Le présent accord (l’« Accord ») complète les conditions générales CARDEX et en fait partie intégrante. Il encadre, conformément à l’article 28 du règlement (UE) 2016/679 (« RGPD »), les traitements réalisés par CARDEX — Clément Bellone, entrepreneur individuel (EI), SIREN 991 823 451, 7 rue de Pardeilhan, 64600 Anglet, France (le « Sous-traitant ») — pour le compte du centre client (le « Responsable de traitement »). Il est accepté avec les conditions générales.
1. Objet et durée
1.1. Le Sous-traitant traite des données à caractère personnel pour le compte du Responsable de traitement dans le seul but de lui fournir le Service CARDEX.
1.2. L’Accord s’applique pendant toute la durée de l’abonnement, puis pendant la période de restitution et de suppression prévue à l’article 11.
2. Nature et finalités du traitement
Nature : hébergement, enregistrement, organisation, consultation, modification, export, communication aux destinataires choisis par le centre (emails, messages) et suppression de données. Finalités : gestion de l’activité du centre de plongée — clients, réservations, planning, bateaux, matériel, paiements enregistrés, devis, documents, communications avec les clients et données opérationnelles du centre.
3. Catégories de personnes concernées
Clients et prospects du centre (plongeurs, y compris mineurs le cas échéant), leurs conjoints et contacts d’urgence, et toute autre personne dont le centre saisit les données dans le Service.
4. Catégories de données
Identité, coordonnées, date de naissance, nationalité, langue ; niveau et certifications de plongée, informations de plongée ; pointure ; contacts d’urgence et conjoint ; réservations, paiements enregistrés, devis ; documents ; notes ; champ « allergies / remarques » pouvant contenir des données relatives à la santé. Les certificats médicaux ne sont pas déposés dans le Service : seul leur statut est suivi.
Il appartient au Responsable de traitement de déterminer la condition de licéité applicable aux données relatives à la santé qu’il choisit d’enregistrer et d’en informer les personnes concernées ; le Sous-traitant applique à ces données les mesures de sécurité décrites à l’article 7.
5. Instructions du Responsable de traitement
5.1. Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement, constituée par les conditions générales, le présent Accord et l’utilisation que le Responsable de traitement fait des fonctionnalités du Service.
5.2. Si une instruction lui paraît constituer une violation du RGPD ou d’une autre disposition applicable, le Sous-traitant en informe immédiatement le Responsable de traitement.
5.3. Le Sous-traitant n’utilise pas les données pour ses propres finalités.
6. Confidentialité
Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire à la fourniture, à la maintenance, au support et à la sécurité du Service.
7. Sécurité
Conformément à l’article 32 du RGPD, le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées, notamment : isolation logique stricte des données de chaque centre, contrôle des accès par rôles et permissions définis par le centre, chiffrement des échanges, authentification à deux facteurs pour l’administration de la plateforme, journalisation des actions sensibles, séparation des environnements de développement et de production, sauvegardes de la base de données selon les modalités de l’article 11.2.
8. Sous-traitants ultérieurs
8.1. Le Responsable de traitement autorise de manière générale le recours aux sous-traitants ultérieurs listés dans la politique de confidentialité : Vercel (hébergement), Supabase (base de données, authentification, stockage), Mailjet (emails), Stripe (paiements), OpenStreetMap Foundation (cartographie) et OpenMeteo GmbH (météo).
8.2. Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement d’un sous-traitant ultérieur dans un délai raisonnable avant sa prise d’effet. Le Responsable de traitement peut s’y opposer pour un motif légitime ; à défaut d’accord, il peut résilier son abonnement dans les conditions des conditions générales.
8.3. Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations de protection des données appropriées et demeure responsable envers le Responsable de traitement de l’exécution de leurs obligations.
9. Assistance et droits des personnes
9.1. Le Sous-traitant aide le Responsable de traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition) ; le Service permet notamment de consulter, modifier, archiver et exporter les fiches.
9.2. Si une personne concernée s’adresse directement au Sous-traitant, celui-ci transmet sa demande au Responsable de traitement sans délai et n’y répond pas lui-même, sauf instruction de celui-ci.
9.3. Le Sous-traitant aide le Responsable de traitement à garantir le respect de ses obligations en matière de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable (articles 32 à 36 du RGPD), compte tenu de la nature du traitement et des informations à sa disposition.
10. Violations de données
10.1. Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, par email à l’adresse du compte propriétaire ou gérant du centre.
10.2. La notification précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, ses conséquences probables et les mesures prises ou envisagées.
10.3. Il appartient au Responsable de traitement de notifier l’autorité de contrôle et, le cas échéant, les personnes concernées.
11. Sort des données
11.1. En cas de fermeture du centre, le propriétaire peut, pendant la fenêtre de restauration de trente (30) jours, annuler la fermeture ou exporter l’ensemble des données du centre ; chaque lien d’export est valable sept (7) jours.
11.2. À l’expiration de cette fenêtre, le Sous-traitant peut supprimer définitivement les données, jamais automatiquement et après double confirmation explicite, sous réserve des obligations légales de conservation. Des copies de ces données peuvent subsister dans des sauvegardes de sécurité. Les sauvegardes régulières de la base de données réalisées par CARDEX sont conservées sous forme chiffrée. CARDEX ne prend à ce jour aucun engagement sur la fréquence, le lieu de stockage ni la durée de conservation de ces sauvegardes ; en particulier, aucun délai d’effacement de ces copies n’est garanti.
11.3. Lorsqu’un abonnement prend fin sans fermeture du centre, les données sont conservées pendant 60 jours à compter de la fin de l’abonnement ; le centre est alors fermé automatiquement et les articles 11.1 et 11.2 s’appliquent.
12. Audits et documentation
12.1. Le Sous-traitant met à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect de ses obligations au titre du présent Accord.
12.2. Le Responsable de traitement peut faire réaliser un audit, à ses frais, par lui-même ou par un auditeur indépendant soumis à confidentialité, moyennant un préavis raisonnable ; l’audit ne doit ni perturber le Service ni compromettre la sécurité ou la confidentialité des données des autres clients.
13. Transferts internationaux
Les données peuvent être traitées hors de l’Union européenne par les sous-traitants ultérieurs listés dans la politique de confidentialité ; ces transferts sont encadrés par les garanties qui y sont indiquées.
14. Obligations du Responsable de traitement
Le Responsable de traitement s’assure de disposer d’une base légale pour chaque traitement, y compris pour les données relatives à la santé qu’il enregistre ; informe les personnes concernées ; ne saisit que des données pertinentes et nécessaires ; gère les accès et permissions de ses Utilisateurs ; et définit les durées de conservation applicables à ses propres traitements.
15. Contact
Pour toute question relative au présent Accord : pacificesteka@gmail.com — Clément Bellone (EI) — CARDEX, 7 rue de Pardeilhan, 64600 Anglet, France.