Verwerkersovereenkomst en Beveiligingsbeleid TablePlay Inclusief subverwerkerslijst, technische en organisatorische maatregelen, responsible disclosure en toegankelijkheidsverklaring

TablePlay by Jimani Jimani B.V. Albert Plesmanweg 122, 4462 GC Goes KvK 91644453 - Btw NL865722729B01 support@tableplay.online

Version 1.0 Dènye mizajou : 10 jiyè 2026

Nòt kontwòl jiridik Dokiman sa a te prepare pou itilizasyon komèsyal pa TablePlay. Fè verifye pibliyezon final la, aplikasyon entènasyonal la, founisè aktyèl yo, konfigirasyon teknik la ak règ espesifik pou chak peyi regilyèman sou plan jiridik.

Rezime kontni Pati A - Kontra Sou-Trètman Anèks 1 - Sou-Trètè yo Anèks 2 - Mezi teknik ak òganizasyonèl Pati B - Sekirite ak Divilgasyon Vilnerabilite Kowòdone Pati C - Deklarasyon Aksesibilite

Paj 2 sou 10

Pati A - Kontra Sou-Trètman Atik 1 - Pati yo Kontra sou-trètman sa a aplikab ant kliyan komèsyal TablePlay la kòm Kontwolè Trètman epi Jimani B.V., ki fonksyone anba non TablePlay by Jimani, Albert Plesmanweg 122, 4462 GC Goes, KvK 91644453, kòm Sou-Trètè. Pati yo ansanm yo rele Pati yo.

Atik 2 - Aplikabilite ak fòmasyon Kontra sa a aplikab nan mezi TablePlay trete done pèsonèl sou lòd epi pou benefis Kliyan an epi li fè pati entegral kontra prensipal la. Li fèt atravè akseptasyon elektwonik, siyati oswa itilizasyon reyèl Sèvis la. Pou trètman kote TablePlay detèmine objektif ak mwayen yo tout pou kont li, TablePlay se kontwolè trètman epi Deklarasyon Konfidansyalite a aplikab. An ka kontradiksyon sou trètman ki fèt nan non Kliyan an, Kontra Sou-Trètman sa a genyen priyorite sou Kondisyon Jeneral yo.

Atik 3 - Objè, dire ak nati TablePlay trete done pèsonèl pou fonksyonalite jwèt, tab, QR, eskò, klasman (leaderboard), tablodbòd ak sipò ki gen rapò ak restoran. Trètman an dire pandan tout kontra prensipal la epi pou yon peryòd limite apre sa pou efasman, retounman, wotasyon backup, obligasyon legal ak pwoteksyon jiridik. Trètman an ka gen ladan kolekte, anrejistre, klase, estriktire, estoke, konsilte, kalkile, konbine nan kontèks restoran an, montre, voye, limite, efase ak anonimize.

Atik 4 - Objektif yo • Konekte kòd QR yo ak restoran ak tab. • Kòmanse ak fè seyans jwèt yo. • Trete tanporèman ti non, chwa jwèt, repons, eskò ak rezilta. • Fasilite jwèt tab-kont-tab ak klasman (leaderboard) tanporè. • Montre estatistik ki gen rapò ak restoran an. • Anpeche seyans doub, fwodilè oswa teknikman envalid. • Sipò teknik, sekirite, kontinite ak restorasyon. • Efase oswa anonimize apre peryòd konsèvasyon yo.

Atik 5 - Kategori moun konsène • Envite ak jwè Kliyan an. • Moun kontak, itilizatè, anplwaye ak asistan Kliyan an. • Moun ki parèt nan yon rapò sipò.

Atik 6 - Kategori done pèsonèl • Ti non tanporè, nimewo tab oswa ID tab inik ak ID restoran oswa lokal. • ID seyans jwèt, jwèt chwazi, mòd jwèt, repons, aksyon, eskò, rezilta ak klasman. • Dat, lè ak paramèt lang tanporè. • Done teknik seyans, IP, navigatè ak aparèy nan mezi yo prezan nan jounal sekirite.

