelpYa efface toutes les données du Client encore existantes dans un délai de 30 jours, sauf obligation légale de conservation. Sur demande, HelpYa met préalablement à la disposition du Client un bilan statistique sans lien avec des personnes.

10. Justificatifs et contrôles

HelpYa met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord et permet la réalisation d'audits par le Client ou par un auditeur mandaté par lui et tenu au secret – après annonce en temps utile, pendant les heures ouvrables habituelles et sans perturbation de l'activité.

11. Lieu du traitement

Les données sont stockées et traitées en Allemagne. Un transfert vers des pays tiers n'a lieu que dans le cadre des services mentionnés à l'annexe 2 et uniquement dans les conditions des articles 44 et suivants DSGVO (RGPD).

12. Responsabilité et dispositions finales

La responsabilité est régie par l'art. 82 DSGVO (RGPD) ; pour le reste, les dispositions des conditions générales s'appliquent. En cas de contradiction, le présent accord prévaut sur les conditions générales pour les questions de protection des données.

Annexe 1 – Mesures techniques et organisationnelles

• Minimisation des données : aucun nom, numéro de téléphone ou adresse e-mail des clients finaux ; identifiants aléatoires de 128 bits ; effacement automatique selon des délais fixes (n° 9).
• Chiffrement : transmission exclusivement via TLS (HTTPS avec HSTS) ; notifications push chiffrées de bout en bout selon la norme Web Push.
• Contrôle de l'accès aux systèmes : serveurs accessibles uniquement par clé SSH, connexion par mot de passe désactivée ; protection contre les tentatives de connexion infructueuses répétées.
• Contrôle de l'accès aux données : séparation stricte des données par client (cloisonnement des clients) ; comptes personnels avec mots de passe hachés (PBKDF2) et rôles (administrateur/collaborateur), liens d'invitation à usage unique avec date d'expiration ; les connexions d'appareils peuvent être révoquées à tout moment par le Client. Les collaborateurs de HelpYa ne voient les données d'un client qu'avec l'accès d'assistance limité dans le temps accordé par celui-ci (code, 60 minutes au maximum, révocable à tout moment, liste de blocage pour les données d'accès et de paiement, journal complet).
• Contrôle de la saisie : les événements de statut et de remise sont journalisés par numéro ; aucun journal d'accès comportant des adresses IP n'est conservé.
• Disponibilité : exploitation dans un centre de données en Allemagne (Hetzner, Nuremberg) ; sauvegarde des données avant chaque modification logicielle.
• Séparation : les données de test et de production sont séparées ; le développement s'effectue uniquement avec des données de test.

Annexe 2 – Sous-traitants ultérieurs

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne – exploitation des serveurs (centre de données de Nuremberg, Allemagne).
• Google LLC / Google Ireland Ltd. – Google Wallet (uniquement si le client final enregistre la carte) et remise des notifications push sur Chrome/Android ; EU-US Data Privacy Framework.
• Apple Inc. / Apple Distribution International Ltd. – remise des notifications push sur Safari/iOS et Apple Wallet (uniquement si le client final enregistre la carte) ; EU-US Data Privacy Framework.
• Mozilla Corporation – remise des notifications push sur Firefox ; EU-US Data Privacy Framework.
• seven communications GmbH & Co. KG, Kiel, Allemagne (seven.io) – envoi de SMS en cas d'alarme silencieuse du personnel aux numéros de téléphone enregistrés par le Client (exploitant, société de sécurité ; uniquement si le Client utilise « Urgence & sécurité » avec des numéros).
• Anthropic, PBC, États-Unis – lecture et traduction de la carte de menu du Client (uniquement si le Client télécharge une carte, indique un site web ou enregistre des contenus de carte) ; seuls des contenus de la carte sont transmis, aucune donnée des clients finaux ; clauses contractuelles types de l'UE, aucune utilisation pour l'entraînement.

Les services push ne reçoivent que des contenus chiffrés et l'adresse push générée par le navigateur du client final.

Les paiements en ligne des clients finaux sont traités par Stripe (Stripe Payments Europe, Ltd., Dublin) via un compte Stripe propre au Client. À cet effet, le Client conclut son propre contrat avec Stripe ; Stripe n'est, à cet égard, pas un sous-traitant ultérieur de HelpYa. HelpYa transmet à Stripe les articles commandés et les montants et ne reçoit de Stripe que le statut du paiement et un identifiant de paiement.

Conditions générales · Politique de confidentialité · Accord de sous-traitance · Mentions légales