Accord de traitement des données

Le présent accord de traitement des données (ci-après l'"Accord") définit la manière dont TicketPa traite les données à caractère personnel pour les entreprises qui l'utilisent, comme l'exige l'article 28 du règlement général sur la protection des données (RGPD). Il fait partie de nos conditions d'utilisation, et vous l'acceptez en acceptant ces conditions.

Parties au présent Accord

• Vous, l'entreprise qui utilise TicketPa, en tant que responsable du traitement.
• TicketPa, en tant que sous-traitant. TicketPa est exploité par la personne suivante : le titulaire du certificat d'activité individuelle n° 777726, Vilnius, Lituanie.

Il couvre les données à caractère personnel de vos clients et des autres personnes, que nous traitons pour vous lorsque nous fournissons TicketPa (ci-après les "données des clients"). L'annexe 1 décrit ces données et ce que nous en faisons. Les données à caractère personnel vous concernant, vous et les membres de votre équipe, relèvent plutôt de notre politique de confidentialité, car pour ces données, nous sommes le responsable du traitement.

En cas de divergence entre le présent Accord et les conditions d'utilisation concernant les données à caractère personnel, c'est le présent Accord qui s'applique.

Ce que nous faisons des données des clients

Nous traitons les données des clients uniquement pour vous fournir TicketPa, et uniquement sur vos instructions documentées. Vos instructions sont les conditions d'utilisation et le présent Accord, ainsi que la façon dont vous configurez et utilisez TicketPa : vos paramètres, ce que vous et votre équipe faites dans l'application, et ce que vous nous demandez par écrit.

Si nous estimons qu'une instruction enfreint le droit de la protection des données, nous vous en informons. Si le droit de l'UE ou le droit lituanien nous impose de traiter les données des clients d'une autre manière, nous vous en informons au préalable, sauf si ce droit l'interdit.

Confidentialité

Toute personne qui peut accéder aux données des clients de notre côté est tenue d'en préserver la confidentialité et ne peut les utiliser que dans la mesure permise par le présent Accord.

Sécurité

Nous protégeons les données des clients au moyen des mesures techniques et organisationnelles décrites à l'annexe 2, et nous les maintenons adaptées aux risques à mesure que TicketPa évolue. Nous pouvons mettre à jour ces mesures, à condition qu'elles ne deviennent pas moins protectrices.

Sous-traitants ultérieurs

Vous nous autorisez à faire appel à des sous-traitants ultérieurs, les prestataires de services énumérés à l'annexe 3, pour nous aider à fournir TicketPa. Nous imposons contractuellement à chacun d'eux des obligations en matière de protection des données au moins aussi strictes que les nôtres au titre du présent Accord, et nous restons responsables envers vous de leur travail.

Au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, nous envoyons un e-mail aux propriétaires de votre entreprise et mettons à jour l'annexe 3. Si vous avez des motifs raisonnables, liés à la protection des données, de vous y opposer, faites-le-nous savoir dans ce délai. Si nous ne pouvons pas résoudre votre objection, vous pouvez fermer votre compte avant le changement, et nous vous remboursons les éventuels frais payés à l'avance pour la période postérieure à la fermeture.

Notre aide

Nous vous aidons, dans la mesure où nous pouvons raisonnablement le faire et compte tenu de ce que fait TicketPa :

• pour les demandes de vos clients qui souhaitent exercer leurs droits au titre du RGPD. Si un client nous écrit, nous vous transmettons sa demande et n'y répondons pas nous-mêmes, sauf si vous nous le demandez. Vous pouvez traiter vous-même de nombreuses demandes dans TicketPa ; pour les autres, comme la suppression des données d'un client, écrivez-nous et nous nous en chargeons pour vous.
• pour vos autres obligations au titre des articles 32 à 36 du RGPD, comme la sécurité, les analyses d'impact relatives à la protection des données et la consultation d'une autorité de contrôle.

Violations de données à caractère personnel

Si nous avons connaissance d'une violation de la sécurité affectant les données des clients, nous vous en informons dans les meilleurs délais, et au plus tard dans les 48 heures. Nous vous communiquons ce que nous en savons : ce qui s'est passé, les catégories de données concernées et le nombre approximatif de personnes touchées, les conséquences probables et ce que nous faisons pour y remédier, et nous vous tenons au courant à mesure que nous en apprenons davantage. Nous prenons des mesures raisonnables pour contenir la violation et en atténuer les effets.

Lorsque vous cessez d'utiliser TicketPa

Avant la fermeture de votre compte, vous pouvez télécharger vos réservations, par exemple le fichier CSV des réservations dans la section Reports (rapports). Dans les 90 jours suivant la fermeture de votre entreprise sur TicketPa, nous supprimons les données des clients, sauf si le droit de l'UE ou le droit lituanien nous impose d'en conserver une partie. Elles disparaissent ensuite automatiquement de nos sauvegardes dans un délai de 30 jours. Sur demande, nous confirmons la suppression par écrit.

