Accord de traitement des données (DPA)

Accord de traitement des données (DPA) — Chef ↔ Emansy. Version : 2026-07-20 · RGPD (UE 2016/679), article 28.

En cas de divergence entre les versions, la version française fait foi. In case of discrepancy, the French version prevails — English version.

1. Parties

• Le Responsable de traitement (« le Chef ») : le professionnel titulaire d'un compte Emansy, dont les coordonnées figurent dans son compte / le Contrat principal.
• Le Sous-traitant (« Emansy ») : Fanny Bronner, entrepreneur individuel (micro-entreprise), exploitant la plateforme Emansy — SIRET 531 280 162 00029, siège : 19 Quai Saint Vincent, 69001 Lyon. Contact protection des données : privacy@emansy.fr.

Ensemble « les Parties ». Le présent Accord complète les Conditions Générales d'utilisation et de vente (« Contrat principal »). En cas de conflit sur la protection des données, le présent Accord prévaut.

2. Objet

Définir les conditions dans lesquelles Emansy traite des données à caractère personnel pour le compte du Chef dans le cadre de la fourniture du service Emansy (réservations, agenda, paiements, bons cadeaux, import multi-plateformes, vitrine). Conclu conformément à l'article 28 RGPD.

3. Rôles

Le Chef est responsable de traitement des données de ses clients finaux. Emansy agit en sous-traitant, uniquement sur instruction documentée du Chef. Emansy reste responsable de traitement pour ses propres finalités (gestion du compte Chef, facturation, sécurité) — couvertes par sa politique de confidentialité, hors du présent Accord.

4. Description du traitement (Annexe 1)

La nature, la finalité, la durée, les catégories de données et de personnes concernées figurent en Annexe 1.

5. Obligations d'Emansy (sous-traitant) — Art. 28(3)

Emansy s'engage à :

1. (a) Ne traiter les données que sur instruction documentée du Chef (y compris pour les transferts hors UE), sauf obligation légale ; dans ce cas, Emansy en informe le Chef avant traitement sauf interdiction légale. L'utilisation du service par le Chef constitue ses instructions documentées ; toute instruction supplémentaire se fait par écrit.
2. (b) Garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.
3. (c) Mettre en œuvre les mesures de sécurité de l'Art. 32 (Annexe 3).
4. (d) Respecter les conditions de recours à un sous-traitant ultérieur (article 7).
5. (e) Aider le Chef, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, opposition, portabilité, limitation).
6. (f) Aider le Chef à assurer le respect des Art. 32 à 36 (sécurité, notification de violation, analyses d'impact, consultation préalable), compte tenu de la nature du traitement et des informations à disposition d'Emansy.
7. (g) Au choix du Chef, supprimer ou restituer toutes les données à la fin de la prestation, et détruire les copies existantes, sauf obligation légale de conservation (article 10).
8. (h) Mettre à disposition du Chef les informations nécessaires pour démontrer le respect de l'Art. 28 et permettre des audits (article 9).

6. Instructions

Emansy informe immédiatement le Chef si une instruction constitue, selon elle, une violation du RGPD ou d'une autre disposition applicable.

7. Sous-traitants ultérieurs — Art. 28(2)(4)

• Le Chef donne une autorisation générale à Emansy de recourir aux sous-traitants ultérieurs listés en Annexe 2.
• Emansy informe le Chef de tout ajout ou remplacement prévu avec un préavis d'au moins 30 jours, laissant au Chef la possibilité de s'opposer pour un motif légitime lié à la protection des données.
• Emansy impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent Accord, et demeure responsable vis-à-vis du Chef de l'exécution par ces sous-traitants.

8. Transferts hors UE

Les données sont hébergées dans l'UE (AWS région eu-west-3, Paris). Lorsqu'un sous-traitant ultérieur implique un transfert hors UE/EEE (cf. Annexe 2), Emansy s'assure qu'il est encadré par un mécanisme valable (décision d'adéquation ou Clauses Contractuelles Types de la Commission, le cas échéant complétées de mesures supplémentaires).

