Article 28 du RGPD
La présente annexe fait partie intégrante du contrat conclu entre le Client et Ma Réservation.
1. Rôles des parties
Dans le cadre des données personnelles que le Client collecte et traite au moyen de son espace Ma Réservation :
- le Client agit en qualité de responsable du traitement ;
- EI JULIEN LEVESQUE / Ma Réservation agit en qualité de sous-traitant.
Cette qualification concerne les traitements effectués par Ma Réservation pour le compte du Client.
Elle ne concerne pas les traitements que Ma Réservation réalise pour ses propres finalités, notamment la gestion de l'abonnement, la facturation, la sécurité de son propre Service et sa relation contractuelle avec le Client.
2. Objet du traitement
Ma Réservation est autorisé à traiter pour le compte du Client les données personnelles strictement nécessaires à la fourniture du Service de présentation des prestations, prise de rendez-vous en ligne, gestion du planning et des rendez-vous, accès des clients à leurs rendez-vous et communication transactionnelle.
3. Durée
Les traitements sont réalisés pendant la durée de l'abonnement.
Après sa cessation, les données peuvent être conservées pendant une période opérationnelle maximale de 30 jours, notamment afin de permettre leur récupération ou une éventuelle réactivation.
À l'issue de cette période, elles sont destinées à être supprimées des systèmes actifs, sauf obligation légale contraire.
4. Nature des opérations
Les opérations susceptibles d'être réalisées comprennent notamment :
- collecte par les interfaces mises à disposition ;
- enregistrement ;
- organisation ;
- conservation ;
- consultation technique lorsque nécessaire ;
- transmission au Client ;
- modification à la demande ou par l'intermédiaire du Service ;
- envoi de communications transactionnelles ;
- suppression.
5. Finalités
Les traitements ont pour finalités :
- permettre aux clients du Client de réserver un rendez-vous en ligne ;
- permettre au Client de consulter, confirmer, refuser, modifier et annuler les rendez-vous, et d'organiser son planning et celui de ses collaborateurs ;
- permettre aux clients du Client de consulter leurs rendez-vous et, lorsque le Client l'autorise, de les annuler ;
- permettre l'envoi des notifications nécessaires au fonctionnement du Service ;
- assurer l'hébergement, la sécurité, la maintenance et le support technique du Service.
Ma Réservation ne peut utiliser ces données pour ses propres finalités commerciales sans base juridique distincte et, lorsque cela est nécessaire, sans instruction ou autorisation appropriée.
6. Personnes concernées
Les personnes concernées peuvent notamment être :
- les clients du Client ;
- ses prospects ;
- les personnes réservant ou consultant un rendez-vous ;
- les collaborateurs du Client dont le nom apparaît dans le Service ;
- les contacts renseignés dans le cadre d'un rendez-vous.
7. Catégories de données
Selon la configuration et l'utilisation du Service, les données traitées peuvent notamment comprendre :
- nom ;
- prénom ;
- adresse e-mail ;
- numéro de téléphone ;
- informations relatives à un rendez-vous : prestation réservée, date, heure, durée et, le cas échéant, collaborateur ;
- commentaires librement renseignés ;
- historique et statut du rendez-vous (en attente, confirmé, refusé, annulé) ;
- nom, couleur d'affichage et horaires des collaborateurs du Client ;
- données techniques nécessaires au fonctionnement et à la sécurité du Service.
Le Service n'est pas conçu pour collecter des catégories particulières de données personnelles au sens de l'article 9 du RGPD.
Le Client s'engage à ne pas demander ni saisir de telles données sauf nécessité légale dûment identifiée et mise en place préalable de garanties appropriées.
8. Instructions du Client
Ma Réservation traite les données uniquement sur instruction documentée du Client.
La configuration et l'utilisation normale du Service par le Client constituent des instructions documentées pour les traitements nécessaires à la fourniture des fonctionnalités demandées.
Si Ma Réservation estime qu'une instruction constitue une violation de la réglementation applicable à la protection des données, il en informe le Client dans les meilleurs délais.
9. Confidentialité
Ma Réservation veille à ce que les personnes autorisées à accéder aux données soient soumises à une obligation appropriée de confidentialité.
L'accès humain aux données est limité à ce qui est nécessaire notamment pour le support, la sécurité, le diagnostic d'un incident ou l'exécution d'une instruction du Client.
10. Sécurité
Ma Réservation met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques, notamment selon les fonctionnalités effectivement déployées :
- contrôle des accès ;
- authentification des interfaces d'administration ;
- isolation logique des espaces Clients ;
- chiffrement des communications réseau au moyen de protocoles sécurisés ;
- limitation des accès techniques aux données ;
- hébergement sur une infrastructure professionnelle ;
- stockage reposant sur des mécanismes de résilience de l'infrastructure ;
- journalisation technique lorsque nécessaire ;
- mises à jour et maintenance du Service ;
- mécanismes destinés à limiter les soumissions automatisées et certains abus.
Le Client demeure responsable de la sécurité de ses propres identifiants et terminaux ainsi que de la gestion des personnes auxquelles il autorise l'accès.