Informations et audits

Nous vous fournissons les informations dont vous avez besoin pour démontrer que nous respectons le présent Accord. Vous-même, ou un auditeur indépendant de votre choix tenu à la confidentialité, pouvez auditer notre conformité une fois par an, ou plus souvent après une violation ou lorsqu'une autorité de contrôle le demande. Prévenez-nous au moins 30 jours à l'avance. Les audits ont lieu à vos frais, pendant les heures ouvrables, et sans accès aux données des autres entreprises.

Transferts hors de l'Espace économique européen

Nous ne transférons les données des clients hors de l'Espace économique européen qu'avec les garanties exigées par le chapitre V du RGPD, comme une décision d'adéquation de la Commission européenne ou des clauses contractuelles types. Hostinger conserve les données des clients dans l'Union européenne, où se trouvent aussi nos sauvegardes chez Cloudflare. Les requêtes vers TicketPa passent toutefois par le réseau mondial de Cloudflare, généralement par le centre de données le plus proche de la personne qui utilise TicketPa, qui peut se trouver hors de l'Espace économique européen. Cloudflare, entreprise américaine, est certifiée au titre du cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework), et son contrat avec nous inclut les clauses contractuelles types.

Vos responsabilités

Il vous incombe :

• de disposer d'une base légale pour les données des clients que vous collectez et pour les e-mails que vous choisissez d'envoyer, comme les demandes d'avis ;
• d'informer vos clients de la manière dont vous utilisez leurs données, dans votre propre politique de confidentialité ;
• de ne nous donner que des instructions licites ;
• de ne pas demander aux clients de catégories particulières de données à caractère personnel, comme des informations sur leur santé, sauf si vous en avez réellement besoin et disposez d'une base légale ;
• de décider qui, au sein de votre équipe, peut voir les données des clients, au moyen de leurs rôles.

Responsabilité et durée

La responsabilité de chaque partie au titre du présent Accord est régie par les conditions d'utilisation, dans la mesure où le droit de la protection des données le permet. Le présent Accord s'applique aussi longtemps que nous traitons des données des clients pour vous, y compris après la fermeture de votre compte et jusqu'à la suppression des données des clients.

Annexe 1 : Détails du traitement

Annexe 2 : Mesures de sécurité

• Chiffrement en transit : chaque page et chaque requête sont servies via HTTPS.
• Protection contre les attaques : tout le trafic vers TicketPa passe par Cloudflare, qui bloque les attaques, comme les avalanches de requêtes, avant qu'elles n'atteignent les serveurs. La connexion entre Cloudflare et les serveurs est elle aussi chiffrée.
• Comptes : les mots de passe ne sont stockés que sous forme de hachages sécurisés, l'authentification à deux facteurs est disponible pour chaque compte, et les tentatives de connexion sont soumises à une limitation de fréquence.
• Chiffrement au repos des secrets : les secrets d'authentification à deux facteurs, les codes de récupération et les secrets des sessions de paiement sont chiffrés dans la base de données.
• Séparation entre les entreprises : chaque enregistrement appartient à une seule entreprise, et TicketPa vérifie à chaque requête que la personne connectée est membre de cette entreprise. Des tests automatisés vérifient qu'une entreprise ne peut pas accéder aux données d'une autre entreprise.
• Rôles au sein de votre entreprise : les propriétaires, les managers et les hôtes voient des choses différentes. Les hôtes ne voient ni les rapports ni les paramètres de paiement.
• Notre propre accès : seules les personnes qui exploitent TicketPa peuvent accéder aux serveurs et au panneau d'administration. La connexion aux serveurs exige une clé SSH, les mots de passe étant désactivés, et une adresse qui échoue à plusieurs reprises est bloquée automatiquement.
• Hébergement : les serveurs se trouvent dans un centre de données situé dans l'Union européenne, derrière un pare-feu qui n'autorise que les connexions dont TicketPa a besoin. Les mises à jour de sécurité du système d'exploitation s'installent automatiquement.
• Sauvegardes : la base de données est sauvegardée toutes les 6 heures dans un stockage privé et chiffré situé dans l'Union européenne, séparé des serveurs. Chaque sauvegarde est supprimée automatiquement au bout de 30 jours. Les photos et logos mis en ligne sont sauvegardés chaque jour au même endroit et conservés 7 jours.
• Paiements : les données de carte sont traitées uniquement par Stripe, qui est certifié PCI DSS. TicketPa stocke les identifiants et les montants des paiements, jamais les numéros de carte.
• Minimisation des données : les photos et logos mis en ligne sont réencodés, ce qui supprime les données cachées telles que la localisation GPS ; les enregistrements d'événements Stripe et les tâches d'arrière-plan échouées, qui peuvent contenir des informations sur les clients, sont supprimés après 30 jours ; les invitations expirées sont supprimées.

Annexe 3 : Sous-traitants ultérieurs

Services que vous connectez vous-même. Si vous activez les paiements en ligne, les données de paiement de vos clients sont transmises à votre propre compte Stripe, dans le cadre de votre contrat avec Stripe. Stripe n'est pas notre sous-traitant ultérieur à ce titre.

Questions sur le présent Accord : hello@ticketpa.com.