Projet d’accord de sous-traitance des données personnelles (DPA)
Parties : la conciergerie cliente (responsable du traitement pour les données métier traitées pour ses finalités) et PEREL, SASU, SIREN 821 561 198, 1595 chemin de la Barre Saint-Jean, 13080 Aix-en-Provence, contact@perel-solutions.fr (sous-traitant pour ces traitements). PEREL conserve son rôle propre de responsable de traitement pour la gestion contractuelle, la facturation de ses abonnements et la sécurité de la plateforme.
1. Objet, durée, nature et finalités
Pendant la durée du contrat Intend’Up, PEREL héberge, conserve, organise, affiche, met à jour, transmet sur instruction et supprime ou restitue les données métier afin de fournir les fonctionnalités de conciergerie (propriétés, propriétaires, voyageurs, séjours, missions, équipes, prestations, documents, échanges et facturation de la conciergerie). L’annexe A précise le périmètre.
2. Instructions documentées
PEREL traite les données métier uniquement sur instructions documentées de la conciergerie, y compris pour les transferts internationaux, sauf obligation légale contraire. Les paramètres, demandes de support et opérations effectuées dans le service peuvent constituer des instructions documentées. PEREL informe la conciergerie si une instruction paraît contraire à la réglementation, dans les conditions de l’article 28 du RGPD.
3. Confidentialité et personnel
PEREL limite l’accès aux personnes autorisées, soumises à une obligation de confidentialité et aux habilitations nécessaires à leur mission.
4. Mesures de sécurité
PEREL met en œuvre des mesures adaptées aux risques, dont contrôle des accès, cloisonnement logique des organisations, protection des échanges, journalisation, sauvegardes, gestion des incidents et procédures de restauration. Le détail, la fréquence et les responsabilités de ces mesures doivent être documentés et vérifiés dans l’annexe B avant contractualisation ; cette clause ne constitue pas une certification de sécurité.
5. Sous-traitants ultérieurs et transferts
La liste exacte des sous-traitants, leurs rôles, lieux de traitement et mécanismes de transfert doit être renseignée dans l’annexe C. Tout ajout ou remplacement sera soumis au mécanisme d’information et d’opposition prévu par le contrat définitif ; PEREL imposera à ses sous-traitants ultérieurs des obligations de protection appropriées. Aucun transfert hors EEE n’est autorisé sans les garanties requises.
6. Assistance, droits et incidents
PEREL assiste raisonnablement la conciergerie dans le traitement des demandes d’exercice des droits, les analyses d’impact et les consultations préalables lorsque pertinentes. PEREL informe la conciergerie sans retard injustifié après avoir pris connaissance d’une violation de données personnelles touchant les traitements sous-traités, en fournissant les éléments disponibles et leurs compléments au fur et à mesure. Les coordonnées d’alerte et modalités pratiques sont à compléter en annexe D.
7. Fin de contrat, restitution et suppression
Au terme de la prestation, PEREL restitue ou supprime les données personnelles, au choix du responsable du traitement et sous réserve des conservations légalement requises. Les modalités d’export, les délais techniques, la durée des sauvegardes et la preuve de suppression doivent être précisés en annexe D avant signature.
8. Preuve de conformité et audits
PEREL met à disposition les informations nécessaires pour démontrer le respect des obligations de sous-traitance et contribue, selon des modalités raisonnables à convenir, aux audits effectués par le responsable du traitement ou un auditeur mandaté, dans le respect de la sécurité et de la confidentialité des autres clients.
Annexe A — Description des traitements
Personnes concernées : propriétaires, voyageurs et occupants déclarés, collaborateurs, prestataires et contacts professionnels enregistrés par la conciergerie. Données : identité, coordonnées, références de propriétés, détails de séjours et réservations, affectations, plannings, interventions, photographies, documents, éléments de facturation et coordonnées bancaires lorsque saisies. Finalités : administration des prestations, organisation des équipes, suivi des séjours et de la relation propriétaire, production de documents et facturation. Les données sensibles au sens du RGPD ne doivent pas être déposées sans nécessité, justification et garanties adaptées.
Annexe B — Sécurité opérationnelle (à confirmer)
À documenter avant signature : hébergement et localisation des données, chiffrement en transit et au repos (notamment des IBAN), politique de sauvegarde/restauration, habilitations administrateur et support, durées de conservation des journaux, gestion des vulnérabilités, tests de restauration et plan de continuité.
Annexe C — Sous-traitants (à compléter)
À compléter et vérifier contractuellement : hébergeur effectif, prestataire(s) de courriels transactionnels, Stripe et éventuels prestataires techniques, services et pays de traitement, responsabilités respectives, garanties de transfert et liens vers les DPA applicables. La mention d’un prestataire dans le service ne prouve pas qu’il est sous-traitant pour tous les traitements.
Annexe D — Modalités de coopération (à compléter)
À fixer : canal et délai de signalement des incidents, modalités d’exercice des droits, export des données, délai de suppression à la clôture, sort des copies de sauvegarde, délai de préavis pour changement de sous-traitant et procédure d’audit.
Statut du document : document préparatoire mis à disposition pour information. Il ne remplace pas un accord conclu entre les parties ni la vérification juridique et opérationnelle des annexes.