9. Audit — Art. 28(3)(h)

Emansy fournit au Chef, sur demande raisonnable, les informations et justificatifs nécessaires : (i) comme preuve de la sécurité de l'infrastructure, l'attestation SOC 3 publique de l'hébergeur (AWS) et, sous réserve des conditions de confidentialité applicables (le cas échéant un accord de confidentialité), le rapport SOC 2 d'AWS ; (ii) un résumé des mesures techniques et organisationnelles propres à Emansy ; (iii) des réponses à un questionnaire de sécurité. Un audit sur site est possible avec un préavis écrit d'au moins 60 jours, aux frais du Chef, sans perturber les opérations et dans le respect de la confidentialité des autres clients.

10. Suppression / restitution — Art. 28(3)(g)

À la fin de la prestation, Emansy supprime ou restitue les données au choix du Chef, dans un délai de 30 jours, et certifie la suppression sur demande, sauf obligation légale de conservation (ex. obligations comptables/fiscales). Les données présentes dans les sauvegardes sont supprimées au terme du cycle de rotation des sauvegardes et demeurent isolées de tout traitement actif jusque-là.

11. Violation de données — Art. 33

Emansy notifie le Chef sans retard injustifié après avoir pris connaissance d'une violation de données affectant les données traitées pour son compte, dans les meilleurs délais (objectif : 72 heures), avec les informations utiles pour permettre au Chef de remplir ses propres obligations de notification.

12. Sécurité

Mesures techniques et organisationnelles décrites en Annexe 3 (Art. 32).

13. Responsabilité

La responsabilité au titre du présent Accord est régie par la clause de limitation de responsabilité du Contrat principal (exclusion des dommages indirects ; plafond égal aux montants versés au titre de l'abonnement sur les 12 derniers mois). Ce plafond régit uniquement la répartition de responsabilité entre les Parties et ne limite pas les droits des personnes concernées au titre de l'article 82 RGPD. Chaque Partie supporte les sanctions/amendes résultant de ses propres manquements.

14. Durée

Le présent Accord s'applique pendant toute la durée du Contrat principal et tant qu'Emansy traite des données pour le compte du Chef.

15. Droit applicable

Droit français ; autorité de contrôle compétente : la CNIL.

Annexe 1 — Description du traitement

• Objet : fourniture du service Emansy au Chef.
• Nature & finalités : gestion des réservations et de l'agenda ; encaissement (via prestataires de paiement) ; bons cadeaux ; import des réservations multi-plateformes par email (Gmail), y compris la fiabilisation de l'import (conservation temporaire des messages sources pour re-traitement — cf. Annexe 3) ; communications transactionnelles aux clients du Chef ; archive temporaire des emails transactionnels sortants (confirmations, notifications, relances) à des fins de contrôle qualité de la délivrabilité et de diagnostic d'incidents d'envoi (cf. Annexe 3) ; suivi des réservations non finalisées (« paniers abandonnés ») : conservation temporaire des coordonnées saisies dans le widget lorsque le paiement n'aboutit pas, afin de permettre au Chef d'aider le client à finaliser la réservation qu'il a initiée — aucune utilisation à des fins de prospection ; (à venir) vitrine hébergée.
• Durée : durée du Contrat principal (cf. article 10). Les messages sources importés sont conservés au maximum 90 jours puis purgés automatiquement (cf. Annexe 3) ; les données de réservation extraites sont conservées pendant la durée du Contrat principal. Les emails transactionnels sortants archivés (copie du corps + statuts de délivrance) sont conservés au maximum 30 jours puis purgés automatiquement (TTL DynamoDB + lifecycle S3), sans mécanisme de suppression anticipée par le Chef au-delà de cette purge (cf. Annexe 3). Les coordonnées des réservations non finalisées sont conservées au maximum 90 jours puis purgées automatiquement (TTL).
• Catégories de personnes concernées : clients finaux du Chef (participants/acheteurs) ; le cas échéant prospects. Mineurs possibles (ateliers destinés aux enfants) : le cas échéant, le recueil du consentement parental (Art. 8 RGPD) relève de la responsabilité du Chef.
• Sources des données importées : plateformes de réservation tierces dont les emails sont importés — Wecandoo, Funbooker, GetYourGuide (et autres plateformes ajoutées selon l'article 7).
• Catégories de données : identité (nom), coordonnées (email, téléphone), données de réservation (atelier, date, places, montant, référence plateforme), historique de paiement (référence — les données de carte sont traitées directement par les prestataires de paiement). Pas de catégories particulières collectées intentionnellement ; des données sensibles peuvent apparaître de façon incidente (ex. allergies/contenu d'atelier) — à minimiser.

