Accord de sous-traitance des données

Article 1 – Objet et parties

Le présent accord, conclu en application de l’article 28 du Règlement (UE) 2016/679 (« RGPD »), fait partie intégrante des Conditions Générales de Vente. Il est accepté par le Client lors de la souscription et s’applique aussi pendant la période d’essai.

Il encadre les traitements de données personnelles que l’éditeur d’Abregi identifié dans les Mentions légales (le « Sous-traitant ») réalise pour le compte du Client (le « Responsable de traitement ») sur les données que celui-ci enregistre dans son espace de travail. Les traitements dont Abregi est lui-même responsable (compte, facturation, mesure d’audience) relèvent de la Politique de confidentialité.

Article 2 – Description des traitements

• Nature et finalité : hébergement, stockage, consultation, organisation et envoi de messages à la demande du Client, afin de lui permettre de préparer et gérer ses événements (carnet de contacts, bénévoles, participants, plannings, repas, contrats de bénévolat, documents).
• Personnes concernées : contacts professionnels (artistes, prestataires, lieux, partenaires), bénévoles et candidats bénévoles, invités, membres de l’équipe du Client et utilisateurs de son espace.
• Catégories de données : identité, coordonnées (email, téléphone, identifiant Discord), rôle et participation aux événements, disponibilités, affectations et pointages, préférence alimentaire choisie dans une liste fermée, conditions commerciales et techniques des professionnels, historique typé des échanges, documents, contrats de bénévolat et preuves de signature.
• Données sensibles : le service n’est pas conçu pour traiter les catégories particulières de données (santé, religion, opinions, orientation sexuelle…) ni les données relatives aux condamnations. Les champs proposés sont fermés lorsque c’est possible pour éviter leur collecte.
• Durée : la durée de l’abonnement, prolongée de la période de restitution et de suppression prévue à l’article 10. Par défaut, les candidatures bénévoles sont effacées un an après l’événement et les conventions de bénévolat à l’issue de la durée fixée par le Client dans son formulaire (3 ans par défaut après l’événement).

Article 3 – Instructions du Client

Le Sous-traitant traite les données uniquement sur instruction documentée du Client. Ces instructions résultent de l’utilisation des fonctionnalités du service, de son paramétrage par le Client et de ses demandes écrites. Le Sous-traitant n’utilise pas les données pour ses propres besoins, n’adresse aucune prospection aux personnes concernées et ne cède les données à aucun tiers.

Le Client autorise le Sous-traitant à anonymiser de manière irréversible les données relatives à ses événements (dates, statut, genres musicaux, localité réduite au code postal et à la ville, capacité, montants et catégories budgétaires, billetterie, consommables) et à utiliser ces données anonymes pour produire des statistiques agrégées, notamment des tendances proposées aux utilisateurs du service. Aucune donnée relative à une personne n’est conservée à cette fin, et aucun résultat ne porte sur moins de trois organisations, afin qu’aucune d’elles ne soit reconnaissable.

Si le Sous-traitant considère qu’une instruction constitue une violation du RGPD ou du droit applicable, il en informe immédiatement le Client et peut en suspendre l’exécution.

Article 4 – Confidentialité

Les personnes autorisées à traiter les données pour le compte du Sous-traitant sont soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire à l’exploitation, à la maintenance et à l’assistance.

Article 5 – Sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment : chiffrement des échanges (HTTPS), cloisonnement des données par espace de travail, gestion des droits par rôle définie par le Client, authentification des utilisateurs, liens personnels non devinables pour les bénévoles, journalisation des accès à l’API sans enregistrement du contenu des candidatures, sauvegardes hebdomadaires de l’hébergeur conservées dans l’Union européenne et hébergement en France.

Article 6 – Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants ultérieurs suivants :

• Hostinger International Ltd (Chypre) : hébergement de la plateforme et des données dans l’Union européenne, envoi des emails transactionnels (invitations, confirmations, rappels, contrats).
• OpenAI, L.L.C. (États-Unis) : uniquement à la demande du Client, pour l’extraction des devis et factures importés et la suggestion d’affectation des bénévoles, sans nom ni coordonnées des bénévoles.
• Discord Inc. (États-Unis) : uniquement si le Client active les notifications Discord, pour publier des messages dans le salon qu’il désigne.

