Komy

Accord de traitement des données

Version du 30 octobre 2026, en vigueur

Cet accord fait partie des conditions générales d'abonnement et prévaut sur elles pour tout ce qui touche aux données personnelles. Il encadre les données personnelles que KOMY CORP (« Komy ») traite pour le compte du Client, au sens de l'article 28 du règlement général sur la protection des données (RGPD). Le Client est responsable de traitement ; Komy est son sous-traitant.

1. Ce que Komy traite pour le Client

Objet : fournir au Client le service de réservation de Komy : page de réservation, carnet ouvert à son équipe, historique de chaque réservation, fichier clients, emails aux clients, empreinte bancaire et frais d'absence, transmission des réservations aux autres modules de Komy et aux outils que le Client connecte.

Personnes concernées : les clients du restaurant qui réservent ou que le restaurant enregistre, ceux qui commencent une réservation sans la terminer, et les personnes qu'une réservation ou une note mentionne, par exemple un convive qui accompagne ; les membres de l'équipe du Client qui agissent sur les réservations.

Données :

• identité et contact : prénom, nom, email, téléphone, langue ;
• réservations : date, heure, nombre de couverts, statut, motif d'annulation, acceptation horodatée des conditions de réservation, historique des venues, annulations et absences ;
• historique de chaque réservation : chaque action (création, modification, arrivée, annulation, absence, débit), sa date, ses précisions (motif d'annulation, débit demandé) et son auteur : le client, le restaurant ou l'accès de l'équipe qui l'a faite, une personne ou un poste partagé, sous le nom qu'il portait alors ;
• notes et étiquettes saisies par le client ou par le restaurant ;
• allergies ou régime alimentaire, quand le client les mentionne de lui-même dans ses notes ou les confie au restaurant : ce sont des données de santé (article 2) ;
• empreinte bancaire, quand le restaurant l'active : marque, 4 derniers chiffres et date d'expiration de la carte, identifiants Stripe du client et de sa carte, statut des débits et des contestations ; le numéro de carte est saisi dans les champs de Stripe et enregistré chez Stripe, jamais chez Komy ;
• code de vérification envoyé par email et lien personnel de gestion de la réservation ;
• données techniques de la page de réservation : adresse IP et journaux de connexion.

Opérations : collecte par la page de réservation et par l'espace du Client, enregistrement, hébergement, consultation, modification, envoi d'emails, transmission à Stripe et aux outils que le Client connecte, statistiques pour le Client, export, effacement et anonymisation.

Finalités : recevoir et gérer les réservations du restaurant ; garder l'historique de chaque réservation, pour que le Client sache qui a fait quoi, notamment si un débit est contesté ; vérifier l'adresse email du client ; lui envoyer les emails de confirmation, de modification et d'annulation, et ceux que le restaurant active (rappel, remerciement après la visite) ; enregistrer sa carte et permettre au restaurant de débiter des frais d'absence ; tenir, analyser et exporter le fichier clients ; transmettre les réservations aux outils que le Client connecte lui-même ; assister le Client quand il le demande.

Durée : celle de l'abonnement, puis du sommeil du compte prévu à l'article 9.

2. Allergies et autres données sensibles

Une allergie, une intolérance ou un régime suivi pour raison de santé est une donnée de santé ; un régime lié à une religion peut révéler une conviction. Le RGPD n'en permet le traitement qu'avec le consentement explicite de la personne (article 9).

• La page de réservation ne demande pas ces informations. Si un client en mentionne de lui-même dans ses notes pour que son repas soit adapté, le Client ne s'en sert que pour préparer ce repas.
• Le Client n'enregistre lui-même une allergie, reçue par téléphone ou sur place, qu'avec l'accord exprès du client, qu'il doit pouvoir démontrer.
• Le Client efface ces informations de la fiche du client dès qu'elles ne lui servent plus, sauf si le client lui a demandé de les garder pour ses prochaines venues.
• Le Client n'inscrit dans les notes et étiquettes aucune autre donnée sensible : état de santé sans rapport avec le repas, religion, opinions, vie sexuelle, origine.

