Accord de traitement des données (DPA)
Le présent Accord de traitement des données (ci-après « DPA ») est conclu en application de l'article 28 du règlement (UE) 2016/679 (RGPD) entre :
- le Client, professionnel ayant souscrit une offre MiaSys ou démarré un essai gratuit, en qualité de responsable de traitement : il détermine les finalités et les moyens des traitements portant sur les données de ses propres clients, salariés, apprenants et contacts ;
- Pascal MAISON, entrepreneur individuel (EI), exerçant sous les noms commerciaux MiaSys et AlonePc, 1 chemin des Bartriers, 63430 Pont-du-Château, France (SIREN 518 875 406), ci-après « MiaSys », en qualité de sous-traitant, qui traite ces données pour le compte du Client afin de lui fournir le service.
Le DPA fait partie du contrat conclu entre les parties (voir l'article 3 des CGV). Il s'applique à la version hébergée par MiaSys et, pour les offres installées sur l'infrastructure du Client, aux seules interventions de MiaSys (installation, support, maintenance) qui donnent accès à des données personnelles.
Article 1 — Objet
Le DPA définit les conditions dans lesquelles MiaSys traite, pour le compte du Client, les données personnelles que le Client, ses utilisateurs ou ses propres clients enregistrent dans le service.
Article 2 — Description du traitement
| Élément | Détail |
|---|---|
| Objet | Fourniture du logiciel de gestion MiaSys et des prestations associées (hébergement, support, maintenance) |
| Nature des opérations | Hébergement, enregistrement, stockage, consultation, modification, extraction, transmission sur instruction du Client (e-mails, SMS, messagerie, plateforme de facturation, services tiers activés), sauvegarde, restauration, effacement |
| Finalité | Permettre au Client de gérer son activité avec les modules qu'il active (réservations et planning, relation client, devis et factures, caisse, personnel, formation, boutique, marketing, avis, portail client) |
| Catégories de données | Identité et coordonnées ; données de réservation, de prestation et de facturation ; données relatives au personnel (planning, heures) ; données de formation (parcours, évaluations) ; contenus et messages ; données de connexion. Selon le secteur, informations propres à l'activité du Client (par exemple équipements ou animaux confiés) |
| Personnes concernées | Clients et prospects du Client, ses salariés et collaborateurs, ses apprenants, ses utilisateurs et les visiteurs de ses pages publiques |
| Durée | Durée du contrat, augmentée du délai de restitution et de suppression prévu à l'article 11 |
Le Client s'engage à ne pas enregistrer dans le service de données sensibles au sens de l'article 9 du RGPD (santé, notamment) sans nécessité, sans base légale et sans en avoir apprécié les risques. S'il le fait, il en informe MiaSys.
Article 3 — Instructions du Client
MiaSys ne traite les données que sur instruction documentée du Client, y compris pour les transferts hors de l'Union européenne, sauf obligation imposée par le droit de l'Union ou le droit français ; dans ce cas, MiaSys en informe le Client avant le traitement, sauf si ce droit l'interdit. Les instructions du Client résultent du contrat (CGV, CGU, présent DPA), du paramétrage du service et de ses demandes écrites.
MiaSys informe immédiatement le Client si, selon lui, une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données.
Article 4 — Obligations de MiaSys
MiaSys s'engage à :
- ne traiter les données que pour la finalité décrite à l'article 2, sans les utiliser pour son propre compte ;
- garantir que les personnes autorisées à traiter les données s'engagent à respecter leur confidentialité ou sont soumises à une obligation légale de confidentialité ;
- mettre en œuvre les mesures de sécurité décrites à l'article 7 (article 32 du RGPD) ;
- respecter les conditions de recours à un sous-traitant ultérieur prévues à l'article 5 ;
- aider le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Si une personne s'adresse directement à MiaSys, celui-ci transmet sa demande au Client sans y répondre lui-même, sauf instruction du Client ;
- aider le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact, consultation préalable), compte tenu de la nature du traitement et des informations dont il dispose ;
- au terme du contrat, supprimer ou restituer les données dans les conditions de l'article 11 ;
- mettre à la disposition du Client les informations nécessaires pour démontrer le respect du présent article et permettre la réalisation d'audits dans les conditions de l'article 10.
Article 5 — Sous-traitants ultérieurs
Le Client autorise de manière générale MiaSys à recourir aux sous-traitants ultérieurs listés à l'article 6. MiaSys informe le Client par e-mail de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur au moins 30 jours avant sa mise en œuvre. Le Client peut s'y opposer par écrit pendant ce délai, pour un motif légitime tenant à la protection des données. À défaut d'accord, le Client peut résilier son abonnement sans frais avant l'entrée en vigueur du changement ; la part payée d'avance pour la période restant à courir lui est remboursée.
MiaSys impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données offrant des garanties au moins équivalentes à celles du présent DPA. MiaSys demeure pleinement responsable devant le Client de l'exécution de leurs obligations par ses sous-traitants ultérieurs.
