Accord de traitement des données (DPA) — Caravel Sites

Version 1.0. Date d'entrée en vigueur : en cours de révision

Le présent accord est en cours de révision. Les points signalés par en cours de révision sont encore en cours de confirmation et peuvent changer avant l'entrée en vigueur de l'accord. La version portugaise prévaut en cours de révision.

Le présent accord suit l'article 28, paragraphe 3, du règlement (UE) 2016/679 (règlement général sur la protection des données, « RGPD ») et prend pour référence les clauses contractuelles types entre responsables du traitement et sous-traitants adoptées par la Commission européenne dans la décision d'exécution (UE) 2021/915 de la Commission du 4 juin 2021 (JO L 199 du 7.6.2021, p. 18). Il suit la structure du DPA des apps Caravel (https://caravelsuite.com/fr/legal/dpa/, version 1.1 du 01/11/2026), adaptée au service Caravel Sites.

Sources officielles :

• RGPD — EUR-Lex, CELEX 32016R0679 : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679
• Décision d'exécution (UE) 2021/915 — CELEX 32021D0915 : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32021D0915
• Décision d'exécution (UE) 2021/914 (clauses contractuelles types pour les transferts vers des pays tiers) — CELEX 32021D0914 : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32021D0914
• Loi portugaise n° 58/2019 du 8 août (exécution du RGPD) : https://diariodarepublica.pt/dr/detalhe/lei/58-2019-123815982
• Lignes directrices 07/2020 de l'EDPB concernant les notions de responsable du traitement et de sous-traitant dans le RGPD (version 2.0, 7 juillet 2021) : https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_fr

Parties

1. Le Client — la personne physique ou morale qui souscrit au service Caravel Sites, identifiée dans son compte et sur sa facture (le « Responsable du traitement » ou le « Client »).
2. Jardim Idílico Unipessoal Lda, exerçant sous le nom commercial Caravel Suite, numéro d'identification fiscale/TVA PT518764532, dont le siège social est situé Rua da Póvoa, n.º 775, Fração L, Zona Industrial de Amorim, 4495-121 Póvoa de Varzim, Portugal, immatriculée au registre du commerce sous le n° 518764532, contact caravel@caravelsuite.com (le « Sous-traitant » ou « Caravel »).

Clause 1 — Objet et champ d'application

1. Le présent accord régit le traitement des données à caractère personnel que Caravel effectue pour le compte du Client dans le cadre de la fourniture du service Caravel Sites : création, hébergement et maintenance du site web du Client et, en particulier, réception, conservation et remise au Client des messages que les visiteurs envoient au moyen des formulaires de contact et de demande de réservation du site, disponibles dans le tableau de bord Caravel Sites.
2. Au sens de l'article 4, points 7) et 8), et de l'article 28 du RGPD, le Client est le responsable du traitement de ces données et Caravel en est le sous-traitant.
3. Le présent accord ne couvre pas — elles sont régies par la Politique de confidentialité de caravelsuite.com (https://caravelsuite.com/fr/legal/privacy/) — les données que Caravel traite en qualité de responsable du traitement dans le cadre de sa relation avec le Client lui-même : compte, facturation, paiements de l'abonnement (traités par Stripe), assistance et correspondance.
4. Le présent accord fait partie des conditions de vente de Caravel Sites (Conditions d'utilisation, https://caravelsuite.com/fr/legal/terms/). En cas de contradiction en matière de protection des données, le présent accord prévaut (cf. clause 4 de l'annexe de la décision d'exécution (UE) 2021/915).
5. Le présent accord est conclu par voie électronique, ce que l'article 28, paragraphe 9, du RGPD admet comme forme écrite.

Clause 2 — Durée

1. Le présent accord prend effet lorsque le Client l'accepte (lors de l'achat ou de l'enregistrement du compte Caravel Sites) et reste en vigueur aussi longtemps que Caravel traite des données à caractère personnel pour le compte du Client.
2. Il survit à la fin de l'abonnement jusqu'à ce que la suppression ou la restitution prévue à la clause 10 soit achevée.

