Accord de traitement des données (Annexe A)

Langue. La présente annexe est rédigée en français. Seul le texte français fait foi. Les versions anglaise et allemande sont des traductions de courtoisie, fournies pour le confort du client, et ne créent aucun droit ni aucune obligation.

Le présent accord de traitement des données (« ATD », Annexe A) fait partie du contrat conclu entre NOCTIXAL SARL-S (« Noctixal », le sous-traitant) et le client (le responsable du traitement) au titre des conditions générales de Noctixal. Il s’applique chaque fois que Noctixal traite des données à caractère personnel pour le compte du client dans le cadre de l’hébergement et de l’exploitation du site web ou du logiciel du client, conformément à l’article 28 du règlement (UE) 2016/679 (RGPD).

1. Objet et durée

Noctixal traite des données à caractère personnel pour le compte du client afin d’héberger, d’exploiter, de maintenir et de supporter la prestation commandée (le palier et les options indiqués dans le contrat de commande). Le traitement dure pendant toute la durée de l’engagement prévu au contrat de commande et prend fin par la suppression ou la restitution décrite à la section 9.

2. Nature et finalité du traitement

Hébergement et stockage, sauvegarde et restauration, transmission (mise à disposition du site ou de l’application à ses visiteurs et utilisateurs, envoi de ses courriels transactionnels), support technique et maintenance. Noctixal ne traite ces données que pour fournir la prestation contractuelle, jamais à ses propres fins.

3. Catégories de personnes concernées et de données

Personnes concernées : les visiteurs et utilisateurs du site web ou de l’application du client, ainsi que les personnes dont le client y enregistre les données (par exemple clients, personnel, contacts de réservation). Catégories de données : données de contact et d’identification, données de compte, données de réservation et de commande, contenus que le client ou ses utilisateurs enregistrent dans la prestation, et données techniques (adresses IP, journaux). Le client ne confie pas le traitement de catégories particulières de données (article 9 RGPD), sauf accord écrit distinct.

4. Instructions

Noctixal ne traite les données à caractère personnel que sur instruction documentée du client, y compris en ce qui concerne les transferts vers des pays tiers, à moins d’y être tenu par le droit de l’Union ou le droit luxembourgeois ; dans ce cas, Noctixal en informe le client avant le traitement, sauf si la loi l’interdit. Le contrat, les présentes conditions et la configuration de la prestation choisie par le client constituent les instructions initiales. Noctixal informe le client si, selon lui, une instruction constitue une violation du droit de la protection des données.

5. Confidentialité

Les personnes autorisées à traiter les données à caractère personnel (à ce jour : l’exploitant identifié dans les mentions légales) sont tenues à la confidentialité.

6. Sécurité

Noctixal met en œuvre les mesures techniques et organisationnelles appropriées au risque (article 32 RGPD) : infrastructure située exclusivement dans l’UE, chiffrement en transit, contrôle d’accès avec authentification, environnements isolés par client selon le palier commandé, sauvegardes régulières avec la durée de conservation prévue pour le palier, journalisation, et mises à jour de sécurité diligentes de la pile logicielle gérée.

7. Sous-traitants ultérieurs

Le client donne une autorisation générale pour les sous-traitants ultérieurs désignés dans la politique de confidentialité (hébergement, envoi de courriels, traitement des paiements). Noctixal informe le client de tout ajout ou remplacement envisagé, en lui donnant la possibilité de s’y opposer pour des motifs raisonnables tenant à la protection des données dans un délai de 14 jours. Noctixal impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données que celles prévues par la présente annexe et demeure pleinement responsable envers le client de leur exécution.

8. Assistance

Compte tenu de la nature du traitement, Noctixal aide le client, par des mesures techniques et organisationnelles appropriées, à s’acquitter de son obligation de donner suite aux demandes des personnes concernées (articles 12 à 23 RGPD), ainsi qu’à garantir le respect des articles 32 à 36 RGPD (sécurité, notification des violations, analyses d’impact), dans la mesure où les informations sont à la disposition de Noctixal.

9. Violations de données à caractère personnel

Noctixal notifie au client, dans les meilleurs délais après en avoir pris connaissance, toute violation de données à caractère personnel affectant les données du client, en fournissant les informations raisonnablement nécessaires aux propres obligations de notification du client.

10. Suppression et restitution

À la fin de l’engagement, les règles d’exportation et de suppression des conditions générales s’appliquent : sur demande formulée dans le délai indiqué, Noctixal restitue les données du client dans un format courant et lisible par machine, puis supprime les données à caractère personnel restantes des systèmes en production ; les sauvegardes expirent selon leur cycle de rotation habituel. Les obligations légales de conservation (par exemple les pièces de facturation) demeurent inchangées.

11. Audits

Noctixal met à disposition les informations nécessaires pour démontrer le respect de la présente annexe et permet la réalisation d’audits, y compris d’inspections, par le client ou un auditeur mandaté par lui, et y contribue, moyennant un préavis raisonnable, au maximum une fois par an, pendant les heures ouvrables, et sans accès aux données d’autres clients.

12. Transferts

Le traitement a lieu au sein de l’Union européenne. Lorsqu’un sous-traitant ultérieur désigné dans la politique de confidentialité implique un transfert hors de l’UE/EEE, celui-ci est couvert par une décision d’adéquation ou par les clauses contractuelles types de la Commission européenne, comme indiqué à cet endroit.

13. Dispositions diverses

La présente annexe prévaut sur les conditions générales pour le traitement qu’elle régit. La responsabilité suit les conditions générales. Le droit luxembourgeois est applicable ; les tribunaux de l’arrondissement de Luxembourg sont seuls compétents. Questions : contact@noctixal.com.