Accord de sous-traitance des données personnelles

1. Parties et objet

Le présent accord est conclu entre : le Client, personne physique ou morale professionnelle ayant souscrit ou utilisant le Service ShowTiming dans le cadre de son activité professionnelle, ci-après le « Responsable de traitement » ou le « Client » ; et Lucas Ait Madi — Entrepreneur individuel, nom commercial ShowTiming, 91 rue d’Étion, 08000 Charleville-Mézières, France, SIREN 915 300 289, e-mail hello@show-timing.com, ci-après le « Sous-traitant » ou « ShowTiming ».

Le présent DPA a pour objet de définir les conditions dans lesquelles ShowTiming traite, pour le compte du Client, les données personnelles que le Client ou ses utilisateurs intègrent dans le Service.

Les traitements réalisés par un sous-traitant pour le compte d’un responsable de traitement doivent être encadrés par un contrat conforme à l’article 28 du RGPD.

2. Hiérarchie contractuelle

Le présent DPA complète les CGU et les CGV ShowTiming.

En cas de contradiction portant sur la protection des données personnelles confiées par le Client à ShowTiming, le présent DPA prévaut sur les CGU et les CGV.

Le présent DPA ne régit pas les traitements pour lesquels ShowTiming agit en qualité de responsable de traitement, notamment : la création et la gestion du Compte ; l’authentification ; la gestion des licences, abonnements et paiements ; la facturation ; la relation client et le support ; la sécurité du Service ; le respect des obligations légales propres à ShowTiming ; la mesure d’audience soumise au consentement, le cas échéant.

Ces traitements sont décrits dans la Politique de confidentialité ShowTiming : https://show-timing.com/fr/confidentialite.

3. Instructions du Client

ShowTiming traite les données personnelles uniquement : pour fournir, maintenir, sécuriser et assister le Service ; sur instruction documentée du Client ; dans les limites des CGU, CGV, du présent DPA et des fonctionnalités effectivement utilisées ; afin de respecter une obligation légale applicable à ShowTiming, auquel cas ShowTiming informe le Client avant le traitement, sauf interdiction légale.

Les CGU, CGV, le présent DPA, les actions réalisées par le Client dans l’interface et les demandes de support écrites du Client constituent les instructions documentées du Client.

Le Client s’engage à ne pas transmettre d’instruction contraire au RGPD, à toute autre réglementation applicable ou aux droits des personnes concernées.

Si ShowTiming considère qu’une instruction constitue une violation du droit applicable à la protection des données, il en informe le Client dans les meilleurs délais, sauf interdiction légale.

4. Description du traitement

La description du traitement confié à ShowTiming figure en Annexe 1.

À titre principal, le Service peut permettre au Client de créer et de conserver des événements, des segments, des déroulés, des messages de régie, des affichages Stage ou Broadcast et des informations associées. Ces éléments peuvent contenir des données personnelles lorsqu’ils permettent d’identifier directement ou indirectement une personne.

5. Obligations du Client

Le Client, en qualité de responsable de traitement, s’engage à : déterminer les finalités et moyens essentiels du traitement ; s’assurer de disposer d’une base légale valable pour chaque traitement ; informer les personnes concernées conformément à la réglementation applicable ; respecter les principes de minimisation, d’exactitude, de limitation de la conservation et de sécurité ; ne confier à ShowTiming que les données strictement nécessaires à l’usage du Service ; ne pas saisir de catégories particulières de données (santé, biométrie, opinions politiques, convictions religieuses, vie sexuelle, orientation sexuelle ou données pénales) sans accord écrit préalable de ShowTiming et garanties spécifiques adaptées ; répondre aux demandes d’exercice de droits des personnes concernées ; assurer la licéité des contenus, textes, noms, messages et informations diffusés via Stage ou Broadcast ; veiller à ce que les liens Stage et Broadcast soient transmis uniquement aux personnes autorisées ; maintenir une information claire de ses propres utilisateurs, intervenants, salariés, prestataires ou participants lorsque leurs données sont traitées dans le Service.

