Contrat de sous-traitance des données

1. Ce qu'est ce contrat

Il s'agit du contrat de sous-traitance exigé par l'art. 28, §3 du Règlement général sur la protection des données (UE) 2016/679 (RGPD). Il est une annexe aux Conditions générales d'utilisation et est accepté en même temps qu'elles, au moment où l'organisation est créée.

Il est conclu entre le Client en qualité de responsable du traitement et Piklo Systems, Tjebberupvej 101, 4300 Holbæk, Denmark, numéro d'immatriculation (CVR) 32709192, en qualité de sous-traitant. En cas de contradiction entre les deux documents, celui-ci l'emporte pour le traitement des données à caractère personnel.

2. Objet, durée, nature et finalité

Objet. Piklo traite des données à caractère personnel pour le compte du Client afin que le Client puisse gérer ses réservations, contacter ses propres clients et encaisser des paiements — c'est-à-dire afin que le Client puisse utiliser le produit décrit à l'article 2 des Conditions générales d'utilisation.

Durée. Aussi longtemps que le Client dispose d'une organisation dans Piklo, puis pendant la période prévue à l'article 11.

Nature du traitement. Conservation, organisation, consultation, transmission, rectification et effacement ; envoi d'e-mails pour le compte du Client ; transmission des éléments de paiement au prestataire de paiement que le Client a connecté ; exploitation, maintenance et dépannage du service ; conservation de sauvegardes.

Finalité. La seule fourniture du service. Piklo n'utilise pas les données du Client à ses propres fins, ne les vend pas, ne les partage avec personne d'autre que les sous-traitants ultérieurs énumérés à l'article 8, et ne les utilise pas pour entraîner des modèles.

3. Catégories de personnes concernées et de données à caractère personnel

Personnes concernées

• Les clients du Client — les personnes qui réservent.
• Les collaborateurs du Client et les autres personnes auxquelles il donne accès à son organisation.

Données à caractère personnel

• Coordonnées : nom, adresse e-mail, numéro de téléphone, langue, et l'adresse des établissements du Client.
• Réservations : ce qui a été réservé, quand, avec qui, son statut et son historique, la participation à un cours collectif ou à un cycle, les inscriptions sur liste d'attente.
• Notes écrites par les collaborateurs du Client au sujet d'un client, dans un champ libre. Ce qui est mis dans ce champ relève du Client, et Piklo ne le lit ni ne le structure.
• Consentements : le fait qu'une personne a accepté les conditions de réservation du Client, quand, et dans quelle version du texte.
• Références de paiement : montants, devise, statut, identifiants propres au prestataire de paiement et adresse du reçu, et — lorsqu'une carte a été enregistrée pour un acompte ou des frais d'absence — le réseau de la carte et ses quatre derniers chiffres uniquement.
• Fidélité : points gagnés et dépensés, cartes cadeaux et carnets de séances.
• Éléments de connexion des collaborateurs du Client : adresse e-mail et données d'authentification qui vont avec.
• Données de santé — lorsque cela est activé. Piklo Clinic, qui ajoute un dossier de suivi, n'existe pas aujourd'hui, et aucune partie du produit actuel n'est conçue ni destinée à détenir des données de santé. Du jour où il existera, le dossier et les catégories particulières de données qu'il contient seront couverts par le présent contrat et par les stipulations supplémentaires qu'il exigera.

Piklo ne reçoit ni ne conserve jamais un numéro de carte complet, une date d'expiration ou un cryptogramme. Les éléments de la carte sont saisis sur la page hébergée par le prestataire de paiement et n'atteignent jamais les systèmes de Piklo.

4. Les instructions du Client

Piklo ne traite les données à caractère personnel que sur instruction documentée du Client. Les instructions sont les Conditions générales d'utilisation, le présent contrat et l'usage que le Client fait lui-même du produit — chaque réglage que le Client choisit, chaque champ qu'il remplit, chaque message qu'il envoie et chaque export qu'il demande est une instruction.

Piklo informe le Client si, de l'avis de Piklo, une instruction constitue une violation du RGPD ou d'une autre règle applicable en matière de protection des données, et peut suspendre le traitement concerné jusqu'à ce que l'instruction soit retirée ou confirmée.

Lorsqu'une obligation légale impose à Piklo un traitement allant au-delà des instructions du Client, Piklo l'informe de cette obligation avant le traitement, sauf si la loi interdit de le faire.

5. Confidentialité

Toute personne que Piklo autorise à traiter les données à caractère personnel du Client est tenue à une obligation de confidentialité qui se poursuit après la fin de son travail pour Piklo, que ce soit par contrat de travail, par engagement écrit de confidentialité ou par une obligation professionnelle. L'accès n'est donné qu'à ceux qui en ont besoin pour fournir le service ou pour répondre à une demande d'assistance.

