Annexe au contrat de prestation Chalandia — article 28 du règlement (UE) 2016/679.
Ce document n'est pas un avis juridique. Il a été rédigé à partir des obligations de l'article 28 et de ce que la plateforme fait réellement, vérifié dans la base le 18 août 2026. Il doit être relu par un professionnel du droit avant la première signature. Les champs surlignés sont à compléter — ils ne sont jamais devinés, parce qu'une mention fausse est pire qu'une mention absente.
Pourquoi ce document existe, et pourquoi il est distinct du contrat de prestation. Dès qu'un commerçant confie à Chalandia les données de ses propres clients — un nom, un téléphone, une adresse de livraison —, il devient responsable de traitement et Chalandia devient sous-traitant. L'article 28 impose alors un contrat écrit qui dit qui fait quoi. Ce n'est pas une formalité négociable : sans lui, les deux parties sont en faute, et c'est le commerçant qui reçoit le courrier.
| Responsable de traitement | Sous-traitant |
|---|---|
|
Raison sociale du commerce Forme juridique, au capital de montant Siège : adresse complète SIRET : 14 chiffres Représenté par Prénom NOM, en qualité de qualité Contact données : courriel |
Prénom NOM, entrepreneur individuel, exploitant sous l'enseigne Chalandia Siège : adresse complète SIRET : 14 chiffres Contact données : courriel |
Ci-après « le Commerçant » et « Chalandia ».
Objet. Chalandia traite, pour le compte du Commerçant et sur ses seules instructions, les données à caractère personnel des clients finaux du Commerçant, dans le cadre du service de commande, de réservation et de fidélisation en ligne.
Durée. Le présent contrat prend effet à la date de signature et s'achève avec le contrat de prestation, sous réserve des obligations de l'article 8 ci-dessous.
Nature des opérations. Collecte, enregistrement, organisation, conservation, consultation, utilisation, communication au personnel du Commerçant, effacement et anonymisation.
Finalités. Exclusivement :
Aucune autre finalité. Chalandia ne revend aucune donnée, n'en tire aucun profilage publicitaire, et ne les utilise pas pour son propre compte — y compris de façon agrégée hors statistiques strictement internes de fonctionnement.
| Catégorie de personnes | Données traitées | Conservation |
|---|---|---|
| Clients finaux du Commerçant | Nom, téléphone ; adresse et code postal en cas de livraison ; adresse électronique si fournie ; contenu de la commande, montant, horodatage ; solde de fidélité le cas échéant | Anonymisation automatique après trois ans |
| Personnel du Commerçant | Nom, rôle, identifiant de connexion | Durée du contrat, puis trois mois |
| Toute personne visitant le site | Données techniques strictement nécessaires au service (session, panier) | Durée de la session |
Ces durées sont appliquées techniquement, pas seulement annoncées. Une tâche planifiée s'exécute chaque nuit et anonymise les commandes et réservations dont la date dépasse la durée convenue : le nom, le téléphone, l'adresse et la note disparaissent, le montant et la date restent — ce sont des pièces comptables. Le journal technique est purgé à douze mois.
Une durée écrite dans un contrat mais jamais exécutée n'a jamais protégé personne. Le Commerçant peut demander à tout moment la preuve de la dernière exécution.
Aucune donnée sensible. Le service n'est pas prévu pour traiter de données de santé, d'opinions, d'appartenance syndicale ou religieuse, ni de données relatives à des mineurs identifiés comme tels. Le Commerçant s'interdit d'en saisir dans les champs libres.
Chalandia ne traite les données que sur instruction documentée du Commerçant, y compris pour tout transfert hors Union européenne. Les paramètres choisis par le Commerçant dans son espace de gestion valent instruction. Si une instruction paraît constituer une violation du règlement, Chalandia en informe le Commerçant sans délai.
Les personnes autorisées à traiter les données sont tenues à la confidentialité. À la date de signature, une seule personne y a accès : Prénom NOM. L'arrivée de tout autre intervenant est notifiée au Commerçant.
Chalandia met en œuvre les mesures suivantes, effectives à la date de signature :
Le Commerçant autorise les sous-traitants ultérieurs listés ci-dessous. Tout nouveau sous-traitant lui est notifié avant sa mise en service, avec un délai de trente jours pour s'y opposer ; l'opposition ouvre un droit de résiliation sans frais.
| Prestataire | Rôle | Localisation des données |
|---|---|---|
| Supabase | Base de données, authentification, fonctions serveur | Union européenne — région de Paris |
| Netlify | Hébergement des pages et distribution | États-Unis, encadré par clauses contractuelles types ; aucune donnée applicative stockée |
| Stripe | Encaissement et abonnements | Union européenne et États-Unis, encadré |
| Prestataire courriel | Messages transactionnels | à compléter |
| Prestataire SMS | Messages transactionnels | à compléter |
Chalandia met à la disposition du Commerçant, dans son espace de gestion, les outils permettant d'exporter et d'effacer en un geste les données d'un client final. Si une demande est adressée directement à Chalandia, elle est transmise au Commerçant sans délai et sans y répondre à sa place.
Chalandia assiste le Commerçant pour la sécurité des traitements, la notification des violations, et, le cas échéant, l'analyse d'impact — compte tenu de la nature du traitement et des informations dont il dispose.
Chalandia notifie le Commerçant dans les 24 heures suivant la connaissance d'une violation, par courriel et par téléphone, avec les éléments connus. Ce délai est plus court que celui de 72 heures imposé au Commerçant vis-à-vis de l'autorité de contrôle : il est là pour qu'il puisse tenir le sien.
Chalandia tient le registre des catégories de traitements effectués pour le compte du Commerçant et le lui communique sur demande. Il met à disposition toute information nécessaire pour démontrer le respect de l'article 28 et permet la réalisation d'audits, dans la limite d'un audit par an, sur préavis de trente jours, aux frais du Commerçant, et sans que l'audit puisse porter atteinte à la confidentialité des données des autres commerces.
Les données applicatives sont hébergées dans l'Union européenne. Les transferts hors Union européenne, limités aux sous-traitants listés à l'article 4 d, sont encadrés par les clauses contractuelles types de la Commission européenne.
Chacune des parties répond des dommages causés par un traitement qui contreviendrait au règlement, dans les conditions de son article 82. La responsabilité de Chalandia au titre du présent contrat est plafonnée à montant ou nombre de mois d'abonnement, sauf faute lourde ou intentionnelle.
Le plafond de responsabilité est le point qu'il faut faire relire en priorité : il n'est pas opposable dans tous les cas, et une clause mal rédigée peut être réputée non écrite.
À l'expiration du contrat de prestation, le Commerçant choisit :
À défaut de choix exprimé, l'export est tenu à disposition trois mois, puis les données sont supprimées. Les copies de sauvegarde s'effacent selon leur cycle propre, au plus tard durée du cycle après la suppression. Chalandia atteste par écrit de la suppression.
Fait en deux exemplaires, à lieu, le date.