Contrat de sous-traitance

1. Les parties et leurs rôles

Le responsable de traitement est le photographe titulaire du compte. Il détermine les données qu'il collecte auprès de ses clients et l'usage qu'il en fait.

Le sous-traitant est DDV IT-Solutions, 733 chemin de la Gabre, 06690 Tourrette-Levens, SIRET 928 417 948 00017, éditeur de MonStudioPhoto.

2. Objet, durée et nature du traitement

Le sous-traitant héberge et traite les données pour le seul compte du photographe, afin de lui fournir les fonctions du Service : gestion des clients, réservation en ligne, devis et factures, contrats et signature électronique, galeries de livraison, envoi d'e-mails, programme de fidélité et catalogue d'accessoires.

Le traitement dure le temps de l'abonnement, puis pendant le délai de conservation prévu à l'article 8.

3. Données et personnes concernées

Personnes concernées : les clients et prospects du photographe, ainsi que les personnes figurant sur ses photographies.

Catégories de données : identité et coordonnées, historique des séances et des échanges, documents commerciaux et contractuels, données de signature électronique (nom, adresse IP, horodatage, tracé de signature), photographies et sélections.

Le Service n'est pas conçu pour héberger des données sensibles au sens de l'article 9 du RGPD. Il appartient au photographe de ne pas en saisir dans les champs libres.

4. Obligations du sous-traitant

• Ne traiter les données que sur instruction documentée du photographe, l'utilisation du Service valant instruction. Aucune exploitation à des fins propres, commerciales, statistiques ou d'entraînement de modèles.
• Garantir la confidentialité : seules les personnes habilitées de l'Éditeur y accèdent, dans la limite du nécessaire à l'exploitation ou à une assistance demandée.
• Mettre en œuvre les mesures de sécurité de l'article 6 et les tenir à jour.
• Aider le photographe à répondre aux demandes d'exercice de droits, à notifier une violation et à mener une analyse d'impact si elle s'impose.
• Mettre à disposition les éléments permettant de démontrer le respect de cet article et se soumettre à un audit raisonnable, à la charge du photographe qui le demande, sous préavis de trente jours et sans compromettre la sécurité des autres clients.

5. Obligations du photographe

Le photographe garantit disposer d'une base légale pour les données qu'il dépose, informer ses clients conformément à l'article 13 du RGPD, ne transmettre que les données nécessaires, et tenir son propre registre des traitements. Il protège ses identifiants et répond des accès effectués depuis son compte.

6. Mesures de sécurité

• Chiffrement de tous les échanges en HTTPS, avec HSTS et politique de sécurité du contenu.
• Mots de passe hachés ; double authentification par application disponible.
• Limitation des tentatives de connexion.
• Cloisonnement strict des données entre studios, vérifié par des tests automatisés à chaque évolution.
• Liens privés protégés par des jetons aléatoires de quarante-huit caractères.
• Sauvegarde quotidienne de la base conservée quatorze jours, sauvegarde hebdomadaire des fichiers conservée huit semaines, accès restreint, restauration testée.
• Journalisation des connexions et des erreurs, conservée douze mois.
• Maintien à jour des composants logiciels et contrôle des vulnérabilités connues.

7. Sous-traitants ultérieurs

Le photographe autorise le recours aux sous-traitants suivants, soumis aux mêmes obligations :

• OVH SAS, 2 rue Kellermann, 59100 Roubaix — hébergement, serveurs situés à Dunkerque (France).
• Stripe Payments Europe Ltd, Dublin (Irlande) — encaissement des abonnements. N'accède pas aux données des clients du photographe.

Tout ajout ou remplacement est notifié au moins trente jours à l'avance ; le photographe peut s'y opposer et résilier sans frais si l'objection est motivée.

8. Sort des données à la fin du contrat

À la résiliation, le photographe dispose de trente jours pour exporter l'intégralité de ses données depuis son espace, au format JSON. Passé ce délai, elles sont supprimées, sauvegardes comprises à l'expiration de leur cycle de rotation. Le photographe peut aussi déclencher lui-même, à tout moment, une suppression immédiate et définitive.

9. Violation de données

Le sous-traitant informe le photographe de toute violation de données le concernant dans les meilleurs délais et au plus tard sous quarante-huit heures après en avoir pris connaissance, en lui communiquant la nature de l'incident, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises. Il appartient au photographe, responsable de traitement, de notifier la CNIL s'il y a lieu.

10. Transferts hors Union européenne

Aucun transfert de données hors de l'Union européenne n'est réalisé pour les données des clients du photographe. Si un tel transfert devait devenir nécessaire, il serait encadré par les clauses contractuelles types de la Commission européenne et notifié au préalable.

11. Contact

Toute question relative à ce contrat : contact@monstudiophoto.com.