Accord de sous-traitance

Le Sous-traitant traite les données à caractère personnel uniquement pour le compte et selon les instructions écrites (y compris électroniques) du Responsable du traitement, dans le but de détecter les créneaux libres et de contacter et re-réserver les Clients finaux (le Service). Cet accord s'applique pendant la durée du contrat principal entre les parties et prend fin automatiquement à sa résiliation, sans préjudice de la section 10.

Nature : traitement automatisé de données de contact et de rendez-vous pour envoyer et traiter des messages de récupération.

Finalité : le remplissage des rendez-vous libérés pour le compte du Responsable du traitement.

• Catégories de données : nom, numéro de téléphone, adresse e-mail, historique des rendez-vous (prestation, horaire, valeur), statut de consentement/désinscription, contenu des échanges de messages dans la mesure nécessaire au traitement d'un rendez-vous.
• Explicitement EXCLUES : les catégories particulières de données à caractère personnel au sens de l'article 9 du RGPD, y compris les données de santé. Le Sous-traitant n'est pas conçu pour les traiter et le Responsable du traitement ne les fournit pas.
• Personnes concernées : les clients du Responsable du traitement ayant ou ayant eu un rendez-vous et pour lesquels un consentement/une base légale existe pour être contactés.

Le Sous-traitant ne traite les données que sur la base d'instructions documentées du Responsable du traitement, sauf si une disposition du droit de l'Union ou d'un État membre l'oblige à traiter les données ; dans ce dernier cas, le Sous-traitant en informe le Responsable du traitement préalablement au traitement, sauf si cette législation l'interdit pour des motifs importants d'intérêt public. Les fonctionnalités du Service (champs obligatoires, canaux utilisés, limites de la section 6 des conditions générales) valent instruction donnée à l'avance.

Le Sous-traitant garantit que les personnes autorisées à traiter les données à caractère personnel se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité, et n'ont accès qu'aux données nécessaires à leur mission.

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées, notamment : chiffrement des données en transit (TLS) et au repos ; contrôle d'accès selon le principe du besoin d'en connaître ; vérification cryptographique du trafic webhook et API pour empêcher toute falsification ; journalisation des actions sur les données sensibles ; environnements séparés pour le développement et la production ; et une procédure de détection et de traitement des incidents de sécurité.

Le Responsable du traitement autorise de façon générale le Sous-traitant à recourir aux sous-traitants ultérieurs suivants :

• Twilio Inc., envoi de SMS et (plus tard) d'appels vocaux. Traitement hors UE ; clauses contractuelles types applicables.
• Meta Platforms Ireland Ltd., envoi de messages WhatsApp via la WhatsApp Business Cloud API.
• Supabase Inc., hébergement de base de données, région UE.
• Vercel Inc., hébergement de l'application et du site, réseau edge mondial ; clauses contractuelles types applicables pour les nœuds hors UE.
• Stripe Payments Europe, Ltd., traitement des paiements entre Revenaro et le Client (pas des paiements des Clients finaux au Client).

Si le Sous-traitant souhaite ajouter ou remplacer un sous-traitant ultérieur, il en informe le Responsable du traitement au moins 14 jours à l'avance. Le Responsable du traitement peut, dans ce délai, formuler une objection motivée fondée sur des raisons concrètes de protection des données ; les parties se concertent alors de bonne foi sur une solution. Le Sous-traitant reste responsable envers le Responsable du traitement du respect des obligations de chaque sous-traitant ultérieur, comme l'exige l'article 28, paragraphe 4, du RGPD.

Le Sous-traitant aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Une désinscription via « STOP » est traitée automatiquement et immédiatement par le Sous-traitant, quel que soit le canal par lequel elle arrive.

Le Sous-traitant aide le Responsable du traitement, compte tenu de la nature du traitement et des informations dont il dispose, à respecter les obligations relatives aux analyses d'impact et à la consultation préalable de l'autorité de contrôle.

Si le Sous-traitant a connaissance d'une violation de données à caractère personnel, il en informe le Responsable du traitement sans retard indu et au plus tard dans les 48 heures, avec les informations alors disponibles sur la nature de la violation, les catégories et le nombre de personnes concernées, les conséquences probables, et les mesures prises ou proposées.

Le Sous-traitant met à disposition du Responsable du traitement toutes les informations raisonnablement nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD, et permet la réalisation d'audits et d'inspections par le Responsable du traitement ou un contrôleur qu'il mandate, moyennant un préavis raisonnable et de manière à ne pas perturber de façon disproportionnée l'activité ou la sécurité des autres clients du Sous-traitant.

À l'issue des services de traitement, le Sous-traitant supprime toutes les données à caractère personnel, ou les restitue au Responsable du traitement à sa demande, et supprime les copies existantes, sauf si le droit de l'Union ou d'un État membre exige la conservation des données. Cela intervient dans les délais décrits à la section 5 de la politique de confidentialité.

Dans la mesure où des sous-traitants ultérieurs traitent des données en dehors de l'UE/EEE (voir section 6), cela se fait sur la base des clauses contractuelles types de la Commission européenne ou d'un mécanisme de transfert reconnu équivalent, complété si nécessaire par des mesures techniques appropriées.

Le régime de responsabilité du contrat principal (conditions générales, section 8) s'applique par analogie au présent accord de sous-traitance.

Cet accord de sous-traitance est régi par le droit belge, comme le contrat principal.