Accord de Traitement des Donnees

1. Portee du Traitement

Objet : Fourniture de services de gestion de rendez-vous, de communication avec les clients et de reservation en ligne.

Duree : Pendant la duree de l'abonnement du Studio, augmentee du delai de suppression de 30 jours.

Nature et finalite : Stockage, consultation et traitement de donnees a caractere personnel aux fins de la prise de rendez-vous, de l'envoi de notifications automatiques et de la gestion du studio.

Categories de personnes concernees : Clients du studio (personnes effectuant des reservations), personnel du studio.

Types de donnees a caractere personnel : Nom, numero de telephone, adresse e-mail, historique des rendez-vous, date de naissance (facultatif).

2. Obligations du Sous-traitant (Art. 28, par. 3)

2.1 Instructions Documentees

Le Sous-traitant traite les donnees a caractere personnel uniquement sur la base d'instructions documentees du Responsable du traitement, y compris en ce qui concerne les transferts vers des pays tiers, sauf obligation legale contraire.

2.2 Confidentialite

Le Sous-traitant veille a ce que les personnes autorisees a traiter les donnees a caractere personnel se soient engagees a respecter la confidentialite ou soient soumises a une obligation legale appropriee de confidentialite.

2.3 Mesures de Securite (Art. 32)

Le Sous-traitant met en oeuvre des mesures techniques et organisationnelles appropriees, notamment :

• Hachage des mots de passe avec Argon2id (64 Mo de cout memoire)
• TLS 1.3 pour toutes les donnees en transit
• Securite au niveau des lignes (row-level security) isolant les donnees de chaque studio dans la base de donnees
• Authentification JWT avec jetons a duree de vie courte et jetons d'actualisation rotatifs
• Content Security Policy stricte et limitation du debit de requetes
• Journalisation d'audit de toutes les modifications de donnees

2.4 Sous-traitants Ulterieurs

Le Responsable du traitement accorde une autorisation ecrite generale pour que le Sous-traitant fasse appel a des sous-traitants ulterieurs. Le Sous-traitant informe le Responsable du traitement de tout changement envisage et lui donne la possibilite de s'y opposer. Sous-traitants ulterieurs actuels :

Chaque sous-traitant ulterieur est lie par des obligations de protection des donnees equivalentes a celles prevues dans le present ATD.

2.5 Droits des Personnes Concernees

Le Sous-traitant aide le Responsable du traitement a repondre aux demandes des personnes concernees (acces, rectification, effacement, portabilite, limitation, opposition) en fournissant :

• Export des donnees clients (format JSON) depuis le tableau de bord
• Anonymisation des clients (lorsque l'effacement est demande mais que les registres doivent etre conserves)
• Export complet des donnees du studio pour les proprietaires

2.6 Assistance en Matiere de Securite et de Violation de Donnees

Le Sous-traitant aide le Responsable du traitement a respecter les obligations prevues aux Articles 32 a 36, y compris la notification des violations de donnees. Le Sous-traitant notifie le Responsable du traitement dans les meilleurs delais apres avoir pris connaissance d'une violation de donnees a caractere personnel.

2.7 Suppression et Restitution

A l'issue du service, le Sous-traitant supprime l'ensemble des donnees a caractere personnel dans un delai de 30 jours (delai de grace pour la suppression), sauf obligation legale de conservation. Le Responsable du traitement peut exporter l'ensemble des donnees avant d'engager la suppression.

2.8 Audit

Le Sous-traitant met a la disposition du Responsable du traitement toutes les informations necessaires pour demontrer le respect de l'Article 28 et permet la realisation d'audits par le Responsable du traitement ou par un auditeur mandate par celui-ci. Le Sous-traitant informe immediatement le Responsable du traitement si une instruction constitue une violation du RGPD.

3. Obligations du Responsable du Traitement

• S'assurer de l'existence d'une base juridique valide pour l'ensemble du traitement
• Obtenir les consentements necessaires des personnes concernees lorsque cela est requis
• Fournir des instructions de traitement conformes au RGPD
• Informer le Sous-traitant de toute exigence relative a une analyse d'impact relative a la protection des donnees

4. Droit Applicable

Le present ATD est regi par le droit portugais et le RGPD. L'autorite de controle competente est la CNPD (Comissao Nacional de Protecao de Dados). Si votre studio est etabli en France, vous pouvez egalement vous adresser a la CNIL (Commission nationale de l'informatique et des libertes).