Accord de traitement des données

Version : 1.0

Le présent Accord de traitement des données (l'« Accord ») est conclu entre :

le Salon qui utilise Calandra (le « Salon » ou le « responsable du traitement ») ; et
Everloop BV, dont le siège social est établi Hofstraat 22H, 3530 Houthalen-Helchteren, Belgique, numéro d'entreprise KBO/BCE 1043.283.597, TVA BE1043283597, qui exploite Calandra (« Everloop » ou le « sous-traitant »).

Le présent Accord met en œuvre l'article 28, paragraphe 3, du Règlement général sur la protection des données (UE) 2016/679 (« RGPD »). Il fait partie intégrante des Conditions générales (les « Conditions ») et est accepté par le Salon en acceptant les Conditions. Aucune signature séparée n'est requise. Les termes définis dans les Conditions (tels que Plateforme, Salon, Client final et Données clients) ont ici la même signification. Les termes définis dans le RGPD (tels que données à caractère personnel, traitement et violation de données à caractère personnel) ont le sens que leur donne le RGPD.

1. Objet et durée

Everloop traite des données à caractère personnel pour le compte du Salon dans la mesure nécessaire pour fournir la Plateforme au Salon conformément aux Conditions. Le présent Accord s'applique aussi longtemps qu'Everloop traite des données à caractère personnel pour le compte du Salon, et en tout cas pendant la durée de l'abonnement du Salon. Les obligations qui, par nature, se poursuivent après la fin, telles que la confidentialité et la suppression, restent en vigueur.

Le présent Accord ne s'applique pas aux données à caractère personnel qu'Everloop traite en tant que responsable du traitement pour ses propres finalités, telles que décrites à l'article 14.2 des Conditions et dans la Politique de confidentialité.

2. Nature et finalité du traitement

Le traitement consiste à stocker, héberger, organiser, afficher, transmettre, sauvegarder et supprimer des données à caractère personnel, afin que le Salon puisse utiliser la Plateforme pour :

la gestion de ses clients et de leurs dossiers ;
la réservation en ligne, la planification des rendez-vous et les rappels ;
l'enregistrement des soins et des rapports de soin ;
la communication avec les clients, notamment par chat ;
les paiements et acomptes, lorsqu'ils sont proposés ;
et les autres fonctionnalités de la Plateforme utilisées par le Salon.

3. Catégories de données à caractère personnel

Selon l'utilisation que le Salon fait de la Plateforme, les catégories suivantes de données à caractère personnel peuvent être traitées :

les données de contact et d'identification des clients, telles que le nom, l'adresse e-mail, le numéro de téléphone, la date de naissance et l'adresse ;
les données de réservation, telles que les rendez-vous, les soins choisis, le membre du personnel, l'historique, les annulations, les absences et les notes ;
les rapports de soin, y compris les produits utilisés, les observations et les soins ultérieurs ;
les données concernant la santé qu'un Salon peut enregistrer, telles que les allergies, les affections cutanées, les sensibilités, les contre-indications et les annotations sur une carte corporelle (catégories particulières de données au sens de l'article 9 du RGPD) ;
les photos, telles que des photos avant et après un soin ;
les messages de chat entre le Salon et ses clients ;
les données relatives au statut des paiements et des acomptes ;
les données des membres du personnel du Salon qui utilisent la Plateforme, telles que le nom, le rôle, les données de connexion et les plannings ;
les données techniques, telles que les journaux relatifs à ce qui précède.

Le Salon décide des données qu'il enregistre. Il est responsable de disposer d'une base juridique à cet effet, en particulier pour les données concernant la santé, comme le prévoit l'article 14.1 des Conditions.

4. Catégories de personnes concernées

les clients et clients potentiels du Salon (Clients finaux) ;
le cas échéant, les représentants légaux des clients, tels que les parents de mineurs ;
les membres du personnel, étudiants et autres utilisateurs du Salon ;
les autres personnes dont le Salon introduit des données dans la Plateforme.

5. Traitement uniquement sur instruction documentée

Everloop ne traite les données à caractère personnel que sur instruction documentée du Salon, y compris en ce qui concerne les transferts vers un pays tiers. Les Conditions, le présent Accord et l'utilisation et la configuration de la Plateforme par le Salon constituent l'ensemble des instructions du Salon. Toute instruction supplémentaire est donnée par écrit et doit être compatible avec les fonctionnalités de la Plateforme.

