Accord de sous-traitance

Parties et objet

Le présent accord, conclu en application de l'article 28 du règlement (UE) 2016/679 (RGPD), lie le professionnel titulaire d'un compte, responsable du traitement, et l'éditeur identifié dans les mentions légales, sous-traitant. Il définit les conditions dans lesquelles le sous-traitant traite les données des clients et de l'équipe du professionnel pour son compte. Il fait partie des conditions d'utilisation et prend effet à la création du compte.

Description du traitement

• Nature et finalités : hébergement et fourniture du service, soit le site, les réservations, le planning, la relation client, la fidélité, la boutique, les messages et le suivi d'activité.
• Personnes concernées : clients et prospects du professionnel, membres de son équipe.
• Données : identité et coordonnées, rendez-vous et visites, achats et fidélité, retours, notes saisies par le professionnel et, si la garantie par carte est activée, références de carte et de paiement, sans le numéro de carte.
• Données sensibles : aucune n'est requise. Le professionnel s'interdit d'en saisir.

Durée

Le présent accord s'applique pendant toute la durée d'utilisation du service, puis jusqu'à la suppression des données.

Instructions et finalité

Le sous-traitant traite les données uniquement pour les finalités ci-dessus et selon les instructions documentées du responsable du traitement, constituées par le présent accord, les réglages du service et ses demandes écrites. Il l'informe si une instruction lui paraît contraire à la réglementation, ou si le droit applicable l'oblige à un traitement ou à un transfert, sauf interdiction légale. Il n'utilise pas ces données pour son propre compte.

Confidentialité

Le sous-traitant garantit que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité. Il n'accède aux données des clients du professionnel que sur instruction de celui-ci ou lorsque la sécurité du service l'exige.

Sécurité

Le sous-traitant met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment le chiffrement des échanges, le stockage des mots de passe sous forme d'empreinte, le cloisonnement des données de chaque professionnel, des droits d'accès limités, une authentification renforcée pour l'accès de l'éditeur et la journalisation de ses interventions. Le professionnel reste responsable de la gestion des accès de son équipe.

Sous-traitants ultérieurs

Le responsable du traitement autorise de manière générale le recours aux sous-traitants ultérieurs ci-dessous. Le sous-traitant l'informe par courrier électronique de tout ajout ou remplacement au moins 30 jours à l'avance. Le responsable du traitement peut s'y opposer en résiliant le contrat sans frais avant cette date. Le sous-traitant impose à ces prestataires des obligations équivalentes et reste responsable de leur exécution.

• Vercel Inc., États-Unis : exécution de l'application.
• Supabase Pte. Ltd., Singapour : base de données et fichiers, hébergés dans la région de Paris.
• Plus Five Five, Inc., dite Resend, États-Unis : envoi des courriers électroniques.
• Services de notification des navigateurs et systèmes : acheminement des alertes sur appareil.
• OVH SAS, France : messagerie d'assistance de l'éditeur.

Lorsque le professionnel active la garantie par carte, les données de paiement sont traitées par la société Stripe, avec laquelle il contracte directement.

Transferts hors de l'Union européenne

Les transferts vers ces prestataires sont encadrés par le cadre de protection des données UE–États-Unis lorsque le destinataire y adhère, et par les clauses contractuelles types de la Commission européenne. Une copie des garanties applicables est communiquée sur demande.

Information et droits des personnes

Il appartient au responsable du traitement d'informer les personnes concernées et de répondre à leurs demandes. Le sous-traitant l'y aide par les fonctions du service et, si une demande lui parvient directement, la lui transmet sans donner suite lui-même.

Violations de données

Le sous-traitant notifie au responsable du traitement toute violation de données personnelles par courrier électronique, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les éléments dont il dispose : nature de la violation, personnes et données concernées, conséquences probables et mesures prises ou envisagées. Il appartient au responsable du traitement d'en informer la CNIL et, le cas échéant, les personnes concernées.

Assistance

Le sous-traitant aide le responsable du traitement, dans la mesure raisonnable et selon les informations dont il dispose, à garantir la sécurité du traitement, à réaliser une analyse d'impact et à consulter la CNIL si nécessaire.

Sort des données

Le responsable du traitement peut exporter ses données depuis son espace à tout moment. Après la clôture du compte, le sous-traitant supprime les données dans un délai de 30 jours, puis des sauvegardes selon leur cycle de rotation, sauf obligation légale de conservation. Il atteste de la suppression sur demande.

Registre, contact et audit

Le sous-traitant tient un registre des traitements effectués pour le compte du responsable du traitement. N'ayant pas désigné de délégué à la protection des données, il indique pour point de contact l'adresse contact@pavril.fr. Il met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet, moyennant un préavis raisonnable et une obligation de confidentialité, la réalisation d'audits, sans accès aux données d'un autre professionnel.

Obligations du responsable du traitement

Le responsable du traitement garantit disposer d'une base légale pour les données confiées, informer les personnes concernées, documenter ses instructions et veiller au respect du RGPD pendant la durée du traitement.