3. Engagements de Komy

• Traiter les données uniquement sur instruction documentée du Client, y compris pour les transferts hors de l'Union européenne ; ces conditions et les réglages de son espace valent instruction, et le Client peut en donner d'autres par écrit. Si le droit de l'Union ou le droit français oblige Komy à un autre traitement, Komy en informe le Client avant d'y procéder, sauf si ce droit l'interdit pour un motif important d'intérêt public.
• Informer immédiatement le Client si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données.
• Veiller à ce que toute personne autorisée à traiter les données se soit engagée par écrit à la confidentialité ou y soit tenue par la loi. Les équipes de Komy n'accèdent aux données d'un restaurant que pour l'assistance qu'il demande, la sécurité du service ou une obligation légale, et ces accès sont réservés à des personnes nommément habilitées.
• Assurer un niveau de sécurité adapté au risque, au moins par les mesures décrites en annexe, revues chaque année et modifiées seulement sans baisse du niveau de protection.
• Aider le Client à répondre aux demandes des personnes concernées : son espace permet d'exporter, de corriger et d'anonymiser une fiche client. Komy lui transmet sous 5 jours ouvrés toute demande reçue directement, sans y répondre lui-même sauf instruction.
• Aider le Client, sur demande, pour la sécurité des données, ses analyses d'impact, ses échanges avec la CNIL et l'information des personnes après une violation (articles 32 à 36 du RGPD), sans frais sauf demande manifestement excessive.
• Notifier au Client toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par email à l'adresse de son compte. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables, les mesures prises ou proposées, et le contact chez Komy ; ce qui n'est pas encore connu suit dès que possible.
• Informer le Client de toute demande d'une autorité portant sur ses données, sauf interdiction légale, et ne communiquer que ce qu'une loi applicable impose.
• Tenir le registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD) et en remettre au Client, sur demande, la partie qui le concerne.
• Ne jamais utiliser ces données pour son propre compte, ni les vendre, ni s'en servir à des fins publicitaires. Seule exception : Komy traite comme responsable les données techniques nécessaires à la sécurité de sa plateforme (adresses IP, journaux, limitation des abus), selon la politique de confidentialité de la page de réservation.

4. Engagements et droits du Client

• Informer ses clients du traitement de leurs données et disposer d'une base légale pour chacun de ses usages. La politique de confidentialité affichée sur la page de réservation couvre les réservations en ligne ; pour une réservation prise par téléphone ou sur place, le Client informe lui-même son client, par exemple en lui indiquant cette politique.
• Informer les membres de son équipe, avant de leur ouvrir un accès, que leurs actions sur les réservations sont enregistrées sous le nom de cet accès dans l'historique (article L1222-4 du Code du travail).
• Ne saisir que les données nécessaires, et respecter l'article 2 pour les données sensibles.
• Ne pas faire des emails qu'il personnalise, notamment le remerciement après la visite, un message commercial, sauf à recueillir le consentement du client ou, pour une offre semblable à ce qu'il lui a déjà vendu, à lui permettre de s'y opposer dans chaque message (article L34-5 du Code des postes et des communications électroniques).
• Choisir lui-même les outils auxquels il connecte Komy, qui reçoivent alors les données qu'il leur fait transmettre, sous sa responsabilité.
• Le Client peut obtenir les informations prévues à l'article 10, faire réaliser un audit, s'opposer à un nouveau prestataire (article 5) et choisir le sort de ses données à la fin du contrat (article 9).

5. Sous-traitants de Komy

Le Client autorise Komy à recourir aux prestataires suivants, et aux transferts décrits à l'article 8 :

• Scalingo SAS : hébergement des applications de Komy et de leurs bases de données (France).
• Brevo (Sendinblue SAS) : envoi des emails (Union européenne).
• Google Ireland Limited (Google Workspace) : messagerie de Komy, dont l'adresse de contact qui reçoit les demandes des restaurants et de leurs clients (Union européenne ; États-Unis pour certains traitements).
• Functional Software, Inc. (Sentry) : suivi des erreurs techniques de la réservation en ligne, dont les rapports peuvent contenir des données (Union européenne (Allemagne)).