Clause 3 — Nature, finalité, catégories de données et de personnes concernées

Description complète à l'annexe I. En résumé :

• Nature : collecte au moyen des formulaires du site, enregistrement, conservation, consultation par le Client dans le tableau de bord, notification par email au Client, sauvegarde, effacement.
• Finalité : permettre au Client de recevoir les demandes de contact et d'y répondre, et de gérer les demandes de réservation des visiteurs de son site.
• Personnes concernées : visiteurs du site du Client qui soumettent un formulaire (clients potentiels, hôtes, convives).
• Données : nom, email, téléphone, date, heure, nombre de personnes, texte du message ; données techniques de l'envoi (date et heure ; en cours de révision).
• Catégories particulières (article 9 du RGPD) : le service ne les demande pas. Le champ de message est un texte libre et un visiteur peut, de sa propre initiative, y écrire des informations relatives à sa santé (par exemple des allergies ou une mobilité réduite). Le Client ne doit pas configurer de champs demandant de telles données sans disposer de sa propre base juridique au titre de l'article 9, paragraphe 2.

Clause 4 — Instructions documentées

1. Caravel ne traite les données que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers des pays tiers, à moins d'y être tenue par le droit de l'Union ou le droit portugais ; dans ce cas, Caravel en informe préalablement le Client, sauf si la loi l'interdit (article 28, paragraphe 3, point a), du RGPD ; clause 7.1 de l'annexe de la décision 2021/915).
2. Constituent des instructions documentées : le présent accord ; la configuration du Client dans le tableau de bord (champs des formulaires, email de notification, durée de conservation) ; et les demandes que le Client envoie par email depuis l'adresse associée au compte.
3. Caravel informe immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d'autres dispositions relatives à la protection des données (article 28, paragraphe 3, dernier alinéa, du RGPD).
4. Caravel n'utilise pas les données à ses propres fins — y compris la publicité, le profilage, la vente ou l'entraînement de modèles d'intelligence artificielle — et ne les combine pas avec les données d'autres clients. Si elle le faisait, elle serait considérée comme responsable du traitement pour ce traitement (article 28, paragraphe 10, du RGPD).

Clause 5 — Confidentialité

1. Caravel veille à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité (article 28, paragraphe 3, point b), du RGPD).
2. L'accès est limité à ce qui est strictement nécessaire pour fournir, maintenir et assister le service. en cours de révision

Clause 6 — Sécurité du traitement (article 32 du RGPD)

1. Caravel met en œuvre les mesures techniques et organisationnelles décrites à l'annexe II, appropriées au risque, compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement (article 28, paragraphe 3, point c), et article 32 du RGPD).
2. Caravel peut mettre à jour ces mesures à condition que le niveau de sécurité ne soit pas réduit.
3. Caravel ne se prévaut pas de certifications (telles que ISO/IEC 27001) qu'elle ne détient pas.
4. Le Client est responsable de la protection de ses identifiants du tableau de bord et de l'email de notification, ainsi que de ne pas demander dans les formulaires plus de données qu'il n'en a besoin (article 5, paragraphe 1, point c), du RGPD).

Clause 7 — Sous-traitants ultérieurs

1. Le Client accorde à Caravel une autorisation générale de recruter les sous-traitants ultérieurs énumérés à l'annexe III (article 28, paragraphe 2, du RGPD ; clause 7.7, option 2, de l'annexe de la décision 2021/915).
2. Caravel informe le Client par email au moins 30 jours à l'avance en cours de révision de tout projet d'ajout ou de remplacement de sous-traitants ultérieurs et tient la liste à jour sur son site web.
3. Le Client peut s'y opposer par écrit, pour des motifs raisonnables liés à la protection des données, dans ce délai. Si l'objection n'est pas résolue, le Client peut résilier l'abonnement avant que le changement ne prenne effet, sans pénalité, avec le remboursement de la partie payée et non utilisée de la période en cours en cours de révision.
4. Caravel impose contractuellement à chaque sous-traitant ultérieur des obligations en matière de protection des données équivalentes à celles du présent accord, en particulier des garanties suffisantes de sécurité, et demeure pleinement responsable à l'égard du Client de leur exécution (article 28, paragraphe 4, du RGPD).
5. En cas d'urgence de sécurité ou d'interruption soudaine d'un prestataire, Caravel peut procéder au remplacement avec un préavis plus court, en informant le Client dès que possible et en préservant le droit d'opposition.

