DUBHCORE — Accord de traitement des données (DPA)

Accord sur le traitement des données au titre de l'art. 28 RGPD

Version 1.0 — Date : 30 août 2026 — Version finale S'applique lorsque le Studio/Professionnel est Responsable et DUBHCORE est Sous-traitant des données des clients du Studio traitées via la plateforme.

• Responsable du traitement : le Studio/Professionnel (données d'identification dans le compte).
• Sous-traitant : DUBHCORE — Gelsi Andrea (entreprise individuelle), N° de TVA (P.IVA) 02826520211, siège social Via Auen 3, 39031 Brunico (BZ), Italie, info@dubhcore.com.

1. Objet et durée

Le Sous-traitant traite les données personnelles pour le compte du Responsable dans le seul but de fournir le Service, pour la durée du contrat de service et jusqu'à la restitution/suppression des données.

2. Nature et finalité du traitement

Hébergement, stockage, traitement et mise à disposition des fonctions de gestion (demandes, rendez-vous, calendrier, messagerie, documents/signatures, paiements/acomptes, notifications) pour la gestion de l'activité du Responsable.

3. Personnes concernées et catégories de données

• Personnes concernées : les clients du Studio (y compris les mineurs et leurs parents/tuteurs), les collaborateurs.
• Catégories : état civil/contacts ; demandes de tatouage/piercing et position sur le corps ; images ; rendez-vous ; messages ; documents/consentements/signatures ; données de paiement/d'acompte.
• Catégories particulières (art. 9) : données de santé dans les flux Tatouage (champ « Cicatrices ») et Piercing (allergies aux métaux, irritations/infections de la zone, cicatrisation, médicaments/conditions, grossesse/allaitement). La condition prévue à l'art. 9 mise en œuvre est le consentement explicite — art. 9, § 2, point a), identifié par le Responsable (non l'art. 9, § 2, point h) ; DUBHCORE n'est pas un service de santé). Le PMU ne prévoit pas aujourd'hui de collecte de données de santé structurées.
• Données de mineurs/tuteurs : traitées selon le flux de double signature au studio ; pour les mineurs, le consentement aux données de santé est donné au studio par le parent/tuteur et lié à la prestation spécifique (voir Politique de confidentialité §4-bis).

4. Instructions documentées

Le Sous-traitant ne traite les données que sur instructions documentées du Responsable (y compris celles données via l'utilisation des fonctions du Service et les présentes Conditions/le présent DPA), sous réserve des obligations légales.

5. Confidentialité

Le personnel autorisé du Sous-traitant est tenu à la confidentialité.

6. Sécurité (art. 32)

Le Sous-traitant adopte les mesures techniques/organisationnelles décrites à l'Annexe B (mesures vérifiées).

7. Contrôle d'accès et isolation

Accès basé sur les rôles (RBAC) et isolation multi-locataire par studio ; les identifiants/secrets ne sont pas exposés en clair.

8. Sous-traitants ultérieurs

Le Responsable autorise le recours aux sous-traitants ultérieurs énumérés à l'Annexe C. Le Sous-traitant impose aux sous-traitants ultérieurs des obligations de protection des données équivalentes.

9. Modifications des sous-traitants ultérieurs

Le Sous-traitant informe le Responsable des changements de sous-traitants ultérieurs avec un préavis raisonnable, permettant une éventuelle opposition motivée.

10. Transferts internationaux

Les transferts hors UE ont lieu avec des garanties adéquates. Vérifié : l'infrastructure de la base de données de production, du stockage et des sauvegardes est située aux États-Unis ; les transferts sont couverts par le DPA d'Emergent Labs Inc., qui incorpore les Clauses Contractuelles Types (Décision UE 2021/914) le cas échéant. Rôles : le Client (DUBHCORE/Studio) agit en tant que Responsable et Emergent en tant que Sous-traitant ; lorsque le Client agit à son tour en tant que Sous-traitant pour un autre Responsable, Emergent agit en tant que Sous-traitant ultérieur. Le DPA d'Emergent vise à satisfaire aux exigences de l'art. 28 RGPD.

11. Assistance au Responsable

Le Sous-traitant assiste le Responsable, dans la mesure du possible, dans la réponse aux demandes des personnes concernées (art. 15–22) et dans les obligations au titre des art. 32–36 (sécurité, violation de données, AIPD, consultation préalable).

12. Violation de données

Le Sous-traitant notifie au Responsable les violations de données sans retard injustifié après en avoir eu connaissance, en fournissant les informations utiles disponibles.

13. AIPD

Le Sous-traitant coopère, le cas échéant, à l'analyse d'impact (AIPD) et à la consultation préalable.

14. Coopération avec les autorités

Le Sous-traitant coopère avec l'autorité de contrôle compétente dans les limites de la loi.

