Dernière mise à jour : 13 octobre 2026
Document contractuel
Le présent Contrat de Sous-Traitance constitue l'annexe RGPD des CGV. Il est conclu entre THAT PLACE (sous-traitant) et le Restaurateur (responsable de traitement) dès la souscription au Service, conformément à l'article 28 du Règlement UE 2016/679 (RGPD).
Le présent contrat a pour objet d'encadrer le traitement par THAT PLACE des données à caractère personnel des clients du Restaurateur, pour le compte et selon les instructions de ce dernier, dans le cadre de l'utilisation de la plateforme THAT PLACE.
| Traitement | Finalité | Durée |
|---|---|---|
| Hébergement des réservations | Gestion des réservations du restaurant | Durée du contrat + 30 jours |
| Hébergement des messages visiteurs | Messagerie entre clients et restaurant | Durée du contrat + 30 jours |
| Hébergement du CRM clients | Gestion de la base clients, étiquettes, notes | Durée du contrat + 30 jours |
| Envoi d'emails transactionnels | Confirmation, relance et avis de réservation | Durée du contrat |
| Envoi de campagnes marketing | Campagnes occasionnelles du restaurant | Durée du contrat |
| Suivi d'ouverture des emails | Mesure d'efficacité des campagnes | 25 mois |
| Programme de fidélité | Points, visites, récompenses | Durée du contrat + 30 jours |
THAT PLACE ne traite aucune donnée sensible au sens de l'article 9 du RGPD (santé, religion, opinions politiques, etc.).
Le Sous-traitant s'engage à traiter les données uniquement selon les instructions documentées du Responsable de traitement, y compris en matière de transferts de données vers un pays tiers, sauf si cela est exigé par le droit de l'Union ou d'un État membre.
Le Responsable peut modifier ses instructions à tout moment via les paramètres de son espace ou par email à contact@thatplace.app.
Conformément à l'article 28 §3 du RGPD, le Sous-traitant s'engage à :
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées :
Le Sous-traitant fait appel aux sous-traitants ultérieurs suivants :
| Sous-traitant | Pays | Prestation |
|---|---|---|
| Base44 Inc. | États-Unis | Plateforme d'hébergement applicatif |
| Supabase Inc. | États-Unis / UE | Base de données et stockage |
| Stripe Inc. | États-Unis | Traitement des paiements (PCI-DSS) |
| Resend Inc. | États-Unis | Envoi des emails |
Le Sous-traitant reste responsable de l'exécution du contrat par ces sous-traitants ultérieurs. Le Responsable peut s'opposer à un changement de sous-traitant pour des raisons légitimes, dans un délai de 15 jours après notification.
Les transferts de données vers Base44, Stripe et Resend (États-Unis) sont encadrés par les Clauses Contractuelles Types de la Commission Européenne (décision d'exécution 2021/914 du 4 juin 2021). Le Sous-traitant s'assure que chaque sous-traitant ultérieur signe ces clauses ou bénéficie d'une décision d'adéquation.
Le Sous-traitant assiste le Responsable dans la réalisation des analyses d'impact relatives à la protection des données (DPIA) et dans le respect de ses obligations de notification de violation à la CNIL et aux personnes concernées.
En cas de violation de données à caractère personnel, le Sous-traitant notifie le Responsable sans tarder excessivement et au plus tard dans les 72 heures suivant sa constatation. La notification décrit la nature de la violation, les mesures prises et les recommandations pour en limiter les effets. Le Sous-traitant documente les violations (registre).
Le Sous-traitant tient un registre écrit de toutes les catégories d'activités de traitement effectuées pour le compte du Responsable, conformément à l'article 30 §2 du RGPD. Ce registre est disponible sur demande.
Le Sous-traitant assiste le Responsable, par des mesures techniques et organisationnelles appropriées, dans l'exécution de son obligation de répondre aux demandes d'exercice de droits (accès, rectification, effacement, limitation, portabilité, opposition) émanant des clients du Restaurateur. Toute demande reçue directement par le Sous-traitant est transmise au Responsable sans délai.
Le Responsable a le droit d'auditer la conformité du Sous-traitant. Cet audit est précédé d'un préavis de 30 jours et peut être réalisé par un tiers indépendant, sous réserve de confidentialité. Le Sous-traitant met à disposition les informations nécessaires et les certificats de sécurité disponibles.
Au choix du Responsable, et à l'expiration du contrat, le Sous-traitant :
Les données de facturation sont conservées 10 ans au titre des obligations comptables, sans lien direct avec les données des clients du Restaurateur.
Le présent contrat entre en vigueur à la souscription au Service et prend fin en même temps que l'abonnement du Responsable, conformément aux CGV. Les obligations de confidentialité et de sécurité survivent à la fin du contrat pendant 3 ans.
Toute question relative au présent DPA : contact@thatplace.app
THAT PLACE – 11 Rue des Vignes, 68200 Mulhouse, France