Accord de sous-traitance (article 28 du RGPD)

1. Parties et rôles

Le professionnel titulaire d'un espace professionnel, désigné « le Professionnel », décide des traitements qu'il réalise sur les données de ses clients et de leurs animaux. Il est responsable de ces traitements. PetUnite, dont l'identité figure ci-dessous, traite ces données pour le compte du Professionnel. Elle agit comme sous-traitant au sens de l'article 28 du RGPD. Pour les comptes des utilisateurs, l'abonnement et sa facturation, la sécurité de la plateforme et la mesure d'audience, PetUnite agit pour son propre compte, comme le décrit la politique de confidentialité. Ces traitements ne relèvent pas du présent accord.

Statut

Personne physique

Adresse

62 boulevard Jean Ingres, 44100 Nantes

Éditeur et directeur de la publication

Fabien Kerinec

Contact

[email protected]

Contact pour les données personnelles

[email protected]

2. Durée

L'accord s'applique dès la création de l'espace professionnel et pendant toute la durée d'utilisation du service. Il prend fin avec la fermeture de l'espace professionnel, une fois réalisées la restitution ou la suppression des données prévues à la section « Fin du contrat ».

3. Objet, nature et finalités

PetUnite met à la disposition du Professionnel une plateforme de gestion de son activité. Pour son compte, PetUnite héberge, enregistre, organise, affiche, transmet et supprime des données, pour les finalités suivantes : - gestion des clients et de leurs animaux ; - gestion des créneaux et des réservations, y compris les réservations faites sans compte depuis la page de réservation publique du Professionnel ; - rédaction et partage des comptes-rendus de séance, des commentaires, des exercices et des plans d'entraînement ; - stockage des fichiers joints (photos, vidéos, documents) ; - facturation des clients et paiements en ligne ; - envoi aux clients d'e-mails et de notifications liés à ces services (invitations, réservations, comptes-rendus, factures, rappels de paiement).

4. Données et personnes concernées

Personnes concernées : - les clients du Professionnel, y compris les personnes qui réservent sans compte ; - les collaborateurs du Professionnel, pour les données liées à leur activité dans l'espace (auteur d'un compte-rendu, par exemple) ; - les professionnels tiers que le Professionnel recommande à ses clients (vétérinaire, toiletteur, par exemple). Données traitées : - identité et coordonnées : nom, prénom, adresse e-mail, et téléphone pour les réservations sans compte ; - professionnels recommandés : nom, coordonnées (e-mail, téléphone, adresse) et note du Professionnel ; - animaux : nom, espèce, race, date de naissance, notes ; - réservations : créneaux, dates, statuts ; - contenus : comptes-rendus (notes communes et notes privées visibles du seul client concerné), commentaires, exercices, plans d'entraînement et leur suivi, fichiers joints ; - facturation : factures, montants, forfaits, paiements et références de paiement, sans les données de carte. Le Professionnel n'enregistre pas de données sensibles au sens de l'article 9 du RGPD (par exemple des données de santé de ses clients), sauf si cela est nécessaire et licite.

5. Instructions documentées

PetUnite traite les données uniquement sur instruction documentée du Professionnel. Constituent ses instructions : le présent accord, les CGU, les CGV, ainsi que les réglages et les actions du Professionnel dans l'application. PetUnite informe le Professionnel si une instruction lui paraît contraire au RGPD. Si le droit de l'Union européenne ou d'un État membre impose à PetUnite un autre traitement, PetUnite en informe le Professionnel avant ce traitement, sauf si ce droit l'interdit.

6. Confidentialité

Les personnes autorisées par PetUnite à traiter les données s'engagent à en respecter la confidentialité ou sont soumises à une obligation légale de confidentialité. Elles n'y accèdent que si c'est nécessaire au fonctionnement, au support ou à la sécurité du service.

7. Sécurité (article 32 du RGPD)

PetUnite met en œuvre les mesures suivantes : - chiffrement des échanges entre les navigateurs ou l'application mobile et la plateforme (HTTPS/TLS, HSTS) ; - mots de passe stockés sous forme hachée (scrypt), limitation des tentatives de connexion et blocage temporaire après cinq échecs ; - jetons de connexion à durée de vie limitée ; - contrôle d'accès par rôle (propriétaire, administrateur, employé, client) et cloisonnement des données de chaque espace professionnel, vérifiés par le serveur ; - notes privées des comptes-rendus visibles du seul client concerné et du Professionnel ; - fichiers joints, miniatures, documents PDF et exports de données conservés dans un espace de stockage privé, en juridiction UE, sans adresse publique : un fichier n'est lisible que par un lien signé à durée limitée (quelques minutes), délivré par le serveur après vérification des droits de l'utilisateur et de l'espace professionnel concerné ; - sauvegarde quotidienne de la base de données, chiffrée avant son envoi vers le stockage de sauvegarde, conservée 30 jours et vérifiée chaque semaine par une restauration de test ; - secrets techniques (clés d'API, mots de passe de service) conservés hors du code source ; - en-têtes de sécurité (politique de sécurité du contenu, refus de l'affichage dans des sites tiers). PetUnite peut faire évoluer ces mesures sans réduire le niveau de sécurité.

