Accord de sous-traitance des données personnelles

Accord de sous-traitance des données personnelles du service Portail Résa, version 1.0 du 7 novembre 2026, conclu en application de l'article 28 du règlement (UE) 2016/679 (« RGPD »).

1. Parties et objet

Le présent accord lie la collectivité qui utilise le service Portail Résa (le « Responsable de traitement ») et Minus Opus, SASU au capital de 1 000 €, RCS Aubenas 106 566 086, 1005 route de l'Ancienne Gare, 07190 Saint-Sauveur-de-Montagut (le « Sous-traitant »).

Il fait partie du contrat formé par le bon de commande et les conditions générales de vente du service, et s'applique aussi pendant l'essai gratuit. Il fixe les conditions dans lesquelles le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement. En cas de contradiction sur ce sujet, il prévaut sur les conditions générales de vente.

2. Description du traitement

Élément	Description
Nature	Hébergement, stockage, consultation, modification, envoi de messages, sauvegarde et suppression de données, au moyen du service en ligne
Finalités	Gestion des demandes de réservation de salles, équipements et emplacements du Responsable de traitement ; contrats et leur signature en ligne ; états des lieux ; cautions, paiements, factures et bordereaux de régie ; candidatures aux marchés ; comptes des agents et des usagers ; messages liés à ces démarches
Personnes concernées	Usagers du portail (habitants, associations, entreprises, exposants), agents et élus du Responsable de traitement
Durée	Durée du contrat, puis le délai de restitution et de suppression prévu à l'article 10

Les catégories de données traitées sont décrites en annexe 1. Aucune donnée sensible au sens de l'article 9 du RGPD n'est nécessaire au service : le Responsable de traitement s'engage à ne pas en demander dans les formulaires qu'il configure.

3. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

1. traiter les données uniquement pour la fourniture du service et sur les instructions documentées du Responsable de traitement, que constituent le contrat, la configuration de son espace et ses demandes écrites. Il informe immédiatement le Responsable de traitement s'il estime qu'une instruction enfreint le RGPD ;
2. ne pas utiliser les données pour son propre compte, ne pas les vendre, ne pas les utiliser à des fins commerciales ou publicitaires ;
3. garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
4. mettre en œuvre les mesures de sécurité décrites en annexe 2, et les faire évoluer avec l'état de l'art ;
5. tenir le registre des catégories d'activités de traitement prévu à l'article 30.2 du RGPD ;
6. aider le Responsable de traitement, dans la mesure du possible, à respecter ses obligations de sécurité, de notification des violations, d'analyse d'impact et de consultation préalable de la CNIL.

4. Sous-traitants ultérieurs

Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs listés en annexe 3.

Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement d'un sous-traitant ultérieur au moins trente (30) jours à l'avance. Le Responsable de traitement peut s'y opposer pendant ce délai pour un motif légitime lié à la protection des données. À défaut d'accord, il peut résilier le contrat sans pénalité.

Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent accord. Il reste responsable envers le Responsable de traitement de leur respect.

5. Localisation et transferts

Les données sont hébergées dans l'Union européenne. Le Sous-traitant ne les transfère pas hors de l'Espace économique européen, à une exception près : la vérification anti-robot des formulaires (annexe 3) traite l'adresse IP et des informations techniques du navigateur sur le réseau mondial de son prestataire, au moment de l'envoi d'un formulaire.

Certains sous-traitants ultérieurs listés en annexe 3 appartiennent à des groupes établis hors de l'Union européenne, bien que les données soient traitées sur des serveurs situés dans l'Union. Pour couvrir le risque d'accès depuis un pays tiers, le Sous-traitant s'assure que ces prestataires sont couverts par une décision d'adéquation, notamment le cadre de protection des données UE–États-Unis, ou par les clauses contractuelles types de la Commission européenne.

6. Droits des personnes

Le service permet au Responsable de traitement de consulter, corriger, exporter et anonymiser les données d'un usager. Si une personne adresse directement au Sous-traitant une demande d'exercice de ses droits, celui-ci la transmet au Responsable de traitement sans délai et ne la traite pas lui-même, sauf instruction.

Le Sous-traitant aide le Responsable de traitement à répondre à ces demandes dans les délais prévus par le RGPD.

7. Violations de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans un délai maximal de quarante-huit (48) heures après en avoir pris connaissance, par email au contact désigné par le Responsable de traitement.

