Accord de traitement des données (DPA)

Accord conformément à l'art. 28 du RGPD · Version du DPA : Version 1

Entre [Responsable du traitement]

— ci-après le « Responsable du traitement » —

et Trust Center

— ci-après le « Sous-traitant » —

Modèle — basé sur le RGPD/DPA publié de fotostudio.io. En attente de revue juridique. Modifiez ce fichier (db/legal/dpa/fr.md) puis relancez le seed pour publier.

Contrat de sous-traitance des données (RGPD)

Le présent contrat de sous-traitance (« Contrat ») fait partie de l'accord entre le Client (« Responsable du traitement ») et Fotosoft SA, société de droit belge (n° d'entreprise BE 0721.709.989), éditrice de la plateforme fotostudio.io (« Sous-traitant »), et régit le traitement des données personnelles conformément à l'article 28 du RGPD.

1. Rôles et objet

Le Client (photographe ou studio professionnel) est le Responsable du traitement des données personnelles qu'il importe ou génère sur la plateforme. Fotosoft agit uniquement en tant que Sous-traitant, traitant ces données sur instruction documentée du Client afin de fournir le service (CRM, réservations, galeries, contrats, facturation, e-mails).

2. Nature, finalité et durée

Fotosoft s'engage à ne traiter les données que dans le cadre de ces finalités. Le traitement dure le temps de l'abonnement du Client.

3. Catégories de données et de personnes concernées

Personnes concernées : les clients et contacts du Responsable, ainsi que son personnel.
Catégories : données d'identification et de contact, données de réservation et de contrat, données de facturation et fichiers images importés.

4. Obligations du Sous-traitant

Fotosoft s'engage à : ne traiter les données que sur instruction documentée ; garantir la confidentialité des personnes autorisées ; mettre en œuvre les mesures de l'Annexe 1 (MTO) ; assister le Responsable dans les demandes des personnes concernées et ses obligations au titre des articles 32 à 36 du RGPD ; supprimer ou restituer les données en fin de relation (voir §8).

5. Sous-traitants ultérieurs

5.1 Autorisation générale. Le Responsable du traitement accorde à Fotosoft une autorisation écrite générale au sens de l'art. 28, § 2, 2ᵉ phrase, du RGPD pour recourir à d'autres sous-traitants (« sous-traitants ultérieurs »). Les sous-traitants ultérieurs autorisés à la date de conclusion figurent à l'Annexe 2.

5.2 Liste dynamique. La liste à jour de tous les sous-traitants ultérieurs — nom, finalité, localisation et catégories de données — est tenue et versionnée par Fotosoft de façon continue dans le Trust Center, à la rubrique « Sous-traitants ultérieurs ». Cette liste dynamique fait foi et fait partie intégrante du présent AVV ; l'Annexe 2 en reflète l'état à la date de conclusion.

5.3 Information préalable. Lorsque Fotosoft envisage d'ajouter ou de remplacer un sous-traitant ultérieur, Fotosoft en informe le Responsable du traitement moyennant un préavis raisonnable avant la date d'effet prévue. L'information est donnée activement par e-mail à l'adresse du Responsable enregistrée pour l'AVV conclu ; en outre, le Responsable peut s'abonner aux notifications de changement dans le Trust Center. Il appartient au Responsable de maintenir une adresse e-mail de contact valide et à jour.

5.4 Droit d'opposition. Le Responsable du traitement peut s'opposer à une modification envisagée pour un motif légitime lié à la protection des données jusqu'à la date d'effet annoncée. À défaut d'opposition à cette date, la modification est réputée approuvée et prend effet à la date annoncée.

5.5 Conséquences de l'opposition. En cas d'opposition, les parties recherchent de bonne foi une solution amiable. À défaut d'accord dans un délai raisonnable, le Responsable peut résilier, pour la partie du Service nécessitant le sous-traitant ultérieur, de manière extraordinaire. Le retrait d'un sous-traitant ultérieur sans remplacement ne constitue pas une modification soumise à approbation et ne requiert aucune autorisation préalable.

5.6 Répercussion des obligations. Fotosoft impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données substantiellement identiques à celles prévues au présent AVV, et demeure responsable envers le Responsable du traitement de leur respect.

6. Mesures techniques et organisationnelles (MTO)

6.1 Mesures. Fotosoft met en œuvre et maintient les mesures techniques et organisationnelles au titre de l'article 32 du RGPD garantissant un niveau de sécurité adapté au risque. Les mesures en vigueur à la date de conclusion figurent à l'Annexe 1.

6.2 Document dynamique. La version à jour des MTO — y compris leur portée et leur contenu — est tenue et versionnée par Fotosoft de façon continue dans le Trust Center. Cette version fait foi et fait partie intégrante du présent Contrat ; l'Annexe 1 en reflète l'état à la date de conclusion.

6.3 Évolution. Fotosoft peut adapter les MTO au regard de l'évolution technique et organisationnelle, à condition que le niveau de protection convenu ne soit pas substantiellement réduit. Contrairement aux sous-traitants ultérieurs (§5), aucun droit de consentement ou d'opposition ne s'applique à cet égard.

6.4 Information. Les modifications des MTO sont rendues traçables par versionnage dans le Trust Center, où le Responsable du traitement peut s'abonner aux notifications de changement. Une notification individuelle active par e-mail n'est pas requise à cet effet.

7. Transferts internationaux

Fotosoft ne procède à aucun transfert de données personnelles en dehors de l'Espace économique européen, sauf décision d'adéquation ou garanties appropriées telles que les Clauses Contractuelles Types de l'UE. Toutes les données sont hébergées exclusivement en Europe.

8. Suppression

À la fin du contrat, l'ensemble des données personnelles est définitivement supprimé des serveurs dans un délai de 30 jours ; les sauvegardes sont supprimées à l'expiration de leur durée de conservation.

9. Incidents de sécurité

Fotosoft notifie le Responsable dans les meilleurs délais, et dans les 72 heures lorsque la violation concerne des données personnelles.

10. Audits

Fotosoft met à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD.

11. Droit applicable

Le présent Contrat est régi par le droit belge ; les tribunaux compétents sont ceux de Liège.

Annexe 1 — Mesures techniques et organisationnelles

Reflète l'état du document MTO à la date de conclusion. La version à jour est tenue et versionnée dans le Trust Center (§6.2).

Annexe 2 — Sous-traitants autorisés

Voir la liste Sous-traitants distincte, qui fait foi et reflète l'état actuel (§5.2). L'Annexe 2 en reflète l'état à la date de conclusion.

Contrat de sous-traitance (RGPD)