Accord de Traitement des Données (DPA)

Accord de Traitement des Données (DPA) 1. Définitions et Champ d'application Le présent Accord de Traitement des Données ("DPA") complète les Conditions de Service de AdminRentist et régit le traitement des données personnelles par MEDITERRAN-IA LTD ("Sous-traitant" ou "AdminRentist") au nom et pour le compte du client ("Responsable du traitement"). Le Responsable du traitement est une entreprise ou un professionnel qui souscrit aux services de la plateforme AdminRentist pour la gestion d'hébergements touristiques et des activités associées à cette gestion. Le Sous-traitant est une entreprise spécialisée dans la fourniture de services technologiques pour la gestion intégrale d'hébergements touristiques, au moyen d'une plateforme SaaS permettant de gérer les réservations, les voyageurs, les incidents, les prestataires et autres services associés au séjour. Considérant qu'en vertu des Conditions de Service acceptées par le Responsable du traitement, le Sous-traitant peut avoir accès à des données à caractère personnel pour lesquelles le client est le Responsable du traitement. Considérant que, conformément au Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD), les parties ont convenu de conclure le présent Accord de Traitement des Données. 2. Objet de l'Accord Le présent Accord a pour objet de régir le traitement par le Sous-traitant des données personnelles appartenant au client, afin de fournir les services définis dans les conditions générales (ci-après les "Services") confiés par le Responsable du traitement. Le présent Accord constitue un accès aux données pour le compte d'un tiers et non une cession ou communication de données à caractère personnel, de sorte que le client conserve la maîtrise des finalités et des moyens du traitement des données personnelles dont il a la responsabilité. 3. Durée Le traitement des données personnelles sera effectué pendant toute la durée de validité des Conditions de Service. À leur expiration, les données pourront être conservées pendant une durée maximale de soixante (60) jours exclusivement aux fins de récupération, restitution ou exportation des informations, restant verrouillées pour toute autre finalité. À l'issue de ce délai, elles seront définitivement supprimées de manière sécurisée, sauf obligation légale de conservation contraire. 4. Traitement des données à caractère personnel Les présentes stipulations autorisent le Sous-traitant à traiter, pour le compte du Responsable du traitement, les données personnelles nécessaires à la fourniture des Services. Le Sous-traitant a été sélectionné après vérification qu'il présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière à ce que le traitement réponde aux exigences légales et garantisse la protection des droits des personnes concernées. Les catégories de personnes concernées comprennent les propriétaires, gestionnaires, personnel de maintenance et voyageurs (noms, courriels, numéros de téléphone, données du registre des voyageurs et identifiants fiscaux). Le Sous-traitant effectuera les opérations de traitement suivantes : collecte, enregistrement, organisation, structuration, conservation, consultation, utilisation et effacement. 5. Obligations du Sous-traitant 2.1 Traitement sur instructions : AdminRentist traite les données personnelles uniquement sur instruction documentée du Responsable du traitement et exclusivement aux fins d'exécuter les Services. Toute utilisation pour d'autres finalités est strictement exclue. 2.2 Confidentialité et Sécurité : Le Sous-traitant garantit que tout le personnel autorisé à traiter les données est soumis à une obligation de confidentialité et n'agit que sur instruction du Responsable du traitement. De plus, il ne communiquera aucune donnée à des tiers sans autorisation expresse. Le Sous-traitant mettra en œuvre des mesures techniques et organisationnelles appropriées conformément à l'article 32 du RGPD et alignées sur le standard Cyber Essentials (chiffrement en transit et au repos, authentification multifacteur et contrôle d'accès basé sur les rôles). 2.3 Assistance et Droits des personnes : AdminRentist aide activement le Responsable du traitement à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits (accès, rectification, effacement, portabilité, opposition), ainsi qu'à réaliser des analyses d'impact (AIPD) et des consultations préalables auprès des autorités de contrôle. Si une personne concernée exerce ses droits directement auprès du Sous-traitant, ce dernier transmet la demande par courriel au Responsable du traitement sans délai et au plus tard le jour ouvrable suivant sa réception. Le Sous-traitant met également à disposition toutes les informations nécessaires pour prouver le respect des obligations du présent Accord. 