Accord de traitement des données

Cet accord, prévu par l’article 28 du Règlement général sur la protection des données (RGPD), fait partie des conditions générales d’utilisation acceptées à la création du compte. Il est conclu entre le professionnel qui utilise Resaly (« l’Établissement »), responsable de traitement, et [Raison sociale] (« Resaly »), sous-traitant. Il s’applique tant que le compte de l’Établissement existe.

1. Description du traitement

Objet et finalité : permettre à l’Établissement de recevoir et de gérer des rendez-vous en ligne, de tenir son agenda et de prévenir ses clients par e-mail.
Nature : collecte par le formulaire de réservation, hébergement, consultation, modification, envoi d’e-mails, exportation et effacement.
Personnes concernées : les clients de l’Établissement et les membres de son équipe.
Données : identité et coordonnées (prénom, nom, e-mail, téléphone), rendez-vous (date, prestation, prix, membre de l’équipe, statut, message du client), notes privées de l’Établissement, langue, et données techniques (adresse IP, vérification anti-robots) utilisées contre les abus.
Durée : celle du compte de l’Établissement.

2. Engagements de Resaly

Traiter les données uniquement sur les instructions documentées de l’Établissement, que constituent les conditions générales et l’utilisation qu’il fait du service, et l’informer si une instruction lui paraît contraire à la réglementation.
Garantir que les personnes autorisées à traiter les données sont tenues à la confidentialité.
Mettre en œuvre les mesures de sécurité décrites ci-dessous.
Aider l’Établissement à répondre aux demandes des personnes concernées : le service lui permet de consulter, corriger, exporter et effacer les données de ses clients. Resaly transmet à l’Établissement les demandes qu’il reçoit directement.
Aider l’Établissement à garantir la sécurité des données et, si nécessaire, à réaliser une analyse d’impact.
Mettre à disposition de l’Établissement les informations nécessaires pour démontrer le respect de cet accord.

3. Mesures de sécurité

Chiffrement des échanges (HTTPS).
Isolation des données de chaque établissement dans la base de données (sécurité au niveau des lignes), vérifiée par des tests automatisés.
Accès limité aux personnes qui en ont besoin ; mots de passe stockés sous forme hachée ; clés d’accès au service tenues secrètes.
Hébergement de la base de données et des fichiers dans l’Union européenne (Paris), avec des sauvegardes régulières.

4. Sous-traitants ultérieurs

L’Établissement autorise Resaly à faire appel aux sous-traitants suivants :

Supabase Pte. Ltd. : base de données, connexions et fichiers. Lieu : Union européenne (Paris, France). Garanties : données hébergées dans l’Union européenne ; clauses contractuelles types pour l’assistance à distance.
Railway Corporation : hébergement et exécution du site, mesure d’audience (Umami, que nous hébergeons nous-mêmes). Lieu : Union européenne (Amsterdam, Pays-Bas). Garanties : données hébergées dans l’Union européenne ; clauses contractuelles types pour l’accès depuis les États-Unis.
Resend (Plus Five Five, Inc.) : envoi des e-mails. Lieu : Union européenne (Irlande) et États-Unis. Garanties : Data Privacy Framework UE–États-Unis ; clauses contractuelles types.
Sentry (Functional Software, Inc.) : suivi des erreurs techniques du site. Lieu : Union européenne (Francfort, Allemagne) et États-Unis. Garanties : Data Privacy Framework UE–États-Unis ; clauses contractuelles types.
Cloudflare, Inc. : protection du formulaire de réservation contre les robots (Turnstile). Lieu : réseau mondial de Cloudflare. Garanties : Data Privacy Framework UE–États-Unis ; clauses contractuelles types.

Resaly prévient l’Établissement par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant. L’Établissement peut s’y opposer ; si aucune solution n’est trouvée, il peut supprimer son compte. Resaly impose à chaque sous-traitant les mêmes obligations de protection des données que celles de cet accord, et reste responsable de leur respect.

5. Transferts hors de l’Union européenne

Les données ne sont transférées hors de l’Union européenne qu’avec des garanties appropriées : décision d’adéquation (dont le Data Privacy Framework UE–États-Unis) ou clauses contractuelles types de la Commission européenne.

6. Violation de données

Resaly informe l’Établissement de toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, avec les informations dont il dispose : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables et mesures prises.

7. Fin du traitement

L’Établissement peut à tout moment télécharger toutes ses données depuis Réglages. Quand il supprime son compte, Resaly efface immédiatement toutes les données de l’Établissement de la base de données et ses fichiers ; les copies de sauvegarde sont écrasées dans les 7 jours.

8. Obligations de l’Établissement

Disposer d’une base légale pour les traitements qu’il confie à Resaly et informer ses clients (le formulaire de réservation le fait pour les réservations en ligne).
Ne collecter que les données nécessaires, et aucune donnée sensible sauf si elle est strictement nécessaire et que la personne y a expressément consenti.
Répondre aux demandes de ses clients sur leurs données.

9. Audit

Sur demande écrite, Resaly fournit les informations permettant de vérifier le respect de cet accord. Un audit peut être mené une fois par an au plus, par un auditeur indépendant tenu à la confidentialité, avec un préavis de 30 jours et aux frais de l’Établissement.