Application du présent ATD : En utilisant Blaze Labels pour traiter les données personnelles de votre personnel, vous acceptez le présent ATD standard. Si votre organisation nécessite une version contresignée, contactez legal@blazeiq.io.
Entre :
EGS Enggist and Grandjean Software SA
Rue des Usines 17, 2000 Neuchâtel, Switzerland (CHE-112.254.588)
(le « Sous-traitant » / « EGS »)
et
Le Client identifié dans le compte Blaze Labels (le « Responsable du traitement »)
A. Le Responsable du traitement s'est abonné au service d'impression d'étiquettes de cuisine Blaze Labels exploité par EGS (le « Service »).
B. Dans le cadre de la fourniture du Service, EGS traite des données personnelles pour le compte du Responsable du traitement, comme décrit dans le présent Accord.
C. Le présent Accord est conclu en application de l'article 28 du règlement (UE) 2016/679 (« RGPD »), de l'article 28 de l'UK GDPR, et de l'article 9 de la loi fédérale suisse sur la protection des données (nLPD, entrée en vigueur le 1er septembre 2023).
D. Le présent Accord fait partie intégrante des Conditions Générales d'Utilisation entre les Parties et y est incorporé.
1.1 « Droit de la Protection des Données » désigne : le RGPD et sa législation nationale de transposition ; l'UK GDPR et le Data Protection Act 2018 ; la nLPD et ses ordonnances d'application ; ainsi que toute autre législation applicable en matière de protection des données, telle que modifiée.
1.2 « Responsable du traitement » désigne l'hôtel, le restaurant ou l'exploitant de services de restauration qui s'est abonné au Service et qui détermine les finalités et les moyens du traitement des données personnelles du personnel.
1.3 « Sous-traitant » désigne EGS, qui traite les données personnelles pour le compte du Responsable du traitement.
1.4 « Personne concernée » désigne le personnel de cuisine et de préparation alimentaire employé par ou travaillant pour le Responsable du traitement, dont les noms apparaissent dans Blaze Labels.
1.5 « Données Personnelles » a le sens donné à l'article 4(1) du RGPD ou la définition applicable équivalente.
1.6 « Sous-traitant Ultérieur » désigne tout tiers engagé par EGS pour traiter des Données Personnelles dans le cadre du Service.
1.7 « Incident de Sécurité » désigne toute destruction, perte, altération accidentelle ou illicite, divulgation non autorisée ou accès non autorisé à des Données Personnelles traitées au titre du présent Accord.
2.1 Objet. EGS traite les Données Personnelles uniquement pour fournir le Service. L'activité de traitement principale consiste à enregistrer les événements d'impression dans le journal d'audit Blaze Labels : chaque fois qu'un membre du personnel de cuisine sélectionne son nom et qu'une étiquette de préparation alimentaire est imprimée, le système enregistre une entrée de journal associant le nom du membre du personnel à l'article imprimé, à l'horodatage et à l'identifiant de l'imprimante.
2.2 Absence d'usage secondaire. EGS ne traitera les Données Personnelles à aucune autre fin que celles énoncées dans le présent Accord. EGS ne vendra, ne louera, ni ne commercialisera les Données Personnelles, et ne les utilisera pas pour développer ou améliorer un produit autre que le Service.
| Catégorie | Description | Exemples |
|---|---|---|
| Nom du personnel | Nom d'affichage du membre du personnel de cuisine tel que saisi dans Blaze Labels | « Maria Santos » |
| Nom de l'article alimentaire | Nom de l'article alimentaire pour lequel l'étiquette a été imprimée | « Fond de volaille » |
| Horodatage | Date et heure de l'événement d'impression | 2025-04-01 07:42 UTC |
| Identifiant de l'imprimante | Identifiant interne de l'imprimante utilisée | Adresse MAC ou IP réseau |
Aucune catégorie particulière de données personnelles (article 9 du RGPD) n'est traitée — aucune donnée de santé, biométrique, génétique, raciale ou politique.
Le personnel de cuisine et de préparation alimentaire employé par, sous contrat avec, ou travaillant sous la direction du Responsable du traitement, dont les noms apparaissent dans le système Blaze Labels en tant qu'utilisateurs autorisés.
5.1 Finalité. Le traitement a pour objet : (a) la génération d'étiquettes imprimées de préparation alimentaire à des fins de sécurité alimentaire et de traçabilité ; (b) la tenue d'un journal d'audit d'impression pour démontrer la conformité aux réglementations en matière de sécurité alimentaire ; (c) permettre aux superviseurs autorisés de consulter l'historique d'impression et d'enquêter sur les incidents de sécurité alimentaire.
5.2 Durée. Le traitement se poursuit pendant la durée de l'abonnement. Les enregistrements du journal d'impression sont conservés pendant deux (2) ans à compter de la date de l'événement d'impression, puis supprimés automatiquement et définitivement.