2.4 Notification des violations de données : AdminRentist notifie au Responsable du traitement toute violation de sécurité dans les meilleurs délais et, dans la mesure du possible, dans un délai maximal de 24 à 48 heures suivant sa prise de connaissance. La notification précise la nature de la violation, les données concernées, les conséquences et les mesures correctives. La notification à l'autorité compétente dans un délai de 72 heures incombe au Responsable du traitement. 6. Obligations du Responsable du traitement Il appartient au Responsable du traitement de : 6.1 Veiller au respect de toutes les mesures techniques et organisationnelles nécessaires à la sécurité des données afin d'éviter leur altération, perte ou accès non autorisé. 6.2 Informer le Sous-traitant de toute modification des données afin de les maintenir à jour. 6.3 Collecter les données conformément à la législation applicable relative à la protection des données. 6.4 Le Responsable du traitement garantit : a. Que les données ont été collectées directement auprès des personnes concernées préalablement informées de manière expresse et précise sur : • L'existence du fichier de données. • Les finalités du traitement. • Les destinataires des informations. • Les conséquences de la non-fourniture des données. • L'exercice des droits (accès, rectification, effacement, opposition, limitation, portabilité). • L'identité et l'adresse du Responsable du traitement. b. Avoir informé les personnes des finalités explicites et légitimes du traitement. c. Offrir une procédure simple et gratuite pour s'opposer au traitement. d. Avoir mis en place les mesures de sécurité adéquates. e. Que le traitement est effectué uniquement par du personnel formé et soumis à la confidentialité. f. La licéité du traitement effectué. g. Avoir désigné un Délégué à la Protection des Données (DPO) si la réglementation l'impose. h. Tenir un Registre des Activités de Traitement. 7. Sous-traitants ultérieurs et Droit d'opposition 3.1 Autorisation générale : Le Responsable du traitement accorde une autorisation générale à AdminRentist pour faire appel à des sous-traitants ultérieurs. AdminRentist notifiera toute modification de la liste par écrit avec un préavis de 30 jours, permettant au Responsable du traitement de s'y opposer. L'absence d'opposition vaut acceptation. Les sous-traitants sont liés par des obligations équivalentes. 3.2 Liste actuelle : Les sous-traitants essentiels sont : (a) Amazon Web Services (AWS) (données hébergées au Royaume-Uni et dans l'EEE - Irlande) ; (b) Stripe, Inc. (passerelle de paiement et lutte contre la fraude) ; (c) Matomo (statistiques anonymisées). 8. Transferts internationaux et Audits 4.1 Garanties : En cas de transfert en dehors du Royaume-Uni ou de l'EEE, des garanties appropriées sont appliquées (IDTA, Clauses Contractuelles Types de la Commission Européenne (CCT/SCC), UK Addendum et évaluations d'impact de transfert). 4.2 Droit d'audit : AdminRentist autorise la réalisation d'audits raisonnables par le Responsable du traitement ou un tiers indépendant, sous réserve d'un préavis de 30 jours. 4.3 Restitution ou Destruction : À l'issue des Services, le Responsable du traitement choisit entre la restitution ou la suppression définitive des données. Les copies de sauvegarde sont désactivées et effacées au cycle suivant. 9. Responsabilité en cas de réclamation 9.1 En cas de procédure administrative ou de réclamation de tiers, le Sous-traitant en informe sans délai le Responsable du traitement et lui transmet les décisions rendues. 9.2 Si une autorité sanctionne le Responsable du traitement en raison d'un manquement imputable au Sous-traitant, ce dernier indemnisera le montant de la sanction, les intérêts légaux, frais de défense et dommages justifiés. 9.3 Les parties s'engagent à répondre des préjudices causés à l'autre en cas de négligence ou faute contractuelle. 10. Confidentialité 10.1 Les informations confidentielles échangées ne peuvent être utilisées qu'aux fins de l'exécution des Services et ne doivent pas être divulguées sans accord écrit. 10.2 Le Sous-traitant applique les mesures techniques nécessaires au respect du secret professionnel et de la confidentialité des données. 10.3 Cette obligation demeure en vigueur sans limitation de durée après la fin du contrat. 10.4 Sont exclues de la confidentialité les informations : a. Tombées dans le domaine public sans violation du présent contrat. b. Obtenues légitimement auprès de tiers non soumis au secret. c. Déjà connues préalablement à leur transmission. d. Dont la communication est requise par la loi. 11. Résiliation pour manquement En cas de manquement grave non réparé par l'une des parties, l'autre partie peut résilier le présent Accord sur simple notification. 12. Loi applicable et Juridiction compétente 12.1 Le présent Accord est régi par le droit de l'Angleterre et du Pays de Galles, et soumis à la compétence exclusive de leurs tribunaux. 12.2 La nullité d'une clause n'affecte pas la validité des autres dispositions, qui demeurent pleinement applicables.