Accord de sous-traitance

Article 1 – Objet et rattachement contractuel

Le présent accord est conclu entre FIGADERE Lucas, entreprise individuelle exerçant sous le nom commercial FIGA, SIREN 953 274 230, 65 rue du Lotissement Garouyas, 30150 Sauveterre (ci-après « FIGA ») et le professionnel titulaire d'un abonnement (ci-après le « Professionnel »).

Il forme une annexe indissociable des Conditions Générales de Vente et est accepté en même temps qu'elles, lors de la souscription de l'abonnement. Il définit les conditions dans lesquelles FIGA traite, pour le compte du Professionnel, les données personnelles de ses clients, conformément à l'article 28 du Règlement (UE) 2016/679 (ci-après le « RGPD »).

Il ne s'applique pas aux traitements que FIGA met en œuvre pour son propre compte, notamment la gestion des comptes, la facturation des abonnements, la sécurité de la plateforme et l'Essai virtuel utilisé par un client depuis l'application cliente. Pour ces traitements, FIGA est responsable de traitement et agit dans les conditions de sa Politique de confidentialité.

Article 2 – Rôles des parties

Le Professionnel est responsable de traitement : il détermine les finalités et les moyens des traitements décrits à l'article 3, décide des données qu'il saisit et de la clientèle qu'il gère.

FIGA est sous-traitant : elle met à disposition l'outil technique, n'agit que sur instruction documentée du Professionnel et ne poursuit aucune finalité propre sur ces données. Elle ne les vend pas, ne les loue pas, ne les utilise ni à des fins publicitaires, ni pour entraîner un modèle d'intelligence artificielle, et ne les communique à aucun autre professionnel.

Article 3 – Description des traitements confiés

Nature et finalité. Hébergement, enregistrement, organisation, consultation, modification et suppression des données, aux fins de :

• la gestion des rendez-vous du Professionnel : prise, modification, annulation, rappels et historique ;
• la gestion de sa clientèle : fiche client, coordonnées, historique des prestations, notes, encaissements, factures et programme de fidélité ;
• la gestion de ses collaborateurs et de leurs accès, dans les limites fixées par le Professionnel ;
• l'Essai virtuel de coiffure lorsque le Professionnel photographie lui-même un client depuis l'application professionnelle, dans les conditions de l'article 19.7 des Conditions Générales d'Utilisation ;
• l'envoi, à la demande du Professionnel, des messages liés aux rendez-vous.

Types de données. Identité et coordonnées du client final, données de rendez-vous, données relatives aux prestations et aux paiements encaissés par le Professionnel, et, lorsque le Professionnel utilise l'Essai virtuel, la photographie transmise et l'image générée. Le Professionnel s'interdit de saisir des données relevant de l'article 9 du RGPD, notamment des données de santé, dans les champs libres mis à sa disposition.

Catégories de personnes concernées. Les clients du Professionnel, ses collaborateurs et, le cas échéant, les personnes qu'il photographie.

Durée. Le présent accord s'applique pendant toute la durée de l'abonnement et jusqu'à l'exécution complète des obligations de l'article 10.

Article 4 – Instructions du Professionnel

FIGA ne traite les données que sur instruction documentée du Professionnel. Sont des instructions documentées : les Conditions Générales de Vente et d'Utilisation, le présent accord, l'usage que le Professionnel fait des fonctionnalités de la plateforme, et toute demande écrite adressée à support.figa@gmail.com.

FIGA informe immédiatement le Professionnel si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition du droit de l'Union ou du droit français relative à la protection des données. Lorsque le droit lui impose un traitement non prévu par ces instructions, FIGA en informe le Professionnel avant de l'exécuter, sauf interdiction légale.

Article 5 – Obligations du Professionnel

Le Professionnel garantit :

• disposer d'une base légale pour les traitements qu'il confie à FIGA et avoir informé les personnes concernées, notamment du recours à FIGA ;
• recueillir lui-même, avant chaque Essai virtuel réalisé au bénéfice d'un client, l'accord de la personne photographiée sur l'écran prévu à cet effet, et ne photographier aucun mineur ;
• ne saisir que des données exactes, pertinentes et limitées à ce qui est nécessaire ;
• protéger ses identifiants, gérer les accès de ses collaborateurs et retirer sans délai ceux qui ne sont plus justifiés ;
• répondre aux demandes des personnes concernées, dont il est l'interlocuteur.

Article 6 – Confidentialité et sécurité

FIGA veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et n'y accèdent qu'en cas de nécessité, notamment pour répondre à une demande d'assistance ou corriger un incident.

Conformément à l'article 32 du RGPD, FIGA met en œuvre les mesures techniques et organisationnelles suivantes :

• chiffrement des communications entre les applications et les serveurs ;
• cloisonnement des données par compte, appliqué au niveau de la base de données, de sorte qu'un Professionnel n'accède jamais aux données d'un autre ;
• authentification des comptes, gestion des droits par rôle et limitation du nombre de requêtes ;
• vérification de l'authenticité des applications à l'origine des requêtes ;
• journalisation des accès et des opérations sensibles, et surveillance des anomalies ;
• sauvegardes régulières de la base de données ;
• pour l'Essai virtuel, suppression de la photographie dès la réponse du modèle et transmission au prestataire d'intelligence artificielle sans nom, adresse électronique ni identifiant de compte.