Paj 3 sou 10 • Non ak adrès imèl pwofesyonèl yon moun kontak ak kontni demann sipò yo. • Lòt done ki antre nan kad fonksyonalite ki te konvni yo. TablePlay pa fèt pou done espesyal, kriminèl, medikal oswa byometrik oswa pou pwofil envite ki idantifyab dirèkteman e ki gwo an volim. Kliyan an pa dwe bay enstriksyon pou tèl trètman san akò alekri davans.

Atik 7 - Enstriksyon dokimante Kontra prensipal la, Kontra Sou-Trètman sa a, paramèt pòtay kliyan ak demann sipò lejitim yo konsidere kòm enstriksyon. TablePlay pa trete done pou lòt objektif, eksepte pou obligasyon legal, objektif sekirite ak pwoteksyon jiridik pou kont li oswa trètman apre anonimizasyon adekwat. Si gen yon enstriksyon ki gen pou parèt ilegal, TablePlay ap enfòme Kliyan an, sof si sa entèdi pa lalwa, epi li gen dwa sispann egzekisyon an. Enstriksyon adisyonèl ki gwo an volim ka fakti separeman.

Article 8 - Obligations du Client Le Client garantit la licéité, le fondement juridique valable, l'information aux Invités, les instructions licites, la minimisation des données, la sécurité interne et la protection des données de connexion. Le Client est responsable de l'exactitude et de la qualité, n'exige pas de véritables noms des Invités et n'utilise pas les Données de Jeu à des fins de marketing individuel ou de profilage sans fondement juridique autonome. Les incidents de sécurité et les instructions illicites sont signalés sans délai.

Article 9 - Confidentialité Les personnes placées sous l'autorité de TablePlay n'ont accès aux données que dans la mesure nécessaire, sont tenues à la confidentialité et ne traitent les données que conformément aux instructions. Cette obligation demeure après la fin du contrat. La communication à des tiers n'a lieu que sur la base du présent contrat, du contrat principal ou de la loi.

Article 10 - Sécurité TablePlay prend des mesures techniques et organisationnelles appropriées en tenant compte de l'état de la technique, des coûts, de la nature, de l'ampleur, du contexte, de la finalité et du risque. Les mesures figurent à l'Annexe 2 et peuvent être adaptées tant que le niveau général de protection ne diminue pas de manière substantielle. Aucun système ne peut garantir une sécurité absolue.

Article 11 - Violations de données TablePlay informe le Client sans retard injustifié après avoir eu connaissance d'une violation de données à caractère personnel traitées au nom du Client. Dans la mesure du possible, la nature, les systèmes, les catégories de données et de personnes concernées, les conséquences, les mesures et les coordonnées de contact sont communiquées. L'information peut être fournie de manière échelonnée. TablePlay enquête, limite, conserve les preuves pertinentes et procède au rétablissement. Le Client évalue l'obligation légale de notification et TablePlay apporte un soutien raisonnable. Une notification ne constitue pas une reconnaissance de responsabilité. Les travaux résultant de circonstances relevant de la responsabilité du Client peuvent être facturés à des coûts raisonnables.

Article 12 - Demandes des personnes concernées Les demandes directes concernant le rôle du Client sont en principe transmises. TablePlay ne répond de manière autonome que sur instruction, dans son propre rôle ou en cas d'obligation légale. TablePlay apporte une assistance raisonnable en matière d'accès, de rectification, de suppression, de limitation, de portabilité et d'opposition.

Contrat de sous-traitance et Politique de sécurité TablePlay

Page 4 sur 10

Étant donné que les Invités n'ont pas de Compte, l'identification peut être limitée. Le restaurant, la table, la date, l'heure, le surnom et le contexte de jeu peuvent être nécessaires. Les données ne sont pas communiquées si l'on n'est pas suffisamment certain qu'elles se rapportent au demandeur.

Article 13 - Assistance en matière de conformité TablePlay fournit une assistance raisonnable en matière de sécurité, d'évaluations de violations de données, d'analyses d'impact relatives à la protection des données, de consultation préalable et de documentation nécessaire. Une assistance importante allant au-delà du service standard peut être facturée, sauf si elle résulte d'un manquement de TablePlay.