Clause 8 — Assistance au Client

1. Droits des personnes concernées (articles 12 à 22 du RGPD) : compte tenu de la nature du traitement, Caravel aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (article 28, paragraphe 3, point e), du RGPD ; clause 8 de l'annexe de la décision 2021/915). Dans le tableau de bord, le Client peut consulter, exporter et supprimer les messages en cours de révision. Si Caravel reçoit une demande directement d'une personne concernée, elle la transmet au Client sans délai et n'y répond pas, sauf instruction du Client.
2. Autres obligations : Caravel fournit au Client les informations raisonnablement nécessaires pour respecter les articles 32 à 36 du RGPD (sécurité, violations, analyse d'impact et consultation préalable), compte tenu de la nature du traitement et des informations dont elle dispose (article 28, paragraphe 3, point f), du RGPD).
3. Caravel tient un registre des activités de traitement effectuées pour le compte de ses clients (article 30, paragraphe 2, du RGPD).

Clause 9 — Violations de données à caractère personnel

1. Caravel notifie au Client dans les meilleurs délais après en avoir pris connaissance toute violation de données à caractère personnel affectant les données du Client (article 33, paragraphe 2, du RGPD) et, en tout état de cause, au plus tard dans les 24 heures, par email à l'adresse du compte (même délai que dans le DPA des apps Caravel).
2. La notification comprend, dans la mesure du possible et éventuellement de manière échelonnée : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées et un point de contact auprès duquel des informations supplémentaires peuvent être obtenues (article 33, paragraphe 3, du RGPD ; clause 9.2 de l'annexe de la décision 2021/915).
3. La notification à l'autorité de contrôle (au Portugal, la CNPD) dans les 72 heures et la communication aux personnes concernées (articles 33 et 34 du RGPD) relèvent de la responsabilité du Client. Caravel l'assiste avec les informations dont elle dispose.
4. Référence : lignes directrices 9/2022 de l'EDPB sur la notification des violations de données à caractère personnel en vertu du RGPD (version 2.0, 28 mars 2023) : https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_fr

Clause 10 — Conservation, suppression et restitution

1. Pendant l'abonnement : les messages des formulaires sont supprimés automatiquement lorsqu'ils atteignent la durée de conservation configurée par le Client dans le tableau de bord, 180 jours par défaut en cours de révision. Le Client peut les supprimer plus tôt.
2. À la fin de l'abonnement (résiliation ou défaut de paiement, selon les conditions de vente : suspension 15 jours après l'échéance et suppression 60 jours plus tard, avec préavis), Caravel, au choix du Client, restitue les données (export dans un format couramment utilisé tel que CSV en cours de révision) et supprime le reste, à moins que le droit de l'Union ou le droit portugais n'exige leur conservation (article 28, paragraphe 3, point g), du RGPD ; clause 10, point d), de l'annexe de la décision 2021/915). Si le Client ne formule aucune demande, les données sont supprimées à la fin du délai prévu dans les conditions de vente.
3. Les données supprimées disparaissent des sauvegardes chiffrées à la fin du cycle de conservation des sauvegardes, jusqu'à en cours de révision semaines. D'ici là, les sauvegardes ne sont utilisées que pour la restauration après un incident.
4. Caravel confirme la suppression par écrit à la demande du Client.

Clause 11 — Démonstration de la conformité et audits

1. Caravel met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD (article 28, paragraphe 3, point h), du RGPD ; clause 7.6 de l'annexe de la décision 2021/915), principalement par écrit (réponses à des questionnaires et description à jour des mesures de l'annexe II).
2. Si ces informations sont insuffisantes, ou si une autorité de contrôle l'exige, le Client peut réaliser ou mandater un audit, y compris des inspections, par un auditeur indépendant tenu à la confidentialité, au maximum une fois par an et moyennant un préavis de 30 jours, sauf en cas de violation de données ou d'injonction d'une autorité. Chaque partie supporte ses propres frais en cours de révision.
3. Un audit ne peut pas donner accès aux données d'autres clients ni compromettre la sécurité du service.

