Accord de sous-traitance des données (RGPD, art. 28)

Le présent accord encadre le traitement, par l'Éditeur (« Sous-traitant »), des données personnelles pour le compte du Client (« Responsable de traitement »), dans le cadre du Service Rihla. En cas de contradiction, il prévaut sur les conditions générales pour ce qui concerne les données personnelles.

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable, telle que résultant de l'utilisation du Service, sauf obligation légale. Il informe le Responsable si une instruction lui paraît contraire au RGPD.

Le Sous-traitant garantit que les personnes autorisées à traiter les données sont soumises à la confidentialité, et met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2 (art. 32 RGPD).

Le Responsable autorise le recours aux sous-traitants ultérieurs listés en Annexe 3. Le Sous-traitant informe le Responsable de tout changement et impose à ces tiers des obligations équivalentes.

Le Sous-traitant assiste le Responsable pour répondre aux demandes d'exercice de droits des Pèlerins, pour la sécurité, les notifications de violation, et, le cas échéant, les analyses d'impact (AIPD).

Le Sous-traitant notifie au Responsable toute violation de données dans les meilleurs délais, et au plus tard [DÉLAI, ex. 48 h] après en avoir pris connaissance, avec les informations utiles.

Au terme du contrat, le Sous-traitant restitue puis supprime les données dans un délai de [DÉLAI], sauf obligation légale de conservation. Il met à disposition du Responsable les informations nécessaires pour démontrer sa conformité et se soumet à des audits raisonnables.

Les données sont hébergées en France. Aucun transfert hors UE n'est réalisé, sous réserve des prestataires listés en Annexe 3 (paiement, courriel) pour lesquels [garanties appropriées — CCT si applicable].