Accord de sous-traitance (art. 28 RGPD)

La Boutique (le « Responsable de traitement ») :

[Nom de la boutique] — [Forme juridique] — [Adresse] — [NIF / SIRET] — représentée par [Nom], en qualité de [qualité].

BridalB2B SL (le « Sous-traitant ») :

BridalB2B SL — [Adresse, Espagne] — NIF [À COMPLÉTER] — représentée par [À COMPLÉTER], en qualité de [À COMPLÉTER].

Le présent accord de sous-traitance (« DPA ») est conclu conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD »). Il encadre le traitement par le Sous-traitant des données à caractère personnel des clientes de la Boutique (« les Mariées »), pour le compte et selon les instructions du Responsable de traitement, dans le cadre de l'utilisation du logiciel BrideALL.

La Boutique est responsable de traitement au sens de l'article 4 §7 du RGPD. BridalB2B SL agit en qualité de sous-traitant au sens de l'article 4 §8 du RGPD et ne traite les données que sur la documentation des instructions du Responsable.

• Personnes concernées : les Mariées (clientes de la Boutique) et, le cas échéant, leurs accompagnants.
• Catégories de données : identité (nom), coordonnées (email, téléphone), données de la relation commerciale (date du mariage, budget, essayages, commandes, acomptes et soldes, robes).
• Finalités : gestion de l'agenda d'essayage, fiche cliente, stock, ventes, facturation d'acomptes et de solde, rappels de rendez-vous.

Le Sous-traitant traite les données uniquement sur la documentation des instructions du Responsable de traitement, telles que résultées de l'utilisation du logiciel BrideALL par la Boutique et des présentes. Le Sous-traitant ne traite pas les données à d'autres fins, sauf obligation légale.

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées au regard du risque (art. 32 RGPD) : chiffrement en transit (TLS) et au repos, sauvegardes, accès limité aux personnes autorisées et formées, journalisation des accès administrateurs. Le détail figure sur la page Sécurité.

Le Sous-traitant recourt aux sous-traitants ultérieurs suivants : Base44 (plateforme d'hébergement), [hébergeur] (datacenter), Stripe (paiement), Resend (emails transactionnels), WATI (messagerie WhatsApp). Le Responsable autorise par les présentes ce recours. Tout changement de sous-traitant ultérieur sera notifié au Responsable, qui pourra s'y opposer.

Le Sous-traitant assiste le Responsable, dans la mesure du possible et compte tenu des informations disponibles, pour le respect de ses obligations : sécurité, information des personnes concernées, examen d'impact (DPIA) et consultation de l'autorité de contrôle (art. 32 à 36 RGPD).

En cas de violation de données à caractère personnel, le Sous-traitant notifie le Responsable sans tarder et au plus tard dans les 72 heures, en fournissant les éléments utiles à l'analyse (nature, conséquences, mesures prises). Le Sous-traitant assiste le Responsable dans la notification à l'autorité de contrôle et aux personnes concernées le cas échéant.

À la fin du contrat, le Sous-traitant, au choix du Responsable, supprime ou restitue l'ensemble des données personnelles, et en supprime toute copie, sauf obligation de conservation imposée par le droit de l'Union ou d'un État membre.

Le Sous-traitant met à la disposition du Responsable les informations nécessaires pour démontrer le respect de ses obligations. Le Responsable peut, après information préalable, faire réaliser des audits de la conformité du Sous-traitant, dans des conditions raisonnables et sans perturbation de l'activité.

Tout transfert de données vers un pays tiers est encadré par les garanties appropriées (décision d'adéquation ou clauses contractuelles types de la Commission européenne). [À COMPLÉTER : préciser les éventuels transferts hors UE].

Le présent accord entre en vigueur à la date de signature et s'applique pour toute la durée d'utilisation du logiciel BrideALL par la Boutique. Il prend fin à la résiliation du contrat et après restitution ou suppression des données.

Le présent accord est régi par le droit espagnol et européen (RGPD).

Fait à __________, le __/__/____, en deux exemplaires originaux.