Le présent Accord de traitement des données (“ATD”) fait partie intégrante des Conditions générales d’utilisation conclues entre Familiar SAS (“Familiar”, “Sous-traitant”) et le Client (“Responsable du traitement”) et régit le traitement des données à caractère personnel par Familiar pour le compte du Client dans le cadre de la fourniture des Services. Le présent ATD est conclu conformément au Règlement (UE) 2016/679 (le “RGPD”) et à la législation nationale applicable en matière de protection des données.
1. Champ d’application
Le présent ATD s’applique à tout traitement de données à caractère personnel effectué par Familiar en qualité de sous-traitant pour le compte du Client en qualité de responsable du traitement dans le cadre de la fourniture des Services. Les termes “données à caractère personnel”, “responsable du traitement”, “sous-traitant”, “personne concernée”, “traitement” et “violation de données à caractère personnel” ont le sens qui leur est attribué dans le RGPD.
Le présent ATD complète les Conditions générales d’utilisation et y est soumis. En cas de conflit entre le présent ATD et les Conditions générales d’utilisation concernant les questions de protection des données, le présent ATD prévaut.
2. Détails du traitement
2.1 Services
Familiar fournit une plateforme SaaS conçue pour le secteur de l’hôtellerie, permettant la gestion des hôtels et des établissements, les communications avec les clients (guests), la gestion des enquêtes, l’automatisation de scénarios et des fonctionnalités opérationnelles connexes. Le traitement des données à caractère personnel est nécessaire à l’exécution de ces Services.
2.2 Nature du traitement
Les activités de traitement effectuées par Familiar comprennent la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation, la récupération, la consultation, l’utilisation, la communication par transmission, le rapprochement, l’interconnexion, la limitation, l’effacement et la destruction des données à caractère personnel, selon ce qui est nécessaire à la fourniture des Services.
2.3 Finalités du traitement
Les données à caractère personnel sont traitées aux finalités suivantes :
- Fournir et exploiter les Services tels que décrits dans les Conditions générales d’utilisation et le bon de commande applicable.
- Gérer les profils des clients (guests), les réservations et les communications pour le compte du Client.
- Envoyer des e-mails transactionnels et marketing tels que configurés par le Client via la plateforme.
- Exécuter les scénarios et flux de travail automatisés définis par le Client.
- Générer des analyses, des rapports et des informations pour le Client.
- Fournir une assistance technique et résoudre les problèmes.
- Assurer la sécurité, l’intégrité et la disponibilité des Services.
2.4 Catégories de données à caractère personnel
Les catégories de données à caractère personnel traitées peuvent inclure :
- Données d’identité : prénom, nom, civilité, date de naissance, nationalité.
- Données de contact : adresse e-mail, numéro de téléphone, adresse postale.
- Données de réservation : dates de réservation, préférences de chambre, historique des séjours, demandes particulières.
- Données de communication : contenu des e-mails, réponses aux enquêtes, historique des messages.
- Données techniques : adresse IP, type de navigateur, informations sur l’appareil, journaux d’utilisation.
- Données de préférences : préférences linguistiques, préférences de communication, informations relatives aux programmes de fidélité.
2.5 Personnes concernées
Les personnes concernées dont les données à caractère personnel peuvent être traitées comprennent :
- Les clients (guests) des établissements hôteliers du Client.
- Les employés, agents et représentants du Client qui utilisent les Services.
- Les clients potentiels et prospects gérés via la plateforme.
- Toute autre personne dont les données à caractère personnel sont téléversées dans les Services par le Client.
2.6 Durée
Les données à caractère personnel seront traitées pendant toute la durée de la Période d’abonnement et pendant toute période supplémentaire pouvant être nécessaire pour que Familiar se conforme à ses obligations au titre du présent ATD, des Conditions générales d’utilisation et de la législation applicable, y compris les obligations de conservation et de suppression des données.
3. Obligations de Familiar
Familiar s’engage à :
- Traiter les données à caractère personnel uniquement sur instructions documentées du Client, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale, à moins d’y être tenu en vertu du droit de l’Union européenne ou du droit de l’État membre auquel Familiar est soumis. Dans ce cas, Familiar informe le Client de cette obligation juridique avant le traitement, sauf si ce droit interdit une telle information pour des motifs importants d’intérêt public.
- Veiller à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
- Mettre en œuvre des mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD.
- Respecter les conditions de recours à des sous-traitants ultérieurs énoncées à la Section 4 du présent ATD.
