Addendum au Traitement des Données (DPA)

Le présent Addendum au Traitement des Données (« DPA ») fait partie des Conditions d’Utilisation / de l’accord principal entre le Client (« Responsable du traitement ») et Qiq LLC (« Sous-traitant » ou « Société ») concernant l’utilisation de la plateforme SaaS Qiq smart et des services associés (collectivement les « Services »). En cas de conflit, les dispositions du présent DPA prévalent en matière de protection des données.

1. Définitions

Les termes « Données personnelles », « Traitement », « Responsable du traitement », « Sous-traitant », « Sous-traitant ultérieur », « Violation de données », « Autorité de contrôle », etc. ont le sens défini par le Règlement (UE) 2016/679 (« RGPD »). « Accord » désigne les Conditions d’Utilisation / l’accord principal conclu avec le Client.

2. Champ d’application & Rôles

Pour l’utilisation des Services, le Client agit en tant que Responsable du traitement et Qiq LLC en tant que Sous-traitant. Qiq LLC traite les Données personnelles uniquement pour le compte du Client et conformément au présent DPA.

3. Instructions documentées

• Qiq LLC traite les Données personnelles uniquement sur la base d’instructions documentées du Client.
• Si Qiq LLC estime qu’une instruction enfreint la législation applicable, elle en informe le Client sans retard injustifié.

4. Détails du traitement (Annexe A)

Les catégories de personnes concernées, types de données, finalités, durée et nature du traitement sont décrites dans l’Annexe A.

5. Sécurité

Qiq LLC met en œuvre des mesures techniques et organisationnelles appropriées (TOM), telles que le chiffrement en transit & au repos, le contrôle d’accès (MFA, privilèges minimaux), la séparation des environnements, la journalisation/surveillance, les sauvegardes et un plan de réponse aux incidents. Liste indicative dans l’Annexe A3.

6. Confidentialité & Personnel

Le personnel autorisé est soumis à des obligations de confidentialité et reçoit une formation appropriée en matière de protection des données.

7. Sous-traitants ultérieurs

Le Client autorise l’utilisation des sous-traitants ultérieurs listés dans l’Annexe B. Qiq LLC notifie tout changement important (ajout/remplacement) avec un préavis raisonnable (15–30 jours) afin que le Client puisse formuler des objections.

8. Droits des personnes concernées

Qiq LLC assiste le Client dans le traitement des demandes d’accès, rectification, effacement, limitation, portabilité et opposition, ainsi que dans l’information des personnes concernées lorsque requis.

9. Violations de données personnelles

Qiq LLC informe le Client sans retard injustifié de toute violation de Données personnelles et fournit les informations disponibles sur la nature de l’incident, les catégories/volumes approximatifs de données concernés, les conséquences probables et les mesures d’atténuation mises en œuvre.

10. Assistance DPIA & Coopération

Qiq LLC fournit une assistance raisonnable aux Analyses d’Impact (DPIA) et coopère avec les Autorités de contrôle lorsque requis.

11. Transferts internationaux

En cas de transferts hors EEE/Royaume-Uni, les Clauses Contractuelles Types (SCC) et des mesures supplémentaires sont appliquées conformément au RGPD. Qiq LLC garantit un niveau de protection équivalent.

12. Suppression ou restitution des données

Après résiliation/expiration de l’Accord, Qiq LLC supprime ou restitue les Données personnelles sous 30 jours, sauf obligation légale de conservation.

13. Audits & Informations

Sur demande et à intervalles raisonnables, Qiq LLC met à disposition les informations démontrant la conformité au présent DPA et permet des audits/inspections par le Client ou un auditeur désigné, sous réserve de confidentialité et de limites raisonnables.

14. Responsabilité

La responsabilité des parties en matière de protection des données est répartie conformément au droit applicable et à l’Accord. Chaque partie est responsable de ses propres actes/omissions en violation du présent DPA ou de la législation.

15. Droit applicable & Hiérarchie

Le présent DPA est régi par le droit applicable défini dans l’Accord, sous réserve des exigences du RGPD. Les SCC sont régies par le droit qu’elles prévoient. En cas de conflit, le DPA prévaut pour les questions de protection des données.

16. Avis & Communication

• Sous-traitant (Qiq LLC): 809 Cuesta Dr Ste B, Mountain View, CA 94040, USA — Email: info@qiq.one
• Forme juridique : Qiq LLC (État du Nouveau-Mexique, USA)
• Site Web : https://qiq.one

Annexe A — Détails du traitement & Mesures de sécurité

A1. Personnes concernées

• Clients finaux des entreprises clientes de Qiq (ex. clients qui réservent).
• Utilisateurs / personnel / administrateurs des entreprises clientes.
• Contacts de facturation et de support.

A2. Catégories de Données personnelles

• Données d’identification & de contact (nom, email, téléphone).
• Données de réservation / rendez-vous, préférences, notes saisies par le client.
• Données techniques / d’usage (IP, user agent, logs, dates/heures).
• Facturation/paiement (tokens/IDs du fournisseur ; aucune donnée de carte brute).
• Contenu de support (tickets, pièces jointes, métadonnées).

A3. Finalités & Nature du traitement

• Fourniture et exploitation de la plateforme SaaS Qiq smart.
• Communications transactionnelles (ex. confirmations/rappels), support, maintenance.
• Facturation/paiement, prévention des abus, sécurité, analytics de performance.

A4. Durée & Conservation

Pour toute la durée de l’Accord et tant que requis par des obligations légales. Les données sont supprimées/anonymisées selon la politique du Client ou sur demande, sauf obligation légale contraire.

A5. Mesures techniques & organisationnelles (indicatives)

• Chiffrement en transit (TLS 1.2+) et au repos (DB/volumes le cas échéant).
• Contrôle d’accès : MFA, RBAC, privilège minimal, séparation des tâches.
• Gestion des secrets/clefs, patching régulier, scans de vulnérabilité.
• Journalisation/surveillance, alerting, plan de réponse aux incidents.
• Sauvegardes, vérifications d’intégrité, tests de restauration, séparation des données.
• SDLC sécurisé, gestion du changement, revue de code.

Annexe B — Sous-traitants approuvés

• Hetzner Online GmbH (UE — actuel) : hébergement, calcul, stockage et réseau.
• Pointer / pointer.gr (GR — actuel) : reverse proxy, DNS/domaines et journaux opérationnels/de sécurité.
• Resend (conditionnel) : envoi de notifications internes de leads lorsqu’il est configuré.
• Stripe (futur) : paiements/abonnements uniquement lorsque le checkout payant est activé.
• Amazon Web Services — SES/S3 (futur/conditionnel) : e-mail ou stockage d’objets uniquement si configuré.

Les fournisseurs actuels et conditionnels ne concernent que les composants actifs qui les utilisent. Les fournisseurs futurs ne reçoivent aucune donnée avant activation. Lorsqu’un transfert EEE/R-U vers un pays tiers l’exige, le module SCC 2021, ses annexes et l’évaluation du transfert doivent être complétés.

Le présent DPA public est un cadre et ne devient contraignant qu’après acceptation ou signature avec le contrat de service, la commande ou l’onboarding applicable.

En cas de divergence entre la version grecque et la version anglaise, la version anglaise prévaut.