Accord de traitement des données (article 28 du RGPD)

1. Parties et rôles

Le client (l'établissement) est responsable du traitement des données de ses clients. Apilow (Rucquoy Edouard, entrepreneur individuel, n° d'entreprise 1041.489.691, TVA BE 1041.489.691) est sous-traitant et traite ces données uniquement pour fournir le service Apilow Réservation.

2. Objet, durée, nature et finalité

• Objet : prise, gestion et suivi des réservations et rendez-vous des clients de l'établissement.
• Durée : celle du contrat, puis le délai de grâce de 30 jours après une demande de suppression.
• Nature : collecte, enregistrement, consultation, envoi d'e-mails, export, anonymisation et effacement.

3. Données et personnes concernées

• Personnes : les clients de l'établissement et les membres de son équipe.
• Données : nom, prénom, e-mail, téléphone, détails des réservations, messages et réponses aux questions du formulaire, notes internes, historique (venues, no-shows).
• Le service n'est pas conçu pour des données de santé : l'établissement s'engage à n'en demander aucune.

4. Engagements du sous-traitant

• Ne traiter les données que sur instruction documentée du client, y compris pour les transferts ; aucune utilisation pour ses propres besoins, aucune revente.
• Garantir la confidentialité des personnes autorisées à traiter les données.
• Mettre en œuvre des mesures de sécurité appropriées : chiffrement des connexions (HTTPS), mots de passe hachés, cloisonnement des données par organisation, journalisation des actions sensibles, sauvegardes quotidiennes.
• N'engager un sous-traitant ultérieur qu'avec les mêmes obligations, en informant le client de tout changement de la liste publiée, qu'il peut contester.
• Aider le client à répondre aux demandes d'exercice des droits (accès, rectification, effacement, portabilité) : fiche client, export et anonymisation sont disponibles dans l'espace pro.
• Notifier au client toute violation de données dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance.
• Au terme du contrat, restituer les données (export) puis les supprimer, sauf obligation légale de conservation.
• Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations.

5. Localisation

Les données sont hébergées dans l'Union européenne. Aucun transfert hors de l'Union européenne n'est effectué.

6. Sous-traitants ultérieurs

La liste à jour est publiée sur la page « Sous-traitants ultérieurs ».