Accord de traitement des données (article 28 du RGPD)
Entre le client (responsable du traitement) et DIGIPLAY STUDIO (sous-traitant), éditeur de Take Your Pass.
1. Objet et durée
Le sous-traitant traite les données des participants aux événements du client pour les seuls besoins du service, pendant la durée de l'abonnement.
2. Nature des traitements
- Données : identité, coordonnées (email, téléphone), participation et émargement, contenus publiés dans les modules activés.
- Finalités : organisation des événements, envoi des informations aux participants, contrôle des accès.
3. Obligations du sous-traitant
- Traiter les données uniquement sur instruction documentée du client (paramétrage et utilisation du service).
- Garantir la confidentialité des personnes autorisées à traiter les données.
- Mettre en œuvre des mesures de sécurité appropriées : chiffrement des échanges, cloisonnement des données par client, contrôle des accès, QR codes signés.
- Aider le client à répondre aux demandes d'exercice des droits des personnes.
- Notifier au client toute violation de données dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance.
- Supprimer ou restituer les données au terme de l'abonnement, sur demande du client, et au plus tard 12 mois après la fin des événements.
4. Sous-traitants ultérieurs
Le client autorise le recours aux sous-traitants suivants :
- o2switch (hébergement, France)
- Resend (envoi des emails, États-Unis)
- smsmode (envoi des SMS, France)
- Google Firebase (notifications push, États-Unis)
- Pusher (messagerie en temps réel, Royaume-Uni / États-Unis)
- Stripe (paiement de l'abonnement, données du client uniquement)
Tout changement est notifié au client, qui peut s'y opposer. Les transferts hors Union européenne sont encadrés par le Data Privacy Framework ou les clauses contractuelles types.