Annexe — accord de sous-traitance (RGPD art. 28)
Ce document est rédigé en français. Une traduction ne suffit pas à en faire un texte opposable ailleurs : le droit applicable n'est pas le même.
Annexe aux Conditions de service — établissements, dont elle fait partie intégrante. Elle s'applique aux traitements pour lesquels l'établissement est responsable et Ooklo sous-traitant. Version 1 — À compléter
1. Rôles
Vous, l'établissement, êtes responsable de traitement pour les données de vos clients que vous traitez au moyen du service : le suivi de la relation, vos notes internes, vos campagnes.
VICMEDIA LTD est sous-traitant pour ces traitements et n'agit que sur votre instruction documentée, sauf obligation légale — auquel cas nous vous en informons avant de traiter, sauf interdiction légale.
Pour les traitements décrits au §1 de la Politique de confidentialité — compte client, recherche, sécurité, prévention de la fraude — nous sommes responsables de traitement et la présente annexe ne s'applique pas.
2. Objet, durée, nature
| Objet | Fourniture d'un service de réservation en ligne et des fonctions de relation client associées |
| Durée | Celle du contrat, augmentée des délais de restitution et de suppression du §9 |
| Nature des opérations | Collecte, enregistrement, conservation, consultation, modification, communication aux destinataires listés, effacement |
| Finalités | Exécuter les réservations ; permettre la communication avec le client ; exécuter les campagnes que vous déclenchez ; produire les statistiques de votre activité |
| Catégories de personnes | Vos clients, les personnes qu'ils désignent (bénéficiaire d'une carte cadeau, filleul), les membres de votre personnel |
| Catégories de données | Identité, coordonnées, historique de rendez-vous, montants et statuts de paiement, avantages (portefeuille, fidélité, cartes cadeaux), notes internes, avis, consentements, données de connexion |
| Données sensibles | Aucune n'est demandée par le service. Le champ libre des notes internes peut techniquement en recevoir : vous vous engagez à n'y inscrire aucune donnée de santé ni aucune autre donnée de l'article 9 du RGPD |
3. Nos obligations
Nous traitons les données uniquement pour les finalités ci-dessus et sur vos instructions. Nous vous alertons si une instruction nous paraît contraire au RGPD.
Toute personne autorisée à accéder aux données est soumise à une obligation de confidentialité.
Nous mettons en œuvre les mesures techniques et organisationnelles décrites au §5, et vous aidons, compte tenu de la nature du traitement et des informations dont nous disposons, à respecter vos propres obligations : réponse aux demandes d'exercice de droits, analyses d'impact, consultation préalable, notification de violation.
4. Vos obligations
Vous garantissez disposer d'une base légale pour les données que vous introduisez dans le service, notamment pour toute liste importée, et avoir informé les personnes concernées. Vous êtes responsable de l'exactitude de ces données et du recueil des consentements marketing lorsque la loi l'exige. Vous documentez vos instructions et désignez les personnes habilitées côté établissement.
5. Sécurité
Chiffrement des données identifiantes au repos (AES-256-GCM, clé dérivée par établissement), chiffrement en transit (TLS, HSTS), cloisonnement de chaque requête par établissement, authentification et journalisation des accès, signature des échanges entre systèmes internes, limitation de débit, sauvegardes À compléter.
6. Sous-traitants ultérieurs
Vous autorisez le recours aux sous-traitants ultérieurs suivants :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Stripe | Paiement, versement, facturation | À compléter |
| Infobip | Codes de vérification par SMS et par appel | Union européenne |
| MxGateway | SMS transactionnels et messages des établissements | À compléter |
| Piwik PRO | Mesure d'audience du site | Union européenne À compléter |
| Hotjar (groupe Contentsquare) | Analyse de parcours sur les pages d'acquisition, jamais sur Ooguide | Union européenne À compléter |
| À compléter | Courriels transactionnels | À compléter |
| MxGateway (même groupe) | Courriels et SMS marketing | À compléter |
| Mistral AI, via OpenRouter | Assistant de réservation, si activé | À compléter |
| À compléter | Hébergement | À compléter |
Tout ajout ou remplacement vous est notifié au moins 30 jours avant sa mise en œuvre. Vous pouvez vous y opposer pour un motif légitime et tenant à la protection des données ; à défaut d'accord, vous pouvez résilier sans frais.
7. Transferts hors Union européenne
Aucun transfert hors de l'Union n'est effectué sans un mécanisme valable — décision d'adéquation ou clauses contractuelles types, accompagnées le cas échéant de mesures supplémentaires. À compléter.
8. Violation de données
Nous vous notifions toute violation de données concernant vos traitements dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance À compléter, avec la nature de la violation, les catégories et le volume approximatif de personnes et d'enregistrements, les conséquences probables et les mesures prises. La notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées, vous incombe en votre qualité de responsable de traitement ; nous vous y assistons.
9. Sort des données en fin de contrat
Pendant À compléter après la fin du contrat, vous pouvez exporter vos données dans un format lisible par machine. À l'expiration de ce délai, nous les supprimons ou les anonymisons, à l'exception de ce que la loi nous impose de conserver — notamment les pièces comptables — et des sauvegardes, qui expirent selon leur propre cycle.
10. Audit
Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de la présente annexe. Vous pouvez demander un audit, une fois par an au plus, moyennant un préavis raisonnable, pendant les heures ouvrées, sans perturber le service et sous engagement de confidentialité. À compléter.