Accord de Traitement des Données (DPA)
Le présent Accord de Traitement des Données ("ATD") fait partie intégrante du contrat de services entre Stellar Tourism Innovations GmbH ("le Sous-traitant") et ses clients ("le Responsable du traitement") et régit le traitement des données personnelles conformément à l'Art. 28 du RGPD.
Dernière mise à jour : 5 septembre 2026
Préambule
Ce Contrat de Traitement des Données régit le traitement des données personnelles par Stellar Tourism Innovations GmbH (« Xentra », « Sous-traitant ») pour le compte du Client (« Responsable du traitement »).
Xentra fournit une plateforme SaaS pour la gestion des locations courte durée, dans le cadre de laquelle les données personnelles des hôtes et contacts du Client sont traitées.
§1 Objet et durée
Le Sous-traitant traite les données personnelles pour le compte du Responsable dans le cadre des services suivants :
- Gestion des réservations et enregistrement des hôtes
- Communication avec les hôtes (SMS, e-mail, messagerie)
- Gestion des serrures connectées et des accès
- Génération de texte et analyse assistées par IA
- Traitement des paiements (via Stripe)
- Vérification d'identité et déclaration
§2 Catégories de personnes concernées et de données
.h3DataSubjects
- Hôtes / voyageurs du Responsable
- Contacts et partenaires commerciaux du Responsable
- Propriétaires et gestionnaires des biens administrés par le responsable
- Salariés et prestataires du responsable ayant accès à la plateforme
.h3DataTypes
- Données de base (nom, adresse, date de naissance)
- Données de contact (e-mail, téléphone)
- Données de réservation (arrivée, départ, prix, appartement)
- Documents d'identité (pour l'enregistrement avec vérification d'identité)
- Données de paiement (traitées par Stripe)
- Contenus des communications (messages, e-mails)
- Données d'accès aux biens (codes d'accès, attribution de clés) et journaux d'accès
- Signatures, images de pièces d'identité téléversées et photos de tâches
- Messages vocaux et transcriptions qui en sont issues
- Données de planification, de temps de travail et de rémunération des prestataires du responsable
§3 Obligations du Sous-traitant
- Traitement des données exclusivement sur instructions documentées du Responsable
- Garantie de la confidentialité de toutes les personnes chargées du traitement des données
- Prise de toutes les mesures techniques et organisationnelles nécessaires conformément à l'Art. 32 RGPD
- Aide au Responsable dans l'accomplissement de ses obligations envers les personnes concernées
- Notification immédiate du Responsable en cas de violation de données
§4 Sous-traitants ultérieurs
Le Responsable accepte le recours aux sous-traitants suivants :
| Fournisseur | Finalité | Emplacement du serveur |
|---|---|---|
| Supabase Inc. | .subSupabase | AWS eu-central-1 (Frankfurt) |
| Vercel Inc. | .subVercel | USA (SCC) |
| Google Cloud (Cloud Run) | .subGcloud | EU (Frankfurt) |
| Functional Software Inc. (Sentry) | .subSentry | EU / USA (SCC) |
| Digital Shift OÜ (Capgo) | .subCapgo | EU (Estland) |
| Google LLC (Gemini API) | .subGemini | USA (SCC) |
| Anthropic PBC | .subAnthropic | USA (SCC) |
| Stripe Inc. / Stripe Payments Europe Ltd. | .subStripe | EU / USA (SCC) |
| Chargebee Inc. | .subChargebee | USA (SCC) |
| Haufe-Lexware GmbH & Co. KG | .subLexware | EU (Deutschland) |
| Fatture in Cloud S.p.A. | .subFattureincloud | EU (Italien) |
| Resend Inc. | .subResend | USA (SCC) |