- Aider le Client, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, compte tenu de la nature du traitement, à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées.
- Aider le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à la disposition de Familiar.
- Au choix du Client, supprimer ou renvoyer toutes les données à caractère personnel au Client à la fin de la fourniture des Services, et détruire les copies existantes, à moins que le droit de l’Union européenne ou le droit d’un État membre n’exige la conservation des données à caractère personnel.
- Mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD et permettre la réalisation d’audits, y compris des inspections, par le Client ou un autre auditeur mandaté par le Client, et contribuer à ces audits.
- Informer immédiatement le Client si, de l’avis de Familiar, une instruction du Client constitue une violation du RGPD ou d’autres dispositions du droit de l’Union européenne ou du droit des États membres en matière de protection des données.
4. Sous-traitants ultérieurs
4.1 Autorisation
Le Client donne à Familiar une autorisation écrite générale de recourir à des sous-traitants ultérieurs pour le traitement des données à caractère personnel. Familiar tient à jour une liste des sous-traitants ultérieurs, figurant à l’Annexe du présent ATD. Familiar informe le Client de tout changement envisagé concernant l’ajout ou le remplacement de sous-traitants ultérieurs, donnant ainsi au Client la possibilité de s’opposer à ces changements. Le Client dispose de 8 jours à compter de la date de notification pour formuler une objection motivée. Si le Client s’y oppose et que les parties ne parviennent pas à une solution, le Client peut résilier les Services concernés conformément aux Conditions générales d’utilisation.
4.2 Garanties
Familiar veille à ce que chaque sous-traitant ultérieur soit lié par des obligations de protection des données au moins aussi protectrices que celles énoncées dans le présent ATD, au moyen d’un contrat écrit. Familiar demeure pleinement responsable envers le Client de l’exécution des obligations de chaque sous-traitant ultérieur. Familiar procède à une diligence raisonnable appropriée sur les sous-traitants ultérieurs préalablement à leur engagement et de manière continue afin de s’assurer qu’ils présentent des garanties suffisantes pour mettre en œuvre des mesures techniques et organisationnelles appropriées.
5. Droits des personnes concernées
Familiar aide le Client à répondre aux demandes des personnes concernées exerçant leurs droits au titre du RGPD, y compris le droit d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité des données et le droit d’opposition. Si Familiar reçoit une demande directement d’une personne concernée, elle la transmet sans délai au Client et ne répond pas directement à la personne concernée, sauf instruction contraire du Client.
Familiar met en œuvre des mesures techniques et organisationnelles appropriées pour permettre au Client de satisfaire aux demandes des personnes concernées, notamment en fournissant des outils d’export et de suppression des données au sein des Services lorsque cela est possible.
6. Notification des violations de données
En cas de violation de données à caractère personnel affectant des données à caractère personnel traitées au titre du présent ATD, Familiar notifie le Client sans retard injustifié et, en tout état de cause, dans un délai de 72 heures après avoir pris connaissance de la violation. La notification comprend :
- Une description de la nature de la violation de données à caractère personnel, y compris, si possible, les catégories et le nombre approximatif de personnes concernées ainsi que les catégories et le nombre approximatif d’enregistrements de données à caractère personnel concernés.
- Le nom et les coordonnées du Délégué à la protection des données de Familiar ou d’un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues.
- Une description des conséquences probables de la violation de données à caractère personnel.
- Une description des mesures prises ou que Familiar propose de prendre pour remédier à la violation de données à caractère personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.
Familiar coopère avec le Client et prend des mesures commerciales raisonnables pour aider à l’enquête, à l’atténuation et à la remédiation de la violation.
7. Assistance à la conformité
Familiar aide le Client à garantir le respect de ses obligations au titre des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à la disposition de Familiar. Cette assistance comprend :
- La fourniture des informations et de la documentation nécessaires au Client pour réaliser des analyses d’impact relatives à la protection des données (AIPD) lorsque cela est requis.
- L’assistance dans le cadre des consultations préalables auprès des autorités de contrôle lorsqu’une AIPD indique que le traitement présenterait un risque élevé en l’absence de mesures prises par le Client pour atténuer ce risque.
- La fourniture d’informations sur les mesures de sécurité techniques et organisationnelles de Familiar sur demande raisonnable.
