Accord de sous-traitance des données personnelles

Le présent accord complète les CGU / CGV et s'applique dès la création du compte du salon. Il est conclu entre le salon abonné (« le Responsable de traitement ») et Louis Guilleminot (« le Sous-traitant »), conformément à l'article 28 du règlement (UE) 2016/679 (RGPD).

1. Objet, nature et finalité

Le Sous-traitant héberge et traite, pour le compte du Responsable de traitement, les données de ses clients afin de fournir le service Rituflow : prise de rendez-vous en ligne, fiches clients, agenda, suivi des réservations et messagerie de support. Le traitement consiste à collecter, enregistrer, organiser, conserver, consulter, modifier et supprimer ces données, aux seules fins de fournir le service.

2. Données et personnes concernées

• Personnes concernées : les clients et prospects du salon.
• Données : nom, téléphone, adresse email, notes de rendez-vous, historique des réservations.
• Aucune donnée de santé ni autre catégorie particulière de données ne doit être saisie dans le service, sauf décision expresse du Responsable de traitement, qui en assume alors seul la responsabilité.

3. Durée

L'accord dure aussi longtemps que le compte du salon. À la résiliation, les données sont conservées trois mois, délai pendant lequel le Responsable de traitement peut en demander une copie, puis supprimées définitivement.

4. Obligations du Sous-traitant

• Traiter les données uniquement sur instruction documentée du Responsable de traitement. Les CGU/CGV, l'utilisation des fonctionnalités du service et les demandes écrites du salon valent instructions. Le Sous-traitant informe le salon s'il estime qu'une instruction contrevient au RGPD.
• Garantir la confidentialité : les personnes autorisées à accéder aux données sont tenues à une obligation de confidentialité.
• Mettre en œuvre les mesures de sécurité de l'article 32 : mots de passe hachés (scrypt), chiffrement des échanges et de l'accès à la base, double authentification des administrateurs, limitation des tentatives de connexion, journalisation des accès de support.
• Ne pas utiliser les données pour son propre compte, ni à des fins commerciales ou statistiques propres à Rituflow.
• Ne pas transférer les données hors de l'Union européenne sans garanties appropriées (clauses contractuelles types ou cadre de protection des données UE–États-Unis).

5. Sous-traitants ultérieurs

Le Responsable de traitement donne une autorisation générale de recourir aux sous-traitants ultérieurs suivants, qui sont soumis aux mêmes obligations de protection :

• Vercel Inc. — hébergement de l'application et mesure d'audience anonyme (États-Unis).
• Neon, LLC (filiale de Databricks, Inc.) — hébergement de la base de données (États-Unis, données stockées dans l'Union européenne (Francfort)).
• Stripe Payments Europe, Ltd. — traitement des paiements et facturation (Irlande).
• OVH SAS — envoi des emails transactionnels (réinitialisation de mot de passe) et messagerie de contact (France).

Toute adjonction ou tout remplacement d'un sous-traitant ultérieur est notifié au salon par email au moins trente jours à l'avance. Le salon peut s'y opposer pour un motif légitime ; à défaut de solution, il peut résilier son abonnement sans frais.

6. Droits des personnes concernées

Le Responsable de traitement répond aux demandes d'exercice des droits. Le Sous-traitant l'y aide : le salon peut consulter, modifier et supprimer chaque fiche client depuis son tableau de bord, et en exporter l'intégralité au format CSV. Si le Sous-traitant reçoit directement une demande d'un client du salon, il la transmet au salon dans un délai raisonnable.

7. Violation de données

Le Sous-traitant notifie le Responsable de traitement de toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, par email à l'adresse du compte, avec les informations utiles pour qu'il puisse, le cas échéant, notifier la CNIL et les personnes concernées.

8. Assistance

Le Sous-traitant assiste le Responsable de traitement, compte tenu de la nature du traitement, pour garantir le respect des articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact et consultations préalables), sur demande écrite à contact@rituflow.fr.

9. Sort des données en fin de contrat

Au terme du délai de trois mois prévu à l'article 3, les données sont supprimées définitivement, ainsi que leurs copies, sauf obligation légale de conservation. Une copie peut être remise au salon sur demande pendant ce délai.

10. Audit et documentation

Le Sous-traitant met à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits, par le salon ou un auditeur qu'il mandate, sur préavis raisonnable de trente jours, une fois par an, dans des conditions préservant la sécurité des autres salons.

11. Obligations du Responsable de traitement

• Informer ses clients du traitement de leurs données (le formulaire de réservation en ligne affiche une information type, complétée par les coordonnées du salon).
• Disposer d'une base légale pour les données qu'il saisit et ne saisir que les données nécessaires.
• Inscrire le traitement à son registre des activités de traitement.
• Fixer la durée de conservation de ses fiches clients et supprimer celles devenues inutiles.

12. Droit applicable

Le présent accord est soumis au droit français.