Accord de sous-traitance des données

1Parties

• Responsable du traitement : le Client qui souscrit à la Plateforme Renterus, identifié dans son compte d’entreprise (le « Responsable »).
• Sous-traitant : RENTERUS SOFTWARE S.L., NIF B72826324, Calle Bellavista 4, Edif. Capri, Local 2, 29780 Nerja (Málaga), Espagne (le « Sous-traitant » ou « Renterus »).

2Objet

Le Responsable confie à Renterus le traitement des données personnelles nécessaires pour lui fournir le service logiciel Renterus (la « Plateforme »), dans les termes des Conditions d’utilisation et de souscription et du Plan souscrit.

Cet accord ne s’applique pas aux données que Renterus traite en tant que responsable (comptes utilisateurs, relation contractuelle avec le Client, sécurité de la Plateforme), régies par la Politique de confidentialité.

3Durée

Cet accord est en vigueur tant que le sont les Conditions d’utilisation et de souscription entre les parties. Les obligations de confidentialité, de restitution et de suppression des données, ainsi que celles qui, par leur nature, doivent survivre, resteront en vigueur après sa fin.

4Nature et finalité du traitement

Finalité : fournir au Responsable les fonctionnalités de la Plateforme qu’il choisit d’utiliser, comme la gestion du personnel et l’enregistrement du temps de travail ; la signature électronique de documents ; la gestion des propriétés, propriétaires, réservations, voyageurs et l’enregistrement des voyageurs ; la vérification d’identité ; l’assistant d’intelligence artificielle Erus ; la facturation ; les transferts ; la gestion des clés ; la communication interne et avec des tiers ; et les intégrations avec des services tiers que le Responsable active.

Opérations de traitement : collecte, enregistrement, organisation, structuration, conservation, adaptation, consultation, utilisation, communication par transmission aux destinataires que le Responsable indique ou configure, rapprochement, limitation, effacement et destruction, par des moyens automatisés.

5Types de données et catégories de personnes concernées

Selon les fonctionnalités utilisées par le Responsable, le traitement peut concerner :

Catégories particulières de données. Si le Responsable active la vérification d’identité des voyageurs par comparaison faciale, des données biométriques destinées à identifier une personne de manière unique sont traitées (art. 9 RGPD). Il appartient au Responsable de disposer d’une exception de l’article 9.2 RGPD qui le permette (en général, le consentement explicite de la personne concernée) et d’évaluer la nécessité d’une analyse d’impact. En outre, les absences peuvent inclure des arrêts de travail et des rendez-vous médicaux avec leurs justificatifs, et les documents professionnels peuvent contenir des données de santé. Le Responsable n’introduira pas d’autres catégories particulières de données, sauf si elles sont indispensables et licites.

6Obligations du Responsable

• Garantir que le traitement repose sur une base juridique valable et, le cas échéant, sur une exception de l’article 9.2 RGPD, et que les données ont été obtenues licitement.
• Informer les personnes concernées conformément aux articles 13 et 14 RGPD, y compris, pour les salariés, l’information préalable sur l’enregistrement du temps de travail et la géolocalisation (art. 90 LOPDGDD).
• Donner à Renterus des instructions licites et documentées, et configurer la Plateforme en conséquence.
• Réaliser les analyses d’impact et consultations préalables nécessaires.
• Superviser le traitement, y compris au moyen des audits prévus dans cet accord.

7Instructions du Responsable

Renterus ne traitera les données personnelles que sur instruction documentée du Responsable. Constituent des instructions documentées : (i) cet accord et les Conditions d’utilisation et de souscription ; (ii) la configuration et l’utilisation de la Plateforme par le Responsable et ses Utilisateurs autorisés ; et (iii) les instructions écrites complémentaires que le Responsable communique et que Renterus accepte. Parmi elles figure celle d’élaborer des statistiques agrégées et anonymisées sur l’utilisation de la Plateforme, selon les Conditions.

