Documentation RGPD

Objet de cette page

Cette page complète la politique de confidentialité. Elle contient deux parties : une synthèse de notre conformité, et l'accord de sous-traitance conclu au titre de l'article 28 du RGPD entre Bloomara Event et chacune de ses utilisatrices. Cet accord fait partie intégrante du contrat et est accepté en même temps que les conditions générales d'utilisation.

Responsable de traitement

Estelle DEBRAND PESSA EI — SIREN 943 959 965. Adresse de correspondance : à venir. Téléphone : +33 6 14 03 13 94.

Aucun délégué à la protection des données n'a été désigné : cette désignation n'est pas obligatoire au regard de la nature et de l'échelle des traitements. Les demandes sont traitées directement par la responsable de traitement, à l'adresse contact@bloomara-event.com.

Ce que nous tenons

• Un registre des activités de traitement en qualité de responsable de traitement (art. 30.1).
• Un registre des catégories de traitements en qualité de sous-traitant (art. 30.2).
• Un registre des violations de données (art. 33.5), tenu même en l'absence de notification.
• Une politique de durées de conservation documentée et mise en œuvre techniquement.
• Un accord de sous-traitance avec chacun de nos propres sous-traitants.

Ces documents sont communiqués sur demande motivée dans le cadre d'un audit client.

Hébergement et localisation

La base de données applicative, l'authentification et le stockage de fichiers sont hébergés dans l'Union européenne, en Irlande. Les transferts hors Union européenne, leur nature et leur encadrement sont détaillés à la section 6 de la politique de confidentialité.

Article 1 — Objet

Le présent accord définit les conditions dans lesquelles Bloomara Event traite, pour le compte du Client, les données à caractère personnel contenues dans les Données Client, dans le cadre de la fourniture de la Plateforme.

Article 2 — Description du traitement

Article 3 — Obligations de Bloomara Event

Bloomara Event s'engage à :

• ne traiter les données que sur instruction documentée du Client, l'utilisation de la Plateforme et le présent accord constituant ces instructions ;
• informer immédiatement le Client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition du droit de l'Union ou d'un État membre ;
• garantir la confidentialité des données et s'assurer que toute personne autorisée à y accéder est soumise à une obligation de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles de l'article 4 ;
• ne pas transférer les données hors de l'Union européenne en dehors des cas et des garanties décrits à l'article 6 ;
• aider le Client à répondre aux demandes d'exercice de droits (article 7) ;
• aider le Client à respecter ses obligations au titre des articles 32 à 36 du RGPD, notamment en cas de violation de données ou d'analyse d'impact ;
• supprimer ou restituer les données au terme du contrat (article 11) ;
• mettre à disposition du Client toutes les informations nécessaires pour démontrer le respect du présent accord (article 10) ;
• tenir le registre prévu à l'article 30.2 du RGPD.

Bloomara Event n'utilise en aucun cas les Données Client à ses propres fins, notamment publicitaires, commerciales ou d'entraînement de modèles d'intelligence artificielle.

Article 4 — Mesures de sécurité (article 32)

Les objectifs de reprise mentionnés à la ligne « Sauvegardes » sont détaillés dans la politique de continuité.

Article 5 — Sous-traitants ultérieurs

5.1. Le Client autorise de façon générale Bloomara Event à recourir aux sous-traitants ultérieurs énumérés à la section 6 de la politique de confidentialité, laquelle constitue la liste contractuelle au sens de l'article 28.2 du RGPD.

5.2. Bloomara Event informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins trente jours avant sa mise en œuvre, par courriel et par mise à jour de la liste.

5.3. Le Client peut s'opposer à cet ajout pour un motif légitime tenant à la protection des données, dans un délai de quinze jours. Les Parties recherchent alors une solution alternative ; à défaut, le Client peut résilier son Abonnement sans pénalité, avec remboursement au prorata de la période payée non courue.

5.4. Bloomara Event impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord et demeure pleinement responsable devant le Client de leur exécution.

