Mentions légales

Contrat de sous-traitance (AVV) au titre de l'Art. 28 DSGVO

Status: 21 octobre 2026 · Tous les documents juridiques

Traduction fournie à titre informatif. Seule la version allemande fait foi.

Traduction fournie à titre informatif. Seule la version allemande fait foi.

---

Quand le présent contrat s'applique

Le présent contrat s'applique exclusivement aux événements professionnels — réservés par une entreprise, une autorité publique, une association ou toute autre organisation dans le cadre de son activité. Il devient automatiquement partie intégrante du contrat dès sa conclusion et n'a pas à être signé séparément ; nous mettons à disposition un exemplaire signé sur demande à privacy@snapories.com.

Il ne s'applique pas aux événements privés (mariage, anniversaire, fête de famille). Dans ce cas, la personne qui réserve est, en règle générale, exclue du champ d'application de la DSGVO (exception domestique, Art. 2 Abs. 2 lit. c DSGVO) et nous sommes nous-mêmes responsables du traitement — il n'existe pas de sous-traitance dans cette configuration.

Parties

---

§ 1 Objet, durée et force obligatoire des instructions

1.1 L'objet est le traitement de données à caractère personnel que nous effectuons, pour le compte de l'Organisatrice, dans le cadre de la fourniture des prestations décrites dans les CGV. La nature, la finalité, l'étendue, les catégories de données et les personnes concernées résultent de l'Annexe 1.

1.2 Le présent contrat court pour la durée du contrat principal, au plus tard jusqu'à la suppression de l'ensemble des données traitées pour le compte de l'Organisatrice conformément au § 9.

1.3 Nous traitons les données exclusivement sur instruction documentée de l'Organisatrice. Les instructions sont données sous forme de texte à privacy@snapories.com ; les options de réglage prévues dans le produit (période de l'événement, région de données, visibilité, lien de partage pour les invités, blocage d'images et d'invités, langues, demandes de suppression) valent instruction.

1.4 Si nous estimons qu'une instruction est illicite, nous en informons l'Organisatrice sans délai. Nous pouvons suspendre son exécution jusqu'à sa confirmation ou sa modification (Art. 28 Abs. 3 UAbs. 2 DSGVO).

1.5 Les traitements à des fins propres — exécution du contrat et facturation, sécurité de l'exploitation et sécurité informatique, prévention des abus, indicateurs agrégés sans référence à une personne, respect des obligations légales — ne font pas l'objet du présent contrat. À cet égard, nous sommes nous-mêmes responsables du traitement ; la politique de confidentialité s'applique.

---

§ 2 Lieu du traitement

2.1 Les données d'un événement sont traitées dans la région de données choisie pour cet événement lors de la réservation : Union européenne (Francfort-sur-le-Main) ou États-Unis (Virginie du Nord). Aucune mise en miroir entre les régions n'a lieu. Le stockage, le traitement et la suppression ont lieu exclusivement dans cette région ; pour la diffusion des images, celles-ci sont, tant que l'événement est en cours, également mises en cache de manière temporaire sur des sites périphériques (edge) en dehors de la région choisie (Annexe 3, section 1.1).

2.2 Par dérogation, la génération dans la borne photo IA a lieu chez le fournisseur d'IA utilisé, y compris en dehors de l'EEE (Annexe 3). L'Organisatrice en prend connaissance ; si elle désactive la borne photo pour son événement, cette transmission n'a pas lieu.

2.3 Les transferts vers des pays tiers s'effectuent exclusivement sur la base d'une décision d'adéquation ou des clauses contractuelles types (décision d'exécution (UE) 2021/914), accompagnées d'une analyse d'impact du transfert.

2.4 Par dérogation au § 2.1, les données de communication visées à l'annexe 1 — les adresses e-mail des personnes utilisant le tableau de bord ainsi que leurs codes de connexion — sont traitées, pour chaque événement, dans l'Union européenne (Francfort-sur-le-Main), indépendamment de la région de données de l'événement. Un compte administre des événements dans les deux régions ; cet enregistrement n'appartient donc à aucun événement isolé et ne peut suivre aucun d'entre eux ; il est conservé une seule fois et lu depuis les deux régions (annexe 3, section 1.2). Aucune image n'y est impliquée. Il en va de même pour les données que nous traitons en qualité de responsable autonome du traitement au titre du § 1.5.

---

§ 3 Confidentialité

3.1 Nous n'affectons au traitement que des personnes tenues à la confidentialité ou soumises à une obligation légale appropriée de secret (Art. 28 Abs. 3 lit. b DSGVO).

3.2 Les personnes affectées sont familiarisées avec les exigences pertinentes en matière de protection des données et sont régulièrement formées.

---

§ 4 Mesures techniques et organisationnelles

4.1 Nous prenons les mesures décrites à l'annexe 2 conformément à l'Art. 32 DSGVO et les maintenons pendant toute la durée du contrat.