Si Renterus estime qu’une instruction enfreint le RGPD ou une autre règle de protection des données, il en informera immédiatement le Responsable. Si le droit de l’Union ou d’un État membre oblige Renterus à traiter les données pour une autre finalité, il en informera le Responsable avant le traitement, sauf si ce droit l’interdit pour des motifs importants d’intérêt public.

Renterus n’utilisera pas les données à ses propres fins et ne les communiquera pas à des tiers, sauf aux sous-traitants ultérieurs autorisés ou sur indication du Responsable.

8Confidentialité

Renterus garantit que les personnes autorisées à traiter les données se sont engagées par écrit à en respecter la confidentialité ou sont soumises à une obligation légale de confidentialité, qui se maintient après la fin de leur relation avec Renterus. Elles n’accéderont aux données que dans la mesure nécessaire pour fournir le service, apporter une assistance à la demande du Responsable ou résoudre des incidents.

9Mesures de sécurité

Compte tenu de l’état des connaissances, des coûts, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits des personnes concernées, Renterus applique les mesures techniques et organisationnelles appropriées exigées par l’article 32 RGPD, notamment :

• chiffrement des communications entre les utilisateurs et la Plateforme (TLS) ;
• mots de passe stockés au moyen d’algorithmes de hachage et gestion sécurisée des sessions ;
• contrôle d’accès fondé sur des rôles et des permissions configurables par le Responsable, et séparation logique des données de chaque client ;
• journalisation des actions pertinentes ;
• système de management de la sécurité de l’information certifié selon la norme UNE-EN ISO/IEC 27001:2023 ;
• base de données répliquée sur un cluster de trois nœuds, sauvegardes quotidiennes et procédures de restauration ;
• mise à jour et maintenance des systèmes et des dépendances logicielles ;
• engagements de confidentialité et formation du personnel ayant accès aux données ;
• procédure de gestion et de notification des incidents de sécurité ;
• révision périodique de l’efficacité des mesures.

Renterus pourra mettre à jour ces mesures à condition de ne pas réduire le niveau global de sécurité.

10Sous-traitants ultérieurs

Le Responsable accorde à Renterus une autorisation générale de recourir à d’autres sous-traitants (sous-traitants ultérieurs). La liste en vigueur des sous-traitants ultérieurs est publiée dans la Politique de confidentialité.

Renterus informera le Responsable de tout ajout ou remplacement de sous-traitants ultérieurs au moins 15 jours à l’avance, par courrier électronique ou par un avis sur la Plateforme, afin qu’il puisse s’y opposer pour des motifs raisonnables liés à la protection des données. Si les parties ne parviennent pas à une solution, le Responsable pourra résilier le contrat sans pénalité pour le service concerné.

Renterus imposera à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles de cet accord, en particulier celle d’offrir des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Renterus reste pleinement responsable envers le Responsable du respect de leurs obligations par les sous-traitants ultérieurs.

Les services tiers que le Responsable décide d’intégrer (par exemple, les canaux de réservation) ne sont pas des sous-traitants ultérieurs de Renterus : la communication de données à ces services se fait sur instruction du Responsable. Le gestionnaire de canaux que Renterus intègre dans la Plateforme est, lui, un sous-traitant ultérieur et figure sur la liste.

11Transferts internationaux

Renterus ne transférera des données personnelles hors de l’Espace économique européen, directement ou par l’intermédiaire de sous-traitants ultérieurs, que s’il existe une décision d’adéquation (y compris le cadre de protection des données UE–États-Unis pour les entités certifiées) ou si des garanties appropriées ont été adoptées conformément à l’article 46 RGPD, comme les clauses contractuelles types de la Commission européenne, avec les mesures complémentaires nécessaires.

12Assistance pour l’exercice des droits

Renterus aidera le Responsable, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à répondre aux demandes d’exercice des droits d’accès, de rectification, d’effacement, d’opposition, de limitation, de portabilité et du droit de ne pas faire l’objet de décisions automatisées. La Plateforme permet au Responsable de consulter, corriger, exporter et supprimer les données.

