Accord de traitement des données

FARENIO ÉCOSYSTÈME

(GDPR article 28)

1. FÊTES

Cet accord de traitement des données («DPA») fait partie de la relation contractuelle entre

GQ VENTURES SAS

Nom commercial : FARENIO (« Sous-traitant ») et le client, l'hôte, le gestionnaire immobilier, l'agence, l'entreprise cliente ou toute autre organisation utilisant la plateforme FARENIO (« Contrôleur »).

2. OBJECTIF

Le présent DPA régit le traitement des données personnelles par FARENIO au nom du responsable du traitement.

Il répond aux exigences de :

• Règlement (EU) 2016/679 (GDPR)
• Loi Informatique et Libertés
• Royaume-Uni GDPR (le cas échéant)
• Autres lois applicables en matière de confidentialité.

3. DÉFINITIONS

Sauf définition contraire, les termes auront la signification donnée sous GDPR.

Y compris:

• Contrôleur
• Processeur
• Personne concernée
• Données personnelles
• Traitement
• Sous-traitant
• Violation des données personnelles
• Autorité de surveillance

4. OBJET

FARENIO traite les données personnelles uniquement pour fournir :

• SaaS prestations
• Services du marché
• PMS intégrations
• Opérations immobilières
• Gestion du chiffre d'affaires
• Coordination des fournisseurs
• AI automatisation du flux de travail
• Assistance client

5. DURÉE

Le traitement ne se poursuivra que pendant la durée nécessaire à l'exécution des Services, sauf si une conservation plus longue est requise par la loi.

6. NATURE DU TRAITEMENT

Le traitement peut inclure :

Collection

Enregistrement

Organisation

Structuration

Stockage

Récupération

Consultation

Utiliser

Transmission

Alignement

Restriction

Effacement

Destruction

7. OBLIGATIONS DE PROCÉDURE

FARENIO doit :

Traitez les données uniquement selon des instructions documentées.

Maintenir la confidentialité.

Mettre en œuvre une sécurité appropriée.

Assister le contrôleur.

Notifier les violations de données personnelles.

Supprimez ou renvoyez les données le cas échéant.

Permettre les audits dans des conditions raisonnables.

Tenir des registres de traitement.

8. CONFIDENTIALITÉ

FARENIO veillera à ce que chaque employé, entrepreneur et personne autorisée

traitement de données personnelles :

• est tenu à des obligations de confidentialité ;
• reçoit une formation appropriée en matière de confidentialité ;
• accède uniquement aux données nécessaires aux fins autorisées.

9. SÉCURITÉ

FARENIO mettra en œuvre les Mesures Techniques et Organisationnelles (TOM) appropriées.

Annexe B.

10. SOUS-PROCÉDURES

FARENIO peut nommer des sous-traitants ultérieurs.

Annexe C.

FARENIO doit :

Restez responsable de leur conformité.

Exiger des contrats conformes à GDPR.

Notifier les changements importants.

11. TRANSFERTS INTERNATIONAUX

Lorsque les données personnelles quittent l'EEE,

FARENIO doit utiliser des garanties appropriées, notamment :

Clauses contractuelles types

Décisions d’adéquation

Autres mécanismes de transfert légaux.

Annexe D.

12. AIDE

FARENIO assistera le Responsable du traitement concernant :

Demandes d'accès

Demandes de suppression

Demandes de correction

Portabilité

Restriction

Objections

Évaluations d'impact

Enquêtes réglementaires

13. VIOLATIONS DE DONNÉES PERSONNELLES

FARENIO informera le responsable du traitement sans délai injustifié après avoir pris connaissance d'une violation de données personnelles confirmée.

Annexe F.

14. RETOUR ET SUPPRESSION DE DONNÉES

À la résiliation,

FARENIO doit :

Supprimer ou renvoyer les données personnelles, sauf si leur conservation est légalement requise.

15. DROITS D'AUDIT

Le contrôleur peut procéder à des audits raisonnables.

Les audits doivent :

Soyez proportionné.

Protégez les informations confidentielles.

Évitez les perturbations.

Être soumis à un préavis raisonnable.

16. RESPONSABILITÉ

La responsabilité sera régie par :

GDPR

L’accord SaaS

Le CGU/CGV

Loi applicable.

17. LOI APPLICABLE

Droit français.

18. ACCEPTATION

L'utilisation de la Plateforme vaut acceptation du présent DPA.

ANNEXE A

DESCRIPTION DES ACTIVITÉS DE TRAITEMENT

Finalité du traitement

FARENIO traite les Données Personnelles pour :

• Inscription des utilisateurs
• Vérification d'identité
• livraison SaaS
• Services du marché
• Opérations immobilières
• Nettoyage du chiffre d'affaires
• PMS Synchronisation
• Gestion des fournisseurs
• AI Planification
• AI Tarifs
• AI Expédition
• Service client
• Facturation
• Prévention de la fraude
• DAC7 Rapports
• AML/KYC Conformité
• Analytique
• Surveillance de la sécurité

Catégories de données personnelles

Données d'identité

Coordonnées

Données de propriété

Données de réservation

Données des invités

Informations de paiement

Informations commerciales

Informations sur l'appareil

Données d'utilisation

Données de localisation (si autorisé)

Dossiers de communications

Demandes d'assistance

Photos téléchargées par les fournisseurs

Rapports d'inspection

AI données opérationnelles générées

Catégories de personnes concernées

Hôtes

Gestionnaires immobiliers

Invités

Nettoyants

Entreprises de nettoyage

Vendeurs

Partenaires

Employés

Entrepreneurs

Visiteurs du site Web

Clients potentiels

Contacts d'assistance

Base juridique

Article 6, paragraphe 1, point a)

Consentement

Article 6, paragraphe 1, point b)

Contracter

Article 6, paragraphe 1, point c)

Obligation légale

Article 6, paragraphe 1, point f)

Intérêts légitimes

Article 9 le cas échéant.