4.2 Les mesures peuvent être développées davantage, pour autant que le niveau de protection ne soit pas abaissé. Nous documentons les modifications substantielles et les communiquons sur demande.

---

§ 5 Sous-traitants ultérieurs

5.1 L'organisatrice accorde une autorisation écrite générale pour le recours à des sous-traitants ultérieurs (Art. 28 Abs. 2 Satz 2 DSGVO). Les sous-traitants ultérieurs auxquels il est recouru à la date de la présente convention sont nommément énumérés à l'annexe 3.

5.2 Lorsque nous entendons faire appel à un sous-traitant ultérieur supplémentaire ou remplacer un sous-traitant existant, nous en informons l'organisatrice au moins 30 Tage à l'avance sous forme de texte. L'organisatrice peut s'y opposer dans ce délai pour un motif important lié à la protection des données. En cas d'opposition, nous pouvons adapter la prestation concernée ou résilier le contrat par résiliation ordinaire avec effet à la date du changement prévu et rembourser la rémunération au prorata.

5.3 Nous astreignons les sous-traitants ultérieurs à des obligations de protection des données correspondant pour l'essentiel à celles convenues ici, et nous répondons de leur comportement comme du nôtre.

---

§ 6 Assistance à l'organisatrice

6.1 Droits des personnes concernées. Lorsque des personnes concernées s'adressent directement à nous, nous transmettons la demande sans délai à l'organisatrice et n'y répondons pas nous-mêmes dans la mesure où elle porte sur l'objet du traitement. Nous assistons l'organisatrice par des mesures techniques et organisationnelles appropriées dans l'accomplissement des droits résultant des Art. 12–22 DSGVO, en particulier l'accès, la rectification, l'effacement, la limitation et la remise des images d'un événement.

6.2 Obligations résultant des Art. 32–36 DSGVO. Nous assistons l'organisatrice dans la garantie de la sécurité du traitement, dans les notifications de violations de données à caractère personnel et dans une analyse d'impact relative à la protection des données, chaque fois en tenant compte de la nature du traitement et des informations dont nous disposons.

6.3 Charge de travail. L'assistance est gratuite dans les limites de l'usuel et du raisonnable. Pour une assistance dépassant ce qui est légalement dû et occasionnant une charge de travail considérable, nous pouvons exiger une rémunération appropriée ; nous le signalons au préalable.

---

§ 7 Notification des violations de la protection des données à caractère personnel

7.1 Nous informons l'organisatrice sans délai dès que nous avons connaissance d'une violation de la protection des données à caractère personnel dans le cadre du traitement — en règle générale dans un délai de 24 heures.

7.2 La notification contient, dans la mesure du possible : une description de la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements de données concernés, les conséquences probables, les mesures prises et proposées ainsi qu'un point de contact.

7.3 La notification à l'autorité de contrôle (Art. 33 DSGVO) et la communication aux personnes concernées (Art. 34 DSGVO) incombent à l'organisatrice ; nous l'y assistons.

---

§ 8 Preuves et contrôles

8.1 Nous mettons à la disposition de l'organisatrice, sur demande, toutes les informations nécessaires pour démontrer le respect des obligations découlant de l'Art. 28 DSGVO — principalement par la documentation, l'annexe 2 et, le cas échéant, les certificats et rapports d'audit de nos sous-traitants ultérieurs.

8.2 Si ces preuves sont insuffisantes dans un cas particulier, nous permettons des vérifications, y compris des inspections. Celles-ci doivent être annoncées avec un préavis raisonnable (au moins 14 jours), ne doivent pas perturber l'exploitation de manière excessive et ont lieu au maximum une fois par an — sauf s'il existe un motif concret. Les tiers effectuant le contrôle ne doivent pas être des concurrents et doivent être soumis à une obligation de confidentialité.

---

§ 9 Suppression et restitution

9.1 Après la fin du traitement, nous supprimons les données traitées pour le compte de l'organisatrice ou les restituons, au choix de l'organisatrice. L'organisatrice peut télécharger à tout moment les images d'un événement via le tableau de bord.

9.2 Sauf instruction contraire, la suppression intervient à l'expiration du délai de conservation convenu dans les conditions générales. Sur demande, nous supprimons par anticipation.

9.3 Sont exclues de la suppression les données pour lesquelles il existe une obligation légale de conservation ; elles sont bloquées pour toute utilisation ultérieure.

9.4 La suppression est confirmée sur demande sous forme de texte.

---

§ 10 Responsabilité

La responsabilité est régie par l'Art. 82 DSGVO et les dispositions du contrat principal ; les limitations de responsabilité du contrat principal ne s'appliquent pas aux réclamations des personnes concernées au titre de l'Art. 82 DSGVO.

---

§ 11 Relation avec le contrat principal

En cas de contradictions entre le présent accord et le contrat principal, le présent accord prévaut en ce qui concerne le traitement des données à caractère personnel.

---

§ 12 Dispositions finales

12.1 Les modifications doivent être effectuées en la forme textuelle. 12.2 Le droit allemand est applicable. 12.3 Si une disposition est nulle, la validité des autres dispositions n'en est pas affectée. 12.4 Version linguistique faisant foi.