Article 14 - Sous-traitants Le Client donne une autorisation générale pour les sous-traitants mentionnés à l'Annexe 1. TablePlay peut les ajouter, les remplacer ou les supprimer et tient à jour une liste électronique actualisée. En cas de nouveau sous-traitant substantiel, TablePlay informe en principe trente jours à l'avance. Le Client peut, dans ce délai, former une objection motivée sur des motifs concrets liés à la protection des données. Les Parties recherchent des garanties supplémentaires, une limitation ou une alternative technique. En l'absence de solution raisonnable, le Client peut résilier la partie directement concernée avant la mise en œuvre. TablePlay impose des obligations substantiellement équivalentes et reste responsable dans la mesure où le RGPD le prévoit.

Article 15 - Transfert international Les données à caractère personnel sont traitées, dans la mesure du possible, dans une région européenne. Les sous-traitants ou sociétés du groupe peuvent être établis en dehors de l'EEE ou y avoir accès. Lorsque cela est requis, TablePlay utilise des décisions d'adéquation, des clauses contractuelles types, des mesures supplémentaires ou d'autres mécanismes valides. Sur demande raisonnable, des informations sont fournies dans le respect de la confidentialité.

Article 16 - Demandes des autorités TablePlay ne communique des données aux autorités compétentes qu'en cas d'obligation licite. Dans la mesure où cela est autorisé, le Client en est informé au préalable. TablePlay évalue la compétence, la portée et la validité juridique et limite la communication dans la mesure du possible.

Article 17 - Audits et informations TablePlay met à disposition des informations raisonnables, notamment la documentation de sécurité, les audits, les certifications, les questionnaires ou les déclarations d'assurance. Si cela est insuffisant, le Client peut exiger au maximum une fois par année calendaire un audit avec un préavis de trente jours, pendant les heures de bureau, par un expert indépendant soumis à une obligation de confidentialité, sans porter atteinte à la sécurité, à la confidentialité ou à d'autres clients. Le Client supporte les frais, sauf constatation d'une infraction substantielle imputable. TablePlay peut occulter le code source, d'autres données clients, les détails de vulnérabilités et les informations commercialement sensibles lorsqu'une alternative suffisante existe.

Article 18 - Restitution et suppression Après la résiliation, TablePlay supprime ou restitue, au choix du Client et dans la mesure où cela est techniquement et juridiquement possible, les données traitées exclusivement au nom du Client. Le choix est communiqué au plus tard dans les trente jours. En l'absence de choix, TablePlay peut supprimer ou anonymiser conformément à la politique standard. Les sauvegardes peuvent contenir des données pendant maximum un mois et ne sont utilisées qu'à des fins de récupération.

Accord de sous-traitance et Politique de sécurité TablePlay

Page 5 sur 10

Les données légalement obligatoires, nécessaires à la protection juridique et anonymisées ne doivent pas être supprimées.

Article 19 - Responsabilité Les dispositions relatives à la responsabilité des Conditions Générales s'appliquent également. Chaque partie est responsable de ses propres obligations en matière de protection de la vie privée. Le Client garantit TablePlay contre les réclamations résultant d'instructions illicites, d'absence de fondement juridique, d'informations insuffisantes, d'utilisation illicite des Données de jeu ou de saisie de données sensibles interdites, dans la mesure où la loi l'autorise.

Article 20 - Durée et résiliation Le présent Accord de sous-traitance prend fin lorsque TablePlay ne traite plus de données à caractère personnel au nom du Client. La confidentialité, la sécurité, la suppression, la responsabilité et les audits demeurent applicables dans la mesure où leur nature l'exige.

Article 21 - Droit et litiges Le présent Accord de sous-traitance est régi par le droit néerlandais. Les litiges sont traités conformément aux Conditions Générales.

