Politique de protection des données

1. Objet et champ d’application

Le présent Accord de Traitement des Données (ci-après « DPA ») encadre les conditions dans lesquelles Père Noël Secret, agissant en tant que Sous-traitant, traite des données personnelles pour le compte de l’organisateur d’un événement, considéré comme Responsable de traitement au sens du Règlement Général sur la Protection des Données (RGPD).

Il fait partie intégrante des Conditions Générales d’Utilisation du site Père Noël Secret. En utilisant les services du site pour organiser un événement, l’utilisateur accepte les termes du présent DPA.

Le DPA s’applique uniquement aux traitements de données réalisés dans le cadre de l’organisation d’un Père Noël secret via la plateforme, et ce pour la durée nécessaire à la réalisation de cet événement.

2. Définitions

Aux fins du présent DPA, les termes suivants ont la signification qui leur est attribuée ci-dessous. Les termes non définis ici ont le sens qui leur est donné dans le RGPD ou dans les Conditions Générales d’Utilisation.

• Données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable, comme un nom, une adresse e-mail, un identifiant technique ou tout élément propre à son identité.
• Traitement : toute opération ou ensemble d’opérations effectuées sur des données personnelles, automatisée ou non (ex. : collecte, enregistrement, conservation, modification, consultation, suppression, etc.).
• Responsable de traitement : l’utilisateur (organisateur) qui détermine les finalités et les moyens du traitement de données personnelles dans le cadre de l’organisation d’un événement.
• Sous-traitant : Père Noël Secret, qui traite les données personnelles pour le compte de l’organisateur, conformément à ses instructions et dans le cadre du service fourni.
• Personne concernée : toute personne physique dont les données sont traitées via la plateforme, notamment les participants à un événement.
• Violation de données personnelles : toute destruction, perte, altération, divulgation ou accès non autorisé à des données personnelles, de manière accidentelle ou illicite.

3. Description des traitements de données

Père Noël Secret est autorisé à traiter les données personnelles nécessaires à la fourniture du service d’organisation d’événements Père Noël secret, selon les modalités suivantes :

• Finalité du traitement : permettre à un utilisateur d’organiser un tirage au sort anonyme entre plusieurs participants et d’envoyer les résultats par e-mail ou, optionnellement, par SMS, dans un cadre privé, festif et confidentiel.
• Nature des opérations : collecte, enregistrement, hébergement, correspondance par email et SMS, visualisation, sécurisation, suppression automatique ou manuelle des données.
• Types de données traitées : nom de l’événement, description libre, date, adresse e-mail de l’organisateur, noms, adresses e-mail et numéros de téléphone (optionnels) des participants, journaux d’envoi SMS, rôle d’administrateur, UUID, jetons d’accès, timestamps.
• Catégories de personnes concernées : organisateurs d’événements et participants renseignés par l’organisateur.
• Durée de conservation : les données sont conservées pendant une durée maximale de 30 jours après la date de l’événement, sauf suppression anticipée par l’organisateur depuis son espace de gestion.

Aucun traitement ne sort du périmètre strictement nécessaire à la bonne exécution du service fourni par la plateforme.

4. Obligations de l’organisateur (Responsable de traitement)

En tant qu’utilisateur organisant un événement via Père Noël Secret, vous agissez en qualité de Responsable de traitement. À ce titre, vous vous engagez à respecter les obligations suivantes :

• Collecter les données personnelles de manière licite, loyale et transparente, en vous assurant d’avoir le consentement des participants pour utiliser leurs données dans le cadre de l’événement.
• Ne saisir dans la plateforme que les données strictement nécessaires à l’organisation de l’événement, en évitant tout contenu sensible ou inapproprié.
• Informer les personnes concernées de l’utilisation de leurs données à travers la plateforme, notamment en ce qui concerne l’envoi des résultats par e-mail.
• Ne pas utiliser les données collectées à d’autres fins que l’organisation de l’événement prévu sur la plateforme.
• Respecter les durées de conservation des données prévues et supprimer les événements si nécessaire depuis l’espace organisateur.

L’organisateur reste seul responsable de l’usage des données qu’il saisit dans la plateforme et garantit que leur traitement est conforme à la réglementation applicable.

