Contrat de sous-traitance des données de Romy

1. Les parties et leur rôle

Le salon qui s'inscrit à Romy est le responsable de traitement : il décide d'utiliser Romy pour suivre ses clients et choisit les fonctions qu'il active.

Nakamoon, éditeur de Romy (EURL au capital de 291 975 €, RCS Paris 953 777 661, 191 rue Saint-Charles, 75015 Paris), est le sous-traitant : elle traite ces données pour le compte du salon et uniquement pour faire fonctionner Romy. Par exception, Nakamoon est responsable de traitement des statistiques anonymes prévues à l'article 3 et de l'annuaire Romy décrit dans les conditions générales de vente.

Ce contrat est accepté par le salon à son inscription, en même temps que les conditions générales de vente, et dure aussi longtemps que son compte Romy.

2. Ce qui est traité

Aucune donnée sensible n'est demandée ; le salon veille à ne pas en saisir dans les notes.

3. Ce que Nakamoon s'engage à faire

• Traiter les données uniquement sur les instructions du salon, c'est-à-dire pour faire fonctionner Romy tel qu'il le paramètre. Si une instruction lui paraît contraire à la loi, Nakamoon le signale au salon.
• Ne jamais réutiliser les données des clients du salon pour son propre compte, ni les vendre, ni les transmettre à un tiers en dehors des sous-traitants prévus à l'article 5, sous la seule réserve des statistiques ci-dessous.
• Garantir que les personnes qui ont accès aux données sont tenues à la confidentialité.
• Tenir un registre des traitements effectués pour le compte des salons.

Statistiques. Le salon autorise Nakamoon à établir, à partir des données traitées dans Romy, des statistiques anonymes, salon par salon et tous salons réunis, pour comprendre l'usage de Romy, l'améliorer, et publier des résultats d'ensemble, notamment pour présenter Romy à d'autres salons. Ces statistiques ne permettent d'identifier aucun client du salon. Elles ne sont jamais vendues ni utilisées pour démarcher les clients du salon, et aucun salon n'y est nommé devant un tiers sans son accord. Pour cette seule finalité, Nakamoon agit comme responsable de traitement.

4. Sécurité

Nakamoon met en place des mesures adaptées, notamment :

• un accès aux données de chaque salon cloisonné : un salon ne voit jamais les données d'un autre ;
• des accès distincts pour la gérance et pour l'équipe, chacun limité à ce dont il a besoin ;
• des liens d'accès personnels, sécurisés et limités dans le temps ;
• des données chiffrées pendant leur transfert et leur stockage ;
• un journal des opérations sensibles, qui ne peut pas être modifié.

5. Sous-traitants ultérieurs

Le salon autorise Nakamoon à faire appel à des sous-traitants ultérieurs pour faire fonctionner Romy. Leur liste à jour, avec pour chacun son rôle, son lieu de traitement et la garantie applicable en cas d'accès hors de l'Union européenne, figure sur la page Sous-traitants de Romy : romy-app.com/sous-traitants.

Nakamoon impose à chacun des obligations équivalentes à ce contrat. Tout ajout ou remplacement est notifié au salon par e-mail au moins 15 jours avant ; le salon peut s'y opposer en résiliant son abonnement avant cette date, sans frais, la part non utilisée de la période en cours lui étant remboursée. En cas d'urgence liée à la sécurité ou à la continuité du service, le remplacement peut avoir lieu immédiatement ; le salon en est informé sans délai et conserve le même droit de résilier.

6. Droits des clients

Nakamoon aide le salon à répondre aux demandes de ses clients (accès, copie, rectification, effacement, opposition). Le salon lui transmet la demande à l'adresse de contact ; Nakamoon y donne suite dans un délai qui lui permet de répondre à son client dans le mois prévu par la loi. Chaque client peut aussi supprimer lui-même ses photos depuis sa page. Nakamoon transmet sans délai au salon toute demande qu'elle recevrait directement.

7. Violation de données

Nakamoon prévient le salon par e-mail dans les 48 heures après avoir pris connaissance d'une violation de données (perte, vol, accès non autorisé). Elle lui transmet les informations disponibles à ce moment, et les complète dès qu'elle en dispose, pour que le salon puisse, si nécessaire, la notifier à la CNIL et prévenir ses clients.

8. Aide au salon

Nakamoon fournit au salon les informations nécessaires pour démontrer le respect de ses obligations, et l'aide, si besoin, pour une analyse d'impact. Elle répond à ses questions par écrit. Si ces réponses et documents ne suffisent pas, le salon peut faire réaliser un audit, à sa charge, avec un préavis de 30 jours, au plus une fois par an, sauf après une violation de données.

9. Fin du contrat

Le compte d'un salon sans abonnement en cours depuis 30 jours est supprimé avec toutes ses données, le salon étant prévenu par e-mail 7 jours avant. Avant cette date, il peut demander à récupérer ses données en écrivant à l'adresse de contact : elles lui sont remises sous 7 jours, dans des formats courants. Nakamoon ne garde ensuite aucune donnée des clients du salon, sauf les statistiques anonymes de l'article 3 et, pour les durées prévues en annexe, les sauvegardes et les journaux nécessaires à la sécurité et à la preuve.

10. Obligations du salon

Le salon informe ses clients du traitement de leurs données ; Romy lui fournit les mentions à leur montrer. Il obtient leur accord écrit avant toute publication d'une photo, quel que soit le support ; la remise de ses photos à un client par Romy n'est pas une publication. Il veille à ce que son équipe utilise Romy uniquement pour le salon, dans les finalités prévues à l'article 2.

11. Évolution du service et du contrat

Nouvelles fonctions. Nakamoon peut ajouter à Romy des fonctions facultatives sans modifier ce contrat, à condition qu'elles restent dans les finalités et les catégories de données de l'article 2, et que tout nouveau sous-traitant suive la procédure de l'article 5. Le salon choisit de les utiliser ou non.

Modification du contrat. Nakamoon peut modifier ce contrat. Les modifications mineures (corrections, précisions n'affectant pas les droits et obligations du salon) s'appliquent 30 jours après leur notification par e-mail. Toute modification substantielle (nouvelle finalité, nouvelle catégorie de données, responsabilité) requiert l'acceptation expresse du salon ; la nouvelle version lui est présentée à sa connexion. À défaut d'acceptation, le salon peut résilier sans frais avant l'entrée en vigueur des modifications ; s'il a payé une période en cours, la part non utilisée lui est remboursée.

Annexe : durées de conservation

• Données d'un client ou d'une personne qui a contacté le salon (fiche, historique, notes, photos, produits, parrainage, demandes)

  Durée

  3 ans après son dernier passage ou son dernier contact

• Liens d'accès remis aux clients

  Durée

  90 jours au plus

• Liste des personnes qui ne veulent plus recevoir de messages du salon

  Durée

  3 ans après leur demande

• Accords donnés par les clients et journal des opérations sensibles, conservés comme preuve

  Durée

  5 ans au plus

• Sauvegardes de la base

  Durée

  30 jours au plus

• Toutes les données du salon, à la fin du contrat

  Durée

  30 jours après la fin du dernier abonnement en cours (article 9)