Cette annexe est un modèle de base. À valider par votre juriste avant signature. Téléchargez-la en PDF et joignez-la au contrat conclu avec l'enseigne.
Version 1.0 — 27 octobre 2026
À joindre au contrat conclu entre PasDeGaspi et l'enseigne partenaire.
La présente annexe a pour objet de définir les conditions dans lesquelles PasDeGaspi, en qualité de responsable de traitement, traite les données à caractère personnel dans le cadre de la plateforme de lutte contre le gaspillage alimentaire mise à disposition de l'enseigne et de ses établissements (ci-après « le Service »).
Les données traitées par le Service le sont exclusivement à la finalité de lutte contre le gaspillage alimentaire et de solidarité. PasDeGaspi s'engage formellement à ne procéder à AUCUNE réutilisation des données à des fins commerciales, publicitaires, marketing ou de profilage. Les données des magasins servent uniquement au pilotage de la solidarité de l'enseigne, et non à un benchmarking commercial entre enseignes concurrentes.
PasDeGaspi s'engage à ne pas revendre, céder, louer ou mettre à disposition, à titre gratuit ou onéreux, les données de l'enseigne, de ses établissements ou de leurs bénéficiaires à un tiers, à quelque titre que ce soit. Cette interdiction vaut pour la durée du contrat et après son terme.
Les données de chaque enseigne sont isolées au sein d'un tenant dédié, identifié par le SIRET de l'enseigne (tenant_id). Aucune enseigne ne peut accéder aux données d'une enseigne concurrente. Au sein d'une même enseigne, l'accès est segmenté par rôle et périmètre (groupe, région, magasin) : un responsable régional ne voit que les données de sa région. Les benchmarks inter-magasins sont strictement internes à l'enseigne et ne font l'objet d'aucun classement public, afin d'éviter toute stigmatisation des points de vente. La sécurité par niveau de ligne (Row-Level Security) garantit cette isolation.
L'enseigne et les personnes concernées (collaborateurs, responsables de magasin, bénéficiaires des dons) disposent des droits suivants : accès, rectification, effacement, opposition, limitation et portabilité. Ces droits sont exerçables depuis le module Administration du Hub Enseignes ou par demande adressée à PasDeGaspi.
À tout moment, l'enseigne peut demander l'effacement définitif de l'ensemble des données la concernant. Cet effacement est exécutable en libre-service depuis le Hub Enseignes (module Administration) et est tracé dans le journal d'audit (EnseigneAuditLog). Le délai d'exécution est immédiat.
L'enseigne peut, à tout moment et sans frais, exporter l'intégralité de ses données au format structuré (JSON/CSV) depuis les modules Rapports et Impact & RSE. Cet export garantit la réversibilité : l'enseigne peut récupérer ses données pour les réintégrer dans un autre système, sans dépendance technologique.
Les données sont conservées selon les durées définies dans la Charte RGPD accessible sur la plateforme. Les données obsolètes sont supprimées automatiquement par une politique de rétention programmatique. Les durées supérieures à un an répondent à une obligation légale (comptable, sanitaire ou réglementaire, notamment Loi AGEC).
Le Service ne dépose aucun cookie publicitaire, aucun pixel de suivi marketing et aucun traceur analytique tiers. Aucune donnée n'est transmise à un régisseur publicitaire ou à un prestataire d'analyse comportementale. Les seuls cookies déposés sont strictement nécessaires au fonctionnement technique du Service.
L'hébergement est assuré sur infrastructure européenne (AWS, région UE). Les emails transactionnels transitent par Brevo (prestataire européen conforme RGPD). La vérification des SIRET s'appuie sur l'API INSEE SIRENE (service public français). Les indicateurs d'impact consolidés par PASDEGASPI sont distincts des systèmes de caisse et de gestion internes de l'enseigne ; PASDEGASPI n'accède qu'aux données explicitement autorisées par l'enseigne. Aucun transfert de données hors de l'Union européenne n'est effectué.
PasDeGaspi met en œuvre les mesures techniques et organisationnelles appropriées : chiffrement en transit (TLS), isolation multi-tenant par Row-Level Security, journalisation des actions sensibles (EnseigneAuditLog), rôles à cinq niveaux (super admin, admin groupe, responsable régional, responsable magasin, lecteur), authentification des utilisateurs enseigne par vérification SIRET + email professionnel + code OTP.
En cas de violation de données à caractère personnel, PasDeGaspi notifie l'enseigne dans les meilleurs délais et au plus tard dans les 72 heures de sa constatation, et procède à la notification auprès de la CNIL lorsque cela est requis par le RGPD.
Pour toute question relative à la protection des données, l'enseigne contacte PasDeGaspi via la page Contact de la plateforme. L'enseigne conserve le droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).
La présente annexe fait partie intégrante du contrat conclu entre les parties. Sa validation par l'enseigne (vérification SIRET enseigne + email professionnel + code OTP dans le Hub Enseignes) vaut acceptation des présentes stipulations.
— Fin de l'annexe RGPD (Hub Enseignes) —
À valider par votre juriste. Ce modèle couvre les engagements structurants (zéro réutilisation commerciale, réversibilité, suppression à la demande) mais doit être adapté aux stipulations spécifiques de votre contrat et au droit local applicable.
Nous n'utilisons aucun cookie publicitaire ni tracker commercial — seuls les cookies strictement nécessaires au fonctionnement du site sont déposés. En savoir plus dans notre Charte RGPD.