Komy leur impose par contrat des obligations de protection au moins équivalentes à celles de cet accord, et reste pleinement responsable envers le Client de leur respect.

Komy annonce par email tout ajout ou remplacement de prestataire au moins 30 jours avant d'y recourir, avec son rôle, son pays et l'encadrement des transferts. Le Client peut s'y opposer par email avant cette date ; Komy cherche alors avec lui une solution qui évite ce prestataire pour ses données. À défaut, le Client peut résilier sans frais avant la date annoncée, et la part payée d'une période non servie lui est remboursée.

6. Paiements par carte

Quand le Client active l'empreinte bancaire, les données de carte et de paiement de ses clients sont traitées par Stripe dans le cadre du contrat que le Client conclut directement avec Stripe (article 8 des conditions générales) ; Stripe agit en outre comme responsable de traitement pour ses propres obligations, notamment la lutte contre la fraude et la réglementation des paiements. Komy transmet à Stripe, sur instruction du Client, les données de réservation nécessaires à ces paiements, et fait supprimer la carte du compte Stripe du Client 30 jours après la date réservée.

7. Carte de l'établissement

La page de réservation peut afficher une carte de l'établissement. Komy la sert lui-même, à partir des données d'OpenStreetMap qu'il garde sur ses serveurs : l'afficher ne transmet aucune donnée du visiteur à un tiers. Le lien « Itinéraire » ouvre Google Maps, seulement si le visiteur clique dessus ; Google traite alors ses données pour son propre compte, hors du présent accord.

8. Transferts hors de l'Union européenne

Les données sont hébergées en France. Seuls les prestataires de l'article 5 établis aux États-Unis y accèdent, dans la limite de leur rôle. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914), que leurs contrats intègrent, et, pour ceux qui y sont certifiés, par le cadre de protection des données UE–États-Unis (décision d'adéquation du 10 juillet 2023). Le Client autorise ces transferts ; Komy lui fournit, sur demande, une copie de ces garanties.

9. Conservation et fin du contrat

À la fin de l'abonnement, le compte du Client passe en sommeil pendant 12 mois, ou 3 mois après un essai qui n'a pas été suivi d'un abonnement (article 11 des conditions générales) : le Client peut consulter et exporter ses données, ou demander leur suppression sans attendre. Komy supprime ensuite les données et leurs copies ; celles des sauvegardes de l'hébergeur disparaissent à mesure de leur renouvellement. Komy confirme la suppression par écrit sur demande. Si le droit de l'Union ou le droit français impose de garder certaines données, Komy en informe le Client et ne les garde que pour cette obligation.

10. Contrôle

Komy fournit au Client, sur demande, les informations qui démontrent le respect de cet accord : mesures de sécurité, liste à jour des prestataires et de leurs garanties, partie du registre qui le concerne. Le Client peut faire réaliser un audit, lui-même ou par un auditeur qu'il mandate, tenu au secret et non concurrent de Komy, une fois par an, et en outre après une violation de ses données ou à la demande de la CNIL, en prévenant Komy trente jours à l'avance, sauf urgence. L'audit commence sur pièces ; il se poursuit dans les locaux de Komy si les pièces ne suffisent pas, aux heures ouvrées et sans accès aux données des autres clients. Il est aux frais du Client, sauf s'il révèle un manquement de Komy, qui y remédie alors sans délai.

Annexe : mesures de sécurité

• Échanges chiffrés (HTTPS) ; applications et bases de données hébergées en France, chez Scalingo.
• Mots de passe et codes PIN hachés par un algorithme dédié, jamais stockés en clair ; double authentification proposée aux comptes des restaurants.
• Données de chaque restaurant cloisonnées ; accès des équipes de Komy limités au besoin et réservés à des personnes habilitées.
• Numéros de carte saisis dans les champs de Stripe, sans passer par les serveurs de Komy.
• Limitation des tentatives abusives (codes, connexions, réservations) et politique de sécurité du contenu sur les pages publiques.
• Sauvegardes régulières des bases de données par l'hébergeur, en France.
• Mises à jour de sécurité suivies ; journaux techniques gardés 12 mois pour détecter et analyser un incident.

Contact : contact@komy.app, 06 08 10 36 90.