Accord de traitement des données

Version du 1er octobre 2026

1. Parties, objet et durée

Cet accord complète les CGU entre l’organisateur, responsable du traitement, et Nicolas Manns exploitant Eventflow, sous-traitant. Il s’applique pendant la fourniture du service et jusqu’à restitution ou suppression des données traitées pour le compte de l’organisateur. Il ne couvre pas les traitements dont Eventflow ou Stripe déterminent eux-mêmes les finalités pour leurs obligations propres, décrits dans leurs politiques de confidentialité.

2. Traitements confiés

Le service comprend la collecte, l’enregistrement, l’hébergement, la consultation, la mise à jour, l’export, la transmission et la suppression nécessaires aux événements, inscriptions, commandes, billets, contrôles d’accès, notifications et suivi des paiements. Les personnes concernées sont les acheteurs, participants, contacts et membres habilités de l’organisation.

Les données concernées sont les identités et coordonnées, réponses aux formulaires configurés par l’organisateur, références de commande, billets, statuts de paiement et informations techniques nécessaires. L’organisateur limite la collecte aux données utiles ; il ne doit pas demander de données sensibles sans nécessité, base juridique et mesures appropriées préalablement convenues.

3. Instructions et confidentialité

Eventflow traite les données uniquement sur les instructions documentées de l’organisateur, constituées par cet accord, ses réglages et demandes écrites, y compris en matière de transferts internationaux. Si une obligation légale impose un autre traitement, Eventflow en informe préalablement l’organisateur, sauf interdiction légale. Eventflow l’informe immédiatement s’il estime qu’une instruction enfreint le droit de la protection des données.

Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire à leurs fonctions.

4. Sécurité

Eventflow met en œuvre les mesures techniques et organisationnelles appropriées au risque conformément à l’article 32 du RGPD : contrôle des accès et habilitations, séparation des organisations, protection des échanges, gestion des secrets, journalisation utile à la sécurité et procédures de traitement des incidents. Il évalue et adapte ces mesures selon la nature des données et du service. Les informations nécessaires à leur évaluation sont disponibles sur demande, sans divulgation de secrets compromettant la sécurité.

5. Sous-traitants ultérieurs et transferts

L’organisateur autorise généralement le recours aux sous-traitants techniques nécessaires, notamment Supabase (authentification, base et stockage), Netlify (hébergement), Resend (e-mails transactionnels) et Cloudflare (protection contre les abus), dans la mesure où ils traitent ses données. Stripe intervient selon les rôles définis par ses accords de paiement ; Billit sert à la facturation propre d’Eventflow.

Eventflow impose aux sous-traitants ultérieurs des obligations de protection équivalentes à celles du présent accord et demeure responsable de leur exécution envers l’organisateur. Il informe préalablement l’organisateur de tout ajout ou remplacement, lui permettant de présenter une objection motivée relative à la protection des données. Les parties recherchent une solution ; si aucune solution appropriée n’est possible avant le changement, l’organisateur peut mettre fin à la fonctionnalité ou au service concerné et demander la restitution de ses données.

Les transferts hors EEE doivent être encadrés par les garanties requises au chapitre V du RGPD. Eventflow fournit sur demande les informations relatives aux prestataires, localisations et mécanismes applicables.

6. Assistance et violations

Compte tenu de la nature du traitement et des informations dont il dispose, Eventflow aide l’organisateur à répondre aux demandes d’exercice des droits, à assurer la sécurité et à remplir ses obligations concernant les violations, analyses d’impact et consultations préalables. Il lui transmet les demandes reçues concernant ses participants et ne décide pas seul d’y donner suite hors instruction ou obligation légale.

Eventflow notifie à l’organisateur toute violation de données personnelles sans délai indu après en avoir pris connaissance. Il communique les informations disponibles sur la nature, les personnes et données concernées, les conséquences probables et les mesures prises ou proposées, et les complète au fur et à mesure. L’organisateur reste responsable des notifications à l’autorité et aux personnes lorsque requises.

7. Restitution et suppression

À la fin de la prestation, Eventflow restitue ou supprime les données et copies selon le choix documenté de l’organisateur, sauf obligation légale de conservation. L’organisateur formule son choix et organise ses exports avant fermeture ; une demande peut être adressée à contact@useeventflow.eu. Les copies de sauvegarde qui ne peuvent être effacées individuellement restent protégées, sans utilisation active, jusqu’à leur effacement par rotation. En cas de restauration, les instructions de suppression sont réappliquées. Aucune durée de sauvegarde particulière n’est garantie par le présent accord.

8. Documentation et contrôle

Eventflow met à disposition les informations nécessaires pour démontrer le respect de cet accord et permet les audits, y compris inspections, par l’organisateur ou un auditeur indépendant mandaté, et y contribue. Les modalités sont organisées avec un préavis raisonnable, sous confidentialité et sans compromettre les données d’autres clients ; ces modalités ne peuvent faire obstacle aux contrôles nécessaires ni aux pouvoirs des autorités. Les parties coopèrent à la correction des écarts constatés.

L’organisateur reste responsable de la licéité de ses instructions, de l’information des personnes et de ses obligations de responsable du traitement. Les droits impératifs des personnes et les responsabilités fixées par le RGPD restent intégralement préservés.