Everloop ne peut traiter les données autrement que si le droit de l'Union ou le droit de l'État membre auquel il est soumis l'y oblige. Dans ce cas, Everloop informe le Salon de cette obligation juridique avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d'intérêt public.

Everloop informe immédiatement le Salon si, selon lui, une instruction constitue une violation du RGPD ou d'autres dispositions relatives à la protection des données.

6. Confidentialité

Everloop veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et à ce qu'elles n'y aient accès que dans la mesure nécessaire à leurs tâches.

7. Sécurité du traitement

Everloop prend les mesures techniques et organisationnelles appropriées requises par l'article 32 du RGPD, compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, y compris les données concernant la santé. Ces mesures comprennent :

l'hébergement de la base de données et du stockage de fichiers dans l'Union européenne ;
le chiffrement des données en transit (TLS) et le chiffrement au repos par l'hébergeur ;
un contrôle d'accès au niveau de la base de données (row-level security), de sorte qu'un Salon n'accède qu'à ses propres données ;
des autorisations fondées sur les rôles au sein d'un Salon, de sorte que les membres du personnel ne voient que ce que leur rôle exige ;
l'authentification des utilisateurs et la limitation de l'accès interne au strict nécessaire ;
des sauvegardes régulières et la possibilité de restaurer les données ;
la journalisation et la surveillance, ainsi qu'un examen régulier des pratiques de sécurité.

Everloop peut adapter ces mesures au fil du temps, à condition que le niveau global de sécurité ne diminue pas. Le Salon est responsable de la sécurité de ses propres comptes, appareils et mots de passe, ainsi que de l'attribution de rôles appropriés à son personnel.

8. Sous-traitants ultérieurs

Le Salon donne à Everloop une autorisation générale de faire appel à des sous-traitants ultérieurs. À la date du présent Accord, Everloop fait appel aux sous-traitants ultérieurs suivants :

Supabase pour l'hébergement de la base de données et du stockage de fichiers, avec des données conservées dans l'Union européenne (AWS eu-west-1, Irlande).
Amazon Web Services pour l'infrastructure sous-jacente, avec des données conservées dans l'Union européenne (eu-west-1, Irlande).
Hetzner pour l'hébergement des serveurs applicatifs de la Plateforme (l'API, les sessions et les journaux serveur), avec des données conservées dans l'Union européenne (Hetzner Online GmbH).
Vercel pour l'hébergement de ce site, de l'application web de la Plateforme et de la démo, y compris leurs journaux serveur, avec des données conservées dans l'Union européenne (Francfort, Allemagne, fra1).
Cloudflare pour l'acheminement sécurisé du trafic vers les serveurs de la Plateforme et la vérification anti-robots (Turnstile) du formulaire de demande de démo, avec des données conservées sur le réseau mondial de Cloudflare (Cloudflare, Inc., États-Unis ; transferts couverts par le cadre de protection des données UE–États-Unis et les clauses contractuelles types).
Resend pour l'envoi d'e-mails transactionnels, comme les liens de démo et d'autres messages liés au service, avec des données conservées dans l'Union européenne (eu-west-1, Irlande).
Google Workspace pour l'envoi des e-mails de service de la Plateforme, comme les confirmations de réservation, les réinitialisations de mot de passe et les invitations du personnel, avec des données conservées par Google Ireland Limited, qui peut également les traiter en dehors de l'Union européenne (transferts couverts par le cadre de protection des données UE–États-Unis et les clauses contractuelles types).
GatewayAPI pour l'envoi des SMS qui vérifient votre numéro de téléphone, avec des données conservées dans l'Union européenne (Danemark).
Mollie pour le traitement des paiements en ligne et des acomptes, lorsqu'ils sont proposés (pour ses propres services de paiement, Mollie agit en tant que responsable du traitement distinct, voir ci-dessous), avec des données conservées dans l'Union européenne (Mollie B.V., Pays-Bas).

Everloop informe le Salon, par e-mail ou via la Plateforme, au moins 30 jours à l'avance de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur, sauf en cas d'urgence lorsque la sécurité ou la continuité exige un changement plus rapide. Le Salon peut s'opposer au changement dans ce délai pour des motifs raisonnables liés à la protection des données. Si les parties ne trouvent pas de solution, le Salon peut résilier son abonnement avant que le changement ne prenne effet, sans indemnité de résiliation.

