DPA (sous-traitance)
Dernière mise à jour : 2026-05-30 · Droit suisse, for : Fribourg
Le présent accord de sous-traitance complète les CGU/CGV et précise les conditions dans lesquelles Slotia (sous-traitant) traite les données personnelles pour le compte du tenant (responsable du traitement) au sens de l'art. 28 RGPD et de la nLPD.
1. Nature du traitement
Hébergement, stockage, organisation, consultation, modification et restitution des données personnelles que le tenant importe ou collecte via la plateforme Slotia (réservations, clients, communications transactionnelles).
2. Finalités
- Fournir le service de réservation en ligne (booking, agenda).
- Envoyer les emails transactionnels (confirmations, rappels).
- Tenir à jour les statistiques internes (volumétrie, performance).
- Respecter les obligations légales (registre des traitements, journalisation des accès).
3. Catégories de données
- Comptes : identifiants admin, email, mot de passe (haché), TOTP chiffré.
- Facturation : raison sociale, adresse, IDE, montants facturés, références Mollie.
- Clients tenants : nom, prénom, email, téléphone, créneaux réservés, notes.
- Audit : actions admin horodatées (hash-chain), IP, user-agent.
- Sauvegardes : dumps DB chiffrés, conservés jusqu'à 30 jours.
4. Mesures techniques et organisationnelles
- Chiffrement at-rest des secrets (TOTP, mots de passe SMTP) avec versioning de clé (MASTER_KEY).
- TLS 1.2+ obligatoire pour tous les transferts (HSTS).
- Journal d'audit chaîné par hash (intégrité vérifiable, détection d'altération).
- Sauvegardes automatiques quotidiennes, chiffrées, restauration testée.
- Isolation tenant par base de données dédiée (pas de table partagée).
- Authentification forte (2FA TOTP) obligatoire pour les rôles admin/super_admin.
5. Sous-traitants ultérieurs
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Infomaniak Network SA | Hébergement infrastructure | Suisse (Genève) |
| Infomaniak SMTP | Envoi emails transactionnels | Suisse |
| Mollie B.V. | Traitement paiements abonnement | Pays-Bas (UE) |
6. Durée de conservation
Les durées sont définies au registre des traitements (Art. 30 RGPD), tenu à jour par Slotia. À la résiliation, les données sont anonymisées ou supprimées dans un délai de 30 jours (cf. droit à l'oubli — Art. 17).
7. Droits des personnes concernées
Les personnes concernées disposent des droits d'accès, rectification, effacement, limitation, portabilité et opposition. Les demandes sont à adresser au tenant (responsable du traitement) qui peut les escalader à Slotia si nécessaire.
8. Notification de violation
En cas de violation de données affectant les informations traitées pour le tenant, Slotia notifie ce dernier sans délai injustifié, et au plus tard 72 heures après en avoir pris connaissance, avec les éléments requis par l'art. 33 RGPD.
9. Contact protection des données
Pour toute question relative au traitement des données ou à ce DPA : dpo@slotia.ch.