Accord de sous-traitance des données (DPA)

Le professionnel agit comme responsable du traitement pour les données de ses clients, prospects, collaborateurs et rendez-vous qu'il confie au service. MesCréneaux agit comme sous-traitant pour ces opérations, sauf lorsqu'il traite certaines données pour ses propres finalités légitimes et obligations (gestion du compte, facturation, sécurité, prévention de la fraude, preuve et conformité), pour lesquelles l'exploitant de MesCréneaux agit comme responsable du traitement.

Le traitement a pour objet la fourniture du service MesCréneaux pendant la durée de la relation contractuelle : hébergement et organisation des données, gestion de l'agenda et des réservations, gestion de la clientèle, collaborateurs, communications transactionnelles, fidélité, support, export et fonctions activées par le professionnel. MesCréneaux ne traite ces données que sur instruction documentée du professionnel, y compris les instructions résultant de l'utilisation normale des fonctions du service, sauf obligation légale contraire.

• Personnes : clients et prospects du professionnel, collaborateurs et utilisateurs autorisés.
• Données : identité, coordonnées, informations de rendez-vous, prestations, historique nécessaire au service, préférences de communication, données de fidélité et contenus saisis par les utilisateurs.
• Le service n'est pas conçu pour collecter des données de santé ou d'autres catégories particulières de données au sens de l'article 9 du RGPD. Le professionnel s'engage à ne pas en saisir sauf nécessité licite préalablement évaluée et encadrée.

• traiter les données uniquement sur instructions documentées et informer le professionnel si une instruction paraît contraire au RGPD ;
• veiller à ce que les personnes autorisées soient soumises à une obligation de confidentialité ;
• mettre en œuvre des mesures techniques et organisationnelles appropriées au risque ;
• aider raisonnablement le professionnel à répondre aux demandes d'exercice des droits et à respecter ses obligations de sécurité, notification de violation et analyse d'impact lorsque cela est applicable ;
• mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 et permettre les audits raisonnables selon des modalités protégeant la sécurité et la confidentialité des autres clients.

Le professionnel autorise de manière générale le recours aux sous-traitants ultérieurs nécessaires au service. MesCréneaux tient à disposition une liste à jour et informe le professionnel des changements significatifs suffisamment à l'avance lorsque cela est requis, afin de lui permettre d'émettre une objection motivée liée à la protection des données. Des obligations de protection substantiellement équivalentes sont imposées aux sous-traitants ultérieurs.

Lorsqu'un traitement implique un transfert de données hors de l'Espace économique européen, MesCréneaux veille à l'existence d'un mécanisme de transfert conforme au chapitre V du RGPD, tel qu'une décision d'adéquation ou des garanties appropriées, selon la situation du prestataire.

MesCréneaux applique notamment des contrôles d'accès et d'isolation des établissements, une limitation des privilèges, des mécanismes de protection des actions publiques, une journalisation des opérations sensibles et des procédures de sauvegarde et de gestion d'incident adaptées au service. En cas de violation de données personnelles affectant des données traitées pour le compte du professionnel, MesCréneaux l'en informe dans les meilleurs délais après en avoir pris connaissance et lui communique les informations disponibles utiles à ses propres obligations.

Lorsque MesCréneaux reçoit directement une demande concernant des données traitées exclusivement pour le compte d'un professionnel, elle la transmet ou l'oriente vers ce professionnel, sauf obligation légale contraire. Le service fournit des moyens d'accès, de rectification, d'export ou de suppression lorsque ceux-ci sont disponibles et appropriés.

À la fin de la prestation, les données confiées sont, au choix et selon les possibilités prévues par le service, restituées/exportées puis supprimées ou anonymisées après la période de transition applicable, sauf obligation légale imposant leur conservation. Les sauvegardes résiduelles sont purgées selon leur cycle technique et restent protégées jusqu'à leur suppression.

Le professionnel détermine et documente les finalités, bases légales, informations à fournir aux personnes, durées de conservation et habilitations relevant de ses traitements. Il veille à ne collecter que les données nécessaires et à utiliser les fonctions de communication conformément aux règles applicables.

L'identité juridique complète de l'exploitant sera renseignée dès la constitution de la structure et avant l'ouverture commerciale payante.