Annexe 1 - Sous-traitants Fournisseur

Service

Données possibles

Région / rôle

Supabase

Base de données, authentification, stockage et backend Comptes, données de table, pseudonymes, sessions, scores Principal et journaux Région UE dans la mesure où configurée ; sous-traitant clé

Vercel

Hébergement, exécution, diffusion de contenu et Adresse IP, journalisation données de requête, de navigateur, d'appareil et d'application EEE et éventuellement les États-Unis ; sous-traitant d'hébergement

Twilio SendGrid

E-mails transactionnels et opérationnels Nom, adresse e-mail, informations de compte, contenu et International ; statut de livraisonsous-traitant e-mail

OpenAI / autre fournisseur d'IA Uniquement en cas de fonctions IA activées

Données limitées nécessaires à la fonction Selon la configuration ; sous-traitant potentiel

Stripe

Données professionnelles, factures, transactions et statut de paiement International ; le rôle varie selon le traitement

Paiements, facturation et fraude

Google / Meta / LinkedIn Analytique et marketing après consentement Données de site web, d'appareil, publicitaires et de conversion International ; généralement pas de sous-traitant pour re

La liste actuelle est mise à disposition via le site web ou le portail client. En cas de nouveau sous-traitant substantiel, la procédure de notification et d'opposition de l'article 14 s'applique. TablePlay ne fournit aucune donnée d'invité identifiable à un fournisseur d'IA aux fins d'entraînement général de modèles, sauf si cela est ultérieurement organisé de manière expresse, licite et transparente autrement.

Annexe 2 - Mesures techniques et organisationnelles 1. Sécurité d'accès • Comptes utilisateurs uniques et authentification sécurisée. • Mots de passe hachés et limitation des droits d'administration. • Accès basé sur le rôle et la nécessité. • Révocation de l'accès lorsqu'il n'est plus nécessaire. • Mesures d'authentification supplémentaires le cas échéant.

2. Séparation logique des données • Séparation entre les Comptes professionnels et l'autorisation liée au locataire (tenant).

Accord de sous-traitance et Politique de sécurité TablePlay

Page 6 sur 10 • Supabase Row Level Security dans la mesure où techniquement applicable. • Limitation de l'accès aux données d'autres Clients. • Identifiants de table uniques.

3. Transport et stockage • Connexions sécurisées HTTPS et TLS. • Communication sécurisée entre le navigateur, l'application, le backend et les API. • Stockage chez des fournisseurs cloud sélectionnés. • Accès limité des collaborateurs et confidentialité contractuelle. • Aucun stockage des mots de passe sous forme directement lisible.

4. Disponibilité, journalisation et récupération • Sauvegardes et dispositifs de récupération le cas échéant. • Surveillance des erreurs techniques et des tentatives de connexion pertinentes. • Détection et investigation des utilisations anormales. • Sauvegardes en principe pendant maximum un mois. • Journaux en principe pendant maximum un an, sauf nécessité plus longue en cas d'incident ou de litige.

5. Développement sécurisé et gestion des fournisseurs • Gestion des versions, revue de code et mise en œuvre contrôlée, le cas échéant. • Limitation des secrets et clés dans le code source. • Mises à jour opportunes des composants concernés. • Évaluation et correction des vulnérabilités signalées. • Sélection de fournisseurs professionnels, accords contractuels et mécanismes de transfert.

6. Minimisation des données et gestion des incidents • Aucun nom réel, e-mail ou numéro de téléphone obligatoire pour les Invités. • Pseudonymes temporaires et visibilité limitée du classement. • Suppression ou anonymisation après certains délais. • Processus d'escalade interne, enquête, enregistrement, évaluation de l'obligation de signalement et mesures correctives.

Partie B - Security et Coordinated Vulnerability Disclosure 1. But et adresse de signalement TablePlay attache de l'importance à la sécurité du site web, de la Plateforme, de l'infrastructure et des données. Les vulnérabilités techniques potentielles peuvent être signalées de manière confidentielle via support@tableplay.online avec comme objet Securitymelding - vertrouwelijk.

2. Contenu d'un signalement • Description claire de la vulnérabilité. • Domaine, endpoint, écran ou système concerné.

• Étapes reproductibles et impact possible.
• Captures d'écran limitées ou éléments de preuve techniques.
• Navigateur, appareil ou environnement utilisé.
• Coordonnées et éventuellement proposition de communication sécurisée.

