Accord de traitement des données (DPA)

1. Objet et rôles

Le salon (responsable de traitement) confie à Bellisy (sous-traitant) le traitement de données des clients finaux dans le cadre des services. Bellisy agit uniquement sur instructions documentées du salon.

2. Obligations du sous-traitant

• Traiter les données uniquement selon les instructions documentées du responsable.
• Garantir la confidentialité (engagement du personnel).
• Mettre en œuvre les mesures de sécurité de l’Annexe II.
• Assister le responsable pour les droits des personnes et les analyses d’impact.
• Notifier toute violation sans délai injustifié.
• Supprimer ou restituer les données en fin de contrat.
• Permettre les audits et fournir les informations nécessaires.

3. Violations de données

Bellisy notifie le salon de toute violation avérée dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance, en fournissant les informations utiles pour permettre au salon de remplir ses obligations.

4. Annexe I — Description du traitement

5. Annexe II — Mesures de sécurité

• Chiffrement en transit (TLS) et au repos (AES-256).
• Contrôle d’accès par rôles et MFA.
• Sauvegardes chiffrées quotidiennes (30 jours), tests de restauration.
• Journalisation, surveillance et gestion des incidents.
• Hébergement dans l’UE (OVH).

6. Annexe III — Sous-traitants ultérieurs

7. Fin du contrat et restitution

À la fin du contrat, le salon peut exporter ses données. Bellisy les supprime ou les restitue sous 30 jours, sauf obligation légale de conservation. Contact DPO : dpo@bellisy.fr.