5.3 Résiliation. À la résiliation, EGS supprimera ou restituera toutes les Données Personnelles dans un délai de 30 jours, au choix du Responsable du traitement, sauf lorsque la conservation est requise par la loi.
EGS ne traitera les Données Personnelles que sur instructions documentées du Responsable du traitement. EGS informera le Responsable du traitement si une instruction est susceptible de violer le Droit de la Protection des Données.
EGS veillera à ce que les personnes autorisées à traiter les Données Personnelles soient soumises à une obligation de confidentialité contraignante. L'accès est limité au personnel qui en a besoin pour exécuter ses missions.
EGS mettra en œuvre et maintiendra les mesures énoncées à l'Annexe 1. Celles-ci sont réexaminées au moins une fois par an.
EGS ne fera appel à un nouveau Sous-traitant Ultérieur qu'après avoir communiqué au Responsable du traitement un préavis écrit de 30 jours. Le Responsable du traitement accorde par les présentes une autorisation générale préalable pour les Sous-traitants Ultérieurs énumérés à l'Annexe 2. EGS imposera des obligations de protection des données équivalentes à tous les Sous-traitants Ultérieurs et demeurera pleinement responsable de leur performance.
EGS assistera le Responsable du traitement dans le traitement des demandes d'exercice des droits des Personnes Concernées (accès, rectification, effacement, limitation, portabilité, opposition). EGS transmettra promptement au Responsable du traitement toute demande directe émanant de Personnes Concernées, sans y répondre directement.
EGS apportera son assistance pour : la sécurité du traitement (Art. 32) ; les analyses d'impact relatives à la protection des données (Art. 35) ; la consultation préalable (Art. 36) ; et la notification des Incidents de Sécurité. EGS notifiera le Responsable du traitement sans délai indu et dans un délai de 72 heures après avoir pris connaissance d'un Incident de Sécurité affectant ses Données Personnelles, en fournissant : la nature de l'incident, le nombre approximatif de Personnes Concernées et d'enregistrements affectés, les conséquences probables, et les mesures prises ou proposées.
Les enregistrements du journal d'impression sont supprimés automatiquement après la période de conservation de 2 ans. Le Responsable du traitement peut demander une suppression anticipée à tout moment — EGS y procédera dans un délai de 30 jours et le confirmera par écrit. La suppression sur demande constitue une suppression définitive (irrécupérable).
EGS mettra à disposition toutes les informations nécessaires pour démontrer sa conformité et permettra les audits menés par le Responsable du traitement ou son auditeur mandaté, sous réserve : d'un préavis écrit de 30 jours ; des heures normales d'ouverture ; de la prise en charge des coûts d'audit par le Responsable du traitement ; et de la soumission de l'auditeur à une obligation de confidentialité. EGS peut satisfaire à l'obligation d'audit en fournissant les rapports de certification ISO 27001 ou SOC 2 en cours de validité, en lieu et place d'une inspection sur site.
7.1 Base légale. Le Responsable du traitement garantit qu'il dispose et maintiendra une base légale appropriée pour le traitement des données personnelles du personnel, y compris, le cas échéant, en obtenant le consentement des Personnes Concernées ou en leur fournissant les informations requises.
7.2 Information du personnel. Le Responsable du traitement veillera à ce que les Personnes Concernées soient informées du traitement décrit dans le présent Accord, conformément aux articles 13 à 14 du RGPD (ou équivalent). Cela inclut la mise à disposition ou l'affichage d'un avis de confidentialité destiné au personnel — un modèle est disponible auprès de EGS sur demande ou à l'adresse blaze.calcmenu.io/privacy.
7.3 Exactitude. Le Responsable du traitement est responsable de l'exactitude des Données Personnelles saisies dans le Service. EGS n'encourt aucune responsabilité pour les erreurs dans les données fournies par le Responsable du traitement.
EGS notifiera par écrit le Responsable du traitement au moins 30 jours avant l'ajout, le remplacement ou le retrait d'un Sous-traitant Ultérieur. Le Responsable du traitement peut s'y opposer pour des motifs raisonnables de protection des données dans un délai de 20 jours. Si les parties ne parviennent pas à résoudre l'objection et que la modification compromet substantiellement les obligations de conformité du Responsable du traitement, celui-ci peut résilier le service concerné moyennant un préavis de 30 jours, sans pénalité.
9.1 Lieu de stockage. Toutes les Données Personnelles traitées au titre du présent Accord sont stockées sur l'infrastructure Supabase à Zurich, Suisse (AWS eu-central-2). EGS est elle-même établie en Suisse. Le traitement s'effectue donc entièrement en Suisse dans le cadre d'un fonctionnement ordinaire.