15. Restitution/suppression

À la fin du contrat, au choix du Responsable, le Sous-traitant restitue ou supprime les données, sous réserve des obligations légales de conservation. Les documents signés sont conservés sous forme d'instantanés immuables selon le Service.

16. Audit et informations

Le Sous-traitant met à la disposition du Responsable les informations nécessaires pour démontrer le respect de l'art. 28 et permet des audits raisonnables, selon des modalités et un préavis convenus.

17. Obligations du Responsable

Le Responsable garantit la licéité du traitement (pour les données de santé, la condition prévue à l'art. 9 mise en œuvre est le consentement explicite au titre de l'art. 9, § 2, point a), recueilli via la fonction de la plateforme avant les données de santé structurées), fournit les avis et recueille les consentements auprès de ses clients (y compris la gestion des mineurs avec consentement donné au studio par le tuteur), donne des instructions licites et configure correctement les accès de son personnel.

18. Responsabilité

Chaque partie répond conformément au RGPD et à la loi applicable, dans les limites de leurs rôles respectifs.

19. Contact

DUBHCORE — info@dubhcore.com.

ANNEXE A — Description du traitement

• Finalités : gestion opérationnelle de l'activité du Studio via le Service.
• Types de traitement : collecte, enregistrement, organisation, stockage, consultation, utilisation, communication aux destinataires/sous-traitants ultérieurs, suppression.
• Personnes concernées : clients (y compris mineurs), parents/tuteurs, collaborateurs du Studio.
• Catégories de données : voir §3 (y compris données de santé pour le piercing et données de mineurs/tuteurs).
• Durée : durée du contrat ; conservation selon le Data Retention Schedule V1 de DUBHCORE.

ANNEXE B — Mesures techniques et organisationnelles (VÉRIFIÉES dans le code)

• Mots de passe avec bcrypt ; authentification avec JWT.
• RBAC (contrôle des rôles) et isolation multi-locataire par studio.
• Moindre privilège sur les données de santé (art. 9) — côté serveur : les réponses de santé structurées de la prestation ne sont renvoyées par l'API qu'au titulaire/manager, au professionnel affecté et au client concerné ; caviardées (non transmises) à la réception, aux professionnels non affectés, aux autres studios et aux autres clients. Le résumé opérationnel du Piercing est maintenu séparé des réponses de santé.
• Chiffrement (Fernet) des jetons Google et des données de paiement.
• Object Storage privé avec contrôle d'accès (aucune URL publique ; aucun chemin exposé).
• Rate limiting sur les points de terminaison publics (clé par IP réelle).
• Journalisation d'audit des actions (auteur/action/objet/horodatage).
• Instantanés immuables des documents signés.
• Normalisation des e-mails lors de la connexion/l'inscription.
• Sauvegardes d'infrastructure (gérées par Emergent — vérifié) : base de données de production avec sauvegardes automatiques à rotation (horaires 7 jours, quotidiennes 7 jours, hebdomadaires 4 semaines, mensuelles 12 mois, annuelles 1 an) et point-in-time recovery continu sur les 7 derniers jours ; stockage aux États-Unis.
• Régions (vérifié) : base de données de production, stockage et sauvegardes aux États-Unis.

ANNEXE C — Sous-traitants ultérieurs (uniquement les services réellement utilisés)

Remarque : Expo/EAS est utilisé exclusivement pour le build/la distribution de l'application mobile et ne traite pas les données personnelles des utilisateurs finaux lors de l'utilisation normale : il n'est pas listé comme sous-traitant ultérieur d'exécution. Apple Calendar est sur l'appareil (pas un sous-traitant ultérieur). Les DPA sont perfectionnés par acceptation en ligne (pas de signature manuscrite distincte). Durée des journaux d'infrastructure : non communiquée ni confirmée par le fournisseur (gérée par Emergent dans le cadre de sa propre infrastructure ; aucune durée numérique non vérifiée n'est indiquée).

Révision Annexe C (audit vérifié) : les services actuels sont Stripe, Google, Emergent (chaîne infra : MongoDB Atlas, AWS/Amazon SES aux États-Unis et Cloudflare (edge/distribué, région non vérifiée) via Emergent — DPA Emergent + CCT UE 2021/914). Stripe peut agir en tant que Responsable autonome pour certains traitements de paiement/conformité/lutte antifraude (pas un simple sous-traitant ultérieur) ; Google est limité à OAuth + Calendar. Les DPA sont perfectionnés par acceptation en ligne (pas de signature manuscrite distincte). Expo/EAS = outil de build/distribution, pas un sous-traitant ultérieur d'exécution des données clients. Apple Calendar est sur l'appareil (pas un sous-traitant ultérieur). Google Fonts et Unsplash NE sont PAS inclus (ressources localisées). Durée des journaux d'infrastructure : non communiquée ni confirmée par le fournisseur (aucune durée numérique non vérifiée n'est indiquée).