Ces mesures peuvent évoluer avec l'état de l'art, sans que le niveau de sécurité puisse être abaissé.

Article 7 – Sous-traitants ultérieurs

Le Professionnel autorise FIGA à faire appel aux sous-traitants ultérieurs énumérés à l'article 12 de la Politique de confidentialité, notamment le prestataire d'hébergement et de base de données établi dans l'Union européenne, le prestataire d'envoi des messages et, pour le seul Essai virtuel, Google au titre du service Gemini API.

FIGA impose à chacun, par contrat, des obligations de protection des données équivalentes à celles du présent accord et demeure pleinement responsable de leur exécution devant le Professionnel.

FIGA informe le Professionnel de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, au moins trente (30) jours à l'avance, par courrier électronique ou dans l'application. Le Professionnel peut s'y opposer pour un motif tenant à la protection des données ; à défaut de solution, il peut résilier son abonnement sans frais ni pénalité, la part non consommée lui étant remboursée.

Article 8 – Transferts hors de l'Union européenne

Les données confiées par le Professionnel sont hébergées dans l'Union européenne.

Seul l'Essai virtuel donne lieu à un transfert : la photographie et l'image générée sont traitées par Google, dont le service ne propose pas de confinement à l'Union européenne et peut les traiter ou les mettre en cache dans tout pays où il dispose d'installations, principalement aux États-Unis. Ce transfert est encadré par la décision d'adéquation relative au cadre de protection des données UE–États-Unis, à laquelle Google LLC a adhéré, et par les clauses contractuelles types de la Commission européenne prévues à son avenant relatif au traitement des données. Le Professionnel qui ne souhaite pas ce transfert s'abstient d'utiliser l'Essai virtuel.

Article 9 – Assistance du Professionnel

Droits des personnes. Les demandes d'accès, de rectification, d'effacement, de limitation, d'opposition ou de portabilité sont adressées au Professionnel. FIGA met à sa disposition les fonctionnalités permettant d'y répondre et, à défaut, l'assiste dans un délai raisonnable. Une demande reçue directement par FIGA est transmise sans délai au Professionnel, sans y être répondue au fond.

Violation de données. FIGA notifie au Professionnel toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, afin de lui permettre de respecter le délai de soixante-douze heures de l'article 33 du RGPD. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises.

Analyses d'impact. FIGA fournit au Professionnel, sur demande, les informations nécessaires à la réalisation d'une analyse d'impact relative à la protection des données et à une éventuelle consultation préalable de la CNIL, dans la limite des informations dont elle dispose.

Article 10 – Sort des données à la fin de la relation

À la fin de l'abonnement, le Professionnel dispose de trente (30) jours pour demander l'export des données traitées pour son compte, dans un format structuré et couramment utilisé.

À l'issue de ce délai, ou sur demande écrite antérieure du Professionnel, FIGA supprime ces données ainsi que les copies existantes, dans un délai de trente (30) jours, sauf lorsque leur conservation est imposée par le droit de l'Union ou le droit français, notamment en matière comptable. Les sauvegardes sont écrasées au terme de leur cycle de rotation.

Article 11 – Documentation et audit

FIGA met à la disposition du Professionnel les informations nécessaires pour démontrer le respect du présent accord et tient à jour un registre des catégories de traitements effectués pour son compte, conformément à l'article 30.2 du RGPD.

Le Professionnel peut demander un audit, une fois par année civile, sur préavis écrit de trente (30) jours, ou en cas de violation de données le concernant. L'audit porte sur les seuls traitements réalisés pour son compte, s'effectue sur pièces et sans accès aux données d'autres professionnels. Les frais éventuels d'un audit sur site diligenté par un tiers sont à la charge du Professionnel, sauf si l'audit révèle un manquement de FIGA.

Article 12 – Responsabilité

Chaque partie répond des dommages causés par le traitement lorsqu'elle a manqué aux obligations qui lui incombent, dans les conditions de l'article 82 du RGPD. Le Professionnel garantit FIGA contre toute réclamation résultant d'un manquement à l'article 5, notamment l'absence d'information des personnes concernées ou de recueil de leur accord.

Article 13 – Durée, modification et droit applicable

Le présent accord entre en vigueur à la souscription de l'abonnement et s'applique tant que FIGA traite des données pour le compte du Professionnel.

Toute modification est portée à la connaissance du Professionnel au moins trente (30) jours avant son entrée en vigueur. S'il la refuse, il peut résilier son abonnement sans frais, la part non consommée lui étant remboursée.

Le présent accord est soumis au droit français. En cas de contradiction avec les Conditions Générales de Vente sur le traitement des données pour le compte du Professionnel, le présent accord prévaut.