9.2 Adéquation — Transferts depuis l'EEE. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne (décision 2000/518/CE du 26 juillet 2000, réaffirmée le plus récemment lors du réexamen de la Commission du 15 janvier 2024). Les transferts de l'EEE vers le Service ne nécessitent pas de Clauses Contractuelles Types ni d'autres garanties de transfert.
9.3 Adéquation — Transferts depuis le Royaume-Uni. Le Royaume-Uni continue de reconnaître que la Suisse offre une protection adéquate, la décision d'adéquation de l'UE antérieure au Brexit étant maintenue en tant que droit européen retenu (retained law) au titre du Data Protection Act 2018. Les transferts du Royaume-Uni vers le Service ne nécessitent ni l'IDTA ni l'Addendum britannique.
9.4 Garanties relatives aux sous-traitants ultérieurs. Supabase, Inc. est une entité dont le siège se trouve aux États-Unis, dont le personnel de support peut accéder à l'environnement hébergé en Suisse selon le principe du besoin d'en connaître. EGS a accepté l'Accord de Traitement des Données de Supabase, qui intègre les Clauses Contractuelles Types de l'UE (décision de la Commission 2021/914) et l'Addendum britannique pour tout accès de cette nature, ainsi que l'analyse d'impact des transferts (Transfer Impact Assessment) de Supabase.
9.5 Transferts futurs. Si un transfert ultérieur en dehors de la Suisse, de l'EEE ou du Royaume-Uni devient nécessaire, EGS mettra en œuvre un mécanisme de transfert approprié (décision d'adéquation, CCT accompagnées d'une analyse d'impact des transferts, règles d'entreprise contraignantes, ou équivalent) avant que le transfert n'ait lieu, et en informera le Responsable du traitement.
Chaque Partie est responsable des préjudices résultant de sa violation du présent Accord ou du Droit de la Protection des Données. La responsabilité totale cumulée de EGS est soumise à tout plafond prévu dans l'Accord Principal, sauf qu'aucune des Parties n'exclut la responsabilité dont l'exclusion est prohibée par le droit applicable (y compris en cas de fraude ou de faute intentionnelle). Lorsque les deux Parties sont responsables envers une Personne Concernée pour le même dommage, la responsabilité est répartie selon le degré de responsabilité de chaque Partie.
Le présent Accord est régi par le droit suisse (canton de Neuchâtel), sans préjudice des dispositions impératives du RGPD ou de l'UK GDPR. Les tribunaux de Neuchâtel, canton de Neuchâtel, sont exclusivement compétents, sous réserve de toute disposition impérative de compétence du Droit de la Protection des Données (y compris le droit des Personnes Concernées d'introduire une action devant l'autorité de contrôle de leur résidence habituelle).
Le présent Accord prévaut sur l'Accord Principal en cas de conflit relatif au traitement des Données Personnelles. EGS peut modifier le présent Accord pour refléter les évolutions du Droit de la Protection des Données moyennant un préavis écrit de 30 jours pour les changements substantiels ; l'utilisation continue vaut acceptation. En cas de conflit entre la version anglaise et une traduction, la version anglaise prévaut.
Le présent ATD est auto-exécutoire.
En créant un compte Blaze Labels et en traitant les Données Personnelles de son personnel par le biais du Service, le Responsable du traitement accepte le présent Accord de Traitement des Données dans son intégralité. Aucune contresignature n'est requise pour que la présente version soit juridiquement contraignante entre les Parties au titre de l'article 28(9) du RGPD, qui autorise les ATD sous forme électronique.
Une version PDF contresignée du présent ATD, incluant une page de garde complétée identifiant l'entité juridique du Responsable du traitement, est disponible sur demande auprès de legal@blazeiq.io. EGS retournera une copie signée dans un délai de 10 jours ouvrables.
Date d'entrée en vigueur : La date à laquelle le Responsable du traitement utilise le Service pour la première fois, ou la date d'entrée en vigueur de la version contresignée, la première de ces dates étant retenue.
| Sous-traitant ultérieur | Entité | Lieu de stockage des données | Données traitées | Garanties |
|---|---|---|---|---|
| Supabase | Supabase, Inc. | Zurich, Suisse — AWS eu-central-2 | Toutes les Données Personnelles visées à la clause 3 (noms du personnel, articles alimentaires, horodatages, identifiants d'imprimante) | ATD standard de Supabase (CCT de l'UE + Addendum britannique) ; SOC 2 Type II ; ISO 27001 via AWS ; données hébergées exclusivement en Suisse (adéquation UE/Royaume-Uni) |
EGS a accepté l'Accord de Traitement des Données de Supabase intégrant les Clauses Contractuelles Types pour tout traitement effectué par le personnel de Supabase en dehors de l'UE/EEE. Une copie est disponible sur demande (sous réserve de la suppression des informations commercialement confidentielles).