Accord de sous-traitance des données (DPA)

Cet accord règle le traitement, par Napiro, des données personnelles des clientes que le salon enregistre ou reçoit dans Napiro. Le salon est le responsable du traitement, Napiro le sous-traitant. Pour ces données, cet accord l’emporte sur les CGU.

• Objet et finalité : tenir l’agenda du salon, recevoir les réservations, envoyer les messages liés aux rendez-vous, conserver les fiches clientes et la fiche métier, tenir le compteur de fidélité et la carte de chaque cliente si le salon active son programme, publier les rendez-vous vers un agenda externe s’il l’active.
• Durée : celle du contrat, puis le délai de l’article 10.
• Personnes concernées : clientes du salon et personnes qui réservent chez lui.
• Données : celles décrites à la section 4 de la politique de confidentialité, y compris des données sur la santé (alertes, contre-indications) et des photos, si le salon les enregistre.
• Opérations : enregistrement, hébergement, consultation par le salon, envoi, anonymisation, effacement.

3.1 Napiro traite les données uniquement sur instruction du salon. Les CGU, cet accord et les réglages que le salon choisit dans Napiro constituent ses instructions documentées. Une instruction nouvelle passe par écrit.

3.2 Napiro avertit le salon s’il estime qu’une instruction viole le droit applicable, et peut alors ne pas l’exécuter.

3.3 Napiro n’utilise pas ces données à ses propres fins. Il peut établir des statistiques anonymes d’usage du service.

Les personnes qui ont accès aux données pour Napiro sont tenues à la confidentialité. L’accès du support aux comptes passe par une double authentification, se limite à des données masquées, sans la fiche métier, et sert uniquement l’assistance demandée.

Napiro applique les mesures techniques et organisationnelles de l’annexe 2 et les adapte à l’état de la technique. Le salon répond des mesures de son côté : accès de son équipe, appareils, mots de passe.

6.1 Le salon autorise Napiro à faire appel aux sous-traitants ultérieurs listés à l’annexe 3.

6.2 Napiro annonce tout ajout ou remplacement au moins 30 jours à l’avance, par e-mail ou dans le compte. Le salon peut s’y opposer pour un motif lié à la protection des données ; à défaut d’accord, il peut résilier sans frais avant le changement.

6.3 Napiro impose à chaque sous-traitant ultérieur des obligations de protection équivalentes et répond de lui envers le salon dans les limites des CGU.

Un transfert n’a lieu que vers un État dont la législation assure un niveau de protection adéquat, ou avec des garanties reconnues (clauses contractuelles types, certification reconnue).

8.1 Napiro transmet au salon, dans les 5 jours ouvrables, toute demande d’une personne concernée qui lui parvient, sans y répondre lui-même sauf instruction. Les outils du compte permettent au salon de consulter, corriger et anonymiser une fiche ; un export complet est envoyé par Napiro sur demande, dans les 30 jours.

8.2 Napiro aide le salon, dans une mesure raisonnable et avec les informations dont il dispose, pour la sécurité, l’analyse d’impact et la consultation d’une autorité. Une aide qui dépasse ce cadre peut être facturée après accord.

9.1 Napiro informe le salon dans les meilleurs délais après avoir eu connaissance d’une violation touchant ses données, quel qu’en soit le risque, et si possible dans les 48 heures.

9.2 L’information décrit, dès qu’il les connaît et au besoin par étapes : la nature de la violation, les catégories et le nombre approximatif de personnes et de données, les conséquences probables, les mesures prises ou proposées, et un contact.

9.3 Le salon décide des annonces au PFPDT, à une autorité européenne et aux personnes. Napiro ne les fait pas à sa place, sauf instruction ou obligation propre.

À la fin du contrat, le salon peut obtenir l’export de ses données pendant 90 jours. Napiro efface ensuite les données, sauf obligation légale de conservation ; les copies de sauvegarde disparaissent au plus tard après 12 mois. Napiro confirme l’effacement sur demande.

Napiro fournit au salon les informations nécessaires pour démontrer le respect de cet accord. Un audit sur place, au plus une fois par an, s’annonce 30 jours à l’avance, se fait aux frais du salon, par un auditeur tenu au secret, sans accès aux données des autres salons. Un contrôle ordonné par une autorité n’est pas limité.

La responsabilité de chaque partie suit les CGU, dans la mesure permise par la loi applicable à la protection des données. Le droit applicable et le for sont ceux des CGU.

Voir l’article 2.

Mesures en place :

• connexions chiffrées (HTTPS, HSTS), en-têtes de sécurité (CSP) ;
• jetons d’agenda, mot de passe iCloud, session et lien de gestion d’un rendez-vous chiffrés (AES-256-GCM) ;
• mots de passe hachés, d’au moins 12 caractères ;
• double authentification proposée aux comptes, obligatoire pour le support ;
• rôles et capacités par membre de l’équipe ; clientes sous pseudonyme pour un membre sans droit de lecture ;
• base de données fermée à l’accès public, rôle applicatif à moindre privilège ;
• photos dans un stockage privé, sans métadonnées, liens signés à durée courte ;
• limitation des tentatives (connexion, codes de vérification) ;
• journal des actions sensibles, en ajout seul ;
• anonymisation automatique des fiches inactives.

Sauvegardes chiffrées, quotidiennes et mensuelles, conservées en Suisse ; procédure écrite en cas de violation de la sécurité des données ; conservation limitée des exécutions de l’outil d’automatisation. Pas de chiffrement applicatif des alertes ni des photos : elles restent dans un stockage privé, accessibles selon les rôles et par des liens à durée limitée.

Ceux de la section 7 de la politique de confidentialité qui traitent des données des clientes : Supabase (base et fichiers), Infomaniak en Suisse (serveur de l’application, serveur de messagerie et serveur n8n des rappels, administrés par Napiro), BulkGate (SMS), services de géocodage (swisstopo, IGN, Komoot) pour les adresses de déplacement, Google, Microsoft et Apple si le salon relie un agenda, Apple et Google pour les cartes de fidélité qu’une cliente ajoute à Apple Wallet ou à Google Wallet.