1. Objet, parties et qualification des rôles
Le présent Accord régit les traitements de données personnelles liés à la fourniture du logiciel de gestion HurryStyle.
Les parties sont définies selon le RGPD (Règlement UE 2016/679) :
- Le Salon de coiffure : agit comme Responsable du traitement pour toutes les données personnelles de ses clients et collaborateurs saisies dans l'application.
- Simone Venturini (personne physique, développeur du service) : agit comme Sous-traitant au sens de l'article 28 du RGPD, traitant ces données uniquement pour le compte du Salon et selon ses instructions documentées.
2. Finalités, catégories de données et personnes concernées
Le service traite des données pour agenda, contacts, prestations, horaires, valeur des prestations réalisées, photos, export et analyses du salon. Opérations : collecte, stockage, consultation, calcul d’indicateurs, synchronisation, partage sur instruction et suppression. Données : noms, coordonnées, rendez-vous, montants, horaires, exceptions, préférences, images et commentaires. Personnes concernées : clients et personnel. Les données de santé sont exclues. La durée couvre la relation et les opérations de restitution ou suppression.
3. Obligations du Sous-traitant
Le Sous-traitant s’engage à :
- Ne traiter les données que sur instruction documentée du Salon, y compris les fonctionnalités habituelles du logiciel, sauf si le droit de l’Union ou le droit de l’État membre auquel le Sous-traitant est soumis l’exige ; dans ce cas, le Sous-traitant informe le Salon de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public ;
- Informer sans délai le Salon s'il estime qu'une instruction enfreint le RGPD ou la législation applicable ;
- Veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité ;
- Mettre en œuvre des mesures techniques et organisationnelles appropriées (RGPD Art. 32) : chiffrement en transit, contrôle des accès, protection de l'intégrité.
4. Sous-traitants ultérieurs (Sub-processors)
Le Salon autorise le recours aux prestataires d'infrastructure suivants :
- Google Cloud / Firebase : sous-traitant effectif pour la base de données du salon (Firestore à Milan, Italie) et l'authentification (Firebase Authentication aux États-Unis, sous Clauses Contractuelles Types et DPA Google Cloud).
- Cloudflare, Inc. : prestataire réseau pour DNS, hébergement web et routage d'e-mails, exerçant un rôle d'infrastructure distinct sans héberger la base applicative du salon.
Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes et demeure responsable de leur exécution. Tout changement de sous-traitant sera notifié au préalable pour permettre au Salon de s'y opposer pour motifs légitimes.
Google Cloud Storage conserve les photos privées en europe-west1 (Belgique), avec copies protégées pendant 7 jours après suppression. Google/Firebase fournit aussi les fonctions serveur et protections App Check/Play Integrity. Aucun sous-traitant d’IA générative ou d’importation d’avis Google n’est configuré.
5. Assistance au Responsable du traitement, violations et AIPD
Compte tenu de la nature du traitement et des informations à sa disposition, le Sous-traitant assiste le Salon pour veiller au respect des obligations prévues aux articles 32 à 36 du RGPD :
- Répondre aux demandes d'exercice des droits des personnes concernées (Chapitre III du RGPD) ;
- Garantir la sécurité du traitement au titre de l’article 32 du RGPD ;
- Notifier au Salon toute violation de données personnelles (Data Breach, RGPD Art. 33) dans les meilleurs délais après en avoir pris connaissance, et l'assister dans la communication de la violation aux personnes concernées au titre de l’article 34 du RGPD ;
- Réaliser les analyses d'impact relatives à la protection des données (AIPD au titre de l’article 35 du RGPD) et procéder à la consultation préalable de l'autorité de contrôle au titre de l’article 36 du RGPD.
6. Suppression ou restitution des données
À la fin du service, le responsable choisit restitution ou suppression des données, sauf conservation légale. L’export CSV reste accessible au titulaire après expiration ; les données non couvertes peuvent être demandées au support avant suppression. Le processus efface l’archive active et les photos. Les copies protégées des photos expirent après 7 jours ; les cycles du fournisseur et copies sur appareils ou chez des destinataires externes sont décrits dans la politique de confidentialité. Le sous-traitant aide le responsable pour les demandes des personnes.
7. Audits, informations et valeur du document
Le Sous-traitant met à disposition du Salon les informations raisonnablement nécessaires pour démontrer le respect de l'article 28 du RGPD et permet et facilite la réalisation d'audits et d'inspections proportionnés conduits directement par le Salon ou par un autre auditeur indépendant mandaté par le Salon.
Prise d’effet de l’accord : il s’agit de la version actuelle mise à disposition par transparence ; le DPA devient contraignant pour chaque Salon par acceptation numérique ou signature formelle avant l’utilisation commerciale du service.