Accord de sous-traitance des données (DPA)

Le présent Accord de sous-traitance (« DPA ») est conclu conformément à l'article 28 du RGPD entre :

• Le responsable du traitement : le client professionnel utilisant les services BoothX pour traiter des données personnelles (organisateur d'événement, prestataire, entreprise)
• Le sous-traitant : COSTEA Constantin, entrepreneur individuel exerçant sous la marque BoothX, 3 Rue Chanoine Pierre Rachet, 13200 Arles, France — SIRET [À COMPLÉTER]

Il fait partie intégrante des CGU et des CGV.

Ce DPA s'applique lorsque BoothX traite des données pour le compte d'un client professionnel. Lorsque BoothX détermine lui-même les finalités et les moyens (gestion des comptes, facturation, support), il agit en qualité de responsable du traitement : voir la Politique de confidentialité.

Catégories de personnes concernées

• Participants aux événements photographiés
• Destinataires des galeries partagées
• Collaborateurs du client disposant d'un accès

Catégories de données traitées

• Photos et images capturées lors des événements
• Métadonnées associées : horodatage, paramètres techniques de capture
• Adresses email des destinataires des galeries
• Données d'identification des participants, si le client choisit d'en collecter

Les photographies permettent d'identifier des personnes physiques. Elles ne constituent pas en elles-mêmes des données sensibles au sens de l'article 9 du RGPD, sauf lorsqu'elles sont traitées par des moyens techniques spécifiques aux fins d'identifier une personne de manière unique. Le client s'engage à ne pas mettre en œuvre un tel traitement via les services BoothX.

Finalités

BoothX traite les données exclusivement pour :

1. L'exécution des services prévus au contrat
2. Le stockage des contenus
3. La synchronisation entre appareils autorisés par le client
4. La distribution des photos aux destinataires désignés par le client

BoothX ne traite les données que sur instruction documentée du client, sauf obligation légale à laquelle il serait soumis.

Durée

Le traitement s'effectue pendant toute la durée du contrat de service. À son terme, et au choix du client : restitution des données par export, ou suppression.

[À COMPLÉTER — fixer et publier les délais effectivement tenables pour l'export et pour la suppression, en cohérence avec les capacités de l'infrastructure. Les délais annoncés doivent être vérifiables.]

Confidentialité

L'accès aux données est limité à COSTEA Constantin et aux prestataires techniques strictement nécessaires. Toute personne amenée à accéder aux données est tenue à une obligation de confidentialité.

Sécurité

BoothX met en œuvre les mesures techniques et organisationnelles décrites en Annexe — Mesures techniques et organisationnelles du présent accord, conformément à l'article 32 du RGPD.

Assistance au responsable du traitement

BoothX assiste le client, dans la mesure du possible et compte tenu de la nature du traitement :

• Pour répondre aux demandes d'exercice des droits des personnes concernées (art. 28.3.e)
• Pour assurer le respect des obligations des articles 32 à 36 du RGPD (sécurité, violations, analyse d'impact)

Registre

BoothX tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients (art. 30.2 du RGPD).

Le client autorise le recours aux sous-traitants ultérieurs suivants :

[À VÉRIFIER AVANT MISE EN LIGNE — un DPA doit être signé avec chacun de ces prestataires et conservé. Sans DPA en amont, BoothX ne peut valablement s'engager sur les garanties décrites ici.]

Toute modification de cette liste est notifiée au client 30 jours à l'avance. Le client dispose d'un droit d'opposition motivé ; à défaut d'accord, il peut résilier sans frais la partie du service concernée.

BoothX demeure pleinement responsable devant le client de l'exécution par ses sous-traitants ultérieurs de leurs obligations (art. 28.4).

Des transferts hors UE ont lieu, notamment vers les États-Unis (Vercel, et le cas échéant Google et Apple).

Ils sont encadrés par :

1. Les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914)
2. Le cas échéant, la certification du prestataire au titre du EU-U.S. Data Privacy Framework

[À COMPLÉTER — documenter, pour chaque transfert, l'instrument retenu et, si nécessaire, l'analyse d'impact du transfert (TIA).]