Article 6 — Liste des sous-traitants ultérieurs et des services tiers
6.1 Sous-traitants ultérieurs de MiaSys
| Prestataire | Prestation | Localisation et encadrement | Quand |
|---|---|---|---|
| O2switch SAS, 222-224 boulevard Gustave Flaubert, 63000 Clermont-Ferrand | Hébergement du service, bases de données, sauvegardes, envoi des e-mails par défaut | France | Toujours (version hébergée) |
| Anthropic, PBC (Claude) | Fonctions d'intelligence artificielle (assistant, rédaction et analyse de contenus), lorsqu'elles utilisent la clé d'accès de MiaSys | États-Unis — décision d'adéquation de la Commission européenne (cadre de protection des données UE-États-Unis) lorsque le prestataire y est certifié, à défaut clauses contractuelles types | Uniquement si le Client active une fonction d'intelligence artificielle |
6.2 Services tiers activés par le Client
Les services suivants ne sont utilisés que si le Client les active. Le Client les relie en général à son propre compte auprès du prestataire, avec lequel il est directement lié par contrat ; MiaSys leur transmet alors les données nécessaires sur instruction du Client. Certains traitent des données hors de l'Union européenne : ces transferts sont encadrés par une décision d'adéquation de la Commission européenne ou par des clauses contractuelles types, selon les engagements de chaque prestataire, que le Client vérifie avant activation.
| Service | Prestation | Localisation |
|---|---|---|
| Anthropic, PBC (Claude) | Intelligence artificielle, lorsque le Client utilise sa propre clé | États-Unis |
| OpenAI | Génération d'images par intelligence artificielle | États-Unis |
| Meta (WhatsApp Business) | Envoi et réception de messages WhatsApp | Irlande et États-Unis |
| Google (Google Agenda, Google Search Console, avis Google) | Synchronisation d'agendas, suivi du référencement, avis clients | Irlande et États-Unis |
| Stripe | Paiement en ligne par carte | Irlande ; transferts possibles vers les États-Unis |
| SumUp | Paiement par carte (terminal et lien de paiement) | Union européenne et Royaume-Uni |
| PayPal (PayPal Europe S.à r.l. et Cie, S.C.A.) | Paiement en ligne sur la boutique et les réservations de l'établissement | Luxembourg ; transferts possibles vers les États-Unis |
| SuperPDP ou autre plateforme agréée choisie par le Client | Transmission et réception des factures électroniques | France |
| Serveur d'envoi ou service d'e-mails du Client (par exemple Brevo) | Envoi des e-mails au nom du Client, s'il le configure | Selon le prestataire choisi par le Client |
Article 7 — Sécurité
Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, MiaSys met en œuvre notamment les mesures suivantes :
- chiffrement des communications (HTTPS/TLS) ;
- hachage des mots de passe (bcrypt), politique de mots de passe robustes et double authentification (TOTP) obligatoire pour les comptes, sauf exceptions indiquées dans les CGU ;
- chiffrement des secrets d'authentification et des clés d'accès aux services tiers (AES-256-GCM) ;
- contrôle d'accès par rôles et cloisonnement des données de chaque Client ;
- journalisation des actions sensibles ;
- sauvegardes quotidiennes réalisées par l'hébergeur, en France ;
- revue régulière des mesures de sécurité.
Le détail figure sur la page Sécurité. Le Client reste responsable de la gestion des accès de ses utilisateurs et de la sécurité de ses propres équipements.
Article 8 — Violation de données
MiaSys notifie au Client toute violation de données personnelles le concernant dans les 48 heures après en avoir pris connaissance, par e-mail à l'adresse de l'administrateur du compte. La notification précise, dans la mesure du possible :
- la nature de la violation ;
- les catégories et le nombre approximatif de personnes et d'enregistrements concernés ;
- les conséquences probables ;
- les mesures prises ou proposées pour y remédier et en limiter les effets ;
- le contact auprès duquel obtenir des informations complémentaires.
Les informations qui ne sont pas disponibles immédiatement sont communiquées dès que possible. Il appartient au Client, responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées (articles 33 et 34 du RGPD).
Article 9 — Analyse d'impact
MiaSys fournit au Client les informations dont il dispose pour l'aider à réaliser une analyse d'impact relative à la protection des données ou à consulter la CNIL, lorsque le traitement le nécessite.
Article 10 — Audit
MiaSys met à la disposition du Client, sur demande, les informations nécessaires pour démontrer le respect de ses obligations. Le Client peut, à ses frais et avec un préavis de 30 jours, faire réaliser un audit, y compris une inspection, par lui-même ou par un auditeur indépendant soumis à une obligation de confidentialité et qui n'est pas un concurrent de MiaSys. L'audit ne doit pas perturber le fonctionnement du service ni porter atteinte à la confidentialité des données des autres clients.
Article 11 — Fin du traitement
- Pendant toute la durée du contrat, le Client peut exporter ses données au moyen des fonctions d'export du service et obtenir, sur demande écrite à contact@miasys.fr, une copie de ses données dans un format structuré et couramment utilisé.
- À la fin du contrat, les données du Client sont conservées 30 jours pour lui permettre de les récupérer, puis supprimées définitivement, y compris les copies, à l'exception des données que MiaSys doit conserver en application d'une obligation légale à laquelle il est lui-même soumis.
- Les documents comptables du Client (ses factures, ses tickets de caisse) relèvent de sa propre obligation de conservation : il lui appartient de les exporter avant la suppression. Les factures émises par MiaSys au Client sont conservées 10 ans (article L123-22 du Code de commerce).
- Les sauvegardes sont effacées au fil de leur rotation par l'hébergeur.
Article 12 — Obligations du Client
Le Client s'engage à :
- donner à MiaSys des instructions documentées et conformes au RGPD ;
- disposer d'une base légale pour chacun des traitements qu'il réalise avec le service ;
- informer les personnes concernées (ses clients, salariés, apprenants) et, le cas échéant, recueillir leur consentement ;
- vérifier les conditions des services tiers qu'il active (article 6.2) ;
- définir les durées de conservation applicables à ses données et en assurer le respect ;
- tenir son propre registre des activités de traitement.
Article 13 — Contact et droit applicable
Contact pour toute question relative au présent DPA : le responsable (Pascal MAISON) — contact@miasys.fr. MiaSys n'a pas désigné de délégué à la protection des données.
Le présent DPA est soumis au droit français. Il complète les CGV et les CGU ; en cas de contradiction sur la protection des données personnelles, il prévaut sur elles.