Le Client demeure seul responsable de la licéité des données qu’il saisit, de leur exactitude, de leur mise à jour, de leur diffusion et de leur suppression.

6. Confidentialité

ShowTiming veille à ce que les personnes autorisées à traiter les données personnelles : soient soumises à une obligation de confidentialité légale ou contractuelle ; n’accèdent aux données que dans la limite de ce qui est nécessaire à leurs missions ; reçoivent des instructions adaptées à la protection des données personnelles.

L’accès administratif aux données est limité aux personnes autorisées par ShowTiming, notamment pour la maintenance, la sécurité, le support ou la gestion d’un incident.

ShowTiming ne consulte le contenu des événements du Client que lorsque cela est nécessaire à la fourniture du support, à la résolution d’un incident, à la sécurité du Service, au respect d’une obligation légale ou sur demande du Client.

7. Mesures de sécurité

ShowTiming met en œuvre des mesures techniques et organisationnelles appropriées, compte tenu de la nature du Service, de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités des traitements ainsi que des risques pour les personnes concernées.

Ces mesures comprennent notamment, selon les fonctionnalités et systèmes concernés : authentification des titulaires de Compte ; gestion des droits d’accès ; contrôle de l’accès administratif ; utilisation d’infrastructures d’hébergement identifiées ; journalisation de certains événements de sécurité ; sauvegardes avec rétention glissante maximale de trente-cinq (35) jours ; révocation ou régénération des liens Stage et Broadcast lorsqu’une telle fonctionnalité est disponible ; séparation logique des environnements et accès selon les besoins ; mesures de sécurité mises en œuvre par les sous-traitants techniques utilisés.

Le Client reconnaît que la sécurité dépend également de ses propres mesures, incluant la protection de ses identifiants, appareils, navigateurs, réseaux, Liens d’accès et procédures opérationnelles.

8. Sous-traitants ultérieurs

Le Client autorise ShowTiming à recourir aux sous-traitants ultérieurs identifiés dans l’Annexe 2, dans la limite de leurs missions respectives.

À la date d’entrée en vigueur du présent DPA, les sous-traitants ultérieurs potentiellement concernés sont notamment : OVH SAS (hébergement VPS, France) ; Supabase (authentification, base de données, temps réel — région Paris) ; Brevo (e-mails transactionnels — France / Union européenne (selon DPA Brevo en vigueur)) ; Stripe (paiement, facturation, licences et portail client — Irlande (Stripe Payments Europe) et sous-traitants selon DPA Stripe ; transferts hors EEE encadrés (CCT ou mécanismes admis)) ; PostHog (analyse produit, uniquement après consentement lorsque requis — environnement UE déclaré).

ShowTiming peut remplacer ou ajouter un sous-traitant ultérieur lorsque cela est nécessaire pour fournir, maintenir, sécuriser ou améliorer le Service.

Sauf urgence de sécurité, obligation légale ou absence d’impact sur les données confiées par le Client, ShowTiming informe le Client de tout ajout ou remplacement substantiel par un moyen raisonnable, notamment par e-mail, notification dans le Compte ou mise à jour de l’Annexe 2.

Le Client peut formuler une objection motivée, liée à la protection des données, dans un délai de quinze (15) jours après information. Les parties chercheront alors une solution raisonnable. À défaut, le Client pourra résilier la fonctionnalité concernée ou le contrat, sans pénalité pour la période non consommée directement affectée, sous réserve des sommes déjà dues.

ShowTiming s’assure que ses sous-traitants ultérieurs sont liés par des obligations de protection des données substantiellement équivalentes à celles prévues au présent DPA.

La liste à jour des sous-traitants ultérieurs est publiée dans l’Annexe 2 du présent DPA : https://show-timing.com/fr/dpa.

9. Transferts hors EEE

ShowTiming privilégie des prestataires et infrastructures situés dans l’Union européenne ou l’Espace économique européen.