Everloop impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles du présent Accord, en particulier des garanties suffisantes quant à des mesures techniques et organisationnelles appropriées. Everloop demeure pleinement responsable envers le Salon de l'exécution des obligations de ses sous-traitants ultérieurs.

Les données à caractère personnel sont en principe traitées dans l'Union européenne. Si un sous-traitant ultérieur transfère des données en dehors de l'Espace économique européen, Everloop veille à ce qu'un mécanisme de transfert approprié au sens du chapitre V du RGPD s'applique, tel qu'une décision d'adéquation ou des clauses contractuelles types.

9. Assistance au Salon

Compte tenu de la nature du traitement, Everloop aide le Salon, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes des personnes concernées qui exercent leurs droits (accès, rectification, effacement, limitation, portabilité et opposition). Le Salon peut en grande partie le faire lui-même via la Plateforme, par exemple en consultant, corrigeant, exportant ou supprimant un dossier client.

Si Everloop reçoit directement d'une personne concernée une demande relative au traitement effectué par le Salon, il la transmet au Salon dans les meilleurs délais et n'y répond pas lui-même, sauf instruction du Salon.

Everloop aide également le Salon, compte tenu des informations dont il dispose, à respecter les obligations prévues aux articles 32 à 36 du RGPD, notamment en matière de sécurité, de notification des violations, d'analyses d'impact relatives à la protection des données et de consultation préalable de l'autorité de contrôle.

10. Violations de données à caractère personnel

Everloop notifie au Salon toute violation de données à caractère personnel affectant les données du Salon dans les meilleurs délais après en avoir pris connaissance, et s'efforce de le faire dans les 48 heures. La notification décrit, dans la mesure où elles sont connues, la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Lorsque toutes les informations ne sont pas disponibles en même temps, elles sont communiquées de manière échelonnée.

Everloop prend les mesures raisonnables nécessaires pour limiter les conséquences de la violation. Le Salon, en tant que responsable du traitement, décide si la violation doit être notifiée à l'autorité de contrôle et aux personnes concernées.

11. Suppression ou restitution à la fin

Avant la fin de l'abonnement, le Salon peut exporter ses données au moyen de la fonctionnalité d'exportation de la Plateforme, comme le prévoit l'article 22.3 des Conditions. Après la fin de l'abonnement, et après une éventuelle période de transition, Everloop supprime les données à caractère personnel traitées pour le compte du Salon, sauf si le droit de l'Union ou le droit de l'État membre exige leur conservation. Les copies figurant dans les sauvegardes sont supprimées lorsque ces sauvegardes sont écrasées dans le cycle normal de sauvegarde, et restent protégées entre-temps.

12. Informations et audits

Everloop met à la disposition du Salon toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, et permet la réalisation d'audits, y compris des inspections, par le Salon ou un autre auditeur qu'il a mandaté, et contribue à ces audits.

Un audit est demandé par écrit au moins 30 jours à l'avance, a lieu pendant les heures normales de bureau, est limité au traitement couvert par le présent Accord et est réalisé par un auditeur tenu à la confidentialité, d'une manière qui ne perturbe pas de façon disproportionnée les activités d'Everloop et ne compromet pas la sécurité d'autres clients. Dans la mesure du possible, Everloop peut d'abord répondre aux questions par écrit ou fournir la documentation existante ou les certifications de ses sous-traitants ultérieurs. Le Salon supporte ses propres frais d'audit. Les audits ordonnés par une autorité de contrôle sont toujours autorisés.

13. Responsabilité

La responsabilité de chaque partie au titre du présent Accord est régie par les dispositions relatives à la responsabilité des Conditions, notamment l'article 26, dans la mesure permise par la loi et sans préjudice des droits des personnes concernées en vertu de l'article 82 du RGPD.

14. Priorité, modifications et droit applicable

Pour les questions relatives au traitement de données à caractère personnel pour le compte du Salon, le présent Accord prévaut sur les Conditions, comme le prévoit l'article 34 des Conditions. Everloop peut modifier le présent Accord de la même manière que les Conditions, ou lorsque des modifications législatives ou des lignes directrices des autorités de contrôle l'exigent.

Le présent Accord est régi par le droit belge. Les litiges sont réglés conformément à l'article 32 des Conditions.

15. Contact

Les questions relatives au présent Accord peuvent être adressées à Everloop BV, Hofstraat 22H, 3530 Houthalen-Helchteren, Belgique, ou par e-mail à info@everloop.be.