Contrat de sous-traitance (DPA)

Ce DPA est conclu entre le studio (ci-après le « responsable du traitement ») et Muff Consulting & Webdesign GmbH, exploitante de StudioPlan (ci-après le « sous-traitant »). Le responsable du traitement détermine la finalité et les moyens du traitement des données personnelles de ses clients et de son personnel ; StudioPlan traite ces données exclusivement pour le compte et selon les instructions du responsable du traitement.

L'objet du traitement est la mise à disposition de la plateforme de réservation et de gestion. La nature et la finalité comprennent l'enregistrement, la mise à jour, la transmission, l'analyse et la suppression de données pour la gestion des clients, des réservations, des cours, des produits, des paiements et du personnel, ainsi que le traitement des demandes d'assistance. La durée du traitement correspond à la durée du contrat principal.

Sont concernés notamment les clients du studio, les prospects ainsi que le personnel et les instructeurs. Sont traités notamment les données de base (nom, adresse), les coordonnées (e-mail, téléphone), les données de réservation et contractuelles, les informations de paiement ainsi que d'éventuelles notes saisies par le responsable du traitement. Le responsable du traitement s'engage à ne pas traiter de données personnelles sensibles (p. ex. données de santé) via la plateforme, sauf si cela est expressément prévu et autorisé.

StudioPlan traite les données personnelles exclusivement dans le cadre du présent contrat et des instructions documentées du responsable du traitement, sauf si une obligation légale en dispose autrement. Si une instruction paraît illicite, StudioPlan en informe le responsable du traitement.

StudioPlan astreint à la confidentialité les personnes chargées du traitement et veille à ce qu'elles ne traitent les données que conformément aux instructions.

StudioPlan prend des mesures techniques et organisationnelles appropriées pour protéger les données, notamment une transmission chiffrée (TLS), des contrôles d'accès et une authentification, une séparation des données par studio, des sauvegardes régulières ainsi que des mesures de rétablissement de la disponibilité après un incident. Les mesures sont adaptées à l'état de la technique.

Le responsable du traitement autorise le recours à des sous-traitants ultérieurs pour la fourniture du service (notamment Supabase, Stripe, Expo, Upstash, Vercel, Resend et Bexio). StudioPlan leur impose un niveau de protection équivalent et informe de tout changement envisagé ; le responsable du traitement peut s'y opposer pour un motif important.

StudioPlan aide le responsable du traitement, par des moyens techniques et organisationnels appropriés, à répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité, etc.), dans la mesure du possible.

StudioPlan informe le responsable du traitement sans délai après avoir eu connaissance d'une violation de la protection des données personnelles et l'assiste dans l'exécution de ses éventuelles obligations de notification envers les autorités et les personnes concernées.

Lorsque des données personnelles sont communiquées vers des pays n'offrant pas un niveau de protection adéquat (p. ex. les États-Unis), StudioPlan garantit une protection appropriée au moyen de garanties adéquates – notamment les clauses contractuelles types reconnues par le PFPDT ou sur la base d'une décision d'adéquation (p. ex. le Swiss–U.S. Data Privacy Framework pour les destinataires certifiés). Ces garanties sont assurées par les contrats de sous-traitance des prestataires utilisés.

StudioPlan met à la disposition du responsable du traitement, sur demande, les informations nécessaires au respect du présent contrat et permet des vérifications dans une mesure raisonnable.

À la fin du contrat, StudioPlan supprime les données personnelles traitées pour le compte du responsable ou les lui restitue, sauf obligation légale de conservation contraire. Sur demande, StudioPlan met au préalable les données à disposition pour un export dans un format courant.

Le présent DPA est soumis au droit suisse et complète les conditions d'utilisation ; pour le surplus, leurs dispositions s'appliquent, notamment celles relatives à la responsabilité, au for et à la clause de sauvegarde.