Accord de sous-traitance (DPA)

Le présent accord de sous-traitance (le « DPA ») complète le contrat de service conclu entre le Client, responsable du traitement, et Clixite SRL, sous-traitant. Il encadre le traitement des données personnelles effectué par Clixite pour le compte du Client dans le cadre de la plateforme Clixite Pay.

En cas de contradiction entre le DPA et le contrat de service, le DPA prévaut pour les questions de protection des données. Les termes utilisés ont le sens que leur donne le RGPD, sauf définition contraire dans le présent document.

Le Client est responsable du traitement des données des participants, des ambassadeurs et des utilisateurs de son organisation. Il détermine les finalités et les moyens essentiels du traitement.

Clixite est sous-traitant pour ces traitements. Clixite agit en outre comme responsable du traitement pour ses propres données (comptes, facturation, sécurité, prospects), comme décrit dans la politique de confidentialité.

Le traitement par Clixite dure aussi longtemps que le contrat de service est en vigueur, augmenté de la période nécessaire à la restitution ou à la suppression des données dans les conditions prévues à la section 13.

Le traitement porte sur les opérations nécessaires à l'exécution du service : collecte, enregistrement, structuration, conservation, consultation, transmission, rectification, effacement et restitution des données.

Finalités :

• émission et contrôle des billets, gestion des accès et des scans ;
• gestion des supports cashless, des recharges, consommations et remboursements ;
• suivi des ventes attribuées aux ambassadeurs et calcul des commissions ;
• production des exports comptables, y compris la ventilation TVA ;
• support technique et résolution des incidents liés à ces traitements.

Catégories de personnes concernées : participants, porteurs de support cashless, ambassadeurs et utilisateurs autorisés du Client.

Catégories de données : identité et coordonnées, données de billet, identifiant de support, historique des recharges et consommations, données de commission, journaux techniques liés aux opérations. Le détail figure en annexe A.

Clixite traite les données uniquement sur instructions documentées du Client, y compris pour les transferts vers un pays tiers, sauf obligation légale contraire. Dans ce dernier cas, Clixite informe le Client avant le traitement, sauf interdiction légale.

Les instructions initiales sont constituées par le contrat de service, le présent DPA et la configuration réalisée par le Client dans la plateforme. Toute instruction supplémentaire est documentée par écrit.

Clixite informe sans délai le Client si une instruction lui paraît contraire au RGPD ou à une autre disposition légale applicable et peut suspendre l'exécution de cette instruction jusqu'à confirmation écrite.

Clixite veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité, reçoivent une formation appropriée et n'accèdent qu'aux données nécessaires à l'exercice de leurs fonctions.

L'accès est nominatif, révocable et journalisé. Les rôles sont séparés selon le principe du moindre privilège.

Clixite met en œuvre les mesures techniques et organisationnelles décrites en annexe B, adaptées au risque. Elles comprennent notamment le chiffrement en transit, le chiffrement au repos, la séparation des rôles, la journalisation chaînée des actions sensibles, la signature des manifestes hors-ligne, la rotation des clés et les sauvegardes chiffrées.

Ces mesures peuvent évoluer, à condition que le niveau de protection ne soit pas réduit.

Le Client autorise de manière générale le recours à des sous-traitants ultérieurs pour l'hébergement, le paiement, la messagerie transactionnelle et la supervision technique. Clixite impose à ces sous-traitants des obligations de protection des données au moins équivalentes à celles du présent DPA.

La liste des sous-traitants ultérieurs est tenue à jour et communiquée sur demande. Toute modification est notifiée au Client avec un préavis de trente (30) jours ; le Client peut s'y opposer par écrit pour un motif légitime lié à la protection des données. À défaut d'accord, les parties peuvent résilier la partie concernée du contrat sans pénalité.

Clixite aide le Client à répondre aux demandes d'exercice des droits des personnes concernées, dans la mesure du possible et compte tenu de la nature du traitement. La plateforme permet l'accès, la rectification, l'export et l'effacement des données dans les limites des fonctionnalités disponibles et des obligations légales.

Clixite assiste également le Client, sur demande, pour l'analyse d'impact relative à la protection des données et pour les consultations préalables de l'autorité de contrôle, lorsque ces obligations concernent le traitement.

Clixite notifie au Client toute violation de données personnelles dont il a connaissance dans les meilleurs délais et, au plus tard, quarante-huit (48) heures après cette connaissance. La notification décrit la nature de la violation, les données et personnes concernées, les effets probables et les mesures prises ou envisagées.

Clixite coopère avec le Client pour permettre à celui-ci de respecter ses obligations de notification à l'APD dans les soixante-douze (72) heures et, le cas échéant, d'information des personnes concernées. Il tient un registre des incidents.

Clixite héberge les données dans l'Union européenne. Tout transfert hors EEE nécessite une instruction du Client ou une obligation légale, et est encadré par une décision d'adéquation ou des clauses contractuelles types, complétées par des mesures appropriées.

Clixite met à disposition du Client les informations nécessaires pour démontrer le respect de ses obligations. Une fois par an, le Client peut demander un audit du traitement, dans les conditions suivantes : préavis de trente (30) jours, accord de confidentialité, périmètre et durée convenus, audit à distance privilégié et absence d'interférence avec la sécurité et les autres clients.

Les frais d'audit sont à charge du Client, sauf si l'audit révèle un manquement significatif imputable à Clixite.

Au terme du contrat, Clixite restitue au Client, sur demande écrite et dans un format exploitable, les données personnelles traitées pour son compte. La restitution est disponible pendant trente (30) jours après la fin du contrat.

Au-delà de ce délai, Clixite supprime les données, sauf lorsque la loi impose une conservation plus longue. Les sauvegardes sont purgées selon leur cycle normal et ne sont pas restaurées pour un usage actif. Sur demande, Clixite atteste par écrit la suppression.

Chaque partie répond de ses propres manquements au RGPD. La responsabilité de Clixite au titre du présent DPA est limitée aux dommages directs et prévisibles, dans les limites prévues au contrat de service, sans préjudice des dispositions impératives de l'article 82 du RGPD.

Clixite ne peut être tenu responsable des instructions données par le Client ni des traitements effectués par des tiers que le Client aurait autorisés en dehors de la plateforme.

En cas de cessation du contrat de service, le présent DPA s'applique jusqu'à la suppression effective des données. Les dispositions relatives à la confidentialité, à la responsabilité et aux audits restent en vigueur aussi longtemps que nécessaire.

Le présent DPA entre en vigueur à la date de signature du contrat de service. Toute question relative à son application peut être adressée à nicolas@clixite.be, avec l'objet « DPA ».

Clixite SRL — Avenue Reine Astrid 53, 1300 Wavre, Belgique. BCE/TVA BE 0871.430.776.

• Chiffrement des communications (TLS 1.3) et des données au repos.
• Authentification individuelle, sessions expirables, séparation des rôles.
• Journal d'audit chaîné pour les actions sensibles, avec horodatage.
• Tokens NFC opaques, vérification côté serveur, clés tournantes et révocation unitaire.
• Manifestes hors-ligne signés, déduplication et rejet des scans rejoués.
• Données de carte traitées exclusivement par Stripe (périmètre PCI SAQ A).
• Sauvegardes chiffrées, procédure de restauration documentée et testée.
• Hébergement dans l'Union européenne, accès administrateur restreint et tracé.
• Procédure de gestion d'incident et de notification des violations.