Entre le Restaurateur (Responsable de traitement) et Pikali (Sous-traitant) Version : 19/07/2026 — Intégrable aux CGU de la plateforme DingTruck.
Le présent accord (« DPA ») encadre le traitement de données personnelles réalisé par Pikali (« le Sous-traitant ») pour le compte du Restaurateur utilisateur de DingTruck (« le Responsable de traitement » ou « RT »), conformément à l'article 28 du RGPD. Il fait partie intégrante des CGU et prévaut sur celles-ci pour tout ce qui concerne les données personnelles.
Qualification des rôles (arrêtée) : le Restaurateur est responsable de traitement (il décide de la finalité — informer/prospecter sa clientèle — et des moyens essentiels : quelles personnes, quel lieu, quand effacer). Pikali est sous-traitant. Le routeur SMS est sous-traitant ultérieur. Les mesures de standardisation proposées par Pikali (double opt-in, durées de conservation par défaut, gabarits de SMS) sont des mesures de conformité par défaut que le RT accepte et fait siennes en acceptant le présent DPA ; elles ne transfèrent pas à Pikali la détermination des finalités.
Pikali ne traite les données que sur instructions documentées du RT. Le présent DPA, les CGU et le paramétrage de la plateforme par le RT valent instructions. Pikali n'utilise jamais les données pour son propre compte, ni à des fins de prospection propre, ni entre différents tenants. Pikali informe le RT si une instruction lui paraît contraire au RGPD. Aucun transfert hors UE n'est réalisé.
Pikali garantit que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité appropriée (contractuelle ou légale) et sont sensibilisées à la protection des données.
Pikali met en œuvre, notamment : - chiffrement des numéros au repos (enveloppe KMS) et pseudonymisation par empreinte HMAC non réversible ; - invisibilité des numéros pour le RT (mesure de sécurité structurante : le RT n'accède qu'à des compteurs agrégés ; déchiffrement limité au seul worker d'envoi) ; - cloisonnement inter-tenant strict (aucun croisement entre food trucks) ; - TLS en transit, secrets hors code, journalisation des accès sensibles, journal de consentement immuable ; - tests automatisés vérifiant qu'aucune interface n'expose un numéro en clair.
Le RT autorise Pikali à recourir à des sous-traitants ultérieurs pour l'acheminement des SMS : smsmode et/ou iSendPro Telecom (hébergement France/UE, certifiés ISO 27001). Pikali impose à ces sous-traitants les mêmes obligations de protection que celles du présent DPA, par contrat. Pikali informe le RT de tout changement de sous-traitant ultérieur (ajout/remplacement), en lui laissant la possibilité de s'y opposer dans un délai raisonnable. Pikali demeure pleinement responsable envers le RT de l'exécution par ses sous-traitants ultérieurs.
Pikali assiste le RT, par des mesures techniques et organisationnelles appropriées, pour répondre aux demandes d'exercice des droits (accès, rectification, effacement, opposition, limitation, portabilité, retrait du consentement). Compte tenu de l'invisibilité des numéros pour le RT, Pikali exécute ces demandes pour le compte du RT via une fonction plateforme dédiée : la personne s'identifie par son propre numéro ; Pikali retrouve l'abonné par son empreinte sans jamais réexposer le numéro au RT. Le RT est informé de l'existence de la demande (compteur), jamais du numéro. Délai : 1 mois (art. 12 RGPD).
Pikali assiste le RT pour : la sécurité (art. 32) ; la notification des violations de données ; l'analyse d'impact (AIPD) et la consultation préalable (art. 35-36). En cas de violation, Pikali notifie le RT sans délai injustifié et au plus tard sous 48 heures après en avoir pris connaissance, avec les éléments utiles, pour permettre au RT de respecter son propre délai de 72 heures vis-à-vis de la CNIL (art. 33). Pikali met à disposition du RT son AIPD produit mutualisée.
Au terme du contrat, au choix du RT, Pikali supprime ou restitue l'ensemble des données personnelles et détruit les copies existantes, sauf obligation légale de conservation. Par défaut (sans instruction contraire du RT sous 30 jours), Pikali procède à la suppression dans le respect des durées de conservation probatoires (preuve de consentement/désinscription).
Pikali met à la disposition du RT toutes les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits (y compris inspections), par le RT ou un tiers mandaté, dans des conditions raisonnables (préavis, confidentialité, non-perturbation du service). Les certifications ISO 27001/27701 des routeurs et les rapports de conformité de Pikali peuvent être produits à ce titre.
Pikali tient le registre des activités de traitement du sous-traitant (art. 30.2) et fournit au RT un modèle de registre du responsable (art. 30.1) pré-rempli pour le traitement « annonces SMS ».
Chaque partie répond des dommages causés par un traitement non conforme à ses obligations. Pikali n'est responsable que pour la part qui lui incombe en tant que sous-traitant (art. 82 RGPD). Toute réutilisation des données par le RT hors de la finalité et du consentement recueillis engage la seule responsabilité du RT.
Le présent DPA entre en vigueur à l'acceptation des CGU et s'applique tant que Pikali traite des données pour le compte du RT.
DPA établi le 19/07/2026 — Pikali. Un DPA distinct est conclu entre Pikali et chaque routeur SMS (smsmode / iSendPro), avec clause de non-transfert hors UE et exigence ISO 27001.
Ding