| Twilio Inc. | .subTwilio | USA (SCC) |
| Meta Platforms Ireland Ltd. | .subMeta | EU / USA (SCC) |
| HostU | .subHostu | EU (DE/AT) |
| Apple Distribution International Ltd. | .subApns | EU / USA |
| Google Ireland Ltd. (FCM) | .subFcm | EU / USA (SCC) |
| Chekin S.L. | .subChekin | EU (Spanien) |
| AVS GmbH | .subAvs | EU (Deutschland) |
| Feratel Media Technologies AG | .subFeratel | EU (Österreich) |
| WINTOP Software | .subWintop | EU (DE/AT) |
| Nuki Home Solutions GmbH | .subNuki | EU (Österreich) |
| Seam Labs Inc. | .subSeam | USA (SCC) |
| Salto Systems S.L. | .subSalto | EU (Spanien) |
| Ring LLC (Amazon.com Inc.) | .subRing | USA (SCC) |
| Tedee sp. z o.o. | .subTedee | EU (Polen) |
| Sciener / TTLock | .subTtlock | China (SCC) |
| igloocompany Pte Ltd | .subIgloohome | Singapur (SCC) |
| Wonderlabs (SwitchBot) | .subSwitchbot | Hongkong (SCC) |
| Channex Ltd. | .subChannex | EU |
| Smoobu GmbH | .subSmoobu | EU (Deutschland) |
| iLoca Services GmbH | .subIloca | EU (Deutschland) |
| V-Office (Ferienhausmiete GmbH) | .subVoffice | EU (Deutschland) |
| Beds24 (Cousins Online Ltd.) | .subBeds24 | EU / UK |
| Lodgify S.L. | .subLodgify | EU (Spanien) |
| Octorate S.r.l. | .subOctorate | EU (Italien) |
| Smily (BookingSync S.A.S.) | .subSmily | EU (Frankreich) |
| Hostfully Inc. | .subHostfully | USA (SCC) |
| Hospitable Inc. | .subHospitable | USA (SCC) |
| Hostaway Pty Ltd | .subHostaway | USA (SCC) |
| Guesty Inc. | .subGuesty | USA (SCC) |
| PriceLabs | .subPricelabs | USA / Indien (SCC) |
| Google LLC (Drive) | .subGoogleDrive | USA (SCC) |
| Google LLC (OAuth) | .subGoogleOauth | USA (SCC) |
| Google LLC (Maps Geocoding) | .subGmaps | USA (SCC) |
.subprocessorsScc
.subprocessorsChange
.supportAccess
§5 Mesures techniques et organisationnelles
Le Sous-traitant a mis en œuvre les mesures suivantes :
- Chiffrement de toutes les données en transit (TLS 1.2+) et au repos (AES-256)
- Row-Level Security (RLS) — chaque utilisateur ne voit que ses propres données
- Anonymisation des données personnelles avant transmission aux services d'IA (Google Gemini)
- Journalisation d'audit de toutes les opérations de traitement IA (sans PII dans les journaux)
- Authentification multi-facteurs pour les accès administratifs
- Examens de sécurité et mises à jour réguliers
- Chiffrement des clés API avec pgcrypto pour toutes les intégrations externes
§6 Suppression et restitution
À la fin de la relation contractuelle, le sous-traitant supprime les données personnelles du responsable, sauf obligation légale de conservation. Certains ensembles de données sont soumis à leurs propres délais dès la durée du contrat : les données de déclaration figurant dans les journaux de transmission vers les portails sont supprimées 30 jours après transmission confirmée, les enregistrements d'assistance après 30 jours, et les journaux techniques d'accès et d'interface après 7 à 30 jours.
Le Responsable peut demander l'exportation de ses données dans un format lisible par machine à tout moment.
§7 Droits d'audit
Le Responsable a le droit de vérifier le respect du présent contrat par des mesures appropriées, y compris des inspections.
Le Sous-traitant fournira au Responsable toutes les informations nécessaires pour démontrer la conformité sur demande.
§8 Contact
Pour toute question sur le traitement des données, contactez :
Stellar Tourism Innovations GmbH
Torstrasse 105-107
10119 Berlin
E-Mail: datenschutz@myxentra.com