Accord de sous-traitance (DPA)

Le Sous-traitant traite les données personnelles exclusivement au nom et selon les instructions documentées du Responsable, dans le cadre du Service Salonnare.

Ce DPA s'applique pour la durée de l'abonnement sous-jacent et prend fin automatiquement avec celui-ci, sous réserve de la section 10.

Nature : stockage, affichage, structuration, consultation, transmission (e-mail/WhatsApp), effacement et sauvegarde de données personnelles dans un environnement SaaS multi-tenant.

Finalité : fournir les fonctionnalités Salonnare (agenda, POS, facturation, campagnes, notifications, rapports, fiches clients) selon les instructions données via l'interface ou les canaux de support.

Le Sous-traitant ne traite pas les données pour ses propres finalités ou pour celles de tiers, sauf pour exécuter le Service, pour de la recherche produit anonyme/agrégée ou pour des obligations légales.

Personnes concernées : clients finaux du salon ; employés/stylistes ; fournisseurs et contacts enregistrés par le Responsable.

Catégories de données : coordonnées, identifiants (numéro client), historique de RDV, prestations, factures, paiements, notes, photos, préférences, soldes cartes-cadeaux/fidélité, communications e-mail/WhatsApp, avis.

Les catégories particulières (art. 9 RGPD) - telles que les notes de santé (allergies, médicaments, affections cutanées, grossesse) - sont stockées dans un coffre chiffré dédié, séparé des notes clients ordinaires. Le Sous-traitant applique à cette fin les garanties supplémentaires suivantes :

• Chiffrement par enveloppe AES-256-GCM avec une clé de données par tenant, elle-même enveloppée au repos par une clé maîtresse plateforme.

• La clé maîtresse est conservée exclusivement dans des variables d'environnement, séparée des sauvegardes de base de données ; sa perte rend l'ensemble des données du coffre définitivement illisibles.

• Contrôle d'accès basé sur les rôles via un indicateur d'autorisation dédié (can_view_health_notes), auditable par adhésion ; les administrateurs ne sont pas automatiquement autorisés.

• Journal d'accès immuable : chaque lecture, écriture, téléchargement et suppression est enregistré avec l'acteur, l'adresse IP et l'horodatage, conservé pendant 24 mois.

• Conservation par défaut de 12 mois + 30 jours de période de grâce, configurable par note par le Responsable.

• L'impersonation plateforme est techniquement bloquée sur les routes des données de santé (défense en profondeur).

Le Responsable demeure chargé d'établir et de documenter la base légale appropriée au titre de l'article 9, paragraphe 2, du RGPD (généralement consentement explicite ou intérêts vitaux). Le Sous-traitant fournit la fonctionnalité technique permettant d'enregistrer, de prouver et de retirer un tel consentement via un journal d'événements de consentement séparé. Voir le runbook "art9-health-data-vault" pour les détails techniques.

Le Sous-traitant traite uniquement sur instructions documentées du Responsable, sauf obligation légale. Dans ce cas, il informe le Responsable avant le traitement, sauf interdiction légale.

Si une instruction semble enfreindre le RGPD ou d'autres règles de l'Union ou d'un État membre, il en informe le Responsable sans délai.

Le Sous-traitant veille à ce que les personnes autorisées soient engagées à la confidentialité par écrit ou par une obligation légale.

L'accès aux données de production est limité au fondateur de VanIersel Development et aux personnes expressément autorisées, sous 2FA.

Le Responsable accorde une autorisation générale écrite d'engager des sous-traitants ultérieurs. La liste actuelle figure sur salonnare.com/sub-processors et est incorporée par référence.

Le Sous-traitant annonce tout ajout ou remplacement au moins 30 jours à l'avance. Le Responsable peut s'y opposer de manière motivée sous 30 jours. Si l'objection ne peut être résolue raisonnablement, il peut résilier l'abonnement sans préavis pour la partie concernée.

Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations au moins équivalentes à ce DPA par contrat écrit. Il reste pleinement responsable du respect par ses sous-traitants.

Mesures techniques et organisationnelles appropriées : TLS 1.3, AES-256 au repos, HSTS preload, isolation tenant au niveau base, accès production moindre privilège avec 2FA, journaux d'audit, rate limiting et détection d'anomalies, mises à jour régulières.

Les mesures sont évaluées périodiquement et ajustées à l'état de l'art / profil de risque.

Le Sous-traitant fournit une assistance raisonnable pour répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition) via des mesures techniques/organisationnelles appropriées, y compris les exports self-service in-app (JSON/CSV) et endpoints API.

Les demandes reçues directement par le Sous-traitant sont transmises sans traitement au Responsable, sauf obligation légale contraire.

Sur demande, le Sous-traitant assiste pour les AIPD et consultations préalables (art. 35-36 RGPD), moyennant rémunération raisonnable pour coûts réels sur interventions étendues.

Le Sous-traitant notifie le Responsable sans retard indu, au plus tard sous 48 heures après découverte, toute violation au sens de l'art. 33 RGPD.

La notification contient : nature, catégories et nombres approximatifs, contact, conséquences probables et mesures prises/proposées.

Le Responsable reste responsable de la notification à l'Autorité néerlandaise et, le cas échéant, aux personnes concernées (art. 33-34 RGPD). Le Sous-traitant apporte une assistance raisonnable.

À la fin de l'accord sous-jacent, le Responsable dispose de 30 jours pour télécharger toutes les données personnelles via l'export self-service (JSON/CSV) ou l'API.

Passé ce délai, le Sous-traitant supprime toutes les données des systèmes de production. Les sauvegardes sont purgées selon la rotation standard de 30 jours. Les données à conserver par la loi (ex. facturation art. 52 AWR - 7 ans) sont conservées pour cette durée puis détruites.

Sur demande raisonnable, le Sous-traitant met à disposition les informations nécessaires à la démonstration de conformité, dont les politiques de sécurité et le dernier rapport de pentest (sous NDA).

Le Responsable peut, au plus une fois par 12 mois et à ses frais, faire réaliser un audit par un auditeur indépendant. Audits annoncés 30 jours à l'avance, planifiés d'un commun accord, sans perturber le service. Résultats confidentiels.

Pas de transfert hors UE/EEE sans garanties appropriées (Clauses Contractuelles Types, certification EU-US Data Privacy Framework ou autre mécanisme du chapitre V RGPD).

Les garanties actuelles par sous-traitant figurent sur salonnare.com/sub-processors.

La responsabilité au titre de ce DPA est soumise à la limitation des Conditions Générales (salonnare.com/terms - section 12).

Rien dans ce DPA ne limite les obligations de l'art. 82 RGPD ; les parties demeurent pleinement responsables envers les personnes concernées et les autorités.

Ce DPA est régi par le droit néerlandais. Les litiges relèvent du tribunal compétent de Breda, sauf droit impératif contraire.

Les utilisateurs du Responsable du traitement qui participent au programme de test ou early-access de Salonnare peuvent signaler un problème depuis l'application. Ce n'est que lorsqu'un tel utilisateur envoie lui-même un signalement que le Sous-traitant reçoit un enregistrement des 2 dernières minutes à l'écran (structure de la page et interactions, ni vidéo ni son) et au maximum 100 lignes de la console du navigateur. Rien n'est enregistré pour les autres utilisateurs.

Finalité - Le Sous-traitant utilise ces enregistrements uniquement pour examiner et corriger le problème signalé, et à aucune autre fin.