Seule la version allemande de la présente convention fait foi. Les versions dans d'autres langues sont mises à disposition exclusivement à des fins d'information. En cas de divergences, la version allemande prévaut.

---

Annexe 1 — Objet du traitement

Nature et finalité. Collecte, conservation, structuration, affichage, mise à disposition et effacement d'images et de données associées aux fins de l'exploitation d'une galerie d'événement fermée comprenant une borne photo à IA, pour le compte et sur instruction de l'Organisatrice. La borne photo n'a pas de caméra propre : un invité l'applique à une image qu'il a lui-même prise et qui se trouve déjà dans la galerie. Si l'Organisatrice a réservé des images IA, chaque image téléversée est en outre automatiquement vérifiée afin de déterminer si la fonction peut être proposée pour elle (Annexe 3, Google).

Personnes concernées

• les invités qui rejoignent l'événement
• les personnes représentées sur des images apportées ou générées
• les collaborateurs de l'Organisatrice qui utilisent le tableau de bord

Catégories de données

Catégories particulières. Aucune donnée biométrique aux fins de l'identification unique d'une personne physique n'est produite ; à aucun endroit ne sont créés de gabarits faciaux (templates), de vecteurs faciaux ni de comparaison faciale.

L'analyse qui précède une génération IA ainsi que la vérification automatique de chaque image téléversée produisent toutefois une courte description des personnes représentées au premier plan, qui inclut leur teint apparent et leur origine ethnique apparente — des informations au sens de l'Art. 9 DSGVO. Elles servent exclusivement à préserver l'apparence des personnes représentées dans l'image générée ; elles ne sont pas inscrites dans la base de données de la Sous-traitante (lors d'une génération, elles sont transportées, chiffrées, dans le jeton de session que détient l'application de l'invité ; lors de la vérification automatique, elles sont supprimées dès que la réponse oui/non en a été déduite) et ne sont pas utilisées pour classer, profiler, évaluer ou reconnaître quiconque.

En outre, les images peuvent, par nature, laisser apparaître des informations sensibles ; l'Organisatrice examine sous sa propre responsabilité si son événement requiert à cet égard des précautions particulières.

---

Annexe 2 — Mesures techniques et organisationnelles (Art. 32 DSGVO)

Confidentialité

• Accès physique : exclusivement des centres de données de fournisseurs certifiés (ISO 27001, SOC 2) ; nous n'exploitons aucun matériel propre.
• Accès aux systèmes : accès aux systèmes de production uniquement pour des personnes nommément désignées, via des comptes personnalisés avec authentification à deux facteurs ; accès à la console interne via une liste d'adresses expressément enregistrée.
• Accès aux données : jetons liés au rôle et au périmètre (événement, hôte, partenaire, recommandation, personnel) ; fichiers image uniquement via des liens de récupération signés et éphémères.
• Séparation : séparation des régions de données pour les données d'événement (bases de données propres, espaces de stockage propres, aucune mise en miroir transrégionale) ; les enregistrements de compte et les enregistrements commerciaux sont conservés une seule fois, dans l'UE, et sont lus depuis les deux régions au lieu d'être copiés dans l'une d'elles (§ 2.4) ; séparation des six interfaces sur leurs propres domaines sans stockage de navigateur partagé ; séparation des données de test et des données de production.
• Pseudonymisation : identité sans compte via des identifiants émis côté serveur ; les adresses IP des compteurs d'abus sont tronquées et hachées, jamais stockées en clair.

Intégrité

• Transmission : TLS pour l'ensemble des connexions ; aucune intégration de polices de caractères, d'outils d'analyse ou de publicité tiers dans l'application invité et le tableau de bord organisateur, dans lesquels sont traitées les données confiées ; les données de paiement sont transmises directement au prestataire de services de paiement.
• Saisie : vérification côté serveur de l'ensemble des saisies par rapport à un schéma de contrat central et typé ; journalisation des opérations administratives ; compteurs de contingent et de coûts avec opérations atomiques contre les doubles comptabilisations.

Disponibilité et résilience

• services de stockage et de base de données gérés et à redondance multiple avec chiffrement au repos ; mise à l'échelle automatique de la couche applicative ; plafonds de coûts stricts pour les appels IA ; protection contre les abus face aux appels de masse automatisés.

Procédures de vérification

• séries de tests automatisées avant chaque mise en ligne (tests fonctionnels de bout en bout, vérification de la description de l'infrastructure, rapprochement automatique de chaque entrée de stockage dans le navigateur par rapport à un répertoire central) ;
• réception documentée des instructions via une adresse désignée ;
• contrôle de la sous-traitance en vertu du § 5 de la présente convention.

---

Annexe 3 — Sous-traitants ultérieurs

La liste des sous-traitants ultérieurs en vigueur à tout moment s'applique et fait partie intégrante de la présente convention. Les modifications sont communiquées conformément au § 5.2.