11. Sous-traitants ultérieurs
Le Client autorise de manière générale Ma Réservation à recourir aux sous-traitants techniques nécessaires à la fourniture du Service.
À la date de la présente version, il s'agit notamment de :
Scaleway
Utilisé pour :
- l'hébergement applicatif ;
- les ressources de calcul ;
- le stockage objet ;
- la gestion de certains secrets techniques ;
- l'envoi des e-mails transactionnels ;
- les services d'infrastructure nécessaires au fonctionnement de Ma Réservation.
Cloudflare
Utilisé pour certains services techniques et de sécurité, notamment Cloudflare Turnstile, destiné à protéger les formulaires contre les abus et soumissions automatisées.
Dans ce cadre, certaines informations techniques, notamment l'adresse IP et des informations relatives au navigateur ou à l'appareil, peuvent être traitées.
Stripe
Stripe intervient dans la relation entre Ma Réservation et le Client pour le paiement et la gestion de l'abonnement SaaS.
Stripe ne reçoit pas les données des rendez-vous ni des clients du Client dans le cadre du fonctionnement normal de Ma Réservation.
Ma Réservation veille à imposer aux sous-traitants ultérieurs concernés des obligations de protection des données appropriées.
En cas d'ajout ou de remplacement substantiel d'un sous-traitant ultérieur intervenant dans le traitement des données confiées par le Client, Ma Réservation informe celui-ci de manière appropriée afin qu'il puisse faire valoir une objection légitime relative à la protection des données.
12. Localisation et transferts
L'infrastructure applicative et de stockage utilisée pour les données métier de Ma Réservation est configurée auprès de Scaleway dans une région située en France.
Le service d'e-mail transactionnel Scaleway utilisé par Ma Réservation traite ses données dans l'Union européenne.
Certains autres prestataires techniques, notamment Cloudflare ou Stripe, sont susceptibles d'effectuer des traitements internationaux selon les services concernés et les garanties juridiques qu'ils mettent en œuvre.
Lorsque la réglementation l'exige, les mécanismes appropriés de protection des transferts internationaux doivent être appliqués.
13. Assistance au Client
Compte tenu de la nature du traitement et dans la mesure raisonnablement possible, Ma Réservation assiste le Client pour lui permettre de répondre aux demandes d'exercice de droits des personnes concernées.
Lorsqu'une demande concernant manifestement les données traitées pour le compte d'un Client est reçue directement par Ma Réservation, celle-ci peut être transmise au Client concerné afin qu'il y donne suite en sa qualité de responsable du traitement.
Ma Réservation ne répond pas à la place du Client sur le fond d'une demande lorsque cette décision relève de la responsabilité du Client, sauf obligation légale.
14. Violation de données personnelles
Ma Réservation informe le Client dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles affectant les données traitées pour son compte.
Ma Réservation communique, dans la mesure des informations disponibles, les éléments utiles permettant au Client de satisfaire à ses propres obligations réglementaires.
La notification d'un incident par Ma Réservation ne constitue pas une reconnaissance de responsabilité.
15. Analyse d'impact et autorités de contrôle
Dans la mesure raisonnablement nécessaire et compte tenu des informations dont il dispose, Ma Réservation apporte son assistance au Client pour ses obligations relatives à la sécurité, aux analyses d'impact et aux consultations d'une autorité de contrôle lorsque le traitement réalisé au moyen de Ma Réservation est concerné.
16. Sort des données
À la fin de la prestation, le Client peut récupérer les données que le Service permet d'exporter ou de consulter avant leur suppression.
Les données sont ensuite destinées à être supprimées conformément au délai prévu au contrat, sauf obligation légale imposant leur conservation.
La suppression des données des systèmes actifs n'implique pas nécessairement leur disparition instantanée de tous les mécanismes techniques temporaires nécessaires au fonctionnement de l'infrastructure, lorsque leur conservation résiduelle est strictement limitée et protégée.
17. Informations et audits
Ma Réservation tient à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect des obligations prévues par l'article 28 du RGPD.
Le Client peut demander les informations nécessaires à l'évaluation des mesures mises en œuvre.
Lorsqu'un audit supplémentaire est objectivement nécessaire, ses modalités sont convenues entre les parties afin de préserver la sécurité, la confidentialité des autres Clients et la continuité du Service.
Sauf incident grave ou exigence d'une autorité compétente, les audits doivent être réalisés avec un préavis raisonnable et ne pas perturber de manière disproportionnée le fonctionnement du Service.
18. Obligations du Client
Le Client demeure responsable :
- de la licéité de la collecte ;
- de la détermination des finalités et bases juridiques ;
- de l'information des personnes concernées ;
- du respect de leurs droits ;
- de la définition des durées de conservation appropriées à son activité ;
- des données qu'il choisit de collecter ;
- de la configuration du Service ;
- du respect de ses obligations professionnelles et réglementaires.
Le Client s'engage notamment à fournir aux personnes utilisant son espace Ma Réservation une information conforme à la réglementation sur la protection des données.
19. Contact
Pour toute question concernant la protection des données dans le cadre du Service :