Contrat de sous-traitance des données

Article 1Objet et articulation

DMS traite des données personnelles pour le compte du Client, dans le seul but de fournir LOK24H. L'annexe 1 décrit ces traitements. Pour tout ce qui touche à la protection des données des voyageurs, le présent contrat prévaut sur les CGV.

Pour les données qui concernent le Client lui-même (compte, facturation, assistance), DMS agit comme responsable de traitement, selon sa politique de confidentialité ; le présent contrat les couvre uniquement lorsqu'elles figurent dans les échanges avec les voyageurs.

Article 2Définitions

Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens que leur donne l'article 4 du RGPD. Les termes « Service », « Fiche », « Voyageur » et « Logement » ont le sens que leur donnent les CGV. « Sous-traitant ultérieur » désigne tout prestataire auquel DMS confie une partie du traitement.

Article 3Instructions du Client

• DMS traite les données uniquement sur instruction documentée du Client. Ces instructions résultent des CGV, du présent contrat, des réglages du Client dans son espace (Fiche, canaux reliés, options, durées de conservation) et de ses demandes écrites.
• Lorsque le droit de l'Union ou du droit français impose à DMS un autre traitement, DMS en informe le Client avant de l'effectuer, dans la mesure où ce droit l'autorise.
• DMS alerte immédiatement le Client si une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données.
• DMS réserve les données des voyageurs à la fourniture du Service : leur vente, leur usage publicitaire et leur usage pour entraîner des modèles d'intelligence artificielle sont exclus. DMS établit des statistiques d'usage agrégées et anonymisées (volumes, délais de réponse, thèmes de questions) pour piloter et améliorer le Service.

Article 4Engagements du Client

Le Client, responsable de traitement :

• détermine la base légale de ses traitements et s'assure de leur licéité ;
• informe ses voyageurs, notamment par la mention courte proposée dans la politique de confidentialité et par sa propre politique, et leur indique qu'une intelligence artificielle leur répond ;
• limite la Fiche aux informations utiles aux séjours et y renseigne uniquement des données de tiers qu'il est en droit d'utiliser ;
• répond aux demandes d'exercice de droits de ses voyageurs, avec l'aide de DMS (article 9) ;
• tient son registre des traitements et, si nécessaire, mène l'analyse d'impact relative à la protection des données ;
• signale rapidement à DMS toute anomalie constatée dans le traitement.

Article 5Confidentialité

DMS veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale de confidentialité. L'accès de DMS aux données d'un Client se limite au fonctionnement du Service, à la sécurité et à l'assistance demandée par le Client ; il est journalisé.

Article 6Sécurité

DMS met en œuvre les mesures techniques et organisationnelles appropriées au risque, au sens de l'article 32 du RGPD, décrites à l'annexe 2. DMS les fait évoluer avec l'état de l'art ; une évolution maintient toujours un niveau de protection au moins équivalent.

Article 7Sous-traitants ultérieurs

• Autorisation générale. Le Client autorise DMS à recourir aux sous-traitants ultérieurs listés à l'annexe 3.
• Changements. DMS informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance, par e-mail et par la mise à jour de l'annexe 3. En cas d'urgence liée à la sécurité ou à la continuité du Service, ce délai peut être réduit ; DMS en expose alors le motif.
• Objection. Pendant ce délai, le Client peut formuler une objection motivée. Les parties cherchent ensemble une solution ; à défaut, le Client résilie gratuitement avant la date d'effet du changement et obtient le remboursement de la part payée et inutilisée.
• Mêmes obligations. DMS impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent contrat. DMS reste pleinement responsable envers le Client de l'exécution de leurs obligations (article 28.4 du RGPD).

Article 8Transferts hors de l'Union européenne

Les données du Service sont hébergées dans l'Union européenne (Google Firebase, région europe-west1, Belgique). La connexion des Clients (Firebase Authentication) fonctionne depuis les États-Unis, et certains sous-traitants ultérieurs traitent les données hors de l'Union, aux États-Unis et à Singapour (annexe 3). Chaque transfert repose sur l'une des garanties suivantes :

• la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (« Data Privacy Framework »), pour les entreprises américaines certifiées ;
• les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 (décision d'exécution (UE) 2021/914), intégrées aux conditions de traitement des données du prestataire, pour les autres cas et en complément.

DMS documente une analyse d'impact de ces transferts et applique des mesures complémentaires : chiffrement en transit, transmission des seules données utiles à chaque prestataire, choix de l'hébergement européen lorsque le prestataire le propose. Le Client consulte cette documentation sur demande.

Article 9Assistance au Client

• Droits des personnes. L'espace client permet au Client de consulter, d'exporter, de rectifier et de supprimer les échanges et les données d'un voyageur [fonctions à confirmer]. Lorsqu'un voyageur s'adresse directement à DMS, DMS transmet sa demande au Client dans les 5 jours ouvrés et l'aide à y répondre.
• Obligations du Client. DMS aide le Client, compte tenu des informations dont elle dispose, à respecter ses obligations de sécurité, de notification des violations, d'analyse d'impact et de consultation préalable de la CNIL (articles 32 à 36 du RGPD).
• Une assistance qui dépasse le fonctionnement courant du Service peut faire l'objet d'un devis préalable.