6. Sécurité

Piklo met en œuvre les mesures techniques et organisationnelles appropriées prévues par l'art. 32 du RGPD. Elles sont exposées à l'annexe A du présent contrat, qui en fait partie. L'annexe A décrit les mesures en place ; les mesures que Piklo pourra ajouter plus tard ne sont pas promises ici.

Piklo peut remplacer une mesure par une mesure équivalente ou meilleure. Il n'abaisse pas le niveau global de protection sans en informer le Client.

7. Assistance au Client

Compte tenu de la nature du traitement, Piklo assiste le Client pour :

• Les demandes des personnes concernées au titre des art. 12 à 22 du RGPD. Les écrans du produit sont la première réponse : le Client peut lui-même retrouver, rectifier, exporter et supprimer la fiche d'un client. Lorsqu'une demande ne peut pas trouver sa réponse par ce moyen, Piklo aide sur demande. Piklo ne répond pas directement à une personne concernée pour le compte du Client ; une demande qui parvient à Piklo au sujet d'un des clients du Client lui est transmise.
• La sécurité, la notification des violations et les analyses d'impact au titre des art. 32 à 36 du RGPD, avec les informations dont Piklo dispose.

L'assistance est fournie sans frais pour les demandes proportionnées. Piklo peut facturer des frais raisonnables pour les demandes répétées ou manifestement excessives, et le dit avant d'effectuer le moindre travail.

8. Sous-traitants ultérieurs

Le Client donne à Piklo une autorisation générale de recourir aux sous-traitants ultérieurs ci-dessous. Chacun est lié par des stipulations de protection des données au moins aussi protectrices que le présent contrat.

• Supabase — la base de données, l'authentification et le stockage de fichiers. Toutes les données des clients y sont conservées. Région : UE, Francfort (`eu-central-1`).
• Vercel — l'hébergement des trois applications web de Piklo, et la mesure de leur usage : pages vues et provenance, comptées sans cookies et sans identifier personne, et rapportées au site même que le visiteur consulte déjà. Les fonctions applicatives s'exécutent dans l'UE, à Francfort (`fra1`) ; le réseau de diffusion de contenu reste mondial pour les fichiers statiques.
• Stripe Payments Europe, Limited, Irlande — les paiements. Piklo transmet le montant, la devise, la description de ce qui a été acheté et, lorsqu'il en a une, l'adresse e-mail du client. Les éléments de la carte vont directement du navigateur du client à Stripe.
• Resend — l'envoi des e-mails que le produit envoie pour le compte du Client, et des e-mails de connexion de l'espace client. Région : UE, Irlande (`eu-west-1`).
• TOPefekt s.r.o. (exerçant sous le nom BulkGate), B. Němcové 767/13, 787 01 Šumperk, République tchèque, n° 294 44 268 — l'envoi des SMS que le produit envoie pour le compte du Client. Piklo transmet le numéro de mobile du destinataire, le texte du message et le nom de l'expéditeur. BulkGate remet le message aux opérateurs mobiles, aux agrégateurs SMS et à d'autres fournisseurs de télécommunications afin de l'acheminer, et ses propres conditions permettent des transferts vers des pays tiers lorsque l'acheminement l'exige. Source : les conditions générales de BulkGate et son contrat de traitement des données à caractère personnel, lus le 5 septembre 2026 sur `bulkgate.com/en/legal/`.
• Sentry. Le signalement des erreurs pour les trois applications. Les rapports d'erreur peuvent contenir des fragments d'une requête ; les règles de nettoyage propres à Piklo retirent les en-têtes, les cookies et les paramètres d'URL qui pourraient identifier quelqu'un avant qu'une erreur ne quitte le système, l'enregistrement de session n'est pas utilisé, et le SDK est configuré pour ne joindre de lui-même ni l'adresse IP du visiteur ni les en-têtes de la requête.

Changements. Piklo informe le Client par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Le Client peut s'y opposer pour des motifs raisonnables tenant à la protection des données dans ce délai de 30 jours. Si l'opposition ne peut être levée, le Client peut résilier le contrat sans autre obligation de paiement, et l'article 11 s'applique aux données.

9. Transferts hors de l'UE et de l'EEE

Des données à caractère personnel sont traitées hors de l'UE et de l'EEE en un seul endroit aujourd'hui : chez les fournisseurs de Piklo, lorsque leur personnel d'assistance hors de l'UE traite un défaut. Ni la base de données, ni les fonctions applicatives, ni l'envoi des e-mails ne se trouvent hors de l'UE.

