Accord de sous-traitance (RGPD - article 28)

Le présent accord (« DPA ») encadre le traitement, par Shutera.re (le « Sous-traitant »), des données à caractère personnel pour le compte de l'Abonné photographe (le « Responsable de traitement »), conformément à l'article 28 du RGPD (UE 2016/679). Il complète les Conditions générales et la Politique de confidentialité, et prévaut sur elles pour ce qui concerne la sous-traitance.

Définitions

Aux fins du présent accord :

• « Responsable de traitement » désigne le photographe abonné à Shutera.re.
• « Sous-traitant » désigne Shutera.re.
• « Données personnelles » désigne toute information se rapportant à une personne physique identifiée ou identifiable au sens du RGPD.
• « Sous-traitant ultérieur » désigne tout tiers auquel le Sous-traitant confie une partie du traitement.

1. Rôles des parties

L'Abonné est responsable de traitement des données de ses propres clients (identité, coordonnées, photographies, documents, pièces d'identité, autorisations parentales…). Shutera.re agit comme sous-traitant : il traite ces données uniquement sur instruction documentée du Responsable, aux seules fins de fournir le service.

2. Description du traitement

• Nature et finalité : hébergement, stockage, organisation, affichage, partage et sauvegarde des contenus du Responsable, et fonctionnalités de la Plateforme - galeries, documents, contrats, signatures, facturation (devis/factures/avoirs), réservation en ligne, avis, questionnaires pré-séance, bons cadeaux, page publique et automatisations.
• Durée : pendant toute la durée de l'abonnement, puis suppression selon les délais prévus (voir art. 9).
• Catégories de personnes : clients du photographe, modèles, représentants légaux, le cas échéant mineurs.
• Catégories de données : identité et coordonnées, images et vidéos, documents contractuels, données de réservation, de facturation, avis et réponses aux questionnaires, bons cadeaux ; et, lorsque le Responsable les téléverse, pièces d'identité et autorisations parentales.

3. Obligations du Sous-traitant

• Traiter les données uniquement sur instruction documentée du Responsable : les présentes, les Conditions générales, la configuration choisie par le Responsable ainsi que toute instruction transmise via la Plateforme constituent ses instructions documentées.
• Garantir la confidentialité : le Sous-traitant veille à ce que toute personne autorisée à traiter les données soit soumise à une obligation de confidentialité appropriée (légale ou contractuelle).
• Mettre en œuvre les mesures de sécurité appropriées (art. 32 RGPD ; voir Politique de confidentialité §9).
• Assister le Responsable pour répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, portabilité…).
• Aider le Responsable au respect des art. 32 à 36 (sécurité, notification de violation, analyses d'impact).
• Tenir à disposition les informations nécessaires pour démontrer le respect de l'art. 28 et permettre des audits raisonnables.

4. Sous-traitants ultérieurs

Le Responsable autorise le recours aux sous-traitants ultérieurs suivants, qui présentent des garanties suffisantes :

Sous-traitant ultérieur	Rôle	Localisation
o2switch (SAS)	Hébergement application & base de données	France (UE)
Cloudflare, Inc. (R2)	Stockage des fichiers	UE / international (CCT)
Stripe Payments Europe, Ltd.	Paiement des abonnements	Irlande (UE)
o2switch (SMTP)	Envoi des e-mails transactionnels	France (UE)

Shutera.re informe le Responsable de tout changement prévu (ajout/remplacement) afin qu'il puisse, le cas échéant, s'y opposer. Le Sous-traitant impose aux sous-traitants ultérieurs les mêmes obligations de protection.

5. Sécurité

Les mesures techniques et organisationnelles sont décrites à la Politique de confidentialité (§9) et comprennent notamment :

• chiffrement des communications (TLS) et chiffrement au repos des fichiers stockés ;
• hachage sécurisé des mots de passe ;
• isolation des données entre studios (cloisonnement multi-locataire) ;
• authentification renforcée des accès sensibles (code à usage unique / OTP) ;
• principe du moindre privilège et contrôle des accès par rôle ;
• journalisation des actions sensibles et sauvegardes régulières.

6. Transferts hors Union européenne

Tout transfert hors UE par un sous-traitant ultérieur (ex. Cloudflare) est encadré par les clauses contractuelles types de la Commission européenne ou un mécanisme équivalent.

7. Violation de données

Le Sous-traitant notifie au Responsable toute violation de données le concernant sans retard injustifié après en avoir pris connaissance, avec les informations utiles pour permettre au Responsable de satisfaire à ses propres obligations (art. 33-34 RGPD).

8. Assistance et audit

Le Sous-traitant met à disposition les informations raisonnablement nécessaires pour démontrer sa conformité et se soumet à des audits documentaires ou sur site, dans des conditions raisonnables, sous réserve de confidentialité et sans compromettre la sécurité des autres clients de la Plateforme. Les audits ne peuvent intervenir plus d'une fois par période de douze (12) mois, sauf obligation légale ou incident de sécurité majeur.

9. Sort des données en fin de contrat

Au terme de la prestation, le Sous-traitant restitue, sur demande, les données dans un format couramment exploitable, puis procède à leur suppression. En pratique, à la résiliation, l'Abonné dispose d'un délai de grâce (par défaut 30 jours) pour récupérer ses contenus (photos téléchargeables, documents/factures exportables en PDF) ; passé ce délai, les données sont supprimées, sauf obligation légale de conservation (ex. documents probants, facturation).

10. Responsabilité

Chaque partie demeure responsable des traitements qu'elle effectue en qualité de responsable de traitement ou de sous-traitant, conformément au RGPD. Le Responsable garantit disposer d'une base légale et des autorisations nécessaires (notamment droit à l'image et, pour les mineurs, autorisation des représentants légaux) pour les données qu'il confie au Sous-traitant.

11. Durée

Le présent accord s'applique pendant toute la durée du traitement des données pour le compte du Responsable et prend fin avec la suppression ou la restitution des données prévues à l'article 9.

Annexe A - Description des traitements

Élément	Description
Finalité	Hébergement et diffusion de galeries photo/vidéo, et gestion pour le compte du photographe : documents, contrats, signatures, facturation, réservations, avis, questionnaires, bons cadeaux, page publique et automatisations
Catégories de données	Identité, coordonnées, photographies et vidéos, documents contractuels, données de réservation, de facturation, avis, questionnaires, bons cadeaux ; le cas échéant pièces d'identité et autorisations parentales
Personnes concernées	Clients du photographe, modèles, représentants légaux, mineurs le cas échéant
Durée	Pendant la durée de l'abonnement, puis délai de grâce (par défaut 30 jours) avant suppression
Sous-traitants ultérieurs	o2switch (hébergement & e-mails), Cloudflare R2 (fichiers), Stripe (paiement)

Pour toute question relative à la sous-traitance : contact@shutera.re.