Accord de sous-traitance (DPA)
Version du 29 septembre 2026. Accord de traitement de données à caractère personnel au sens de l'article 28 du règlement (UE) 2016/679 (RGPD).
Les parties
KEROSTING SARL, société à responsabilité limitée au capital de 1 000 €, 5 rue Hoche, 56000 Vannes, SIRET 928 449 362 00013, éditrice du service loman, représentée par Samuel Ropert, ci-après « le Sous-traitant » ;
et le client du service loman identifié lors de sa souscription aux conditions générales de vente, ci-après « le Responsable de traitement ».
1. Objet, durée et rôles
Objet. Le Responsable confie au Sous-traitant l'exécution du service loman : recommandation, publication et vérification de prix de nuitée pour des logements meublés de tourisme, connecté aux comptes de plateformes de réservation du Responsable (directement ou par l'intermédiaire d'un prestataire de connectivité). Cette exécution implique le traitement de données à caractère personnel pour le compte du Responsable, et uniquement pour son compte.
Durée. Le présent accord prend effet à la connexion technique du premier compte du Responsable et dure aussi longtemps que le Sous-traitant traite des données pour son compte, jusqu'au terme prévu à l'article 10.
Rôles. Le Responsable détermine les finalités et les moyens du traitement de ses propres données (celles de ses voyageurs, de ses propriétaires, de ses intervenants). Le Sous-traitant agit sur instruction documentée : les conditions générales de vente et l'usage normal du service valent instructions documentées au sens de l'article 28.3.a du RGPD. Toute autre instruction est donnée par écrit.
Le Sous-traitant informe sans délai le Responsable s'il estime qu'une instruction constitue une violation du RGPD ou de toute autre disposition relative à la protection des données.
2. Nature, finalité et périmètre du traitement
Opérations : collecte (par synchronisation avec les plateformes de réservation reliées), consultation, calcul, structuration, publication (écriture de prix et de règles de séjour), conservation, et production de comptes rendus.
Finalité unique : recommander et publier des prix de nuitée et des règles de séjour pour les logements déclarés par le Responsable, et produire les tâches, relevés et comptes rendus afférents. Le Sous-traitant ne traite aucune donnée du Responsable pour une finalité qui lui serait propre.
Les catégories de personnes, de données et les durées de conservation sont détaillées à l'annexe, qui fait partie intégrante du présent accord.
Ne sont pas collectés :
- aucune donnée bancaire ou de moyen de paiement du voyageur ;
- aucune catégorie particulière de données au sens de l'article 9 du RGPD ;
- le contenu des messages échangés entre le Responsable et ses voyageurs (article 7) ;
- l'heure d'arrivée, les avis.
Si de telles données parvenaient malgré tout au Sous-traitant, celui-ci en informerait le Responsable sans délai et cesserait de les traiter.
3. Confidentialité
Le Sous-traitant garantit que toute personne autorisée à traiter les données dans le cadre du présent accord est soumise à une obligation de confidentialité, contractuelle ou légale.
4. Sécurité
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées (article 32 du RGPD), notamment :
- cloisonnement par logement et par client, par des règles d'accès appliquées au niveau de chaque ligne de la base, contrôlées régulièrement ;
- chiffrement des données en transit (TLS) et au repos, chez l'hébergeur ;
- gestion des secrets : les clés de service ne sont jamais exposées au navigateur ;
- minimisation à l'entrée : le contenu des messages voyageurs et les informations de paiement n'entrent jamais dans la base du Sous-traitant (article 7) ;
- traçabilité : journal des envois, des relectures et des interventions ;
- sauvegardes assurées par l'hébergeur, avec restauration à un instant donné.
Ces mesures ne sont pas réduites sans information écrite préalable du Responsable.
5. Sous-traitance ultérieure
Le Responsable donne au Sous-traitant une autorisation générale de recourir aux sous-traitants ultérieurs listés en annexe.
Le Sous-traitant informe le Responsable de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours avant sa prise d'effet. Le Responsable peut s'y opposer par écrit dans ce délai pour un motif tenant à la protection des données ; à défaut d'accord, il peut résilier sans frais la partie du service concernée.
Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données que celles du présent accord, et demeure pleinement responsable devant le Responsable de leur bonne exécution.
6. Transferts hors Union européenne
Les données de réservation du Responsable sont hébergées dans l'Union européenne (base de données et fonctions du service chez Supabase, région de Paris).
Deux sous-traitants ultérieurs, listés en annexe, impliquent un traitement hors Union européenne : l'acheminement des courriels de service, et l'assistant conversationnel lorsque le Responsable l'utilise. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne, ou sur une décision d'adéquation en vigueur à la date du transfert.
7. Ce que le Sous-traitant s'engage à ne jamais collecter
L'autorisation délivrée par les plateformes de réservation porte des périmètres d'accès plus larges que ce dont le service a besoin, incluant le contenu des messages échangés avec les voyageurs et les informations de versement ou de paiement.
Le Sous-traitant s'engage à ne jamais lire, écrire, stocker ni faire traiter ce contenu, quand bien même l'autorisation technique le permettrait. Cet engagement est mis en œuvre par une mesure technique : les événements de catégorie « message » et ceux liés au paiement ne sont pas reçus par le service, et non simplement filtrés après réception.
8. Assistance au Responsable
Le Sous-traitant assiste le Responsable, dans la mesure du possible :
- pour répondre aux demandes d'exercice des droits des personnes concernées : toute demande reçue directement par le Sous-traitant est transmise au Responsable sous 72 heures ;
- pour assurer la sécurité des traitements et notifier les violations de données (article 9) ;
- pour réaliser, le cas échéant, une analyse d'impact relative à la protection des données ;
- pour démontrer le respect de l'article 28, notamment en répondant aux demandes d'audit (article 11).
9. Violation de données
Le Sous-traitant notifie le Responsable sans délai injustifié, et au plus tard sous 48 heures après en avoir pris connaissance, en précisant la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées.
Le Sous-traitant fournit au Responsable les éléments nécessaires pour qu'il puisse, le cas échéant, notifier l'autorité de contrôle et informer les personnes concernées.
10. Sort des données à la fin du contrat
Au terme du contrat, le Sous-traitant, au choix du Responsable exprimé dans les 30 jours :
- restitue l'ensemble des données traitées pour son compte, dans un format structuré et couramment utilisé, ou
- supprime ces données, y compris les copies, sauf obligation légale de conservation, dont il indique alors la nature et la durée.
À défaut de choix dans ce délai, les données sont conservées 30 jours supplémentaires, puis supprimées.
11. Audit
Le Responsable peut vérifier le respect du présent accord une fois par an, moyennant un préavis écrit de 30 jours, aux heures ouvrées, sans perturber le service rendu aux autres clients, et sous engagement de confidentialité réciproque. Les frais sont à la charge du Responsable, sauf manquement avéré du Sous-traitant.
12. Droit applicable et survie
Le présent accord est soumis au droit français. Les articles 3 (confidentialité), 7 (non-collecte) et 10 (sort des données) survivent à la fin du contrat.