Annexe 1 aux conditions générales, version 2026-11-08.
1. Parties et rôles
Le présent accord s'applique entre le client qui utilise Afspraakplanning.be (le responsable du traitement) et Celegens BV, Pompstraat 4, 2845 Niel, Belgique, numéro d'entreprise 0783.383.579 (le sous-traitant). Il fait partie des conditions générales et répond à l'article 28 du Règlement général sur la protection des données (RGPD). Il court aussi longtemps que le client a un compte, puis jusqu'à la suppression de toutes les données comme prévu à l'article 9.
2. Objet, nature et finalité
Le sous-traitant conserve et traite des données personnelles pour fournir le service : afficher les agendas et créneaux, recevoir et conserver les réservations et inscriptions, envoyer des confirmations et des rappels par e-mail, et permettre au client de consulter, modifier, exporter et supprimer ses réservations.
3. Données et personnes concernées
- Personnes concernées : les utilisateurs finaux qui réservent ou s'inscrivent via l'agenda du client, et les collaborateurs du client qui utilisent le service.
- Données : nom, adresse e-mail, numéro de téléphone (si le client active ce champ), le créneau choisi, le nombre de personnes, les remarques, les réponses aux champs de formulaire que le client ajoute lui-même, et des données techniques comme l'adresse IP et l'horodatage.
Le service n'est pas conçu pour des catégories particulières de données personnelles, comme des données de santé. Si le client en demande malgré tout via ses propres champs de formulaire ou remarques, il évalue lui-même si c'est licite et nécessaire.
4. Instructions
Le sous-traitant ne traite les données que sur instruction écrite du client. Ces instructions sont le présent accord, les conditions générales et les réglages que le client choisit dans son compte. En cas d'obligation légale, le sous-traitant en informe le client au préalable, sauf si la loi l'interdit. Si le sous-traitant estime qu'une instruction viole le RGPD, il le signale immédiatement.
5. Confidentialité et sécurité
Seules les personnes qui ont besoin des données pour le service y ont accès, et elles sont tenues au secret. Le sous-traitant prend des mesures techniques et organisationnelles appropriées, dont :
- des connexions chiffrées (HTTPS) pour toutes les pages et l'espace d'administration ;
- des mots de passe conservés uniquement sous forme chiffrée (hachée) ;
- un accès séparé par client, de sorte qu'un client ne voie que ses propres données ;
- un accès aux serveurs et à la base de données réservé aux personnes autorisées ;
- des sauvegardes régulières et des mises à jour logicielles en temps utile.
6. Sous-traitants ultérieurs
Le client donne au sous-traitant une autorisation générale de faire appel à des sous-traitants ultérieurs. Le sous-traitant leur impose les mêmes obligations que dans le présent accord et reste responsable à leur égard. Actuellement, il s'agit de :
- Combell SA (Belgique) : hébergement du site web et de la base de données, dans l'Union européenne ;
- Sendinblue SAS, agissant sous le nom Brevo (France) : envoi d'e-mails comme les confirmations de réservation.
Sur les pages de réservation et dans l'espace d'administration, où figurent les données des utilisateurs finaux, nous n'utilisons pas d'enregistrement de sessions. L'analyse web (Google Analytics) n'y fonctionne que si le visiteur accepte les cookies, et constitue notre propre traitement, décrit dans la politique de confidentialité.
Le sous-traitant annonce tout nouveau sous-traitant ultérieur au moins 30 jours à l'avance sur cette page et par e-mail. Le client peut s'y opposer de manière motivée dans ce délai. Si les parties ne trouvent pas de solution, le client peut mettre fin au contrat sans frais. Les données ne sont traitées en dehors de l'Espace économique européen qu'avec les garanties exigées par le RGPD.
7. Assistance au client
Le client peut lui-même consulter, modifier et supprimer les réservations dans son compte, et ainsi répondre aux droits des personnes concernées (accès, rectification, effacement). Si le sous-traitant reçoit lui-même une telle demande, il la transmet au client. Le sous-traitant aide aussi le client, dans des limites raisonnables, pour des questions de sécurité, une analyse d'impact relative à la protection des données ou une demande de l'autorité de contrôle.
8. Violations de données
Si le sous-traitant constate une violation de la sécurité des données personnelles du client, il en informe le client dans les meilleurs délais, et si possible dans les 48 heures après en avoir pris connaissance. Il fournit les informations dont le client a besoin pour notifier lui-même la violation, et prend les mesures nécessaires pour en limiter les conséquences.
9. Fin du traitement
Le client peut toujours exporter ses données, avec l'export CSV ou sur demande, comme le prévoit l'article 13 des conditions générales. Si le client supprime son compte, le sous-traitant efface immédiatement les données personnelles du client et de ses utilisateurs finaux, sauf si la loi l'oblige à les conserver plus longtemps. Les copies dans les sauvegardes disparaissent lorsque ces sauvegardes sont écrasées selon leur rotation normale.
10. Contrôle
Le sous-traitant fournit au client, sur demande, les informations nécessaires pour démontrer qu'il respecte le présent accord. Le client peut, moyennant un préavis raisonnable d'au moins 30 jours, faire réaliser un audit au maximum une fois par an, à ses frais et sous confidentialité.
11. Responsabilité et priorité
La responsabilité est régie par l'article 18 des conditions générales, sauf lorsque le RGPD ne le permet pas. En cas de contradiction entre les conditions générales et le présent accord concernant le traitement des données personnelles, le présent accord prévaut.