Ceci est une traduction fournie à titre informatif. Seule la version allemande fait foi. Deutsch

Contrat de sous-traitance

conformément à l’art. 28 RGPD · Version 2026-10 · Octobre 2026

Projet – à faire vérifier juridiquement avant le lancement.

entre le studio qui utilise Pioqor (responsable du traitement, « studio ») et Bheppo GmbH (Pioqor), Kleine Reichenstraße 5, 20457 Hambourg, Allemagne (sous-traitant, « nous »).

Ce contrat est conclu par confirmation lors de l’inscription ou dans l’application et fait partie du contrat d’utilisation selon nos conditions générales. La date et la version de la confirmation sont enregistrées. L’exigence de forme de l’art. 28, par. 9 RGPD (format électronique) est ainsi respectée.

§ 1 Objet et durée

1. Nous traitons des données personnelles pour le compte du studio afin de fournir Pioqor en tant que logiciel (hébergement, stockage, traitement technique, assistance).
2. Le contrat s’applique pendant la durée du contrat d’utilisation, période d’essai comprise, et au-delà tant que nous traitons des données du studio.

§ 2 Nature et finalité du traitement, données et personnes concernées

1. Nature et finalité : collecte, enregistrement, organisation, affichage, modification, transmission (par exemple envoi d’e-mails de connexion) et effacement de données, exclusivement pour fournir au studio les fonctions de Pioqor.
2. Catégories de personnes concernées : clients du studio (y compris prospects et représentants légaux), employés, artistes et artistes invités, personnes figurant sur des listes de contacts importées par le studio.
3. Types de données :
   • Données d’identification et de contact : nom, téléphone, e-mail, langue, date de naissance
   • Données de rendez-vous et de prestations : rendez-vous, prestations, notes, cartes cadeaux
   • Données de paiement et de comptabilité du studio : montants, acomptes, moyens de paiement, décomptes avec les artistes
   • Formulaires de consentement et d’inscription, y compris des données de santé (catégories particulières au sens de l’art. 9 RGPD), si le studio les demande
   • Données de communication : consentements de contact et publicitaires, statut des campagnes
   • Données d’utilisateur du personnel : nom, e-mail, rôle, horaires, retraits de matériel
   • Données techniques : horodatages, journaux

§ 3 Instructions

1. Nous ne traitons les données que sur instruction documentée du studio. Les instructions découlent du présent contrat, des conditions générales et de l’utilisation des fonctions de Pioqor. Le studio donne d’autres instructions par écrit à [email protected].
2. Si un traitement est imposé par la loi, nous en informons préalablement le studio, sauf si la loi l’interdit.
3. Si nous estimons qu’une instruction est illicite, nous en informons le studio sans délai et pouvons en suspendre l’exécution jusqu’à confirmation.

§ 4 Confidentialité

Toutes les personnes ayant accès aux données de notre côté sont tenues à la confidentialité ou soumises à une obligation légale de secret. Nous n’accédons aux données du studio que dans la mesure nécessaire au fonctionnement, à la correction d’erreurs ou à la demande du studio (assistance).

§ 5 Sécurité du traitement

Nous mettons en œuvre les mesures techniques et organisationnelles au sens de l’art. 32 RGPD décrites à l’annexe 1. Nous pouvons les faire évoluer tant que le niveau de protection n’est pas réduit.

§ 6 Sous-traitants ultérieurs

1. Le studio donne une autorisation générale de recourir à des sous-traitants ultérieurs. Ceux utilisés lors de la conclusion du contrat sont listés à l’annexe 2 et sont réputés autorisés.
2. Nous informons le studio des changements envisagés au moins 30 jours à l’avance, par écrit ou dans l’application. Le studio peut s’y opposer pour un motif important lié à la protection des données. Si nous ne pouvons pas remédier à l’opposition, le studio peut résilier le contrat à la date du changement.
3. Nous imposons contractuellement aux sous-traitants ultérieurs des obligations de protection des données équivalentes au présent contrat.
4. Un traitement hors de l’UE / de l’EEE ou par des prestataires établis dans des pays tiers n’a lieu que si les conditions des art. 44 et suivants RGPD sont remplies, par exemple par une décision d’adéquation (cadre de protection des données UE-États-Unis) ou des clauses contractuelles types de l’UE.

