Le présent accord (« DPA », Data Processing Agreement) encadre les traitements de données personnelles que GLASZ réalise pour le compte de ses clients, conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD ») et à la loi Informatique et Libertés. Il fait partie intégrante des Conditions générales et est accepté lors de la souscription d'une formule sur glasz.app. Dernière mise à jour : 8 octobre 2026.
1. Parties et rôles
- Le client — l'organisation qui souscrit une formule GLASZ (bar, restaurant, hôtel, groupe) — agit en qualité de responsable de traitement pour les données de son équipe et les contenus qu'il enregistre dans l'application.
- GLASZ — Alexandre Fauque EI (entrepreneur individuel), SIREN 877 853 531, RCS Paris, 78, avenue des Champs-Élysées, Bureau 326, 75008 Paris — agit en qualité de sous-traitant pour ces traitements.
Les données propres à la relation commerciale (compte du manager, abonnement, facturation, sécurité du site) sont traitées par GLASZ en tant que responsable de traitement et relèvent de la Politique de confidentialité, non du présent accord. Stripe agit en responsable de traitement distinct pour les données de paiement.
2. Objet et durée
Le présent accord définit les conditions dans lesquelles GLASZ traite les données personnelles décrites à l'Annexe 1 pour fournir le service souscrit. Il prend effet au premier paiement d'une formule et reste en vigueur tant que GLASZ traite des données pour le compte du client, y compris pendant la période de conservation suivant la fin de l'abonnement (article 11).
3. Instructions du client
GLASZ traite les données uniquement sur instruction documentée du client. Constituent ces instructions : les Conditions générales, le présent accord, et les actions réalisées par le client dans l'espace client ou l'application (création d'un membre d'équipe, saisie d'un contenu, suppression, export…).
GLASZ n'utilise pas les données à d'autres fins que la fourniture du service : ni prospection, ni profilage, ni revente, ni entraînement de modèles. Si GLASZ estime qu'une instruction constitue une violation du RGPD ou du droit applicable, il en informe immédiatement le client. Si le droit de l'Union ou d'un État membre impose à GLASZ un traitement non prévu, il en informe le client avant le traitement, sauf interdiction légale.
4. Confidentialité
GLASZ veille à ce que toute personne autorisée à traiter les données soit soumise à une obligation de confidentialité. L'accès du support aux contenus d'un établissement n'a lieu que dans le cadre d'une session d'assistance motivée, et chaque accès d'administration est journalisé.
5. Sécurité
GLASZ met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites à l'Annexe 2. Ces mesures peuvent évoluer, sans jamais réduire le niveau de protection global.
6. Sous-traitants ultérieurs
Le client accorde à GLASZ une autorisation générale de recourir aux sous-traitants ultérieurs listés à l'Annexe 3. GLASZ informe le client par e-mail de tout ajout ou remplacement au moins 30 jours avant sa prise d'effet. Le client peut s'y opposer pendant ce délai pour un motif raisonnable lié à la protection des données ; à défaut de solution, il peut résilier l'abonnement sans frais, avec remboursement de la période payée et non consommée.
GLASZ impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord et reste responsable envers le client de leur respect.
7. Transferts hors de l'Union européenne
Certains sous-traitants ultérieurs sont établis hors de l'Union européenne ou peuvent y accéder aux données. Ces transferts sont encadrés par une décision d'adéquation de la Commission européenne (notamment le EU-US Data Privacy Framework pour les prestataires certifiés) ou par les clauses contractuelles types de la Commission européenne, complétées si nécessaire de mesures supplémentaires.
8. Droits des personnes concernées
L'application permet au client de consulter, corriger, désactiver, supprimer et exporter les données de son équipe. Si GLASZ reçoit directement une demande d'une personne concernée (par exemple un membre d'équipe), il la transmet au client sans délai et ne la traite pas sans son instruction, sauf obligation légale. GLASZ aide le client, dans la mesure du possible, à répondre aux demandes d'exercice de droits.
9. Violations de données
GLASZ notifie au client toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l'adresse du compte administrateur. La notification précise, dans la mesure où ces informations sont connues : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. GLASZ communique les compléments au fur et à mesure, afin que le client puisse, le cas échéant, notifier la CNIL dans les 72 heures et informer les personnes concernées.
10. Assistance au client
GLASZ aide le client, compte tenu de la nature du traitement et des informations dont il dispose, à respecter ses obligations relatives à la sécurité, à la notification des violations, aux analyses d'impact (AIPD) et à la consultation préalable de la CNIL. GLASZ tient un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD).
11. Sort des données en fin de contrat
Le client peut exporter ses données à tout moment pendant l'abonnement. À la fin de l'abonnement, les données sont conservées 90 jours pour permettre une reprise ou un export, puis supprimées. Les sauvegardes techniques qui les contiennent sont purgées à l'issue de leur cycle de rotation (au plus 6 mois). Sur demande écrite, GLASZ supprime les données de façon anticipée et confirme la suppression. Seules sont conservées les données que GLASZ doit garder en vertu d'une obligation légale.