3. Actions autorisées • Uniquement les actions nécessaires pour établir l'existence de la vulnérabilité. • Limiter autant que possible l'impact et l'accès aux données. • Ne pas modifier, supprimer ou télécharger les données de tiers. • Ne pas affecter la disponibilité et arrêter dès qu'une preuve suffisante existe. • Examiner uniquement les systèmes relevant démontrablement de la gestion de TablePlay.

4. Actions non autorisées • Ingénierie sociale, phishing, attaques physiques, brute force et credential stuffing. • Prises de contrôle de comptes, denial-of-service, malware ou accès persistant. • Modifier, effacer, copier ou divulguer des données. • Manipulation réelle de paiements, factures, coupons ou scores. • Examen de fournisseurs externes sans leur autorisation. • Scans automatisés préjudiciables. • Divulgation avant qu'un délai raisonnable d'enquête et de correction n'ait été accordé. • Extorsion ou exigence de paiement par menace.

5. Réaction et divulgation TablePlay s'efforce de confirmer la réception dans un délai de cinq jours ouvrables, d'évaluer le signalement, de poser des questions si nécessaire, d'informer le déclarant dans les grandes lignes et de limiter dès que raisonnablement possible une vulnérabilité vérifiée. Le délai de correction dépend de la gravité, de la complexité, des fournisseurs et des tests nécessaires. TablePlay ne garantit aucun délai fixe. Les détails ne sont pas divulgués avant que TablePlay n'y consente, qu'une date raisonnable n'ait été convenue ou qu'au moins quatre-vingt-dix jours ne soient écoulés sans réaction raisonnable sur le fond ou tentative de correction. Les données à caractère personnel, les données d'authentification et le code d'exploitation ne sont pas publiés.

6. Absence de programme de bugbounty général et approche juridique TablePlay n'applique aucun programme de bugbounty général et un signalement ne donne droit à aucun paiement, mission ou publicité. TablePlay peut, à sa propre discrétion, accorder une reconnaissance. TablePlay n'entreprendra en principe aucune action juridique contre un chercheur agissant de bonne foi, dans le cadre de cette politique, sans dommage, de manière confidentielle et sans extorsion. Cet engagement ne s'applique pas en cas d'actions manifestement punissables, dommageables, frauduleuses ou disproportionnées et ne lie pas les tiers ni les autorités.

7. security.txt TablePlay peut publier à l'adresse /.well-known/security.txt un fichier technique comportant l'adresse de signalement, un lien vers la politique, les langues, une date d'expiration et éventuellement une clé de chiffrement. Ce fichier doit être vérifié et renouvelé périodiquement.

Partie C - Déclaration d'accessibilité 1. Ambition et cadre de référence TablePlay s'efforce de rendre le site web, l'inscription, le portail client et les jeux pour invités utilisables par un large groupe d'utilisateurs, y compris les personnes présentant des limitations visuelles, auditives, motrices ou cognitives. Dans la mesure raisonnablement possible, les principes du WCAG 2.2 niveau AA sont utilisés comme cadre de référence technique et de contenu. Cela ne constitue pas une garantie que chaque élément soit, en toutes circonstances, entièrement conforme.

2. Statut actuel L'ensemble de l'environnement n'a pas encore fait l'objet d'un audit indépendant et intégral. TablePlay ne revendique donc pas à l'heure actuelle une conformité formelle complète au WCAG 2.2 AA. Les limitations possibles concernent les éléments de jeu en temps réel, la pression temporelle, le glisser-déposer, les animations, les pages externes de paiement ou d'authentification, les traductions, les affichages de couleurs plus anciens et les fonctions tactiles.

3. Mesures • HTML sémantique et libellés utilisables, le cas échéant. • Commande au clavier des fonctions essentielles et focus visible. • Contraste suffisant et texte adaptable. • Textes alternatifs pour les images informatives. • Aucune information essentielle transmise uniquement par la couleur. • Messages d'erreur compréhensibles et navigation cohérente. • Boutons et liens clairs. • Prise en charge des navigateurs courants et des formats d'écran. • Limitation des animations inutiles. • Langage compréhensible dans l'environnement invité. • Tests automatisés et manuels dans la mesure du possible.