5. Obligations de Père Noël Secret (Sous-traitant)

En tant que Sous-traitant, Père Noël Secret s’engage à traiter les données personnelles uniquement pour le compte et selon les instructions documentées de l’organisateur, dans le strict cadre de l’organisation d’un événement Père Noël secret.

À ce titre, Père Noël Secret s’engage à :

• Traiter les données uniquement aux fins prévues par le service, sans en faire un usage détourné ou non autorisé.
• Mettre en œuvre toutes les mesures techniques et organisationnelles nécessaires pour garantir la confidentialité, la sécurité et l’intégrité des données personnelles.
• Limiter l’accès aux données aux seules personnes habilitées dans le cadre de la maintenance ou de l’assistance technique.
• Informer l’organisateur sans délai en cas d’instruction manifestement contraire au RGPD.
• Notifier toute violation de données dans les meilleurs délais, conformément à l’article 11 du présent DPA.
• Ne pas sous-traiter tout ou partie du traitement sans garanties équivalentes de sécurité et de conformité (cf. article 8).

Père Noël Secret garantit que les personnes autorisées à accéder aux données sont formées à la protection des données et soumises à une obligation stricte de confidentialité.

6. Durée de conservation des données

Les données personnelles traitées dans le cadre d’un événement Père Noël secret (y compris e-mails et téléphones des participants, ainsi que les journaux d’envoi SMS) sont conservées par Père Noël Secret au plus tard 30 jours après la date de l’événement.

À l’issue de ce délai, les données nominatives (participants, correspondances, téléphones, tirage, logs et sauvegardes associées, etc.) sont automatiquement supprimées ou anonymisées de manière irréversible.

L’organisateur peut également, à tout moment, procéder à la suppression anticipée de ses données ou de celles de son événement depuis son espace de gestion.

Les journaux techniques anonymes ou agrégés à des fins statistiques ou de sécurité peuvent être conservés plus longtemps, sans permettre l’identification des personnes concernées.

7. Sécurité des données

Père Noël Secret met en œuvre toutes les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté aux risques liés au traitement des données personnelles.

Ces mesures visent à protéger les données contre la destruction accidentelle ou illicite, la perte, l'altération, la divulgation ou l'accès non autorisé, notamment par :

• Un hébergement sécurisé en France (OVH, Roubaix) au sein de l’Union européenne
• Le chiffrement des identifiants techniques (UUID, jetons d’accès)
• L’utilisation exclusive du protocole HTTPS pour toutes les communications
• La restriction des accès aux seules personnes habilitées
• Des sauvegardes régulières et des mises à jour de sécurité du système

Père Noël Secret s’engage à maintenir un niveau de protection au moins équivalent à celui en vigueur à la date d’acceptation du DPA, et à ne jamais dégrader ce niveau sans justification valable.

8. Sous-traitance ultérieure

Père Noël Secret peut faire appel à des prestataires techniques (hébergeur, routeur e-mail, support technique) pour exécuter certaines opérations de traitement pour son compte. Ces prestataires agissent alors en tant que sous-traitants ultérieurs.

Père Noël Secret s’engage à :

• Sélectionner uniquement des sous-traitants offrant des garanties suffisantes en matière de sécurité et de conformité RGPD
• Conclure avec chacun d’eux un contrat imposant des obligations de confidentialité, de sécurité et de respect des droits des personnes concernées
• Informer les utilisateurs en cas de modification significative de la liste des sous-traitants impliqués

En aucun cas les sous-traitants ultérieurs ne sont autorisés à accéder ou utiliser les données à des fins autres que celles strictement nécessaires à l'exécution du service fourni par Père Noël Secret.

8.1. Liste des sous-traitants

Conformément aux exigences de transparence du RGPD, voici la liste des sous-traitants ultérieurs actuellement utilisés par Père Noël Secret :

Père Noël Secret s'engage à maintenir cette liste à jour et à informer les utilisateurs de tout changement significatif dans la liste des sous-traitants au moins 30 jours avant la mise en œuvre effective.