Le Sous-traitant impose à chacun des obligations de protection des données équivalentes à celles du présent accord. Les transferts hors de l’Union européenne sont encadrés par le Data Privacy Framework UE–États-Unis ou, à défaut, par les clauses contractuelles types de la Commission européenne.

Tout ajout ou remplacement est notifié au Client par email au moins trente (30) jours à l’avance. Le Client peut s’y opposer pour un motif légitime lié à la protection des données ; à défaut d’accord, il peut résilier son abonnement sans frais avant l’entrée en vigueur du changement.

Article 7 – Droits des personnes concernées

Le service permet au Client de consulter, rectifier, exporter, archiver et supprimer les données qu’il enregistre, afin de répondre lui-même aux demandes des personnes concernées. Si une personne adresse une demande directement au Sous-traitant, celui-ci la transmet au Client dans les meilleurs délais, sans y répondre lui-même sauf instruction du Client, et l’assiste pour y donner suite.

Article 8 – Violations de données

Le Sous-traitant notifie au Client toute violation de données personnelles le concernant dans un délai maximal de quarante-huit (48) heures après en avoir pris connaissance, par email à l’adresse du compte. La notification précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Il appartient au Client, en sa qualité de responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées.

Article 9 – Assistance au Client

Le Sous-traitant fournit au Client, sur demande, les informations raisonnablement nécessaires à la réalisation d’une analyse d’impact ou à la consultation préalable de la CNIL, compte tenu de la nature du service et des informations dont il dispose.

Article 10 – Sort des données en fin de contrat

Pendant toute la durée de l’abonnement, le Client peut exporter ses données. À la fin de l’abonnement, il conserve l’accès à ses données et peut les exporter dans les conditions prévues par les CGV. Lorsque le Client supprime son espace de travail, lorsque son dernier membre supprime son compte, ou à l’issue de trois (3) ans sans connexion d’aucun membre (après un avertissement par email trente jours avant), le Sous-traitant supprime les données personnelles traitées pour son compte, ainsi que les fichiers téléversés, sauf obligation légale de conservation. Seules subsistent les données d’événements anonymisées dans les conditions de l’article 3. Les copies de sauvegarde, renouvelées chaque semaine, disparaissent au fil de leur rotation, en quelques semaines au plus.

Article 11 – Documentation et audit

Le Sous-traitant tient le registre des traitements effectués pour le compte de ses clients prévu à l’article 30.2 du RGPD. Il met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut, à ses frais, faire réaliser un audit au plus une fois par an, moyennant un préavis de trente (30) jours, par un auditeur tenu au secret et sans accès aux données des autres clients.

Article 12 – Obligations du Client

En qualité de responsable de traitement, le Client :

• s’assure de disposer d’une base légale pour chaque donnée qu’il enregistre (exécution d’un contrat ou d’un engagement bénévole, intérêt légitime, consentement…) ;
• informe les personnes dont il enregistre les données, notamment ses contacts professionnels et ses bénévoles, conformément aux articles 13 et 14 du RGPD ;
• n’enregistre que les données nécessaires à l’organisation de ses événements et s’interdit d’y saisir des données sensibles ou relatives à des condamnations, y compris dans les intitulés, les documents ou les choix qu’il paramètre ;
• définit la durée de conservation de ses données, archive ou supprime les contacts qui ne lui sont plus utiles et paramètre la durée de conservation des contrats de bénévolat ;
• gère les droits d’accès de ses membres et veille à la confidentialité de leurs identifiants ;
• répond aux demandes d’exercice de droits des personnes concernées.

Article 13 – Durée et prévalence

Le présent accord s’applique tant que le Sous-traitant traite des données pour le compte du Client. En cas de contradiction avec les CGV ou les CGU sur la protection des données personnelles, le présent accord prévaut. Ses modifications suivent les règles de modification des CGV.