Si un transfert de données personnelles vers un pays situé hors de l’Espace économique européen est nécessaire, ShowTiming veille à ce qu’il repose sur un mécanisme de transfert valable, notamment : une décision d’adéquation ; les clauses contractuelles types de la Commission européenne ; ou tout autre mécanisme reconnu par la réglementation applicable.

Le Client autorise les transferts nécessaires à l’exécution du Service lorsqu’ils sont encadrés par des garanties appropriées.

Les informations relatives aux transferts éventuels des sous-traitants ultérieurs doivent être vérifiées dans leurs DPA, politiques de confidentialité et listes de sous-traitants à jour. Une revue documentaire des fournisseurs reste recommandée avant et après mise en ligne.

10. Assistance relative aux droits

Compte tenu de la nature du traitement, ShowTiming assiste le Client, dans la mesure raisonnablement possible, afin de lui permettre de répondre aux demandes d’exercice des droits des personnes concernées.

Lorsqu’une personne concernée adresse directement à ShowTiming une demande portant sur des données pour lesquelles le Client est responsable de traitement, ShowTiming : transmet la demande au Client dans les meilleurs délais, sauf interdiction légale ; ne répond pas directement sur le fond sans instruction du Client, sauf obligation légale ; peut fournir une assistance technique raisonnable, selon les fonctionnalités disponibles.

Le Client reste responsable de répondre à la personne concernée dans les délais légaux applicables.

11. Assistance à la conformité

Dans la mesure raisonnable et proportionnée, ShowTiming fournit au Client les informations nécessaires pour l’aider à respecter les obligations prévues par le RGPD, notamment en matière de sécurité du traitement ; de gestion des violations de données ; d’analyse d’impact relative à la protection des données (« AIPD »), lorsque celle-ci est requise ; de consultation préalable d’une autorité de contrôle.

Cette assistance est fournie en tenant compte de la nature du Service et des informations disponibles à ShowTiming.

Les demandes d’assistance qui excèdent le support standard ou nécessitent un travail spécifique peuvent faire l’objet d’une facturation distincte, sous réserve d’un accord préalable écrit du Client.

12. Violations de données personnelles

ShowTiming informe le Client dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles affectant les données traitées pour le compte du Client.

Cette notification contient, dans la mesure où les informations sont disponibles : la nature de la violation ; les catégories et, si possible, le nombre approximatif de personnes concernées ; les catégories et, si possible, le nombre approximatif d’enregistrements concernés ; les conséquences probables ; les mesures prises ou proposées afin de remédier à la violation ou d’en limiter les effets ; les coordonnées utiles pour obtenir des informations complémentaires.

Le Client demeure responsable, en qualité de responsable de traitement, de déterminer si la violation doit être notifiée à la CNIL et, le cas échéant, aux personnes concernées.

13. Audits et informations

ShowTiming met à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations au titre du présent DPA.

Le Client peut demander des informations de sécurité ou de conformité par écrit à hello@show-timing.com.

Un audit sur site ne peut être demandé qu’en cas de motif sérieux, documenté et proportionné au risque, notamment en présence d’un incident de sécurité significatif affectant les données du Client ou d’une exigence légale impérative.

Tout audit : est réalisé aux frais du Client, sauf manquement démontré de ShowTiming ; est précédé d’un préavis écrit d’au moins trente (30) jours ouvrés ; est limité à une fois par période de douze (12) mois, sauf incident significatif ; est effectué pendant les heures ouvrées ; ne doit pas perturber le fonctionnement du Service, compromettre sa sécurité ou révéler les informations confidentielles d’autres clients ; peut être remplacé par la transmission de documents, questionnaires, attestations ou éléments de conformité raisonnablement suffisants.

Les modalités d’audit doivent rester proportionnées au niveau de risque et aux moyens réels de l’entrepreneur individuel éditeur de ShowTiming.

14. Sort des données à la fin du contrat

À la cessation du Service ou à la clôture du Compte, ShowTiming supprime ou anonymise les données personnelles traitées pour le compte du Client dans un délai de trente (30) jours.