Tous les sous-traitants listés ci-dessus ont signé des accords de traitement des données (DPA) garantissant le respect des exigences du RGPD et l'application de mesures de sécurité appropriées.

9. Transferts de données hors Union Européenne

Par principe, Père Noël Secret n’effectue aucun transfert de données personnelles en dehors de l’Union Européenne.

Si un tel transfert devenait nécessaire (par exemple via un prestataire technique situé hors UE), Père Noël Secret s’engage à :

• Choisir uniquement des pays bénéficiant d’une décision d’adéquation de la Commission européenne ou à encadrer le transfert par des Clauses Contractuelles Types (CCT) approuvées par la Commission
• Informer les utilisateurs concernés avant toute mise en œuvre effective d’un transfert hors UE
• Garantir un niveau de protection équivalent à celui exigé par le RGPD

À ce jour, l’ensemble des données traitées par Père Noël Secret sont hébergées et conservées dans des centres de données situés en Europe (hébergement applicatif en France chez OVH à Roubaix). Aucun prestataire américain (GAFAM) n’héberge ni n’accède à ces données.

10. Droits des personnes concernées

Les personnes dont les données sont traitées via Père Noël Secret (notamment les participants à un événement) disposent des droits prévus par le RGPD : accès, rectification, suppression, opposition, limitation, portabilité, et droit de retirer leur consentement à tout moment.

Il appartient à l’organisateur, en tant que Responsable de traitement, de :

• Informer les participants de leurs droits
• Mettre en place les moyens pour permettre l’exercice de ces droits
• Répondre aux demandes des personnes concernées dans les délais légaux

Père Noël Secret s’engage à assister l’organisateur, dans la mesure du possible et sur demande, afin de lui permettre de répondre aux demandes liées aux droits des personnes concernées, lorsque celles-ci concernent des données traitées par la plateforme.

Si une personne concernée contacte directement Père Noël Secret, la demande sera transmise sans délai à l’organisateur responsable de l’événement.

11. Violation de données personnelles

En cas de violation avérée ou suspectée de données personnelles (accès non autorisé, perte, altération, divulgation...), Père Noël Secret s’engage à :

• Notifier l’organisateur (Responsable de traitement) dans les meilleurs délais après en avoir eu connaissance
• Fournir toutes les informations disponibles sur la nature de la violation, les données concernées et les mesures correctives mises en œuvre
• Collaborer activement avec l’organisateur pour limiter les impacts et respecter les obligations légales (notamment la notification à la CNIL si nécessaire)

La notification se fera par e-mail à l’adresse fournie lors de la création de l’événement. L’organisateur reste responsable des déclarations auprès des autorités de protection des données et, le cas échéant, des personnes concernées.

12. Fin du traitement et suppression des données

À l’issue de la durée de conservation définie à l’article 6, ou en cas de suppression manuelle d’un événement par l’organisateur, Père Noël Secret s’engage à supprimer ou anonymiser de manière irréversible l’ensemble des données personnelles liées à l’événement concerné.

Cette suppression inclut :

• Les adresses e-mail, numéros de téléphone et noms des participants
• Le tirage au sort et ses résultats
• Les journaux d’envoi SMS associés à l’événement
• Les logs et sauvegardes associés à l’événement
• L’accès à l’espace organisateur
• Toutes les données techniques associées (jetons d’accès, UUID, timestamps)

À la demande expresse de l’organisateur, une confirmation écrite de la suppression pourra être transmise par e-mail.

En cas d’obligation légale (ex. : contentieux, demande d’une autorité compétente), certaines données pourront être conservées temporairement dans un cadre strictement encadré.

13. Contact et notifications

Pour toute question relative au présent Accord de Traitement des Données ou pour exercer vos droits en tant qu’organisateur, vous pouvez contacter l’éditeur de Père Noël Secret à l’adresse suivante :

Email : formulaire de contact

Toute notification formelle (demande d’exercice de droits, violation de données, demande d’audit...) devra être transmise par e-mail à cette même adresse, avec pour objet : « Données personnelles : DPA ».

En l’absence de réponse satisfaisante, l’organisateur peut également saisir l’autorité compétente de protection des données (CNIL en France).