Clause 12 — Transferts internationaux

1. Les données des formulaires sont hébergées sur des serveurs situés dans l'Union européenne (en cours de révision, voir annexe III).
2. Caravel ne transfère pas les données en dehors de l'Espace économique européen, sauf lorsqu'un sous-traitant ultérieur énuméré à l'annexe III le fait. Dans ce cas, le transfert n'est effectué que sur la base d'une décision d'adéquation (article 45 du RGPD — par exemple, pour les États-Unis, le cadre de protection des données UE-États-Unis, décision d'exécution (UE) 2023/1795, pour les entités certifiées) ou de garanties appropriées, en particulier les clauses contractuelles types de la Commission adoptées par la décision d'exécution (UE) 2021/914 (article 46, paragraphe 2, point c), du RGPD).
3. Caravel informe le Client, conformément à la clause 7, avant de mettre en place tout nouveau transfert.

Clause 13 — Responsabilité, primauté, droit applicable et juridiction

1. Chaque partie est responsable conformément à l'article 82 du RGPD. Entre les parties, la limitation de responsabilité prévue dans les Conditions d'utilisation s'applique (montant payé au cours des 12 mois précédents, sauf faute intentionnelle ou négligence grave), dans la mesure permise par la loi et sans préjudice des droits des personnes concernées en cours de révision.
2. En cas de contradiction entre le présent accord et d'autres conditions convenues entre les parties, le présent accord prévaut en matière de protection des données.
3. Droit applicable : le droit portugais, y compris le RGPD et la loi n° 58/2019. Juridiction : les tribunaux du district de Porto, sans préjudice des règles impératives.
4. Caravel peut mettre à jour le présent accord pour tenir compte d'évolutions juridiques ou du service, en informant le Client par email 30 jours à l'avance ; les modifications qui réduisent la protection des données nécessitent l'accord du Client.

Annexe I — Description du traitement

Annexe II — Mesures techniques et organisationnelles (article 32 du RGPD)

Seules les mesures existantes sont énumérées. Les éléments signalés par en cours de révision doivent être vérifiés sur le serveur de Caravel Sites avant publication.

1. Chiffrement en transit : tous les sites et le tableau de bord sont servis exclusivement en HTTPS (TLS), avec un certificat pour le domaine du Client ; HTTP redirige vers HTTPS.
2. Isolation par client : les données de chaque Client sont conservées séparément de celles des autres clients en cours de révision ; chaque compte du tableau de bord ne voit que les messages de son propre site.
3. Sauvegardes chiffrées : sauvegardes automatiques en cours de révision.
4. Conservation configurable et suppression automatique : le tableau de bord supprime les messages lorsqu'ils atteignent la durée fixée par le Client (180 jours par défaut).
5. Minimisation : les formulaires ne demandent que les champs nécessaires ; les champs sont configurables ; les sites n'utilisent pas de cookies ni de traceurs tiers en cours de révision.
6. Contrôle d'accès : accès administratif au serveur uniquement par clé SSH en cours de révision ; pare-feu ; base de données non exposée à Internet en cours de révision ; accès au tableau de bord avec mot de passe individuel en cours de révision.
7. Protection contre les abus des formulaires : en cours de révision.
8. Journaux : les journaux du serveur ne conservent pas le contenu des messages en cours de révision ; conservation des journaux en cours de révision.
9. Personnes : accès limité à celles qui en ont besoin ; engagement de confidentialité (clause 5).
10. Réponse aux incidents : procédure d'analyse, de confinement et de notification au Client dans les 24 heures (clause 9).
11. Mises à jour : système et dépendances mis à jour régulièrement en cours de révision.

Annexe III — Sous-traitants ultérieurs autorisés

Ne sont pas des sous-traitants ultérieurs au titre du présent accord :

• Stripe — traite les paiements de l'abonnement du Client à Caravel. Il ne reçoit aucune donnée concernant les visiteurs du site. Régi par la Politique de confidentialité de caravelsuite.com.
• Le bureau d'enregistrement du domaine et le propre fournisseur de messagerie du Client — engagés par le Client (le domaine est enregistré au nom du Client).