Documentation RGPD

1. Accord de traitement des données (ATD)

1.1 Parties

Le présent Accord de traitement des données (ci-après « ATD ») est conclu entre l'exploitant professionnel utilisant le système Resovu (ci-après « Responsable du traitement ») et Lubomír Unar, n° 05000386 (ci-après « Sous-traitant »). L'ATD fait partie intégrante des Conditions générales d'utilisation de Resovu.

1.2 Objet et durée du traitement

Le Sous-traitant traite les données personnelles des clients du Responsable du traitement aux fins de la fourniture du système de réservation. Le traitement a lieu pendant toute la durée du contrat de service. Catégories de personnes concernées : les clients du Responsable du traitement effectuant des réservations, pour l'hébergement également les voyageurs accompagnants et, pour les activités destinées aux enfants, leurs représentants légaux. Catégories de données : nom, prénom, e-mail, téléphone, données de réservation et de séjour, champs personnalisés optionnels, points de fidélité, avis et justificatifs émis aux clients. Pour l'hébergement, selon les paramètres du Responsable du traitement, également les données d'enregistrement des voyageurs (date et lieu de naissance, sexe, nationalité, adresse, type et numéro de la pièce d'identité, visa, motif du séjour) et, avec le consentement du voyageur, une référence à la carte de paiement enregistrée chez Stripe (identifiant, marque, quatre derniers chiffres) ainsi que la preuve du consentement.

1.3 Obligations du Sous-traitant

Le Sous-traitant s'engage à : traiter les données personnelles uniquement sur la base d'instructions documentées du Responsable du traitement ; s'assurer que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ; mettre en œuvre toutes les mesures requises par l'Art. 32 du RGPD ; respecter les conditions relatives à l'engagement de sous-traitants ultérieurs ; assister le Responsable du traitement dans l'exécution de ses obligations au titre des Art. 32 à 36 du RGPD ; supprimer ou restituer toutes les données personnelles à la fin du contrat ; fournir au Responsable du traitement toutes les informations nécessaires pour démontrer la conformité.

1.4 Instructions du Responsable du traitement

Le Responsable du traitement donne une instruction générale au Sous-traitant de traiter les données personnelles dans la mesure nécessaire à la fourniture du service Resovu. Le Responsable du traitement peut émettre des instructions complémentaires via les paramètres d'administration du système. Le Sous-traitant informe immédiatement le Responsable du traitement s'il estime qu'une instruction enfreint le RGPD.

1.5 Sous-traitants ultérieurs

Le Responsable du traitement accorde au Sous-traitant une autorisation générale de faire appel aux sous-traitants ultérieurs figurant dans la section Liste des sous-traitants. Le Sous-traitant informe le Responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs. Le Responsable du traitement peut s'opposer à ces changements dans un délai de 30 jours. Lorsque le Responsable du traitement connecte son propre compte chez un fournisseur SMS (p. ex. BulkGate ou seven.io), le Sous-traitant transmet à ce fournisseur, sur instruction du Responsable du traitement, le numéro de téléphone et le texte du rappel ; ce fournisseur est le sous-traitant du Responsable du traitement en vertu d'un contrat conclu avec celui-ci et n'est pas un sous-traitant ultérieur du Sous-traitant. Il en va de même pour les autres services que le Responsable du traitement connecte lui-même (portails de réservation via calendrier iCal, PriceLabs, webhooks, Zapier) : le Sous-traitant leur transmet des données sur instruction du Responsable du traitement et ils ne sont pas des sous-traitants ultérieurs du Sous-traitant.

1.6 Mesures de sécurité

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées : chiffrement AES-256-GCM pour les champs sensibles ; HTTPS/TLS pour tous les transferts de données ; isolation des données par compte via la sécurité au niveau des lignes (Row Level Security) ; contrôle d'accès basé sur les rôles (RBAC) ; hachage des adresses IP ; suppression automatique des données personnelles après la période de conservation ; en-têtes de sécurité (CSP, HSTS, X-Frame-Options) ; limitation du débit pour la protection contre les abus.

1.7 Notification de violation

Le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les 48 heures. La notification comprend : une description de la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises.

1.8 Assistance pour les droits des personnes concernées

Le Sous-traitant assiste le Responsable du traitement dans l'exécution de son obligation de répondre aux demandes des personnes concernées souhaitant exercer leurs droits en vertu du Chapitre III du RGPD. Le système permet : l'exportation des données clients (Art. 20), l'anonymisation/suppression des données (Art. 17), la consultation des données traitées (Art. 15).

1.9 Audit

Le Sous-traitant autorise et contribue aux audits et inspections menés par le Responsable du traitement ou un auditeur mandaté par celui-ci. Le Sous-traitant fournit au Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'Art. 28 du RGPD. Un audit peut être réalisé une fois par an avec un préavis de 30 jours.

1.10 Durée du traitement et suppression

À la fin du service, le Sous-traitant supprime toutes les données personnelles dans un délai de 30 jours, sauf si le droit de l'UE ou d'un État membre exige leur conservation. Le Responsable du traitement peut exporter toutes les données avant la fin du contrat en utilisant la fonction d'exportation RGPD dans l'administration du système.

2. Registre des activités de traitement (RAT)

Registre conformément à l'article 30 du RGPD concernant les activités de traitement effectuées via le système Resovu.

3. Procédure de notification des violations de données personnelles

3.1 Détection et signalement

Resovu met en œuvre des systèmes de surveillance pour la détection des incidents de sécurité. Chaque employé ou collaborateur est tenu de signaler immédiatement toute suspicion de violation de la sécurité des données à la direction de l'entreprise.

3.2 Évaluation de la gravité

Lors de la détection d'un incident, la personne responsable évalue immédiatement : l'étendue des données affectées, le nombre de personnes concernées, l'impact probable sur les droits et libertés des personnes concernées, si les données étaient chiffrées, si l'impact peut être atténué.

3.3 Notification à l'autorité de contrôle

Si la violation est susceptible de présenter un risque pour les droits et libertés des personnes physiques, Resovu notifie l'autorité de contrôle compétente dans les 72 heures suivant la découverte (conformément à l'article 33 du RGPD). La notification comprend : une description de la nature de la violation, les coordonnées du délégué à la protection des données (DPD), une description des conséquences probables, une description des mesures prises. Autorités de contrôle : CNIL (Commission Nationale de l'Informatique et des Libertés) — www.cnil.fr (France), ÚOOÚ — www.uoou.cz (République tchèque), ÚOOU SR — www.dataprotection.gov.sk (Slovaquie), BfDI — www.bfdi.bund.de (Allemagne), UODO — www.uodo.gov.pl (Pologne), NAIH — www.naih.hu (Hongrie), AEPD — www.aepd.es (Espagne), Datatilsynet — www.datatilsynet.no (Norvège).

3.4 Notification aux personnes concernées

Si la violation est susceptible de présenter un risque élevé pour les droits et libertés des personnes physiques, Resovu informe les personnes concernées dans les meilleurs délais. La notification est rédigée dans un langage clair et comprend des recommandations pour atténuer l'impact.

3.5 Documentation

Tous les incidents de sécurité sont consignés dans un registre interne, comprenant : la date de découverte, la description de l'incident, les données et personnes affectées, les mesures prises, les décisions de notification aux autorités et aux personnes concernées, les résultats de l'enquête.

3.6 Contact pour le signalement d'incidents

Signalez les incidents de sécurité à : security@resovu.com. Indiquez « Incident de sécurité » dans l'objet du message. Fournissez autant d'informations que possible sur la nature et l'étendue de l'incident.

4. Liste des sous-traitants