Si une personne concernée adresse sa demande à Renterus, celui-ci la transmettra au Responsable sans délai et, en tout état de cause, dans un délai de 5 jours ouvrables, et n’y répondra pas directement sauf indication du Responsable.

13Assistance en matière de sécurité, d’analyses d’impact et de consultations

Compte tenu de la nature du traitement et des informations dont il dispose, Renterus aidera le Responsable à respecter les obligations des articles 32 à 36 RGPD : sécurité du traitement, notification et communication des violations de données, analyses d’impact relatives à la protection des données et consultations préalables de l’autorité de contrôle.

14Notification des violations de données

Renterus notifiera au Responsable, dans les meilleurs délais et en tout état de cause dans un délai maximal de 48 heures après en avoir pris connaissance, toute violation de la sécurité affectant les données traitées pour son compte, avec les informations disponibles pour documenter et signaler l’incident :

• la nature de la violation, avec les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés ;
• les coordonnées du contact chez Renterus pour obtenir plus d’informations ;
• les conséquences probables ;
• les mesures prises ou proposées pour y remédier et en atténuer les effets.

S’il n’est pas possible de fournir toutes les informations en même temps, elles seront communiquées de manière échelonnée. Il appartient au Responsable de notifier l’autorité de contrôle et, le cas échéant, les personnes concernées.

15Sort des données à la fin du service

À la fin du service, Renterus maintiendra les données accessibles au Responsable en lecture seule, afin qu’il puisse les consulter et les exporter, et les lui restituera dans un format structuré et couramment utilisé s’il le demande. Il les supprimera ou les anonymisera ensuite, avec les copies existantes, dans le délai et selon les modalités prévus dans les Conditions d’utilisation et de souscription, ou plus tôt si le Responsable le demande par écrit.

Les sauvegardes seront supprimées selon leurs cycles ordinaires de rotation. Renterus pourra conserver les données dûment bloquées tant que des responsabilités peuvent découler de l’exécution du service ou lorsqu’une règle l’exige. À la demande du Responsable, Renterus certifiera la suppression.

16Information et audits

Renterus mettra à la disposition du Responsable les informations nécessaires pour démontrer le respect de cet accord et permettra la réalisation d’audits, y compris d’inspections, par le Responsable ou un autre auditeur qu’il mandate, et y contribuera.

Les audits seront demandés avec un préavis raisonnable d’au moins 30 jours, réalisés pendant les heures ouvrables, sans affecter la sécurité ni les données des autres clients, au maximum une fois par an (sauf en cas de violation de sécurité ou à la demande d’une autorité) et aux frais du Responsable. Renterus pourra répondre à ces demandes, en premier lieu, par de la documentation, des certifications (comme son certificat UNE-EN ISO/IEC 27001) ou des rapports d’audit indépendants.

17Autres obligations du Sous-traitant

• Tenir un registre des catégories d’activités de traitement effectuées pour le compte du Responsable (art. 30.2 RGPD).
• Désigner un délégué à la protection des données lorsque c’est obligatoire et communiquer son identité au Responsable.
• Coopérer avec l’autorité de contrôle à sa demande.

18Responsabilité

Chaque partie répond des dommages qu’elle cause en manquant à cet accord ou à la réglementation sur la protection des données, conformément à l’article 82 RGPD. Dans la mesure permise par la loi, les limitations de responsabilité des Conditions d’utilisation et de souscription s’appliquent. Si Renterus traite les données à ses propres fins ou enfreint cet accord, il sera considéré comme responsable du traitement pour ce traitement.

19Primauté et droit applicable

En matière de protection des données personnelles, cet accord prévaut sur toute autre disposition des Conditions d’utilisation et de souscription. Il est régi par le droit espagnol et par le RGPD, et les litiges seront soumis aux juridictions indiquées dans lesdites conditions.