§ 7 Assistance au studio

1. Nous aidons le studio, par des mesures appropriées, à répondre aux demandes des personnes concernées (art. 15 à 22 RGPD). Le studio peut exercer de nombreux droits directement dans Pioqor, par exemple consulter, rectifier ou supprimer des données. Si une demande nous parvient directement, nous la transmettons au studio.
2. Nous aidons le studio à respecter ses obligations des art. 32 à 36 RGPD (sécurité, notification des violations, analyse d’impact, consultation préalable).

§ 8 Violations de données

Nous informons le studio sans délai, si possible dans les 24 heures, après avoir pris connaissance d’une violation de ses données personnelles. La notification contient, dans la mesure où elles sont connues, les informations de l’art. 33, par. 3 RGPD. Nous prenons sans délai des mesures pour remédier à la violation et en atténuer les conséquences.

§ 9 Effacement et restitution

1. Après la fin du contrat, le studio peut demander dans un délai de 30 jours une copie de ses données dans un format courant et lisible par machine.
2. Nous effaçons ensuite toutes les données du studio au plus tard dans un délai supplémentaire de 60 jours, sauf obligation légale de conservation. Les données des sauvegardes sont écrasées selon le cycle normal de sauvegarde.
3. Sur demande, nous confirmons l’effacement par écrit.

§ 10 Preuves et audits

Sur demande, nous fournissons au studio les informations nécessaires pour démontrer le respect du présent contrat, notamment la description actuelle des mesures et les certifications de nos sous-traitants ultérieurs. Des audits sur place sont possibles après préavis suffisant, pendant les heures d’ouverture habituelles et sans perturber le fonctionnement ; le travail occasionné peut être facturé de manière raisonnable.

§ 11 Responsabilité et dispositions finales

1. La responsabilité est régie par l’art. 82 RGPD. Pour le reste, les règles de responsabilité des conditions générales s’appliquent.
2. En cas de contradiction entre le présent contrat et d’autres accords, le présent contrat prévaut en matière de protection des données.
3. Le droit allemand s’applique. La langue du contrat est l’allemand ; les traductions sont fournies à titre informatif.

Annexe 1 – Mesures techniques et organisationnelles

Confidentialité

• Centres de données des sous-traitants ultérieurs avec contrôle d’accès et certifications (notamment ISO 27001 / SOC 2) ; nous n’exploitons pas de serveurs propres.
• Accès à Pioqor uniquement avec un compte personnel ; les mots de passe ne sont stockés que sous forme de hachage.
• Gestion des rôles et des droits dans l’application (admin, manager, artiste, invité) ; les artistes ne voient que ce que leur rôle permet.
• Séparation stricte des studios : chaque requête en base de données est limitée au studio concerné par des règles de sécurité au niveau des lignes (Row Level Security).
• Accès administratif à la base de données, à l’hébergement et au service de paiement réservé à la direction du prestataire, avec authentification à deux facteurs.

Intégrité

• Transmission chiffrée de toutes les données (TLS / HTTPS).
• Chiffrement des données stockées chez l’hébergeur (AES-256).
• Les formulaires publics (par exemple l’auto-inscription) ne fonctionnent que via des fonctions strictement limitées, avec plafonds d’utilisation et sans accès en lecture à d’autres données.
• Les modifications du logiciel sont testées avant leur mise en ligne ; les modifications de la base de données sont versionnées.

Disponibilité et résilience

• Sauvegarde automatique quotidienne de la base de données.
• Diffusion de l’application via un réseau mondialement distribué, protégé contre les attaques par surcharge.

Procédure de contrôle

• Contrôle régulier des mesures et des sous-traitants ultérieurs, au moins une fois par an.
• Paramètres respectueux de la vie privée : pas de cookies de suivi ou publicitaires, pas d’outils d’analyse, polices et bibliothèques servies depuis notre propre serveur.

Annexe 2 – Sous-traitants ultérieurs

Stripe n’est pas sous-traitant pour les données des clients du studio : seuls le paiement et la facturation de l’abonnement Pioqor passent par Stripe, qui agit en tant que responsable de traitement indépendant.