Conforme à l'Article 28 du RGPD (Règlement UE 2016/679) • Annexe contractuelle aux CGV/CGU
Le présent Accord de Traitement des Données Personnelles (Data Processing Agreement – DPA) fixe les conditions contractuelles dans lesquelles l'Éditeur DEVOXIS traite, en qualité de Sous-traitant, les données à caractère personnel des Clients Finaux pour le compte et sur instructions du Salon de coiffure / Barbier (le Client), agissant en qualité de Responsable de Traitement.
Article 1 – Qualification juridique des rôles respectifs
-
Le Salon (Client) est RESPONSABLE DE TRAITEMENT :
Le Salon collecte et gère les coordonnées, rendez-vous, préférences capillaires et historiques de ses propres clients (Clients Finaux). Il détermine seul les finalités et la licéité de ces traitements au sein de son établissement. -
DEVOXIS est SOUS-TRAITANT (Art. 28 du RGPD) :
DEVOXIS met à disposition l'infrastructure SaaS, la base de données sécurisée, le moteur de réservation et les modules de communication. DEVOXIS n'agit que pour le compte et sur instruction du Salon.
Article 2 – Description des traitements sous-traités
| Finalités du traitement : | Prise de rendez-vous en ligne 24/7, gestion du planning des équipes, CRM et fiches clients, rappels automatiques SMS/e-mails, chronométrage fauteuil, tenue de caisse et cagnotte fidélité. |
| Personnes concernées : | Clients Finaux du salon de coiffure / barbier, appelants téléphoniques reçus par l'agent vocal, collaborateurs et coiffeurs de l'équipe. |
| Types de données traitées : | Noms, prénoms, numéros de mobile, e-mails, historiques de coupes, notes techniques, photographies non biométriques de modèles capillaires (téléversées par jetons temporaires /upload/:token), montants réglés et ardoises/dettes. |
| Durée du traitement : | Strictement limitée à la durée de l'Abonnement souscrit par le Salon à la plateforme CYB. |
Article 3 – Engagements stricts de DEVOXIS (Sous-traitant)
Conformément à l’article 28 du RGPD, DEVOXIS s’engage formellement à :
- Traitement exclusif sur instruction documentée : Ne traiter les données des Clients Finaux que dans le cadre de l'exploitation normale des modules de CYB par le Salon.
- INTERDICTION DE COMMERCIALISATION ET MONÉTISATION : DEVOXIS s'interdit formellement de vendre, louer, transférer, céder, exploiter ou monétiser la base de clients du Salon pour son propre compte ou pour le compte de tiers, et s'interdit tout démarchage commercial direct auprès des Clients Finaux.
- Confidentialité des équipes : Garantir que toutes les personnes habilitées à intervenir sur l'infrastructure (développeurs, techniciens système) sont soumises à une obligation contractuelle stricte de confidentialité.
- Sécurité et cloisonnement multi-tenant : Assurer une isolation logique absolue des données entre les différents salons (Tenant Isolation), un chiffrement TLS des flux et des sauvegardes quotidiennes redondées.
- Notification des violations sous 48h : Informer le Salon par e-mail dans un délai maximal de quarante-huit (48) heures après avoir constaté toute violation ou fuite de données personnelles.
- Assistance aux droits des personnes : Mettre à la disposition du Salon les fonctionnalités nécessaires pour exporter, corriger ou supprimer les données d’un Client Final sur simple demande.
Article 4 – Sous-traitants ultérieurs autorisés
Le Salon autorise DEVOXIS à recourir aux sous-traitants ultérieurs d'infrastructure et de services ci-après, indispensables au fonctionnement technique de la solution :
| Sous-traitant | Mission technique | Localisation des serveurs |
|---|---|---|
| [NOM_HEBERGEUR, ex : Hetzner / OVHcloud] | Hébergement des serveurs, conteneurs Docker et bases MariaDB | France / Union Européenne |
| Twilio Inc. | Routage et délivrance des SMS transactionnels / rappels | UE / États-Unis (Data Privacy Framework) |
| Stripe Payments Europe | Sécurisation des paiements, abonnements et acomptes en ligne | Union Européenne (Irlande) |
| Fournisseurs API IA (OpenRouter / OpenAI) | Génération de contenus CMS & Traitement vocal de l'agent standard | UE / États-Unis (Chiffrement en transit / Zéro conservation d'entraînement) |
Article 5 – Réversibilité et suppression des données en fin de contrat
5.1. Droit d'exportation (30 jours) : Dès la résiliation de son Abonnement, le Salon dispose d’un délai de trente (30) jours pour procéder à l'exportation complète et gratuite de l'ensemble de ses données (fichiers clients, historiques, plannings) aux formats standards CSV et JSON directement depuis le tableau de bord CRM.
5.2. Destruction définitive sécurisée : À l’issue de ce délai de 30 jours, DEVOXIS procède à l'effacement irréversible et automatisé de l'ensemble des données personnelles du Salon de ses serveurs de production actifs.
Article 6 – Contact et délégué à la protection des données
Pour toute question relative à l'application du présent DPA ou à la sécurité de vos données sous-traitées :
Contact DPO DEVOXIS : [EMAIL_CONTACT]