Garanties - Les données personnelles des clients finaux (noms, adresses e-mail, numéros de téléphone) sont marquées dans l'application et masquées sur l'appareil avant l'envoi, y compris dans les attributs qui peuvent contenir un nom (comme les textes destinés aux lecteurs d'écran, les infobulles et les textes alternatifs des images). Les liens contenant un numéro de téléphone ou une adresse e-mail sont masqués partout. Le contenu de tous les champs de saisie est masqué ; le coffre de données de santé, les réponses aux questionnaires d'accueil et les photos des clients ne sont pas capturés. Si l'application ne reçoit pas de paramètres de masquage valides du serveur, elle masque avec le paramètre le plus strict. Les enregistrements sont stockés chiffrés (AES-256-GCM, avec une clé dédiée), ne sont accessibles qu'à un nombre restreint d'administrateurs de la plateforme du Sous-traitant et sont supprimés automatiquement après 30 jours. Aucun sous-traitant ultérieur n'intervient.

Risque résiduel - Le masquage porte sur les données marquées comme données client dans l'application. Un enregistrement capture ce qui est affiché à ce moment-là et peut donc contenir des données personnelles de clients finaux affichées comme texte ordinaire à un endroit non marqué, par exemple un nom qu'un utilisateur a lui-même saisi dans une description. Le Sous-traitant traite ces données conformément au présent DPA. À la demande du Responsable du traitement adressée à privacy@vaniersel.dev, le Sous-traitant supprime un enregistrement plus tôt ou désactive la fonction d'avis pour les utilisateurs du Responsable du traitement.

Lors d'une demande d'import, un utilisateur du Responsable peut demander au Sous-traitant une proposition par IA indiquant quelle colonne correspond à quel champ. Cela n'a lieu que si l'utilisateur le demande lui-même ; sans cette demande rien n'est envoyé à l'IA, et l'association par nom de colonne ou à la main reste toujours possible. Le Sous-traitant fait appel à cet effet à Anthropic, PBC (États-Unis) comme sous-traitant ultérieur.

Quelles données - Les noms de colonnes et, par colonne, un profil de type (sorte de valeur, format de date, part de cellules vides, longueur). Pour les fichiers clients, aucune valeur du fichier n'est envoyée : les trois lignes d'exemple sont entièrement fictives. Pour les fichiers de produits et de prestations, trois lignes d'exemple sont envoyées dans lesquelles les adresses e-mail, numéros de téléphone, IBAN, codes postaux et dates anciennes ont été remplacés et les textes libres de plus de 40 caractères omis ; si une colonne contient deux adresses e-mail, numéros de téléphone ou IBAN ou plus, rien n'est envoyé à l'IA. Un fichier sans ligne d'en-tête et les colonnes de paiement ne sont jamais envoyés à l'IA ; un fichier contenant des données de santé est refusé dès le téléversement. Les lignes elles-mêmes sont traitées uniquement par le Sous-traitant ; l'IA ne renvoie qu'une association.

Conservation et utilisation chez Anthropic - Anthropic n'utilise pas les données pour entraîner des modèles et supprime les entrées et sorties dans un délai de 30 jours. Si les systèmes de sécurité automatiques d'Anthropic signalent une requête comme contraire à sa politique d'utilisation, Anthropic peut conserver les entrées et sorties jusqu'à 2 ans. Le Sous-traitant n'enregistre pas le contenu de la requête ni de la réponse ; il ne conserve que la proposition et le nombre de tokens utilisés.

Transfert - Anthropic stocke les données aux États-Unis ; le traitement lui-même peut aussi avoir lieu dans d'autres pays hors de l'EEE. Anthropic n'est pas certifié sous le EU-US Data Privacy Framework. Le transfert repose sur les clauses contractuelles types de l'UE (module 3, de sous-traitant à sous-traitant) de l'accord de traitement des données d'Anthropic (anthropic.com/legal/data-processing-addendum).

Opposition - Le Responsable peut s'opposer conformément à l'article 6. Sur demande via privacy@vaniersel.dev, le Sous-traitant désactive l'aide IA pour le Responsable ; l'import reste possible.