Opérations de traitement

Collection

Enregistrement

Stockage

Récupération

Organisation

Analyse

Correspondance

Synchronisation

Rapports

Effacement

Anonymisation

ANNEXE B

MESURES TECHNIQUES & ORGANISATIONNELLES (TOM)

FARENIO met en œuvre des mesures de sécurité comprenant :

Gouvernance

Programme de gouvernance de la confidentialité

Politique de sécurité des informations

Évaluations des risques

Examens annuels

Contrôle d'accès

Accès basé sur les rôles

Moindre privilège

Authentification multifacteur

Politiques de mot de passe

Surveillance des accès privilégiés

Sécurité des infrastructures

Chiffrement en transit (TLS)

Chiffrement au repos

Protection par pare-feu

Segmentation du réseau

Protection des points de terminaison

Gestion des vulnérabilités

Gestion des correctifs

Sécurité des applications

Cycle de vie de développement sécurisé

Révision du code

Analyse des dépendances

Tests d'intrusion

API Authentification

Gestion des sessions

Journalisation d'audit

Sécurité opérationnelle

Sauvegardes

Reprise après sinistre

Continuité des activités

Surveillance

Gestion des incidents de sécurité

Gestion des risques fournisseurs

Sécurité du personnel

Accords de confidentialité

Vérification des antécédents lorsque cela est licite

Formation de sensibilisation à la sécurité

Procédures de révocation d'accès

ANNEXE C

REGISTRE DES SOUS-PROCÉDURES AGRÉÉES

Emplacement des données de finalité du service

Application d'infrastructure cloud

Hébergement EU/EEE si disponible

Processeur de paiement Traitement des paiements Selon l'infrastructure du fournisseur

Fournisseur de messagerie transactionnel

Email EU/Global comme convenu contractuellement

Notifications du fournisseur SMS Global avec garanties

Service client

Tickets de support de plateforme EU/Global avec garanties

Plateforme du fournisseur d'analyses Analyses agrégées/pseudonymisées si possible

AI Fournisseur de services AI Caractéristiques Selon les lieux de traitement agréés

Fournisseur de sauvegarde Reprise après sinistre EU/EEE lorsque cela est possible

FARENIO maintiendra et mettra à jour ce registre à mesure que des prestataires de services seront ajoutés, supprimés ou remplacés.

ANNEXE D

MÉCHANISMS INTERNATIONAL DE TRANSFERT DE DONNÉES

Les transferts en dehors de l’EEE reposent sur :

Décisions d'adéquation ou clauses contractuelles types ou autre mécanisme légal de transfert de fonds.

Des garanties supplémentaires peuvent inclure :

Cryptage

Contrôles d'accès

Évaluations de l’impact des transferts

Clauses de sécurité contractuelles

Diligence raisonnable des fournisseurs

ANNEXE E

CALENDRIER DE CONSERVATION DES DONNÉES

Type de données Période de conservation typique

Historique du compte Durée du compte + durée de conservation légale applicable

Dossiers de réservation Conformément aux obligations légales, fiscales et contractuelles

Dossiers de paiement Conformément aux lois comptables et fiscales applicables

Tickets d'assistance Dans la mesure raisonnablement nécessaire à des fins d'assistance et à des fins juridiques

AI Logs Période limitée nécessaire à l'amélioration et à la sécurité du service

Journaux d'audit Selon les exigences de sécurité et de conformité

Consentement marketing Jusqu'à ce qu'il soit retiré ou qu'il ne soit plus nécessaire

Journaux de sécurité Selon les besoins de cybersécurité et de réponse aux incidents

Dans la mesure du possible, les données seront anonymisées plutôt que conservées sous une forme identifiable.

ANNEXE F

PROCÉDURE DE RÉPONSE EN CAS DE VIOLATION DE DONNÉES PERSONNELLES

Étape 1

Détection

Incident identifié.

Confinement immédiat initié.

Étape 2

Évaluation

Déterminer:

Nature du manquement

Catégories de données

Nombre de personnes touchées

Risques probables

Étape 3

Endiguement

Isolez les systèmes concernés.

Révoquez les informations d’identification compromises.

Empêchez tout accès non autorisé.

Étape 4

Notification

Informer le contrôleur sans délai injustifié.

Lorsque la loi l’exige :

Informer l'autorité de surveillance.

Avertissez les personnes concernées.

Étape 5

Récupération

Restaurer les services.

Validez la sécurité.

Surveiller les systèmes.

Étape 6

Documentation

Enregistrer:

Chronologie

Cause première

Analyse d'impact

Actions correctives

Leçons apprises

Tenir un registre des violations conformément aux exigences de responsabilité GDPR.

Étape 7

Examen post-incident

Effectuer un examen formel.

Mettre en œuvre des actions correctives.

Mettre à jour les contrôles de sécurité.

Examiner les politiques et la formation du personnel.

Réviser les évaluations des risques si nécessaire.