Annexe de sous-traitance

1. Qualification des parties

Le Salon détermine les finalités et les moyens du traitement des données de sa clientèle. Il agit à ce titre en qualité de responsable de traitement.

CREATIVA NOVATION SAS (« Belline »), SAS immatriculée au RCS de Thonon-les-Bains sous le numéro 991 766 148, siège social 179 chemin de la Diotière, 74160 Collonges-sous-Salève, traite ces données pour le compte du Salon. Elle agit en qualité de sous-traitant.

Belline demeure responsable de traitement pour les données propres au Salon et à ses représentants (identification, facturation, connexion, assistance), traitées dans les conditions de sa politique de confidentialité.

2. Description du traitement

• Finalité : gestion des rendez-vous et de la relation client du Salon — prise de réservation, confirmation, rappel, modification et annulation, historique, programme de fidélité, cartes cadeaux, invitation à déposer un avis sur la fiche Google du Salon.
• Nature des opérations : collecte, enregistrement, organisation, conservation, consultation, modification, mise à disposition du Salon, transmission aux sous-traitants ultérieurs listés à l'article 5, effacement et anonymisation.
• Catégories de personnes concernées : les clients et prospects du Salon ayant réservé une prestation ou acheté une carte cadeau via le Service.
• Catégories de données : identité (nom, prénom), coordonnées (adresse électronique, numéro de téléphone), données de rendez-vous (prestation, date, praticien, montant facturé), données de compte client facultatives, compteurs de fidélité, données relatives aux cartes cadeaux.
• Données sensibles : le Service n'est pas conçu pour recevoir des données visées à l'article 9 du RGPD. Le Salon s'interdit d'en saisir, notamment dans les champs de commentaire libre.
• Durée : la durée de l'abonnement, puis les délais prévus à l'article 7.

3. Obligations de Belline

Belline s'engage à :

• ne traiter les données que sur instruction documentée du Salon, les présentes constituant ces instructions, et l'informer si une instruction lui paraît constituer une violation du RGPD ;
• ne pas utiliser ces données pour ses propres finalités, ne pas les céder, ni les exploiter à des fins de prospection ;
• garantir la confidentialité des données et veiller à ce que les personnes autorisées à y accéder soient soumises à une obligation de confidentialité et reçoivent la formation nécessaire ;
• mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 9, conformément à l'article 32 du RGPD ;
• prendre en compte les principes de protection des données dès la conception et par défaut ;
• tenir un registre des catégories d'activités de traitement effectuées pour le compte du Salon, conformément à l'article 30.2 du RGPD.

4. Assistance au Salon

Belline apporte au Salon, dans la mesure du possible et compte tenu de la nature du traitement, son assistance pour :

• répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité). Le Salon dispose dans son tableau de bord des fonctions lui permettant de consulter et de corriger les données de sa clientèle ; pour les demandes qu'il ne peut traiter lui-même, Belline intervient sur sa demande écrite ;
• assurer la sécurité du traitement, notifier les violations de données et réaliser, le cas échéant, une analyse d'impact ;
• répondre à une demande d'une autorité de contrôle.

Lorsqu'une personne concernée adresse directement à Belline une demande relative aux données détenues pour le compte d'un Salon, Belline la transmet à ce Salon dans les meilleurs délais et en informe la personne.

5. Sous-traitants ultérieurs

Le Salon autorise Belline à faire appel aux sous-traitants ultérieurs suivants, dont la liste est tenue à jour sur la présente page :

Belline informe le Salon de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, au moins 30 jours avant sa mise en œuvre. Le Salon dispose de ce délai pour formuler des objections motivées ; à défaut de solution, il peut résilier son abonnement sans frais.

Belline impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles de la présente annexe et demeure pleinement responsable de leur exécution devant le Salon.

6. Transferts hors Union européenne

Les données sont hébergées au sein de l'Union européenne. Le recours à Resend implique un transfert vers les États-Unis, encadré par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification du prestataire au titre du cadre de protection des données UE–États-Unis.

Belline s'engage à n'effectuer aucun autre transfert hors de l'Union européenne sans en informer préalablement le Salon et sans mettre en place les garanties appropriées prévues au chapitre V du RGPD.

7. Sort des données en fin de contrat

À l'issue de la résiliation de l'abonnement, le Salon dispose d'un délai de 30 jours pour demander la restitution des données de sa clientèle dans un format structuré et couramment utilisé.

Passé ce délai, Belline procède à leur suppression ou à leur anonymisation, y compris chez les sous-traitants ultérieurs, sous réserve des données dont la conservation est imposée par une obligation légale, notamment comptable. Les sauvegardes existantes sont purgées selon leur cycle de rotation.

8. Violation de données

Belline notifie au Salon toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par courrier électronique à l'adresse associée à son compte.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ou envisagées. Il appartient au Salon, en sa qualité de responsable de traitement, de procéder le cas échéant à la notification auprès de la CNIL et à l'information des personnes concernées.

9. Mesures de sécurité

Belline met en œuvre notamment les mesures suivantes :

• chiffrement des communications en transit (TLS) et chiffrement des données au repos par l'hébergeur de la base ;
• cloisonnement strict des données entre salons, appliqué au niveau de la base de données par des règles de sécurité au niveau des lignes, de sorte qu'un salon ne peut techniquement accéder qu'à ses propres données ;
• restriction des données du salon exposées publiquement à une vue dédiée, excluant l'identité légale et les identifiants de paiement ;
• authentification individuelle, mots de passe stockés sous forme d'empreintes cryptographiques, gestion des sessions et expiration automatique ;
• séparation des privilèges applicatifs : les clés d'administration de la base ne sont accessibles qu'au serveur et ne sont jamais transmises au navigateur ;
• sauvegardes régulières de la base de données par l'hébergeur ;
• journalisation des accès et des opérations sensibles ;
• suppression ou anonymisation automatisée des données au terme des durées de conservation.

10. Audit et documentation

Belline met à la disposition du Salon la documentation nécessaire pour démontrer le respect de ses obligations. Le Salon peut, à ses frais et une fois par an, réaliser un audit ou le faire réaliser par un tiers indépendant qu'il mandate, sous réserve d'un préavis raisonnable de 30 jours, d'un engagement de confidentialité et de modalités ne perturbant pas le fonctionnement du Service ni la confidentialité des données des autres salons.

11. Obligations du Salon

Le Salon s'engage à :

• informer les personnes concernées du traitement de leurs données et disposer d'une base légale pour chaque traitement qu'il met en œuvre ;
• recueillir et conserver la preuve du consentement lorsque celui-ci est requis, notamment pour toute communication à caractère commercial ;
• ne saisir dans le Service que les données strictement nécessaires et ne pas y consigner de données sensibles ;
• traiter les demandes d'exercice de droits qui lui sont adressées et solliciter l'assistance de Belline lorsque nécessaire ;
• veiller à la confidentialité des accès attribués à ses salariés et retirer sans délai les accès devenus inutiles.

12. Contact

Toute demande relative à la présente annexe peut être adressée à contact@bellinestudio.com. Les personnes concernées disposent par ailleurs du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).