DPA contrat de sous-traitance RGPD (Article 28)

Article 1 — Parties

Le sous-traitant :
SARL Events & Co — Éditeur du service Souvimage
10 rue de l'Artisanat — ZAC des Capucines, 14860 Ranville, France
SIREN : 752 379 867 — sav@souvimage.fr

Le responsable de traitement :
Tout professionnel du funéraire (pompe funèbre, thanatopracteur, maison funéraire) titulaire d'un compte Souvimage, dont les informations sont renseignées lors de l'inscription.

Article 2 — Définitions

Au sens du présent contrat, on entend par :

• —« RGPD » : le Règlement (UE) 2016/679 du 27 avril 2016 ;
• —« Responsable de traitement » : le professionnel du funéraire qui détermine les finalités et moyens du traitement des données ;
• —« Sous-traitant » : SARL Events & Co, qui traite les données pour le compte du responsable ;
• —« Personnes concernées » : les membres de la famille du défunt et toute personne dont les données sont traitées via le service ;
• —« Service » : la plateforme Souvimage (www.souvimage.fr).

Article 3 — Objet et finalités du traitement

Le sous-traitant traite les données personnelles suivantes pour le compte du responsable de traitement, dans le seul but de fournir le service Souvimage :

• —Création et hébergement de diaporamas photo mémoriels ;
• —Gestion du livre d'or numérique et du mur de souvenirs ;
• —Gestion des bougies virtuelles et de la biographie du défunt ;
• —Gestion des accès familiaux et envoi de notifications.

Article 4 — Données traitées

Article 5 — Durée de conservation

Les données sont conservées pendant toute la durée de validité du diaporama souscrit, augmentée d'un délai de 30 jours après l'expiration ou la résiliation, durant lequel elles sont disponibles avant suppression définitive. Les données comptables (facturation) sont conservées 10 ans conformément aux obligations légales.

Article 6 — Obligations du sous-traitant

• —Instruction documentée : les données ne sont traitées que sur instruction du responsable de traitement ;
• —Confidentialité : les personnes habilitées sont soumises à une obligation de confidentialité ;
• —Sécurité : hébergement en France (OVH SAS, ISO 27001), HTTPS/TLS, authentification, sauvegardes régulières ;
• —Sous-traitants ultérieurs : OVH SAS (hébergement, France) — le responsable est informé de tout changement 30 jours avant ;
• —Droits des personnes : toute demande d'exercice de droits (accès, rectification, effacement) reçue directement est transmise sans délai au responsable ;
• —Violation de données : notification au responsable dans les 72 heures suivant la prise de connaissance ;
• —Pas de transfert hors UE : toutes les données sont hébergées et traitées en France.

Article 7 — Obligations du responsable de traitement

• —Ne transmettre que les données strictement nécessaires au diaporama mémoriel ;
• —Informer les familles du traitement de leurs données ;
• —Obtenir le consentement des membres de la famille avant de télécharger leurs photographies ;
• —Ne pas utiliser le service à des fins incompatibles avec la prestation funéraire.

Article 8 — Sort des données en fin de contrat

À l'expiration ou résiliation du contrat, sur instruction écrite dans un délai de 30 jours, le sous-traitant procède soit à la destruction sécurisée de toutes les données (option par défaut), soit au renvoi de l'ensemble des données sous format numérique (archive ZIP).

Article 9 — Dispositions générales

• —Droit applicable : droit français ;
• —Juridiction : Tribunal de Caen (France) ;
• —Entrée en vigueur : à la date d'acceptation électronique lors de l'inscription ;
• —Contact RGPD : sav@souvimage.fr — CNIL : www.cnil.fr.