1. Parties et rôles
Le client est le responsable du traitement des données personnelles des invités et décide des finalités et des moyens de leur traitement. [A PREENCHER: denominação social], numéro d’identification fiscale [A PREENCHER: NIF], dont le siège est situé à [A PREENCHER: morada da sede] ([A PREENCHER: país da sede]), est le sous-traitant et traite ces données pour le compte du client.
L’accord est accepté au moment où le client crée son organisation Pro, et cette acceptation est enregistrée. Toute personne souhaitant une copie signée peut la demander à privacy@seatalia.com.
2. Objet, durée et nature du traitement
L’objet est la fourniture du service Seatalia : enregistrer, organiser, placer, exporter et afficher les données des invités (y compris la page QR et le RSVP). La durée est celle de l’abonnement Pro, augmentée du temps nécessaire pour restituer ou supprimer les données.
3. Types de données et personnes concernées
Les personnes concernées sont les invités et les accompagnants des événements du client, ainsi que les utilisateurs de son organisation. Les données traitées peuvent être :
- prénom, nom de famille, foyer, groupe et table ;
- adulte, enfant ou bébé et âge ou tranche d’âge ;
- plat, étiquettes de régime ou d’allergie et notes de régime, qui peuvent constituer des données de santé (article 9) ;
- e-mail et téléphone, si le RSVP les demande ou si le client les saisit ;
- e-mail et nom des utilisateurs de l’organisation.
4. Ce à quoi Seatalia s’engage
En tant que sous-traitant, Seatalia s’engage à :
- traiter les données uniquement sur instructions documentées du client (le présent accord et l’usage qu’il fait du service) et l’informer s’il estime qu’une instruction constitue une violation du RGPD ;
- veiller à ce que les personnes autorisées à traiter les données soient tenues à une obligation de confidentialité ;
- appliquer les mesures de sécurité de l’article 32, décrites plus bas ;
- ne recourir à d’autres sous-traitants qu’avec l’autorisation générale du client, en leur imposant des obligations équivalentes. La liste est publiée et nous prévenons des changements 30 jours à l’avance, le client pouvant s’y opposer ;
- aider le client à répondre aux demandes des personnes concernées, grâce aux outils d’export CSV et de suppression du service ;
- aider le client à respecter les obligations des articles 32 à 36 (sécurité, violations de données, analyses d’impact et consultation préalable) ;
- notifier le client de toute violation de données à caractère personnel sans retard injustifié et, chaque fois que possible, dans les 48 heures suivant le moment où nous en avons connaissance ;
- à la fin du service, restituer les données (export) ou les supprimer, ce qui se fait automatiquement 90 jours après la date de chaque événement, sans préjudice de la conservation légale. Les données supprimées disparaissent des sauvegardes dans un délai de 30 jours ;
- mettre à la disposition du client les informations nécessaires pour démontrer le respect des obligations et permettre des audits raisonnables, moyennant un préavis ;
- ne pas transférer de données hors de l’Espace économique européen sans garanties appropriées, telles que les clauses contractuelles types.
5. Ce à quoi le client s’engage
Le client s’engage à :
- disposer d’une base légale pour traiter les données des invités et les informer du traitement ;
- ne saisir que les données dont il a besoin, et n’enregistrer des régimes et des allergies que s’ils sont nécessaires au traiteur ;
- décider s’il active la page QR et le RSVP et pour combien de temps ;
- donner ses instructions par écrit et répondre aux personnes concernées ;
- veiller à ce que ses utilisateurs utilisent le service conformément aux conditions.
6. Événements créés via le lien du lieu
Quand un couple crée son événement via le lien d’un lieu, le couple conserve son compte et son événement. Le lieu n’a accès au plan qu’après que le couple a accepté le lien. Les données que le lieu reçoit sont alors traitées par lui en tant que responsable du traitement, dans les conditions du présent accord.
7. Mesures de sécurité
Nous appliquons, entre autres, les mesures techniques et organisationnelles suivantes :
- hébergement dans l’UE et connexion chiffrée (TLS) ;
- chiffrement au repos sur le disque et dans les sauvegardes, et chiffrement champ par champ des notes de régime ;
- connexion sans mot de passe, par liens à usage unique valables 15 minutes ;
- liens de partage, de QR code et de RSVP avec de longs codes aléatoires et des limites de requêtes ;
- page QR qui n’affiche que le prénom et la table, jamais les régimes, et sans traceurs ;
- accès interne aux données des invités uniquement à la demande du client et avec journalisation ;
- sauvegardes conservées 30 jours et journal d’erreurs sans données personnelles.
8. Responsabilité
La responsabilité de chaque partie envers les personnes concernées est régie par l’article 82 du RGPD. Entre les parties, les limites prévues par les conditions d’utilisation s’appliquent, dans la mesure permise par la loi.
9. Durée et droit applicable
Cet accord reste en vigueur tant que le client utilise le service, et les obligations de suppression et de confidentialité continuent de s’appliquer ensuite. Il est régi par : [A PREENCHER: lei aplicável e tribunal competente].
10. Contact
Pour exercer des droits ou demander une copie signée : privacy@seatalia.com.