Les données peuvent subsister temporairement dans les sauvegardes pendant une durée maximale de trente-cinq (35) jours, sans être réutilisées dans le cadre normal du Service.

ShowTiming peut conserver les données qui doivent l’être au titre d’une obligation légale, de la preuve contractuelle, d’un litige ou de la défense de ses droits. Dans ce cas, les données sont isolées dans la mesure raisonnable et ne sont pas traitées pour d’autres finalités.

Le Client doit, avant la fermeture de son Compte, récupérer les données qu’il souhaite conserver lorsque la fonctionnalité d’export est disponible. À la date de la présente version, aucun export self-service complet n’est garanti.

15. Responsabilité

La responsabilité de chaque partie au titre du présent DPA est régie par les CGU et les CGV, sous réserve des dispositions impératives applicables en matière de protection des données personnelles.

Aucune stipulation du présent DPA ne limite les droits des personnes concernées ni les pouvoirs des autorités compétentes.

16. Durée

Le présent DPA entre en vigueur à compter de l’acceptation des CGU et CGV ou de l’utilisation du Service par le Client.

Il demeure applicable pendant toute la durée pendant laquelle ShowTiming traite des données personnelles pour le compte du Client, y compris pendant les périodes de conservation technique limitées prévues à l’article 14.

17. Contact

Pour toute question relative au présent DPA ou à la protection des données personnelles : ShowTiming — Lucas Ait Madi, Entrepreneur individuel. E-mail : hello@show-timing.com. Adresse : 91 rue d’Étion, 08000 Charleville-Mézières, France.

Annexe 1 — Description des traitements

Objet du traitement : fourniture du Service ShowTiming, notamment création, stockage, synchronisation et affichage de déroulés d’événements live.

Durée : durée du contrat, puis trente (30) jours après clôture du Compte ; sauvegardes jusqu’à trente-cinq (35) jours maximum.

Nature des opérations : hébergement, stockage, consultation, affichage, synchronisation, transmission, sauvegarde, suppression ou anonymisation.

Finalité : permettre au Client de gérer le timing, les segments, les messages et les affichages liés à ses événements.

Catégories de personnes concernées : intervenants, artistes, techniciens, salariés, prestataires, contacts du Client, participants ou toute personne dont le Client saisit les données.

Catégories de données : noms, prénoms, fonctions, intitulés, messages de régie, horaires, informations d’organisation, textes ou autres données saisies par le Client.

Données particulières : non prévues et interdites sans accord écrit préalable et garanties adaptées.

Personnes autorisées : personnel et administrateurs de ShowTiming autorisés, dans la limite du besoin d’en connaître ; sous-traitants ultérieurs nécessaires.

Annexe 2 — Sous-traitants ultérieurs

OVH SAS — hébergement VPS de l’application ; données techniques et applicatives selon architecture effective ; localisation : France.

Supabase — base de données, authentification et temps réel ; données de Compte et données événementielles ; localisation : région Paris.

Brevo — e-mails transactionnels ; adresse e-mail, contenu transactionnel et données nécessaires à l’envoi ; localisation : France / Union européenne (selon DPA Brevo en vigueur). Les contenus d’événements (déroulés, messages de régie) ne sont pas envoyés à Brevo sauf si le Client les inclut volontairement dans un e-mail.

Stripe — paiements, abonnements et facturation ; données de facturation, e-mail et statut de paiement ; pas de données de carte complètes chez ShowTiming ; localisation : Irlande (Stripe Payments Europe) et sous-traitants selon DPA Stripe ; transferts hors EEE encadrés (CCT ou mécanismes admis). Stripe ne reçoit pas le contenu des événements Stage/Broadcast.

PostHog — analyse d’usage après consentement ; données pseudonymisées d’usage (pages, événements produit, tunnels). PostHog ne doit pas recevoir les contenus des événements, messages de régie ou données personnelles non nécessaires à l’analyse ; localisation : environnement UE déclaré.

Liste à jour : https://show-timing.com/fr/dpa. Revue périodique des DPA fournisseurs recommandée.