La notification précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Il appartient au Responsable de traitement de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées.

8. Documentation et audit

Le Sous-traitant met à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect du présent accord.

Le Responsable de traitement peut faire réaliser, à ses frais, un audit par lui-même ou par un auditeur indépendant tenu au secret, au plus une fois par an sauf violation de données, avec un préavis de trente (30) jours. L'audit ne doit pas compromettre la sécurité du service ni la confidentialité des données des autres collectivités.

9. Essai gratuit

Pendant l'essai gratuit, l'espace ne transmet aucun message aux personnes concernées et n'initie aucun paiement. Les données saisies sont supprimées définitivement, fichiers compris, quinze (15) jours après la fin de l'essai, ou dès la suppression demandée par le Responsable de traitement, sauf passage à l'abonnement.

10. Fin du traitement

À la fin du contrat, quelle qu'en soit la cause, le Sous-traitant restitue sur demande les données au Responsable de traitement dans un format ouvert et réutilisable, puis les supprime, ainsi que leurs copies, dans un délai de trois (3) mois, sauf obligation légale de conservation. Les sauvegardes sont effacées au plus tard à l'expiration de leur cycle de rotation. Le Sous-traitant confirme la suppression par écrit sur demande.

11. Contacts

Le Sous-traitant désigne comme contact pour la protection des données : Christophe Moins, Président de Minus Opus, joignable par le formulaire de contact du service.

Le Responsable de traitement désigne son délégué à la protection des données, dont il renseigne les coordonnées dans les paramètres de son espace.

Annexe 1 : catégories de données

• Comptes : adresse email, prénom, nom, téléphone, organisation, adresse postale, empreinte du mot de passe (jamais le mot de passe en clair), dates d'inscription et de confirmation ; pour chaque connexion, adresse IP et navigateur.
• Demandes de réservation : identité et coordonnées du demandeur, profil, type d'événement, équipements, dates et options, réponses aux questions configurées par le Responsable de traitement, message, demande de gratuité, acceptation des conditions, notes internes des agents.
• Contrats signés en ligne : nom et email du signataire, image de la signature, date et heure, adresse IP, navigateur et empreinte du document.
• Paiements et cautions : montants, mode de paiement, numéro et banque d'un chèque, détail des espèces, références de la transaction PayFiP, dates. Les coordonnées de carte bancaire sont saisies sur le service PayFiP de la DGFiP et ne sont jamais reçues ni conservées par le service.
• États des lieux : constats, observations et photos.
• Marchés : candidatures, emplacements attribués, factures.
• Messages : contenu des emails envoyés aux usagers et aux agents.
• Mesure d'audience : pages consultées, sans cookie, sans adresse IP et sans identifiant de compte.

Annexe 2 : mesures de sécurité

• Échanges chiffrés de bout en bout entre les navigateurs et le service (HTTPS).
• Cloisonnement des données de chaque collectivité dans la base, vérifié à chaque requête.
• Accès par compte nominatif, droits selon le rôle (administrateur, agent, usager), mots de passe enregistrés sous forme d'empreinte, limitation des tentatives de connexion.
• Accès techniques à la production limités au personnel du Sous-traitant, par connexion chiffrée.
• Sauvegardes régulières de la base de données.
• Mises à jour de sécurité régulières du logiciel et de ses dépendances, analyse automatique des vulnérabilités du code.
• Journalisation des erreurs et des tâches techniques, pour détecter et corriger les incidents.
• Paiement par carte délégué à la DGFiP (PayFiP) : aucune donnée de carte bancaire dans le service.

Annexe 3 : sous-traitants ultérieurs

Sous-traitant	Prestation	Localisation des données
OVH SAS, 2 rue Kellermann, 59100 Roubaix	Hébergement des serveurs et de la base de données	France
Amazon Web Services EMEA SARL, Luxembourg	Stockage des fichiers (photos, documents, PDF)	France (région Paris)
Mailgun Technologies, Inc.	Envoi des emails	Union européenne (région Europe)
Functional Software, Inc. (Sentry)	Suivi des erreurs techniques, qui peut contenir l'identifiant et l'email de l'utilisateur concerné	Union européenne
Cloudflare, Inc. (Turnstile)	Vérification anti-robot de la connexion et des formulaires publics : adresse IP et informations techniques du navigateur	Réseau mondial (transfert encadré par le cadre de protection des données UE–États-Unis)