Accord de sous-traitance des données

1.1NestEvent traite les données pour fournir la billetterie : vente et émission des billets, envoi des e-mails, contrôle d'accès, gestion des invités et de l'équipe, statistiques et exports.

1.2Le traitement dure aussi longtemps que le contrat, puis jusqu'à la suppression des données selon l'article 9.

2.1Des données sensibles ne sont traitées que si l'Organisateur les demande, par exemple en posant une question sur la santé ou les allergies. L'Organisateur s'assure alors de la licéité de ce traitement et en informe les personnes concernées. Le choix d'un tarif lié à une assurance sociale (AVS/AI) peut aussi révéler une information sensible : il n'est utilisé que pour la vente et le contrôle du justificatif.

3.1NestEvent traite les données uniquement sur instruction documentée de l'Organisateur. Les CGU, les réglages de son compte et ses actions dans le tableau de bord constituent ces instructions.

3.2NestEvent n'utilise pas ces données pour ses propres fins, ne les vend pas et ne les utilise pas pour entraîner des modèles d'intelligence artificielle. Exception : les traitements nécessaires à la sécurité de la plateforme, à la prévention de la fraude et au respect de la loi.

3.3NestEvent informe l'Organisateur si une instruction lui paraît contraire à la loi.

Les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire (support demandé par l'Organisateur, maintenance, sécurité).

• Chiffrement des échanges (HTTPS/TLS) et des sauvegardes gérées par l'hébergeur.
• Base de données hébergée en Suisse (Zurich).
• Cloisonnement des organisations par des règles de sécurité au niveau de la base de données (Row Level Security) : un Organisateur ne voit que ses propres données.
• Rôles et droits par membre d'équipe ; codes PIN de scan limités au contrôle des billets et à durée limitée.
• Mots de passe chiffrés de façon irréversible ; secrets d'application jamais exposés au navigateur.
• Billets signés cryptographiquement pour empêcher la falsification.
• Données de paiement traitées exclusivement par Stripe (certifié PCI DSS niveau 1).
• Surveillance des erreurs et journaux techniques à durée limitée.

NestEvent adapte ces mesures à l'état de la technique.

6.1L'Organisateur autorise NestEvent à faire appel aux sous-traitants listés dans la politique de confidentialité. NestEvent leur impose des obligations de protection des données équivalentes et répond de leur respect.

6.2NestEvent annonce l'ajout ou le remplacement d'un sous-traitant au moins 30 jours à l'avance par e-mail. L'Organisateur peut s'y opposer pour un motif légitime lié à la protection des données ; si aucune solution n'est trouvée, il peut résilier le contrat sans frais.

6.3Les transferts hors de Suisse et de l'UE sont encadrés comme décrit dans la politique de confidentialité (pays adéquats, Data Privacy Framework ou clauses contractuelles types).

7.1L'Organisateur peut consulter et exporter les données de ses acheteurs depuis le tableau de bord ; NestEvent effectue sur sa demande les corrections ou suppressions qu'il ne peut pas faire lui-même. Si une personne s'adresse directement à NestEvent, celui-ci transmet la demande à l'Organisateur dans les 5 jours ouvrables et l'aide à y répondre.

7.2NestEvent aide l'Organisateur, dans une mesure raisonnable, pour ses analyses d'impact et ses échanges avec les autorités.

NestEvent informe l'Organisateur sans retard injustifié, au plus tard dans les 48 heures après en avoir eu connaissance, de toute violation de la sécurité touchant ses données, avec les informations disponibles : nature de la violation, données et personnes concernées, conséquences probables, mesures prises. NestEvent prend les mesures nécessaires pour limiter les conséquences. L'Organisateur reste chargé des annonces au PFPDT et aux personnes concernées lorsqu'elles sont requises ; NestEvent l'y aide.

À la fin du contrat, l'Organisateur exporte les données dont il a besoin. NestEvent supprime ou anonymise ensuite les données dans un délai de 90 jours, sauvegardes comprises dans leur cycle normal de renouvellement, sous réserve des données que la loi l'oblige à conserver (notamment les justificatifs comptables, 10 ans).

NestEvent fournit sur demande les informations nécessaires pour démontrer le respect du présent accord. Un audit sur place n'est possible qu'une fois par an, sur préavis de 30 jours, pendant les heures ouvrables, aux frais de l'Organisateur et par une personne tenue au secret, sauf si une autorité l'ordonne ou en cas de violation avérée.

La responsabilité des parties est régie par les CGU. En cas de contradiction sur la protection des données, le présent accord prime sur les CGU.