12. Audits et documentation
GLASZ met à la disposition du client, sur demande à contact@glasz.app, les informations nécessaires pour démontrer le respect du présent accord (description des mesures de sécurité, liste à jour des sous-traitants ultérieurs, documentation de leurs garanties). Le client peut réaliser ou faire réaliser par un auditeur indépendant, tenu au secret, un audit une fois par an, sur préavis écrit de 30 jours, aux heures ouvrées et à ses frais, sans accès aux données des autres clients. Un audit supplémentaire est possible en cas de violation avérée ou à la demande d'une autorité de contrôle.
13. Obligations du client
- Disposer d'une base légale pour les données qu'il saisit et informer les membres de son équipe du traitement de leurs données dans GLASZ (finalités, durées, droits), conformément à l'article L1222-4 du Code du travail, et consulter le comité social et économique lorsque la loi l'impose (article L2312-38).
- Ne saisir que des données nécessaires au fonctionnement de l'établissement : ni donnée de santé, ni autre donnée sensible au sens de l'article 9 du RGPD, ni donnée de ses propres clients.
- Attribuer et gérer les codes PIN de son équipe, et désactiver sans délai l'accès d'un membre qui quitte l'établissement.
- Documenter par écrit toute instruction particulière transmise à GLASZ.
14. Responsabilité et ordre de priorité
Chaque partie est responsable des manquements qui lui sont imputables, dans les conditions des articles 82 et 83 du RGPD et des Conditions générales. En cas de contradiction entre le présent accord et les Conditions générales sur la protection des données personnelles, le présent accord prévaut. Le présent accord est soumis au droit français ; les litiges relèvent de la juridiction prévue à l'article 12 des Conditions générales.
15. Contact
GLASZ n'a pas désigné de délégué à la protection des données (DPO), n'y étant pas tenu. Pour toute question relative au présent accord ou à la protection des données : contact@glasz.app.
Annexe 1 — Description des traitements
- Nature des opérations : collecte, enregistrement, organisation, conservation, consultation, modification, sauvegarde, export et effacement, dans le cadre d'un logiciel en ligne (SaaS).
- Finalité : fournir au client l'application GLASZ — bibles de recettes et allergènes, checklists et relevés (dont HACCP et températures), formations, masterclass et quiz, suivi des pertes, gestion d'équipe et analytique.
- Personnes concernées : les membres de l'équipe du client (salariés, extras, stagiaires, managers) disposant d'un accès à l'application.
- Catégories de données :
- identification et poste : prénom, nom, poste, langue, statut actif/inactif ;
- authentification : code PIN (stocké uniquement sous forme de hachage) ;
- activité : checklists et relevés validés, modules et masterclass suivis (dont temps de lecture actif et pages vues), résultats de quiz, recettes consultées, pertes saisies, avec horodatage et auteur ;
- sécurité : compteurs de tentatives de connexion et empreinte d'appareil hachée.
- Données sensibles : aucune n'est attendue ni nécessaire au service.
- Durée : la durée de l'abonnement, puis 90 jours (article 11).
Annexe 2 — Mesures techniques et organisationnelles
- Chiffrement des échanges (HTTPS/TLS) et chiffrement au repos assuré par l'hébergeur de la base ; identifiants techniques chiffrés.
- Cloisonnement : isolation des données par organisation et par établissement au niveau de la base (Row Level Security) ; clés d'administration réservées au serveur.
- Authentification : comptes managers par e-mail confirmé et mot de passe de 12 caractères minimum ; codes PIN d'équipe hachés ; limitation des tentatives de connexion ; détection de partage de PIN ; codes de confirmation par e-mail pour les opérations sensibles (suppression d'un établissement).
- Contrôle des accès internes : accès d'administration limité, protégé par double authentification (mot de passe + code à usage unique), motivé et journalisé.
- Disponibilité : sauvegardes automatiques quotidiennes (7 conservées) et mensuelles (6 conservées) par établissement ; fonctionnement hors ligne de l'application pour la consultation.
- Sécurité applicative : en-têtes de sécurité (CSP, anti-iframe), limitation de débit des API, vérification de l'identité côté serveur pour chaque opération, déduplication des webhooks.
- Minimisation : aucune donnée bancaire traitée par GLASZ, aucun traceur publicitaire, aucune adresse IP associée à l'activité des membres d'équipe.
Annexe 3 — Sous-traitants ultérieurs autorisés
- Supabase, Inc. — base de données, authentification et sauvegardes. Données hébergées à Londres (Royaume-Uni), pays bénéficiant d'une décision d'adéquation de la Commission européenne. Société mère établie aux États-Unis : DPA et clauses contractuelles types pour tout accès éventuel depuis un autre pays.
- Vercel, Inc. (États-Unis) — hébergement du site, de l'application et des fonctions serveur. Garanties : DPA, Data Privacy Framework et clauses contractuelles types.
- Resend (Plus Five Five, Inc., États-Unis) — envoi des e-mails transactionnels (invitations, codes de confirmation, notifications). Garanties : DPA et clauses contractuelles types.
Pour mémoire, Stripe (Stripe Payments Europe, Ltd., Irlande) traite les données de paiement en qualité de responsable de traitement distinct ; il n'a pas accès aux données de l'équipe du client.
Signature
Le présent accord est accepté électroniquement par le client lors du paiement de sa formule (case à cocher), la date d'acceptation étant conservée avec sa commande. Le client qui souhaite une version signée ou une copie PDF peut la demander à contact@glasz.app.