Accord sur les données de vos clients

1. Objet et rôles

Pour les données personnelles de vos clients que vous enregistrez dans Gestinera, vous êtes responsable du traitement et l'éditeur, Elian SANTOS, est votre sous-traitant au sens de l'article 28 du règlement européen sur la protection des données (RGPD).

2. Ce que nous faisons, pourquoi, combien de temps

Nous hébergeons, enregistrons, affichons, envoyons par email et mettons en forme en PDF vos données, uniquement pour faire fonctionner Gestinera pour votre activité : devis, planning, factures, réservations, séances, relances. Cela dure tant que votre compte est ouvert, puis pendant les 30 jours qui suivent sa fermeture, le temps de récupérer vos données. Les inscriptions à vos séances sont effacées plus tôt : 3 mois après la date de la séance.

3. Les données et les personnes

Données : nom, adresse email, téléphone, adresse de l'atelier, nombre de participants, devis, paiements que vous déclarez, factures, échanges ; pour les séances que vous organisez, le nom, l'adresse email, le téléphone et le message des personnes inscrites. Personnes : vos clients, les participants à vos ateliers, qui ne sont pas toujours ceux qui vous ont contacté, par exemple les enfants d'une classe ou les invités d'un anniversaire, les personnes qui s'inscrivent à vos séances, et toute personne qui remplit votre page de réservation. N'enregistrez pas de données sensibles, comme des informations de santé ou des allergies. Pour des enfants, limitez-vous au prénom et à l'âge.

4. Nos engagements

• Nous traitons ces données seulement sur vos instructions, c'est-à-dire ce que vous faites dans l'application et cet accord. Si une instruction nous paraît contraire à la loi, nous vous le disons immédiatement.
• Nous ne les utilisons pour aucun autre but.
• Les personnes autorisées à y accéder sont tenues à la confidentialité.
• Nous les protégeons : accès cloisonné entre comptes, chiffrement des échanges, sauvegardes chiffrées, mots de passe jamais lisibles.
• Vous nous autorisez à faire appel aux sous-traitants suivants : Supabase (base de données, Paris (Union européenne)), Vercel Inc. (hébergement des pages, États-Unis), Brevo (envoi des emails, Paris (France)), GitHub (Microsoft) (sauvegardes chiffrées, États-Unis), Géoplateforme de l'IGN (adresses et distances, France). Nous vous prévenons par email au moins 30 jours avant d'en ajouter ou d'en remplacer un. Pendant ce délai, vous pouvez vous y opposer pour un motif lié à la protection des données. Si nous ne trouvons pas de solution, vous pouvez fermer votre compte et être remboursé de la période payée non utilisée. Nous imposons à chaque sous-traitant les mêmes obligations que celles de cet accord et nous restons responsables envers vous.
• Transferts hors de l'Union européenne : Vercel Inc. et GitHub (Microsoft) sont établis aux États-Unis ; ces transferts sont encadrés par le cadre de protection des données UE–États-Unis, dont ils sont certifiés, et par les clauses contractuelles types de la Commission européenne prévues dans leurs accords de traitement. Supabase est une société établie à Singapour : vos données sont stockées à Paris (Union européenne), et l'accès de ses équipes depuis l'étranger, pour l'assistance et l'exploitation, est encadré par les clauses contractuelles types de son accord de traitement. Nous n'organisons aucun autre transfert.
• Si une personne nous écrit pour exercer ses droits sur vos données, nous vous transmettons sa demande dans les 5 jours ouvrés, sans y répondre à votre place. Nous vous aidons à répondre.
• En cas de violation de données, nous vous prévenons dans les 48 heures après l'avoir constatée, avec les informations dont nous disposons.
• Nous vous aidons, si nécessaire, pour une analyse d'impact ou une consultation de la CNIL.
• À la fin du service, vous pouvez télécharger vos données (Mon espace → Télécharger toutes mes données) puis fermer votre compte : elles sont alors supprimées, au plus tard 30 jours après la fermeture. Les copies de sauvegarde chiffrées disparaissent au plus tard 90 jours plus tard. Nous gardons seulement ce que la loi nous oblige à garder, par exemple nos propres factures d'abonnement.
• Nous vous fournissons les informations nécessaires pour vérifier le respect de cet accord. Sur demande écrite à equipe@gestinera.fr avec un préavis de 30 jours, vous pouvez faire réaliser un audit, une fois par an sauf violation de données, à vos frais, sans accès aux données des autres comptes.

5. Votre part

Vous êtes responsable de la légalité des données que vous enregistrez, d'informer vos clients de l'usage de leurs données et de leurs droits, et de n'enregistrer que ce qui est nécessaire.

Vous informez les participants, ou leurs parents s'ils sont mineurs, que vous gardez leurs données pour organiser l'atelier, pendant combien de temps, et comment exercer leurs droits. Un modèle de phrase est à votre disposition dans Mon espace. Vous supprimez les données des participants quand l'atelier est passé et que vous n'en avez plus besoin ; les inscriptions à vos séances sont effacées automatiquement 3 mois après la séance. Vous n'utilisez pas les adresses des inscrits pour de la prospection sans leur accord.

6. Responsabilité et priorité

La limitation de responsabilité de l'article 6 des conditions d'utilisation s'applique dans les limites permises par la loi. En cas de contradiction sur les données personnelles, cet accord l'emporte.