Annexe 2 — Sous-traitants ultérieurs autorisés

Prestataires contractés par le Chef : les prestataires de paiement que le Chef contracte directement et connecte avec ses propres identifiants (ex. Stancer) ne sont pas des sous-traitants ultérieurs d'Emansy — Emansy leur transmet des données sur instruction documentée du Chef (article 5.a). La mesure d'audience du site emansy.fr (Cloudflare) relève des finalités propres d'Emansy et est couverte par sa politique de confidentialité, hors du présent Accord.

Intégrations anticipées (non encore actives) : connexions OAuth/import avec d'autres plateformes de réservation (ex. Airbnb Experiences, Viator/GetYourGuide). Elles seront ajoutées à cette annexe selon la procédure de l'article 7 (préavis + droit d'opposition) avant toute mise en service.

Annexe 3 — Mesures de sécurité (Art. 32)

• Hébergement UE (AWS eu-west-3) ; chiffrement au repos (DynamoDB SSE) et en transit (TLS).
• Chiffrement applicatif des secrets sensibles (ex. jetons OAuth Gmail chiffrés AES-256-GCM).
• Authentification des Chefs via Cognito ; principe du moindre privilège sur les accès ; rôles IAM cloisonnés.
• Journalisation et supervision (CloudWatch) ; alertes.
• Minimisation à l'import email : récupération restreinte aux expéditeurs plateformes ; parsing vers champs structurés. Le message source est conservé sous forme chiffrée (chiffrement applicatif AES-256-GCM avec une clé de données dédiée à chaque Chef, elle-même chiffrée par une clé maître ; stockage S3 chiffré au repos) pendant une durée maximale de 90 jours, aux seules fins de fiabilisation de l'import (re-traitement en cas d'erreur d'extraction) et de diagnostic, puis purgé automatiquement. La destruction de la clé du Chef rend l'ensemble de ses messages définitivement illisibles (suppression cryptographique) — mécanisme mis en œuvre pour la suppression de l'article 10 et lors de la déconnexion Gmail. Des métadonnées de diagnostic (expéditeur, objet — pouvant contenir des noms) sont conservées en base avec la même durée maximale de 90 jours.
• Archive temporaire des emails transactionnels sortants (confirmations de réservation, notifications, relances) : copie du corps stockée sur S3 pendant 30 jours, chiffrement côté serveur (SSE-S3, géré par AWS) — à la différence du chiffrement applicatif par clé dédiée à chaque Chef utilisé pour l'archive des messages sources entrants ; métadonnées indexées en clair en DynamoDB (requête/pagination). Accès restreint à la console admin (groupe Cognito platform-admin) et à des rôles IAM cloisonnés au préfixe outbound/. Purge automatique double après 30 jours (TTL DynamoDB + lifecycle S3) ; aucune suppression cryptographique ciblée n'est disponible sur cette archive (à la différence de l'archive des messages entrants). Les statuts de délivrance (livré/ouvert/bounce/plainte) sont transmis par SES Configuration Set via un topic SNS chiffré au repos (KMS). Le suivi d'ouverture repose sur un pixel — signal non fiable (faux positifs Apple Mail Privacy Protection, faux négatifs si blocage des images) ; cette mention figure dans la politique de confidentialité.
• Sauvegardes et résilience gérées par AWS.
• En cours de formalisation (mesures organisationnelles complémentaires, non présentées comme engagement contractuel ferme tant que non en place) : politique de gestion des accès documentée, revue périodique des accès, plan de réponse à incident formalisé.