Contrat de sous-traitance des données (DPA)

1. Rôles des parties

Le salon est responsable de traitement des données de sa clientèle. Idélia agit comme sous-traitant : Idélia ne traite ces données que pour fournir ses services (consultation morpho-coiffure, fiches clientes, recommandations, reprise de base client), sur instruction documentée du salon.

Idélia reste par ailleurs responsable de traitement pour ses propres finalités (gestion du compte salon, facturation, sécurité), décrites dans la Politique de confidentialité.

2. Objet, durée, nature et finalité

Objet : la fourniture des services Idélia au salon. Durée : celle de la relation contractuelle, prolongée de la durée de conservation prévue à l'article 8. Nature et finalité : enregistrement et structuration des données de consultation et des fiches clientes, génération de recommandations et, le cas échéant, reprise de la base client existante du salon.

3. Catégories de données et de personnes

• personnes concernées : la clientèle du salon ;
• données d'identification et de contact (nom, prénom, téléphone, e-mail) ;
• données capillaires et de diagnostic (nature du cheveu, historique technique, formules) ;
• le cas échéant, données pouvant relever de catégories particulières (indications liées à la santé capillaire, photographies), que le salon ne renseigne que si nécessaire et avec la base légale appropriée.

4. Obligations d'Idélia (article 28.3)

• traiter les données uniquement sur instruction documentée du salon ;
• garantir la confidentialité (personnel habilité et tenu à la confidentialité) ;
• mettre en œuvre des mesures de sécurité appropriées (article 32) ;
• ne recourir à un sous-traitant ultérieur que dans les conditions de l'article 5 ci-dessous ;
• aider le salon à répondre aux demandes d'exercice de droits de sa clientèle ;
• aider le salon en matière de sécurité, de notification de violation et d'analyses d'impact ;
• supprimer ou restituer les données en fin de contrat, selon le choix du salon et dans les conditions de l'article 8 ;
• mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 et permettre des audits.

5. Sous-traitants ultérieurs

Le salon autorise Idélia à recourir aux sous-traitants ultérieurs ci-dessous pour l'hébergement et la fourniture du service. Idélia informe le salon de tout changement et lui laisse la possibilité d'émettre des objections (bump de version du présent contrat).

• Scalingo (hébergement, France) ;
• Cloudflare R2 (stockage d'images) ;
• Resend (envoi d'e-mails) ;
• Twilio (envoi de SMS) ;
• Stripe (facturation du salon) ;
• OpenAI et Google Gemini (services d'IA ; les données directement identifiantes sont minimisées avant tout envoi ; la reprise de base client ne transite pas par ces services) ;
• Google (recherche d'établissement, agenda, visioconférence des formations) ;
• PostHog, hébergement dans l'Union européenne (mesure d'audience, après consentement) ;
• Aircall (téléphonie du service client, avec enregistrement et transcription des appels) ;
• Postmark (e-mails entrants).

6. Transferts hors Union européenne

Lorsqu'un sous-traitant ultérieur traite des données hors de l'Union européenne, Idélia veille à encadrer ces transferts par un mécanisme juridique approprié (par ex. clauses contractuelles types).

7. Sécurité

Idélia met en œuvre des mesures techniques et organisationnelles appropriées : chiffrement en transit, contrôle des accès, journalisation, minimisation des données transmises à des tiers et sauvegardes.

8. Sort des données en fin de contrat

Sauf instruction contraire du salon, Idélia conserve les données de clientèle pendant trois ans après la fin de l'abonnement afin de permettre la reprise du service, puis les supprime. Pendant cette période, elles ne servent qu'à être restituées au salon s'il reprend son abonnement, et les avis ne sont plus affichés.

Le salon peut à tout moment en demander la restitution ou la suppression immédiate, sous réserve des obligations légales de conservation. Les photographies des fiches clientes sont supprimées vingt-quatre mois après la dernière activité de la fiche.

9. Responsabilité et droit applicable

Chaque partie répond de ses obligations au titre du RGPD. Le présent contrat est régi par le droit français. Pour toute question, vous pouvez écrire à contact@idelia-mc.com.