Ces transferts ont lieu sur le fondement des clauses contractuelles types de la Commission européenne, telles qu'elles sont reprises dans les stipulations de traitement des données de chaque fournisseur, avec les mesures supplémentaires décrites à l'annexe A — en particulier le fait que tout est chiffré en transit et qu'aucun fournisseur hors de l'UE ne détient la base de données.

Piklo ne transfère pas de données à caractère personnel vers un pays tiers sans un fondement de transfert valable.

10. Violations de données à caractère personnel

Piklo notifie au Client toute violation de données à caractère personnel touchant les données à caractère personnel du Client sans retard injustifié et au plus tard 48 heures après en avoir eu connaissance, par e-mail au propriétaire de l'organisation.

La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements touchés, les conséquences probables et les mesures prises ou proposées. Lorsque tout cela n'est pas disponible d'un coup, l'information est donnée par étapes, sans autre retard injustifié.

C'est le Client, en qualité de responsable du traitement, qui notifie l'autorité de contrôle et, lorsque c'est exigé, les personnes concernées. Piklo l'assiste.

11. Effacement et restitution des données

À la fin du contrat, et au choix du Client, Piklo restitue ou efface les données à caractère personnel qu'il traite pour le Client.

Le Client dispose de 30 jours à compter de la fin du contrat pour exporter ses données ou en demander la restitution. Piklo les fournit dans un format courant et lisible par machine. Passés ces 30 jours, les données sont effacées des systèmes en service de Piklo.

Les copies présentes dans les sauvegardes des fournisseurs de Piklo ne sont pas effacées une à une ; elles sont écrasées à mesure que les sauvegardes vieillissent. Les sauvegardes de la base de données sont conservées 7 jours, de sorte qu'un effacement est complet dans les sauvegardes dans les 7 jours suivant l'effacement lui-même. Jusque-là, ces copies sont protégées par les mêmes mesures que les données en service et ne servent à rien d'autre qu'à rétablir le service.

Il en va de même d'un effacement isolé pendant la durée du contrat : une fiche que le Client supprime disparaît aussitôt du système en service, et des sauvegardes dans les 7 jours.

Piklo ne conserve rien après cela, hormis ce qu'une obligation légale lui impose de conserver et les pièces de sa propre facturation au Client, qui sont les données propres de Piklo.

12. Audit et documentation

Piklo met à la disposition du Client les informations nécessaires pour démontrer le respect de l'art. 28 du RGPD — le présent contrat, l'annexe A et la liste des sous-traitants ultérieurs, tous publiés et versionnés à cette adresse.

Une fois par an, et après une violation de données à caractère personnel touchant le Client, le Client peut demander une documentation complémentaire des mesures de Piklo. Un audit sur place ou pratique est convenu au moins 30 jours à l'avance, se limite à ce qui est nécessaire, ne doit ni perturber le service ni atteindre les données d'un autre client, et est à la charge du Client. Piklo peut satisfaire à une demande d'audit au moyen d'un rapport indépendant lorsqu'il en dispose.

13. Réclamations

Si vous n'êtes pas d'accord avec la façon dont Piklo ou le Client traite vos données à caractère personnel, vous pouvez introduire une réclamation auprès d'une autorité de contrôle en matière de protection des données.

Piklo Systems est établie au Danemark, et notre autorité de contrôle est Datatilsynet, l'autorité danoise de protection des données, Carl Jacobsens Vej 35, 2500 Valby, Danemark (datatilsynet.dk).

Vous pouvez toujours vous adresser à l'autorité de protection des données du pays où vous vivez ou travaillez. Liste de toutes les autorités de l'EEE : edpb.europa.eu.

14. Responsabilité

La responsabilité au titre du présent contrat est régie par l'article 10 des Conditions générales d'utilisation, sauf lorsque le RGPD lui-même répartit la responsabilité entre le responsable du traitement et le sous-traitant, auquel cas le RGPD s'applique.

15. Comment ce contrat est conclu et modifié

Le présent contrat est accepté par voie électronique, en même temps que les Conditions générales d'utilisation, au moment où l'organisation est créée. La version acceptée, la langue dans laquelle elle a été lue, la personne qui l'a acceptée et la date sont enregistrées, et l'organisation peut les consulter à tout moment dans Paramètres → Abonnement.

Piklo peut modifier le présent contrat moyennant un préavis de 30 jours par e-mail, dans les mêmes conditions qu'à l'article 12 des Conditions générales d'utilisation. Une modification qui abaisserait le niveau de protection requiert l'accord du Client.

