1. Parties et objet
Le présent accord est conclu entre le client titulaire d'un espace Orkalo (« le responsable du traitement ») et l'éditeur d'Orkalo, Keddy Girel Andamba Gnegne, entrepreneur individuel, SIREN 923 735 674, 5 Rue Sarret de Coussergues, Résidence Jules Verne, 34300 Agde, France (« le sous-traitant »). Il précise comment le sous-traitant traite, pour le compte du responsable, les données personnelles confiées dans Orkalo. Il fait partie des conditions d'utilisation et s'applique tant que l'espace existe. L'acceptation des conditions d'utilisation vaut acceptation du présent accord ; une version signée séparément peut être fournie sur demande.
2. Description du traitement
- Nature : hébergement, stockage, consultation, transmission aux plateformes reliées, envoi de messages, production de documents, effacement.
- Finalité : gestion de locations courte durée (logements, réservations, voyageurs, interventions, propriétaires, paiements).
- Personnes concernées : voyageurs, intervenants (avec ou sans compte), propriétaires, membres de l'équipe du responsable.
- Données : identité et coordonnées, dates et détails des séjours, montants, messages, photos, documents signés (nom, date, IP), pointage des interventions (position au clic), et, si le responsable les demande, pièces d'identité et fiches voyageurs.
- Durée : celle de l'abonnement, puis restitution et effacement (article 9).
3. Instructions du responsable
Le sous-traitant ne traite les données que sur instruction documentée du responsable : ces instructions sont les réglages et actions faits dans Orkalo, ainsi que le présent accord. Si une instruction lui semble contraire au RGPD, il en informe le responsable sans attendre.
4. Confidentialité et sécurité
Les personnes autorisées à accéder aux données chez le sous-traitant sont tenues à la confidentialité et n'y accèdent qu'en cas de besoin (support demandé, incident). Les mesures de sécurité appliquées sont décrites en annexe (article 11).
5. Sous-traitants ultérieurs
Le responsable autorise le sous-traitant à faire appel aux prestataires listés dans la politique de confidentialité (hébergement, e-mails, connexion aux plateformes, paiements, recherche d'adresses, connexion Apple / Google). Le sous-traitant leur impose des obligations de protection équivalentes. Il informe le responsable de tout ajout ou remplacement au moins 30 jours à l'avance ; le responsable peut s'y opposer pour un motif légitime et, à défaut de solution, résilier sans frais.
6. Droits des personnes
Le sous-traitant aide le responsable à répondre aux demandes des personnes (accès, correction, effacement, portabilité, opposition), notamment grâce aux fonctions d'export et de suppression d'Orkalo. Une demande reçue directement par le sous-traitant est transmise au responsable sans délai.
7. Violation de données
Le sous-traitant notifie au responsable toute violation de données personnelles dans un délai de 48 heures après en avoir eu connaissance, avec les informations utiles pour que le responsable puisse, le cas échéant, prévenir l'autorité de contrôle sous 72 heures et les personnes concernées.
8. Assistance et preuves
Le sous-traitant aide le responsable, dans la mesure du raisonnable, pour les analyses d'impact et la consultation de l'autorité de contrôle. Il met à disposition les informations nécessaires pour démontrer le respect du présent accord et accepte des audits, avec un préavis de 30 jours et aux frais du responsable, sans accès aux données des autres clients.
9. Fin du contrat
À la fin de l'abonnement, le responsable peut exporter ses données pendant 30 jours. Le sous-traitant les efface ensuite, y compris des sauvegardes au terme de leur cycle de 30 jours, sauf obligation légale de conservation. L'effacement est terminé au plus tard 90 jours après la fin de l'abonnement.
10. Obligations du responsable
Le responsable choisit la base légale de chaque traitement, informe les personnes concernées (voyageurs, intervenants, propriétaires), notamment sur le pointage géolocalisé et la collecte des pièces d'identité, et ne demande que les données nécessaires. Il paramètre les droits de son équipe et protège ses propres accès.
11. Annexe : mesures de sécurité
- Connexions chiffrées (HTTPS) et mots de passe chiffrés.
- Sessions révocables ; jetons gardés dans le trousseau des téléphones ; Face ID ou empreinte dans les applis.
- Séparation stricte des espaces clients et droits par rôle.
- Pièces d'identité stockées à part, accès restreint, effacement automatique.
- Limitation des tentatives de connexion et journal des actions sensibles.
- Sauvegardes quotidiennes chiffrées, conservées 30 jours.
- Effacement automatique des pointages après 12 mois.
- Serveurs dans l'Union européenne chez UpCloud (Finlande).