Le présent accord est conclu entre le Festival qui accepte les conditions du pilote ou les conditions générales de la Plateforme, responsable du traitement (« le Responsable »), et Eloi SIMON, agissant en son nom personnel, éditeur de la Plateforme, sous-traitant (« le Sous-traitant »). Il est accepté en même temps que ces conditions et en fait partie.

1. Objet

Le présent accord fixe les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable, les données personnelles nécessaires au fonctionnement de la Plateforme, conformément au règlement (UE) 2016/679 (« RGPD ») et à la loi Informatique et Libertés.

2. Description du traitement

Élément	Contenu
Nature des opérations	Hébergement, stockage, sauvegarde, consultation pour le support, envoi d'e-mails, export, suppression
Finalités	Billetterie et inscriptions, gestion des participants, bénévoles et équipe, envoi des billets et communications du Festival, dons, questionnaires, comptabilité du Festival, support technique
Personnes concernées	Participants et acheteurs, bénévoles, membres de l'équipe du Festival, donateurs, contacts inscrits aux e-mails
Catégories de données	Identité (nom, prénom), coordonnées (e-mail, téléphone, adresse si demandée), commandes et billets, réponses aux formulaires d'inscription et questionnaires, données de connexion, historique d'e-mails, pièces comptables du Festival (y compris coordonnées bancaires de bénévoles pour remboursement de frais)
Données sensibles	Aucune par défaut. Si le Festival crée un champ sur la santé (allergies, handicap, régime), il en est responsable, limite les réponses au strict nécessaire et en informe le Sous-traitant
Durée	Celle de la convention, puis jusqu'à suppression selon l'article 10

3. Obligations du Sous-traitant

Le Sous-traitant : 1. ne traite les données que sur instruction documentée du Responsable, que constituent la convention, le présent accord et les réglages faits par le Responsable dans la Plateforme. Il informe immédiatement le Responsable si une instruction lui paraît contraire au RGPD ; 2. garantit la confidentialité : seules les personnes habilitées par le Sous-traitant, tenues au secret, accèdent aux données, et seulement pour le support ou la maintenance. Chaque accès au back-office d'un festival depuis la console est journalisé ; 3. ne traite pas les données pour son propre compte, ne les vend pas et ne les utilise pas à des fins commerciales ; 4. met en œuvre les mesures de sécurité de l'annexe A ; 5. aide le Responsable à répondre aux demandes des personnes (accès, rectification, effacement, opposition, portabilité), notamment par les fonctions d'export et de suppression de la Plateforme, et lui transmet sous 5 jours ouvrés toute demande reçue directement ; 6. aide le Responsable pour les analyses d'impact et la consultation de la CNIL si elles sont nécessaires ; 7. tient un registre des traitements effectués pour le compte du Responsable ; 8. met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet un audit, sur préavis de 30 jours, une fois par an au plus, à la charge du Responsable, sans accès aux données des autres festivals.

4. Sous-traitants ultérieurs

4.1. Le Responsable autorise de façon générale le recours aux sous-traitants listés en annexe B.

4.2. Le Sous-traitant informe le Responsable par e-mail au moins 30 jours avant tout ajout ou remplacement. Le Responsable peut s'y opposer pour un motif légitime ; à défaut d'accord, il peut mettre fin à la convention sans frais.

4.3. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations équivalentes et reste responsable de leur respect.

5. Transferts hors de l'Union européenne

Les transferts vers des pays hors UE, notamment les États-Unis, ne se font que vers des prestataires couverts par une décision d'adéquation (Data Privacy Framework) ou par les clauses contractuelles types de la Commission européenne, complétées le cas échéant de mesures supplémentaires (chiffrement en transit et au repos). La base de données du Festival est hébergée dans l'Union européenne.

6. Violation de données

Le Sous-traitant notifie au Responsable toute violation de données personnelles dans les 48 heures après en avoir pris connaissance, par e-mail au contact désigné, avec : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou proposées. Il aide le Responsable à notifier la CNIL (sous 72 heures) et, si nécessaire, les personnes concernées.

7. Obligations du Responsable

Le Responsable : - détermine les finalités et la base légale de ses traitements ; - informe les personnes concernées (politique de confidentialité de son site, modèle fourni par le Sous-traitant) ; - recueille les consentements nécessaires, notamment pour la prospection par e-mail ; - ne collecte que les données nécessaires et fixe leurs durées de conservation ; - gère les comptes et droits d'accès de son équipe dans la Plateforme.

8. Données dont le Sous-traitant est responsable

Le Sous-traitant est responsable de traitement, et non sous-traitant, pour : les comptes et contacts de l'équipe du Festival pour la relation client, la facturation, les tickets de support (contenu et échanges), les journaux de sécurité de la plateforme, et les statistiques anonymes d'usage.

9. Responsabilité

Chaque partie répond de ses propres manquements au RGPD. Le plafond de responsabilité prévu à la convention ne s'applique pas aux manquements du Sous-traitant au présent accord.

10. Fin du traitement

À la fin de la convention, au choix du Responsable exprimé dans les 30 jours : le Sous-traitant lui restitue les données (export complet en format ouvert), puis les supprime, y compris les sauvegardes au terme de leur cycle de rotation, au plus tard 60 jours après la fin de la convention, et le confirme par écrit. Les données que la loi impose de conserver sont exceptées.

11. Contacts

Contact données personnelles et incidents du Sous-traitant : Eloi SIMON, [email protected]. Le contact du Responsable est l'adresse de contact renseignée dans son back-office.

Annexe A — Mesures de sécurité

Domaine	Mesure en place ou engagée
Isolation	Une base de données par festival ; le festival est déterminé par l'adresse du site, une adresse inconnue n'ouvre rien
Chiffrement	HTTPS partout ; bases et fichiers chiffrés au repos par les hébergeurs ; clés et secrets des festivals chiffrés dans la base plateforme
Accès	Authentification par compte nominatif ; rôles par festival ; vérification du rôle sur chaque route d'administration ; double authentification pour les administrateurs (en cours de déploiement)
Accès du Sous-traitant	Limité à l'équipe habilitée ; entrée dans un festival journalisée
Paiement	Aucune donnée de carte stockée par la Plateforme (Stripe) ; signature vérifiée sur chaque notification de paiement
Abus	Limitation du nombre de requêtes sur les formulaires sensibles
Sauvegardes	Restauration à un instant donné sur 7 jours chez Neon ; copie hebdomadaire hors Neon (en cours) ; test de restauration trimestriel (en cours)
Journalisation	Journal des actions de la console plateforme ; journal des commandes et opérations comptables
Mises à jour	Préversion avant production ; mises à jour de sécurité des dépendances suivies
Incidents	Procédure de notification sous 48 h au Responsable

Annexe B — Sous-traitants ultérieurs autorisés

Voir la liste des sous-traitants, version en vigueur à la date d'acceptation.