Accord de Traitement des Données (DPA)

Préambule

Ce Contrat de Traitement des Données régit le traitement des données personnelles par Stellar Tourism Innovations GmbH (« Xentra », « Sous-traitant ») pour le compte du Client (« Responsable du traitement »).

Xentra fournit une plateforme SaaS pour la gestion des locations courte durée, dans le cadre de laquelle les données personnelles des hôtes et contacts du Client sont traitées.

§1 Objet et durée

Le Sous-traitant traite les données personnelles pour le compte du Responsable dans le cadre des services suivants :

• Gestion des réservations et enregistrement des hôtes
• Communication avec les hôtes (SMS, e-mail, messagerie)
• Gestion des serrures connectées et des accès
• Génération de texte et analyse assistées par IA
• Traitement des paiements (via Stripe)
• Vérification d'identité et déclaration

§2 Catégories de personnes concernées et de données

Personnes concernées

• Hôtes / voyageurs du Responsable
• Contacts et partenaires commerciaux du Responsable
• Propriétaires et gestionnaires des biens administrés par le responsable
• Salariés et prestataires du responsable ayant accès à la plateforme

Catégories de données

• Données de base (nom, adresse, date de naissance)
• Données de contact (e-mail, téléphone)
• Données de réservation (arrivée, départ, prix, appartement)
• Documents d'identité (pour l'enregistrement avec vérification d'identité)
• Données de paiement (traitées par Stripe)
• Contenus des communications (messages, e-mails)
• Données d'accès aux biens (codes d'accès, attribution de clés) et journaux d'accès
• Signatures, images de pièces d'identité téléversées et photos de tâches
• Messages vocaux et transcriptions qui en sont issues
• Données de planification, de temps de travail et de rémunération des prestataires du responsable

§3 Obligations du Sous-traitant

• Traitement des données exclusivement sur instructions documentées du Responsable
• Garantie de la confidentialité de toutes les personnes chargées du traitement des données
• Prise de toutes les mesures techniques et organisationnelles nécessaires conformément à l'Art. 32 RGPD
• Aide au Responsable dans l'accomplissement de ses obligations envers les personnes concernées
• Notification immédiate du Responsable en cas de violation de données

§4 Sous-traitants ultérieurs

Le Responsable accepte le recours aux sous-traitants suivants :

Pour les sous-traitants situés en dehors de l'EEE, des Clauses Contractuelles Types (CCT) de la Commission européenne ont été convenues.

Le sous-traitant peut faire appel à de nouveaux sous-traitants ultérieurs ou les remplacer. Il l'annonce par écrit au moins quatre semaines à l'avance. Dans ce délai, le responsable peut s'opposer à un nouveau sous-traitant ultérieur pour un motif important de protection des données ; si la fonction concernée ne peut alors être fournie, le responsable peut résilier la part de prestation correspondante. La version en vigueur du présent tableau fait foi.

Pour traiter les demandes d'assistance et remédier aux dysfonctionnements, le personnel du sous-traitant peut accéder au compte du responsable. Ces accès sont liés à un motif précis, limités dans le temps et journalisés. Les enregistrements d'écran et audio ne sont réalisés qu'à l'initiative du responsable ou avec sa participation.

§5 Mesures techniques et organisationnelles

Le Sous-traitant a mis en œuvre les mesures suivantes :

• Chiffrement de toutes les données en transit (TLS 1.2+) et au repos (AES-256)
• Row-Level Security (RLS) — chaque utilisateur ne voit que ses propres données
• Anonymisation des données personnelles avant transmission aux services d'IA (Google Gemini)
• Journalisation d'audit de toutes les opérations de traitement IA (sans PII dans les journaux)
• Authentification multi-facteurs pour les accès administratifs
• Examens de sécurité et mises à jour réguliers
• Chiffrement des clés API avec pgcrypto pour toutes les intégrations externes

§6 Suppression et restitution

À la fin de la relation contractuelle, le sous-traitant supprime les données personnelles du responsable, sauf obligation légale de conservation. Certains ensembles de données sont soumis à leurs propres délais dès la durée du contrat : les données de déclaration figurant dans les journaux de transmission vers les portails sont supprimées 30 jours après transmission confirmée, les enregistrements d'assistance après 30 jours, et les journaux techniques d'accès et d'interface après 7 à 30 jours.

Le Responsable peut demander l'exportation de ses données dans un format lisible par machine à tout moment.

§7 Droits d'audit

Le Responsable a le droit de vérifier le respect du présent contrat par des mesures appropriées, y compris des inspections.

Le Sous-traitant fournira au Responsable toutes les informations nécessaires pour démontrer la conformité sur demande.

§8 Contact

Pour toute question sur le traitement des données, contactez :

Stellar Tourism Innovations GmbH
Torstrasse 105-107
10119 Berlin
E-Mail: datenschutz@myxentra.com