8. Mesures de sécurité
Familiar met en œuvre et maintient des mesures de sécurité techniques et organisationnelles appropriées pour protéger les données à caractère personnel contre tout traitement non autorisé ou illicite et contre la perte, la destruction ou l’endommagement accidentels. Ces mesures comprennent, sans s’y limiter :
- Chiffrement : les données à caractère personnel sont chiffrées en transit à l’aide de TLS 1.2 ou supérieur et au repos à l’aide d’un chiffrement AES-256.
- Contrôles d’accès : contrôles d’accès basés sur les rôles, authentification multifacteur pour les accès administratifs et principe du moindre privilège.
- Sécurité réseau : pare-feu, systèmes de détection d’intrusion et segmentation du réseau.
- Surveillance et journalisation : surveillance continue des systèmes, journalisation des accès aux données à caractère personnel et alertes en cas d’activité anormale.
- Gestion des vulnérabilités : évaluations régulières des vulnérabilités, tests d’intrusion et application rapide des correctifs aux systèmes.
- Continuité d’activité : sauvegardes régulières, procédures de reprise après sinistre et plans de réponse aux incidents testés.
- Sécurité du personnel : vérifications des antécédents du personnel ayant accès aux données à caractère personnel, formation obligatoire de sensibilisation à la sécurité et accords de confidentialité.
Familiar examine et met à jour régulièrement ces mesures afin de garantir qu’elles restent appropriées au regard de l’évolution du paysage des menaces et de l’état de l’art.
9. Conservation et suppression des données
Familiar ne traite les données à caractère personnel que pour la durée nécessaire à la fourniture des Services et à l’exécution de ses obligations au titre du présent ATD. À la résiliation ou à l’expiration des Services, le Client dispose d’un délai de 30 jours pour fournir des instructions concernant le renvoi ou la suppression des données à caractère personnel. Si le Client ne fournit pas d’instructions dans ce délai, Familiar supprime de manière sécurisée toutes les données à caractère personnel en sa possession, y compris les copies, à moins que la conservation ne soit requise par le droit applicable de l’Union européenne ou d’un État membre.
Sur demande, Familiar fournit au Client une attestation écrite confirmant la suppression des données à caractère personnel.
10. Délégué à la protection des données
Familiar a désigné un Délégué à la protection des données (DPO) qui peut être contacté à l’adresse hello@familiarhq.com. Le DPO est chargé de surveiller le respect par Familiar du RGPD et du présent ATD, de conseiller sur les obligations en matière de protection des données et de servir de point de contact pour les personnes concernées et les autorités de contrôle.
Si le DPO identifie des manquements à la conformité, Familiar met en œuvre des mesures correctives dans un délai de 60 jours à compter de l’identification.
11. Registre des traitements
Familiar tient un registre de toutes les catégories d’activités de traitement effectuées pour le compte du Client, conformément à l’article 30(2) du RGPD. Ce registre comprend :
- Le nom et les coordonnées de Familiar et du Client.
- Les catégories de traitements effectués pour le compte du Client.
- Le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale, y compris l’identification de ce pays tiers ou de cette organisation internationale et la documentation des garanties appropriées.
- Une description générale des mesures de sécurité techniques et organisationnelles.
Ce registre est mis à la disposition du Client et de l’autorité de contrôle compétente sur demande.
12. Transferts internationaux
Familiar traite principalement les données à caractère personnel au sein de l’Espace économique européen (EEE). Lorsque la fourniture des Services nécessite le transfert de données à caractère personnel vers un pays situé en dehors de l’EEE qui n’a pas été reconnu par la Commission européenne comme assurant un niveau adéquat de protection des données, Familiar veille à ce que des garanties appropriées soient en place conformément au Chapitre V du RGPD. Ces garanties peuvent inclure :
- Les Clauses contractuelles types (CCT) adoptées par la Commission européenne.
- Le cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework), lorsque le destinataire est certifié au titre de ce cadre.
- Des Règles d’entreprise contraignantes (BCR) approuvées par une autorité de contrôle compétente.
- D’autres mécanismes de transfert reconnus par le RGPD comme offrant des garanties appropriées.
Les détails relatifs aux sous-traitants ultérieurs actuels et à leurs localisations figurent à l’Annexe. Familiar informe le Client avant tout nouveau transfert de données à caractère personnel en dehors de l’EEE et veille à ce que les garanties appropriées soient en place préalablement à un tel transfert.