4. Jeux et contrainte de temps Certains jeux sont par nature limités dans le temps. Lorsque cela est techniquement et ludiquement possible, TablePlay peut proposer des modes de jeu alternatifs, des délais élargis, moins de mouvement, des alternatives visuelles au son et du texte ou des symboles en plus de la couleur. Tout mode de jeu ne convient pas de manière égale à chaque utilisateur. Les restaurants sont encouragés à proposer plusieurs types de jeux.

Accord de sous-traitance et Politique de sécurité TablePlay

Page 9 sur 10

5. Responsabilité du client professionnel Le Client demeure responsable de l'accessibilité physique et opérationnelle du Lieu, y compris le placement des codes QR, la lisibilité des supports imprimés, l'aide alternative, l'accessibilité des écrans, le soutien du personnel et son propre contenu. Les codes QR sont placés de manière accessible et visible et, dans la mesure raisonnablement possible, une alternative est proposée aux Clients qui ne peuvent pas scanner de manière autonome.

6. Signalement et accès alternatif Les problèmes d'accessibilité peuvent être signalés via support@tableplay.online en mentionnant la page ou le jeu, l'appareil, le navigateur, la technologie d'assistance, une description et la solution souhaitée. TablePlay s'efforce d'accuser réception dans un délai de cinq jours ouvrables et de fournir une réponse substantielle dans un délai raisonnable. Lorsque cela est possible, des informations peuvent être fournies par e-mail, une assistance, une instruction alternative, un traitement manuel ou une autre possibilité de jeu.

7. Charge disproportionnée et amélioration Une adaptation peut être reportée lorsqu'elle n'est techniquement pas réalisable, qu'elle porte substantiellement atteinte à la sécurité, qu'elle modifie la nature fondamentale d'un jeu, qu'elle dépend d'un fournisseur externe ou qu'elle constitue une charge organisationnelle ou financière disproportionnée. TablePlay évalue alors une alternative. TablePlay peut prendre en compte l'accessibilité dans la conception, les tests, la priorisation, les retours des utilisateurs et les audits externes, et actualiser la présente déclaration.

8. Contact TablePlay by Jimani - Jimani B.V. - Albert Plesmanweg 122 - 4462 GC Goes - Pays-Bas - RCS 91644453 - TVA NL865722729B01 - support@tableplay.online.

Accord de sous-traitance et Politique de sécurité TablePlay

Page 10 sur 10

Liste complémentaire des sous-traitants Cette liste de sous-traitants fait partie intégrante de l'Accord de sous-traitance et de la Politique de sécurité de TablePlay. La liste actuelle peut être modifiée en cas de changement de fournisseurs, de régions ou de fonctions.

Fournisseur : Supabase Service : base de données, authentification, stockage et backend. Données possibles : comptes, données de table, pseudonymes, sessions, scores et journaux. Région / rôle : région UE principale dans la mesure où elle est configurée ; sous-traitant essentiel.

Fournisseur : Vercel Service : hébergement, exécution, diffusion de contenu et journalisation. Données possibles : adresse IP, données de requête, de navigateur, d'appareil et d'application. Région / rôle : EEE et éventuellement États-Unis ; sous-traitant d'hébergement.

Fournisseur : Twilio SendGrid Service : e-mails transactionnels et opérationnels. Données possibles : nom, adresse e-mail, informations de compte, contenu et statut de livraison. Région / rôle : international ; sous-traitant e-mail.

Fournisseur : OpenAI / autre fournisseur d'IA Service : uniquement en cas de fonctions IA activées. Données possibles : données limitées nécessaires à la fonction. Région / rôle : selon la configuration ; sous-traitant potentiel. TablePlay ne fournit aucune donnée identifiable de Client à un fournisseur d'IA à des fins d'entraînement général de modèle, sauf si cela est ultérieurement organisé de manière expresse, licite et transparente.

Fournisseur : Stripe Service : paiements, facturation et fraude. Données possibles : données professionnelles, factures, transactions et statut de paiement. Région / rôle : international ; rôle variable selon le traitement.

Fournisseur : Google / Meta / LinkedIn Service : analytique et marketing après consentement. Données possibles : données de site web, d'appareil, publicitaires et de conversion. Région / rôle : international ; généralement pas de sous-traitant pour les données de jeu de restaurant.