Article 6 — Transferts hors de l'Union européenne

La base de données, l'authentification et le stockage de fichiers sont localisés en Irlande. Certains sous-traitants ultérieurs impliquent néanmoins des transferts hors de l'Union européenne, principalement vers les États-Unis. Chacun est encadré par les clauses contractuelles types de la Commission européenne, complétées le cas échéant par le cadre de protection des données UE–États-Unis. Le détail figure à la section 6 de la politique de confidentialité.

Le Client est expressément informé que l'utilisation de l'assistant Bloom implique un transfert de contenu vers les États-Unis, sans région européenne disponible. Cette fonctionnalité peut être désactivée sur demande.

Article 7 — Assistance à l'exercice des droits

7.1. La Plateforme met à disposition du Client les fonctionnalités lui permettant de répondre lui-même aux demandes d'accès, de rectification, d'effacement et de portabilité : consultation, modification, suppression et export des données.

7.2. Lorsque ces fonctionnalités ne suffisent pas, Bloomara Event assiste le Client dans un délai de dix jours ouvrés à compter de sa demande écrite.

7.3. Si une personne concernée s'adresse directement à Bloomara Event, celle-ci transmet la demande au Client sans délai et n'y répond pas elle-même, sauf instruction contraire du Client.

Article 8 — Violation de données

8.1. Bloomara Event notifie au Client toute violation de données à caractère personnel affectant ses Données, sans délai injustifié et au plus tard dans les quarante-huit heures suivant sa découverte, afin de lui permettre de respecter le délai de soixante-douze heures qui lui incombe au titre de l'article 33 du RGPD.

8.2. La notification comporte, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou envisagées, et un point de contact. Elle peut être complétée en plusieurs temps.

8.3. Bloomara Event ne procède à aucune notification à l'autorité de contrôle au nom du Client, cette obligation incombant à celui-ci en sa qualité de responsable de traitement.

Article 9 — Analyse d'impact

Bloomara Event fournit au Client, sur demande, les informations techniques nécessaires à la réalisation d'une analyse d'impact relative à la protection des données au titre de l'article 35 du RGPD.

Article 10 — Audit

10.1. Bloomara Event met à disposition du Client, sur demande écrite, la documentation permettant de démontrer sa conformité : la présente page, la politique de confidentialité, la politique de continuité, et un résumé de ses mesures de sécurité.

10.2. Le Client peut réaliser un audit, au maximum une fois par an, moyennant un préavis de trente jours, pendant les heures ouvrées, sans perturber l'exploitation, et sous réserve d'un engagement de confidentialité. L'audit ne peut porter sur les infrastructures des sous-traitants ultérieurs, pour lesquelles Bloomara Event transmet la documentation de conformité dont elle dispose.

10.3. Les frais d'audit sont à la charge du Client, sauf si l'audit révèle un manquement substantiel de Bloomara Event.

Article 11 — Sort des données au terme du contrat

11.1. Le Client dispose de quatre-vingt-dix jours à compter de la fin du contrat pour exporter ses Données dans un format structuré, couramment utilisé et lisible par machine.

11.2. À l'expiration de ce délai, Bloomara Event supprime définitivement les Données Client de ses systèmes actifs. La suppression des sauvegardes intervient au plus tard trente jours après, par rotation naturelle des sauvegardes.

11.3. Par exception, Bloomara Event conserve les données dont la conservation est imposée par le droit de l'Union ou d'un État membre : pièces comptables pendant dix ans, dossiers de preuve de signature électronique pendant cinq ans. Ces données sont conservées en archivage à accès restreint, exclusivement pour ces finalités.

Article 12 — Responsabilité

La responsabilité de Bloomara Event au titre du présent accord est régie par l'article 7 des conditions générales d'utilisation, sans préjudice des dispositions de l'article 82 du RGPD relatives à la responsabilité envers les personnes concernées, auxquelles il ne peut être dérogé.

Article 13 — Durée et modification

Le présent accord entre en vigueur à l'acceptation des conditions générales d'utilisation et demeure applicable pendant toute la durée du traitement. Toute modification substantielle est notifiée au moins trente jours à l'avance, dans les mêmes conditions que les conditions générales d'utilisation.