Le présent contrat de sous-traitance des données existe en plusieurs langues. La version anglaise est la version qui fait foi ; une traduction est fournie pour la commodité du lecteur, et en cas de divergence, la version anglaise prévaut.

Annexe A — mesures techniques et organisationnelles

La présente annexe décrit ce qui est en place. Elle est volontairement précise et ne revendique pas de mesures que le produit n'a pas.

Contrôle d'accès dans la base de données

• La sécurité au niveau des lignes est activée sur chaque table du schéma applicatif, sans exception. Une table sans règle n'accorde rien à personne.
• L'accès est restreint à l'organisation dont une personne est membre. Un membre d'une organisation ne peut pas lire les lignes d'une autre organisation, et aucune requête ne traverse les organisations.
• Les rôles au sein d'une organisation — propriétaire, administrateur, collaborateur — décident de ce qu'un membre peut lire et modifier. Les données de facturation et d'abonnement ne sont lisibles que par les propriétaires et les administrateurs.
• La page de réservation publique n'a ni session ni accès général en lecture. Tout ce qu'un visiteur peut voir ou écrire passe par un petit nombre de fonctions de base de données nommées, aux arguments étroits, chacune accordée explicitement. Les fonctions sont créées sans permission et reçoivent exactement celles dont elles ont besoin, avec la raison écrite à côté de l'octroi ; un contrôle automatisé de la chaîne de construction échoue si une fonction est laissée ouverte.
• Un petit nombre d'opérations s'exécutent avec un identifiant de service qui contourne la sécurité au niveau des lignes — l'envoi des rappels, l'enregistrement du résultat d'un message, l'inscription d'un paiement après le webhook du prestataire. Chacune est une fonction nommée, aucune ne touche directement une table, et l'identifiant n'est jamais présent dans ce qui est envoyé à un navigateur.

Chiffrement

• Tout le trafic passe en HTTPS/TLS, y compris entre Piklo et chaque sous-traitant ultérieur.
• La base de données et les sauvegardes sont chiffrées au repos par le fournisseur de la base de données.
• Les cookies de session sont déposés par Piklo pour les seules adresses de Piklo, portent la mention `SameSite=Lax` afin de ne pas être envoyés depuis d'autres sites, et circulent en HTTPS. Ils ne portent pas la mention `HttpOnly`, parce que la bibliothèque de connexion les lit dans le navigateur ; la politique de confidentialité nomme chacun d'eux.

Journalisation

• Un registre d'audit en ajout seul enregistre les dérogations aux règles de réservation et les retours en arrière sur le statut d'une réservation : qui, quand, sur quoi. Aucun client ne peut y écrire, et il n'a pas de chemin de mise à jour.
• Chaque e-mail que le produit envoie est consigné avec son destinataire, son modèle, son résultat et la référence propre au fournisseur, de sorte qu'un message qui échoue est visible pour le Client au lieu d'être silencieux.
• Le fournisseur de la base de données conserve les journaux de plateforme et d'authentification 7 jours ; l'hébergeur conserve les journaux d'exécution 1 jour. Ni l'un ni l'autre n'est sous le contrôle de Piklo au-delà du choix de la formule.

Données de paiement

• Piklo ne reçoit jamais un numéro de carte complet, une date d'expiration ou un cryptogramme. Les pages de paiement sont hébergées par le prestataire de paiement.
• Ce que Piklo conserve d'une carte enregistrée est le réseau et les quatre derniers chiffres, pour qu'une personne reconnaisse de quelle carte il s'agit.
• L'argent va directement sur le propre compte du Client chez le prestataire de paiement. Piklo ne détient pas de fonds.

Sauvegardes

• Le fournisseur de la base de données prend une sauvegarde par jour et la conserve 7 jours sur la formule actuelle de Piklo.
• Les sauvegardes sont chiffrées au repos et ne servent qu'à rétablir le service.

Développement et exploitation

• Les modifications atteignent la production par un dépôt sous gestion de versions et une chaîne automatisée qui exécute la suite de tests et un ensemble de garde-fous à chaque modification. Une chaîne rouge ne déploie pas.
• Les identifiants sont conservés comme secrets d'environnement chez l'hébergeur, y sont en écriture seule et ne sont pas dans le dépôt.
• Les modifications du schéma de la base de données sont écrites sous forme de migrations, relues comme du texte et appliquées délibérément.

Ce qui n'est pas en place aujourd'hui, et n'est donc pas revendiqué

• Il n'y a pas d'authentification à deux facteurs sur les comptes des collaborateurs.
• Il n'y a aucune certification de sécurité indépendante ni aucun rapport de test d'intrusion.
• Il n'y a aucun accord de niveau de service ni aucune disponibilité garantie.