Article 10Violations de données

DMS notifie au Client toute violation de données personnelles dans un délai de 48 heures au plus après en avoir pris connaissance, par e-mail et, si possible, par téléphone. La notification comprend les informations disponibles parmi celles de l'article 33.3 du RGPD : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou envisagées, coordonnées d'un contact. DMS complète ces informations au fil de l'enquête.

Le Client, responsable de traitement, notifie la violation à la CNIL dans les 72 heures lorsque la loi l'exige et en informe les personnes concernées si nécessaire ; DMS l'assiste dans ces démarches.

Article 11Durées de conservation

Chez les sous-traitants ultérieurs, les données suivent les durées de leurs propres conditions, rappelées à l'annexe 3. Les messages reçus sur WhatsApp, et à leur ouverture sur Instagram et Messenger, restent par ailleurs dans les messageries du Client, sous son contrôle.

Article 12Fin du contrat : restitution et suppression

À la fin du contrat, le Client exporte ses données depuis son espace pendant 30 jours, dans un format courant et lisible par machine. Au terme de ce délai, DMS supprime les données des voyageurs et leurs copies, sauvegardes comprises à la fin de leur cycle de rotation, et demande la même suppression à ses sous-traitants ultérieurs. DMS conserve uniquement les données que la loi l'oblige à garder, pour la durée prévue. Sur demande, DMS remet au Client une attestation de suppression.

Article 13Documentation et audit

DMS met à la disposition du Client les informations nécessaires pour démontrer le respect du présent contrat : annexes à jour, registre des traitements tenu en qualité de sous-traitant (article 30.2 du RGPD), politique de sécurité, documentation des sous-traitants ultérieurs. Le Client peut en outre faire réaliser un audit, une fois par an, à ses frais, par un auditeur indépendant tenu au secret professionnel, avec un préavis de 30 jours et selon un périmètre convenu à l'avance, de manière à préserver la sécurité du Service et la confidentialité des autres clients.

Article 14Responsabilité

Chaque partie répond de ses manquements dans les conditions de l'article 82 du RGPD. Entre les parties, les règles de responsabilité des CGV s'appliquent, dans les limites autorisées par la loi.

Article 15Durée

Le présent contrat prend effet à l'ouverture du compte, essai gratuit compris, et produit ses effets tant que DMS traite des données pour le compte du Client, jusqu'à leur suppression complète.

Annexe 1Description des traitements

Annexe 2Mesures de sécurité

Mesures prévues pour la mise en production [à confirmer à la recette technique] :

1. Hébergement des données dans l'Union européenne (Google Firebase, région europe-west1).
2. Chiffrement des échanges en transit (HTTPS/TLS) et des données au repos (chiffrement natif de Google Cloud).
3. Cloisonnement par Client : les règles de sécurité de la base réservent à chaque compte l'accès à ses seules données.
4. Connexion des Clients par lien sécurisé envoyé par e-mail ; double authentification pour les comptes d'administration de DMS.
5. Clés d'accès aux prestataires conservées dans un coffre de secrets, avec accès restreint et renouvellement.
6. Principe du moindre privilège pour les accès de DMS ; journalisation des accès d'administration.
7. Transmission au modèle d'intelligence artificielle des seules données utiles à chaque réponse.
8. Codes de séjour propres à chaque séjour et limités à sa durée.
9. Vérification de la signature des notifications reçues des plateformes (Meta, Stripe) et limitation du nombre de requêtes.
10. Sauvegardes chiffrées et test périodique de restauration.
11. Mises à jour de sécurité régulières et surveillance des dépendances logicielles.
12. Procédure écrite de gestion des incidents et de notification des violations.
13. Engagement de confidentialité de toute personne habilitée.

Annexe 3Sous-traitants ultérieurs

Stripe figure ici pour une information complète : il traite les données du Client pour le compte de DMS, responsable de traitement, et reste étranger aux données des voyageurs. Sources consultées le 6 novembre 2026 : conditions et accords de traitement publiés par chaque prestataire, registre officiel du Data Privacy Framework.

Services tiers qui agissent pour leur propre compte

Ces services reçoivent des données à la demande du Client, comme responsables de traitement indépendants [qualification : À VÉRIFIER] :

• Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irlande, pour Instagram et Messenger, à leur ouverture : les Meta Platform Terms le qualifient de responsable indépendant et prévoient les clauses contractuelles types (module 1).
• Telegram Messenger Inc., pour les alertes que le Client choisit de recevoir sur Telegram : responsable indépendant, données des utilisateurs de l'Espace économique européen hébergées aux Pays-Bas, représentant dans l'Union : EDPO, avenue Huart Hamoir 71, 1030 Bruxelles. DMS réduit le contenu de ces alertes au strict nécessaire [contenu des alertes : À VALIDER].
• Les plateformes de réservation (Airbnb, Booking, channel manager), qui transmettent leurs calendriers au Service à la demande du Client.