En cas de violation de données personnelles traitées pour le compte du client, BoothX :

1. Informe le client dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans un délai lui permettant de respecter son propre délai de notification de 72 heures
2. Fournit les informations utiles prévues à l'article 33.3 du RGPD
3. Coopère aux mesures correctives et à la notification éventuelle à l'autorité de contrôle

Le client s'engage à :

• Fournir des instructions documentées et licites
• Garantir qu'il dispose d'une base légale pour les traitements confiés
• Informer les personnes concernées et recueillir, lorsqu'il est requis, leur consentement, notamment au titre du droit à l'image
• Obtenir l'autorisation des titulaires de l'autorité parentale pour toute personne mineure photographiée
• Répondre aux demandes d'exercice de droits qui lui sont adressées
• Ne pas confier à BoothX de données sensibles au sens de l'article 9 du RGPD sans accord écrit préalable

Le client peut demander, une fois par an et moyennant un préavis raisonnable :

• La communication des informations nécessaires pour démontrer le respect des obligations du présent DPA
• La liste à jour des sous-traitants ultérieurs et les instruments de transfert applicables

BoothX ne dispose d'aucune certification externe (ISO 27001, SOC 2) et n'en fournit donc aucun rapport. Un audit sur site peut être organisé d'un commun accord, à la charge du client, sans perturbation du service.

À la fin du contrat, le client peut exporter ses données dans un format exploitable. Après l'expiration du délai d'export, les données sont supprimées des systèmes de production, puis des sauvegardes selon le cycle de rétention du fournisseur d'hébergement.

Cette annexe décrit les mesures effectivement mises en œuvre au titre de l'article 32 du RGPD, qui impose des mesures appropriées « compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ».

BoothX est édité par une micro-entreprise. Les mesures ci-dessous sont proportionnées à cette réalité. Aucune certification n'est revendiquée et aucun audit externe n'a été réalisé à ce jour. Les mesures envisagées mais non encore en place sont signalées comme telles.

Infrastructure

Le niveau de chiffrement au repos et la localisation des données dépendent de la configuration retenue chez chaque fournisseur.

[À COMPLÉTER — documenter la région d'hébergement Supabase retenue, la politique de rétention des journaux Vercel, et joindre les DPA signés au registre des traitements.]

Authentification et gestion des comptes

• Mots de passe : jamais stockés en clair. Le hachage et la vérification sont assurés par Supabase Auth.
• Exigences de robustesse : minimum 8 caractères, avec au moins une majuscule, une minuscule et un chiffre.
• Authentification à deux facteurs : disponible par code temporaire (TOTP).
• Connexion tierce facultative : Google et Apple, en alternative au mot de passe.
• Jetons de session : signés et à durée limitée (JWT).
• Limitation du nombre de requêtes : 100 requêtes par minute et par client, en protection contre les attaques par force brute.
• Validation stricte des entrées : chaque requête est validée par schéma avant traitement.
• En-têtes de sécurité HTTP : appliqués à l'ensemble des réponses de l'API.
• Restriction des origines (CORS) : en production, seules les origines déclarées sont autorisées.
• Messages d'erreur : les erreurs internes ne sont pas exposées en production.

Développement

• Typage statique strict et vérification à la compilation sur l'ensemble du code
• Analyse statique au moyen d'un linter sur chaque modification
• Dépendances maintenues à jour et correctifs de sécurité appliqués dès leur publication

Mesures envisagées, non encore en place : analyse automatisée des dépendances en intégration continue, tests d'intrusion externes, programme de divulgation coordonnée formalisé.

Sauvegardes et continuité

Les sauvegardes de la base de données reposent sur les fonctions natives du fournisseur managé, selon la formule souscrite.

[À COMPLÉTER — préciser la fréquence des sauvegardes, la durée de rétention et la procédure de restauration effectivement offertes par la formule Supabase souscrite. Tester une restauration et consigner la date du test.]

Aucun objectif contractuel de temps de rétablissement (RTO) ou de perte de données maximale admissible (RPO) n'est garanti en dehors d'un engagement de niveau de service souscrit par écrit.

Gestion des incidents

1. Qualification de la gravité et de la nature des données concernées
2. Confinement et correction
3. Notification à la CNIL sous 72 heures lorsque la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes (art. 33 du RGPD)
4. Information des personnes concernées dans les meilleurs délais lorsque le risque est élevé (art. 34 du RGPD)
5. Consignation de la violation dans le registre interne, y compris lorsqu'elle n'est pas notifiée

Signaler une vulnérabilité

• Email : support@boothx.org
• Merci de laisser un délai raisonnable pour corriger avant toute divulgation publique
• Aucune action judiciaire ne sera engagée à l'encontre d'un chercheur agissant de bonne foi, sans exfiltration de données, sans dégradation du service et sans divulgation prématurée

Aucun programme de récompense (bug bounty) n'est en place à ce jour.

Pour toute question relative au présent accord : dpo@boothx.org

Accord établi au regard de l'article 28 du RGPD et des clauses contractuelles types de la décision d'exécution (UE) 2021/914.