Certains mots et expressions figurant dans ce DPA ont une définition spécifique lorsqu'ils commencent par une majuscule. Lorsqu'un terme défini est utilisé, il a soit la signification indiquée dans l’annexe 1 ci-dessous (Définitions), soit la signification qui lui est donnée dans l’article applicable de ce DPA. Les termes “responsable de traitement”, “sous-traitant”, "personne concernée", "données à caractère personnel", "traitement", "demande d’accès", "violation de données", “sous-traitant ultérieur” et "autorité de contrôle" ont la signification qui leur est donnée dans la Législation sur la Protection des Données.

2.3 En particulier, le Marchand comprend et reconnaît que que les données personnelles dans le cadre de cet article 2 seront traitées par Sunday conformément à:

(i) notre politique de confidentialité Utilisateurs accessible à l’adresse https://sundayapp.com/fr/privacy-policy/;
(ii) notre politique de confidentialité marchand accessible à l’adresse https://sundayapp.com/fr/privacy-policy-waiters-personnel/;

2.4 Le Marchand veillera à avoir toutes les autorisations et notifications nécessaires en place pour permettre le transfert légal des données personnelles liées à son personnel à Sunday pendant la durée et aux fins du présent DPA.

3.5 Sunday apportera son assistance au Marchand pour répondre à toute demande d’une personne concernée et pour assurer le respect de ses obligations en vertu de la Législation sur la Protection des Données concernant la sécurité, les notifications en cas de violations de données, les évaluations d'impact sur la protection des données et les consultations avec les autorités de contrôle ou les régulateurs.

3.7 Afin de fournir les services au Marchand, Sunday n'accédera et ne traitera les données personnelles que provenant (i) des pays de l'EEE, (ii) des pays ou territoires formellement reconnus par la Commission européenne comme offrant un niveau adéquat de protection des données (« Pays Adéquats ») et (iii) des pays tiers ou territoires, pour autant que Sunday et le sous-traitant ultérieur concerné aient mis en place un Mécanisme de Transfert Valide.

3.8 À la demande écrite du Marchand, Sunday devra supprimer ou restituer les données personnelles ainsi que les copies de celles-ci au Marchand à la résiliation du DPA, sauf si la Législation sur la Protection des Données ou d'autres lois applicables exigent le stockage des données personnelles.

3.9 Sunday mettra en place et maintiendra en permanence, pendant la durée du présent DPA, des mesures techniques et organisationnelles afin de protéger les données personnelles contre tout traitement non autorisé ou illicite, ainsi que contre toute perte ou tout dommage accidentel : (i) en assurant, dans chaque cas, un niveau de sécurité approprié au risque; (ii) en maintenant la certification PCI DSS (Payment Card Industry Data Security Standard) niveau 1; et (iii), en maintenant des contrôles conformes aux pratiques industrielles acceptées, y compris les normes de l'Organisation internationale de normalisation (ISO): NIST (National Institute of Standards and Technology) CSF (Cybersecurity Framework).

3.10 Au minimum, les mesures de sécurité mises en place par Sunday pour la protection des données personnelles incluront : (i) la sécurisation des systèmes cloud, des systèmes de sauvegarde et de l'équipement informatique, y compris, mais sans s'y limiter, tous les dispositifs de point de terminaison et autres équipements dotés d'une capacité de stockage d'informations ; (ii) la mise en œuvre de la sécurité réseau, des applications, des bases de données et des plates-formes ; (iii) la sécurisation de la transmission, du stockage et de l'élimination des informations ; (iv) la mise en place de l'authentification et des contrôles d'accès au sein des supports, applications, systèmes d'exploitation et équipements ; (v) le chiffrement des données personnelles au repos lorsque cela est possible ; (vi) le chiffrement des données personnelles transmises en transit sur le réseau ; (vii) la ségrégation stricte des données du commerçant par rapport aux informations de Sunday ou de ses autres clients, de manière à ce que les données du commerçant ne soient pas mélangées avec d'autres types d'informations ; (viii) la réalisation d'évaluations des risques et de scans de vulnérabilité, et la mise en œuvre rapide, aux seuls frais de Sunday, d'un plan d'action correctif pour remédier à tout problème signalé à la suite des tests ; (ix) la mise en place de procédures et pratiques appropriées de sécurité et d'intégrité du personnel ; et (x) la fourniture d'une formation appropriée à la sécurité de l'information aux salariés de Sunday.

Un mécanisme de transfert de données autorisé par la Législation sur la Protection des Données en tant que base légale pour transférer des données personnelles à un destinataire situé dans un pays tiers au sens du RGPD et du Data Protection Act 2018.

La période d’application du présent DPA, plus la période à partir de la fin de cette période d’application jusqu’à la suppression de l’ensemble des données personnelles des Utilisateurs par Sunday conformément à ses obligations en vertu du présent DPA.