8. Sous-traitants ultérieurs

Le Professionnel autorise PetUnite à faire appel aux sous-traitants ultérieurs listés en annexe. PetUnite leur impose par contrat des obligations de protection des données équivalentes à celles du présent accord. Elle reste responsable envers le Professionnel de leurs manquements. PetUnite informe le Professionnel de tout ajout ou remplacement d'un sous-traitant ultérieur, par e-mail ou dans l'application, au moins 30 jours avant le changement. Pendant ce délai, le Professionnel peut s'y opposer pour un motif légitime lié à la protection des données. À défaut d'accord, il peut résilier son abonnement avant que le changement prenne effet.

9. Transferts hors de l'Union européenne

Certains sous-traitants ultérieurs sont établis hors de l'Union européenne ou peuvent y traiter des données. Chaque transfert repose sur une décision d'adéquation, dont le EU-US Data Privacy Framework pour les sociétés certifiées, ou sur les clauses contractuelles types de la Commission européenne. L'annexe indique la garantie retenue pour chaque sous-traitant.

10. Droits des personnes concernées

Les clients du Professionnel exercent leurs droits (accès, rectification, effacement, limitation, portabilité, opposition) auprès du Professionnel. Si PetUnite reçoit directement une telle demande, elle la transmet sans délai au Professionnel et n'y répond pas elle-même, sauf instruction de sa part. PetUnite aide le Professionnel à répondre à ces demandes. L'application permet de modifier ou de supprimer certains contenus. Un client qui a un compte PetUnite peut aussi demander depuis son compte l'export de ses données et la suppression de son compte. L'application ne permet pas au Professionnel d'effacer en une fois toutes les données d'un client : PetUnite procède à cet effacement sur sa demande, dans un délai d'un mois.

11. Assistance au Professionnel

PetUnite aide le Professionnel, compte tenu de la nature du traitement et des informations dont elle dispose, à respecter ses obligations relatives à la sécurité du traitement, à la notification des violations de données, à l'analyse d'impact et à la consultation préalable de la CNIL (articles 32 à 36 du RGPD). Elle lui communique notamment la description des mesures de sécurité et la liste des sous-traitants ultérieurs.

12. Violation de données

PetUnite notifie au Professionnel toute violation de données personnelles concernant ses données, sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l'adresse du propriétaire de l'espace professionnel. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Ces informations peuvent être transmises en plusieurs fois. Le Professionnel, responsable de traitement, notifie la violation à la CNIL et, si nécessaire, aux personnes concernées. PetUnite l'aide à le faire.

13. Fin du contrat : restitution et suppression

Avant la fermeture de son espace, le Professionnel peut utiliser les exports disponibles dans l'application, qui dépendent de son offre (par exemple l'export des factures ou l'export comptable). Il peut aussi demander la restitution de ses données : PetUnite les lui remet dans un format structuré et couramment utilisé (CSV ou JSON), dans un délai d'un mois. À ce jour, la fermeture d'un espace professionnel et la suppression de ses données se font sur demande adressée à PetUnite : l'application ne propose pas cette action en libre-service. Après la fermeture, PetUnite supprime les données traitées pour le compte du Professionnel, y compris les fichiers joints, dans un délai de trois mois, sauf obligation légale de conservation. Les sauvegardes chiffrées qui contiennent encore ces données sont effacées au terme de leur durée de conservation de 30 jours.

14. Documentation et audits

PetUnite met à la disposition du Professionnel les informations nécessaires pour démontrer le respect du présent accord : description des mesures de sécurité, liste des sous-traitants ultérieurs et garanties de transfert. Le Professionnel peut réaliser ou faire réaliser un audit par un auditeur indépendant tenu au secret professionnel, au plus une fois par an, avec un préavis écrit de 30 jours, sauf après une violation de données ou à la demande d'une autorité de contrôle. PetUnite fournit d'abord la documentation demandée ; l'audit est à la charge du Professionnel. Un audit ne doit compromettre ni la sécurité ni la confidentialité des données des autres clients de PetUnite.

15. Obligations du Professionnel

Le Professionnel s'engage à : - disposer d'une base légale pour les données qu'il enregistre et informer ses clients de ce traitement, y compris du recours à PetUnite ; - n'enregistrer que les données nécessaires à son activité ; - répondre aux demandes de ses clients relatives à leurs droits ; - gérer les accès de ses collaborateurs et protéger ses identifiants de connexion.

16. Responsabilité

Chaque partie répond des manquements à ses propres obligations au titre du RGPD, conformément à son article 82. Les limitations de responsabilité prévues par les CGU et les CGV, dont le plafond, s'appliquent aussi aux manquements à la protection des données, dans la mesure permise par la loi. Elles ne s'appliquent pas en cas de faute lourde ou intentionnelle, ni aux dommages corporels. Une amende administrative infligée à une partie pour ses propres manquements reste à sa charge.

17. Modifications et droit applicable

PetUnite peut modifier le présent accord pour tenir compte d'une évolution du service ou de la réglementation, après en avoir informé le Professionnel. En cas de contradiction avec les CGU ou les CGV, le présent accord prévaut pour la protection des données personnelles. Il est soumis au droit français.

• Conditions générales d'utilisation
• Conditions générales de vente
• Politique de confidentialité