📋 Accord de sous-traitance RGPD

1. Parties

Le présent accord est conclu entre :

• Le Responsable de traitement : le photographe inscrit sur la plateforme mes-photos.fr (ci-après "le Photographe")
• Le Sous-traitant : Photos Gendrot Benoit, exploitant la plateforme mes-photos.fr (SIRET 853 477 511 00010), ci-après "la Plateforme"

2. Objet

La Plateforme traite des données personnelles pour le compte du Photographe dans le cadre de la gestion des commandes de photos scolaires. Ce traitement inclut la collecte, le stockage et la mise à disposition des données des élèves et de leurs parents.

3. Nature des données traitées

• Données d'identification des élèves (prénom, nom, classe)
• Photos des élèves
• Coordonnées des parents (nom, email)
• Données de commande et de paiement

4. Finalité du traitement

Les données sont traitées exclusivement pour permettre aux parents de consulter et commander les photos scolaires de leurs enfants, et au Photographe de gérer ses commandes.

5. Obligations de la Plateforme (sous-traitant)

• Traiter les données uniquement sur instruction du Photographe
• Garantir la confidentialité des données (accès par code unique par famille)
• Mettre en œuvre des mesures de sécurité appropriées (HTTPS, chiffrement, accès contrôlé)
• Supprimer les données personnelles au 20 août de chaque année (purge RGPD automatique)
• Notifier le Photographe en cas de violation de données dans les 72h
• Ne pas transférer les données hors de l'Union Européenne

6. Obligations du Photographe (responsable de traitement)

• Obtenir les autorisations parentales de droit à l'image avant de téléverser les photos
• Informer les parents de l'utilisation de la plateforme
• S'assurer de la conformité RGPD vis-à-vis des établissements scolaires
• Signaler tout incident de sécurité à la Plateforme

7. Durée

Le présent accord prend effet à la date d'inscription et reste valable tant que le Photographe utilise la plateforme. Il prend fin à la résiliation du compte.

8. Sous-traitants ultérieurs

La Plateforme peut faire appel aux sous-traitants suivants : O2Switch (hébergement, France), Stripe (paiement, données certifiées PCI-DSS).

9. Droit applicable

Le présent accord est soumis au droit français et au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679).