13. Audit
Le Client peut auditer le respect par Familiar du présent ATD une fois par an. Le Client doit fournir un préavis écrit d’au moins 4 semaines pour tout audit. Les audits sont réalisés pendant les heures normales d’ouverture et ne doivent pas perturber de manière déraisonnable les activités de Familiar.
L’audit peut être réalisé par le Client ou par un auditeur tiers indépendant désigné par le Client, à condition qu’un tel auditeur soit lié par des obligations de confidentialité appropriées. Familiar coopère à l’audit et fournit un accès raisonnable à la documentation, aux systèmes et au personnel concernés.
Si l’audit révèle un quelconque manquement au présent ATD, Familiar met en œuvre des mesures correctives dans un délai de 60 jours à compter de la notification des constatations. Familiar informe le Client des mesures correctives prises.
Les coûts de l’audit sont à la charge du Client, sauf si l’audit révèle un manquement substantiel au présent ATD par Familiar, auquel cas les coûts raisonnables de l’audit sont à la charge de Familiar.
14. Obligations du Client en qualité de responsable du traitement
Le Client, en qualité de responsable du traitement, garantit et s’engage à ce que :
- Il dispose d’une base légale pour le traitement des données à caractère personnel telle que requise par le RGPD, y compris, le cas échéant, le consentement des personnes concernées.
- Il a fourni des informations appropriées aux personnes concernées concernant le traitement de leurs données à caractère personnel, y compris l’intervention de Familiar en qualité de sous-traitant.
- Ses instructions à Familiar concernant le traitement des données à caractère personnel sont conformes aux lois applicables en matière de protection des données.
- Il a mis en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel au sein de ses propres systèmes et infrastructures.
- Il informe sans délai Familiar de tout changement de ses instructions de traitement ou de toute circonstance susceptible d’affecter la capacité de Familiar à s’acquitter de ses obligations au titre du présent ATD.
- Il répond aux demandes des personnes concernées dans les délais requis par le RGPD et informe Familiar de toute action requise de la part de Familiar.
15. Responsabilité
La responsabilité de chaque partie au titre du présent ATD est soumise aux limitations de responsabilité énoncées dans les Conditions générales d’utilisation. La responsabilité globale totale de Familiar découlant du présent ATD ou liée à celui-ci ne pourra excéder le montant total des frais payés par le Client à Familiar au cours des douze (12) mois précédant l’événement à l’origine de la réclamation.
Aucune disposition du présent ATD n’exclut ni ne limite la responsabilité qui ne peut être exclue ou limitée en vertu du droit applicable, y compris la responsabilité pour les manquements intentionnels aux obligations de protection des données ou pour les amendes imposées par les autorités de contrôle dans la mesure où ces amendes sont directement imputables aux actions ou omissions propres de la partie responsable.
16. Droit applicable
Le présent ATD est régi et interprété conformément au droit français, sans égard à ses règles de conflit de lois. Tout litige découlant du présent ATD ou en lien avec celui-ci qui ne peut être résolu à l’amiable est soumis à la compétence exclusive de la Cour d’appel de Paris.
Annexe : Sous-traitants ultérieurs
Les sous-traitants ultérieurs suivants sont autorisés à traiter des données à caractère personnel pour le compte du Client à la date du présent ATD :
Amazon Web Services (AWS)
- Localisation de l’entité : Seattle, États-Unis
- Localisation du traitement : Belgique, Union européenne
- Données traitées : données des utilisateurs et données système
- Finalité : hébergement de l’application, stockage des données et services d’infrastructure
Trigger.dev
- Localisation de l’entité : États-Unis
- Localisation du traitement : Union européenne
- Données traitées : messages système
- Finalité : traitement des tâches en arrière-plan et orchestration des tâches
Sentry
- Localisation de l’entité : San Francisco, États-Unis
- Localisation du traitement : Allemagne, Union européenne
- Données traitées : rapports d’erreurs et traces de performance
- Finalité : surveillance de l’application, suivi des erreurs et surveillance des performances
SendGrid (Twilio)
- Localisation de l’entité : Denver, États-Unis
- Localisation du traitement : Union européenne
- Données traitées : contenu des e-mails marketing et transactionnels, adresses e-mail des destinataires
- Finalité : services de distribution d’e-mails
Beefree (BEE Content Design)
- Localisation de l’entité :San José, États-Unis
- Localisation du traitement : Irlande, Union européenne
- Données traitées : contenu des modèles d’e-mails
- Finalité : création et conception de modèles d’e-mails