Accord de Traitement des Données

1. Parties

Le présent Accord de Traitement des Données (le « DPA ») est conclu entre le professionnel titulaire d'un compte partenaire Momentzy (le « Responsable du traitement ») et Momentzy, dont le siège est à Lisbonne, Portugal (le « Sous-traitant »). Il fait partie des Conditions d'utilisation et s'applique dès que le Responsable du traitement l'accepte sur Momentzy.

Pour les données personnelles décrites ci-dessous, le Responsable du traitement décide des finalités et des moyens du traitement et Momentzy traite les données pour son compte, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).

2. Objet et durée

L'objet est le traitement des données personnelles que le Responsable du traitement collecte ou reçoit via Momentzy lorsqu'il utilise la plateforme avec ses clients, dans les cas indiqués à la section suivante.

Le DPA dure aussi longtemps que le compte partenaire du Responsable du traitement existe puis, ensuite, tant que Momentzy détient des données qu'il couvre (voir la section sur la suppression ou la restitution).

3. Nature et finalité du traitement

Momentzy traite les données uniquement pour fournir au Responsable du traitement les services suivants :

• héberger les galeries du Responsable du traitement et les photos et vidéos qu'elles contiennent ;
• tenir la liste des visiteurs d'une galerie (nom et e-mail des personnes ayant coché la case facultative à l'entrée de la galerie) et la mettre à la disposition du Responsable du traitement, y compris en export CSV ;
• traiter les commandes d'impression passées par les invités dans les galeries du Responsable du traitement, afin qu'il puisse les exécuter ;
• la recherche par visage dans une galerie ou un événement, uniquement lorsque le Responsable du traitement a activé cette fonctionnalité.

En dehors de ce cadre, Momentzy agit comme responsable du traitement pour son propre compte, par exemple pour le compteur anonyme d'entrées, la sécurité et la facturation, comme décrit dans la Politique de confidentialité.

4. Catégories de données et de personnes concernées

Les données traitées au titre de ce DPA sont :

• le nom et l'adresse e-mail des visiteurs de la galerie qui les ont fournis ;
• les dates et le nombre de visites d'une galerie ;
• les photos et vidéos téléversées dans les galeries et événements du Responsable du traitement ;
• les coordonnées et l'adresse de livraison des commandes d'impression ;
• les empreintes faciales (représentations numériques de visages), uniquement si le Responsable du traitement a activé la recherche par visage.

Les personnes concernées sont les invités et visiteurs des galeries du Responsable du traitement, les participants à ses événements, ses clients et les personnes qui apparaissent sur les photos.

Les empreintes faciales sont des données biométriques (art. 9 RGPD). Le Responsable du traitement doit disposer d'une base juridique valable, normalement le consentement explicite des personnes concernées, avant d'activer la recherche par visage. Momentzy ne traite pas de catégories particulières de données pour une autre finalité.

5. Obligations du Responsable du traitement

Le Responsable du traitement confirme qu'il dispose d'une base juridique pour le traitement, qu'il informe les personnes concernées comme l'exige la loi et que ses instructions à Momentzy respectent le RGPD. Il est responsable de l'usage qu'il fait des données exportées de Momentzy, y compris la liste des visiteurs.

6. Obligations de Momentzy

Momentzy s'engage à :

• traiter les données uniquement sur instruction documentée du Responsable du traitement, à savoir ce DPA et son utilisation des fonctionnalités de la plateforme, et l'informer si elle estime qu'une instruction enfreint la législation sur la protection des données ;
• veiller à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité ;
• appliquer des mesures techniques et organisationnelles de sécurité appropriées (art. 32 RGPD), notamment le chiffrement en transit, le contrôle d'accès, la séparation des comptes, les sauvegardes et la surveillance ;
• aider le Responsable du traitement à répondre aux demandes des personnes concernées (accès, rectification, effacement, retrait du consentement), notamment par les formulaires de retrait et de suppression mis à la disposition des visiteurs ;
• notifier le Responsable du traitement dans les meilleurs délais après avoir pris connaissance d'une violation de données personnelles affectant ses données, avec les informations dont elle dispose, et l'aider dans la notification à l'autorité et aux personnes concernées ;
• aider le Responsable du traitement pour les analyses d'impact relatives à la protection des données et les consultations préalables lorsqu'elles concernent ce traitement.

7. Sous-traitants ultérieurs

Le Responsable du traitement donne à Momentzy une autorisation générale de recourir à des sous-traitants ultérieurs.

Ceux utilisés à la date de cette version sont :

• Cloudflare, Inc. : stockage d'objets (R2) des photos et vidéos, réseau et diffusion de contenu ;
• Brevo (Sendinblue SA) : envoi d'e-mails transactionnels ;
• Stripe, Inc. : traitement des paiements des commandes d'impression et des abonnements ;
• les serveurs sur lesquels fonctionnent l'application, la base de données et le service de recherche par visage, exploités par Momentzy.

Momentzy informe le Responsable du traitement de tout ajout ou remplacement prévu d'un sous-traitant ultérieur, par e-mail ou sur cette page, avant qu'il prenne effet, et le Responsable du traitement peut s'y opposer pour des motifs raisonnables de protection des données. Si l'objection ne peut être résolue, il peut résilier le compte.

Momentzy impose à chaque sous-traitant ultérieur des obligations équivalentes à celles de ce DPA et reste responsable envers le Responsable du traitement de leur exécution.

8. Transferts internationaux

Momentzy stocke les données dans l'Union européenne ou l'Espace économique européen chaque fois que c'est possible. Lorsqu'un sous-traitant ultérieur transfère des données hors de l'EEE, il ne le fait que sur la base d'une décision d'adéquation ou des clauses contractuelles types approuvées par la Commission européenne, assorties des mesures complémentaires nécessaires.

9. Suppression ou restitution des données

Le Responsable du traitement peut exporter la liste des visiteurs et les photos à tout moment tant que le compte est actif. À la fin du compte, ou sur demande, Momentzy supprime les données couvertes par ce DPA, dans les délais de conservation décrits dans la Politique de confidentialité, sauf si la loi l'oblige à en conserver certaines (par exemple les pièces de facturation).

Supprimer une galerie supprime sa liste de visiteurs. Un visiteur qui retire son consentement est retiré de la liste.

10. Audits

Momentzy met à la disposition du Responsable du traitement, sur demande écrite, les informations nécessaires pour démontrer le respect de ce DPA. Le Responsable du traitement peut réaliser un audit, une fois par an ou après une violation de données, avec un préavis raisonnable, sans perturber le service et sous réserve de confidentialité.

11. Responsabilité

La responsabilité entre les parties est régie par les Conditions d'utilisation, y compris leurs limites. Rien dans ce DPA ne limite les droits des personnes concernées à l'égard de l'une ou l'autre partie au titre de l'article 82 du RGPD.

12. Droit applicable et primauté

Ce DPA est régi par le droit portugais. En ce qui concerne le traitement des données personnelles, il prévaut sur les Conditions d'utilisation en cas de conflit.

Les questions sur ce DPA peuvent être envoyées au contact ci-dessous.

Contact confidentialité : support@momentzy.com

13. Acceptation et versions

Le Responsable du traitement accepte ce DPA en cochant la case lors de la création d'un compte partenaire, ou en appuyant sur le bouton d'acceptation dans son tableau de bord. Momentzy enregistre la date, la version et l'utilisateur qui l'a accepté. Lorsque le texte change, la version change et le Responsable du traitement est invité à accepter à nouveau. D'ici là, les fonctionnalités qui en dépendent, comme la liste des visiteurs, restent fermées.