Contrat de sous-traitance

Ce contrat encadre ce que Diapora, édité par Gaëtan Remondet, fait des photos et des prénoms des invités pour le compte des mariés (article 28 du règlement général sur la protection des données). Les mariés sont responsables du traitement, Diapora est sous-traitant. Il fait partie des conditions générales de vente, s'applique à chaque événement et dure autant que lui.

1. Objet, nature et finalité

Recevoir les photos envoyées par les invités, les garder et les mettre à la disposition des mariés pour l'album de leur mariage, pendant la conservation de leur formule (de 3 à 24 mois après le mariage, selon la conservation choisie), puis les supprimer. Pour cela, Diapora :

• reçoit les photos et en tire des versions sans métadonnées pour l'album et le diaporama ;
• compte les poses de chaque téléphone ;
• montre les photos aux mariés, à chaque invité les siennes, et à tous les invités si les mariés ouvrent l'album ;
• prépare le téléchargement de toutes les photos pour les mariés ;
• supprime tout à la fin de la conservation.

2. Personnes et données concernées

Les invités de l'événement et les personnes qui apparaissent sur leurs photos : photos (avec les métadonnées que le téléphone y inscrit), prénom facultatif, empreinte de l'identifiant du téléphone, heures de prise de vue et d'envoi, signalements éventuels. Aucune donnée sensible n'est demandée ; une photo peut en révéler, c'est pourquoi l'album reste privé tant que les mariés ne l'ouvrent pas.

3. Instructions des mariés

Diapora ne traite ces données que pour l'événement, selon les réglages de l'espace des mariés (qui voit les photos, prénom demandé, dates, photos masquées ou supprimées) et leurs demandes écrites. Ni publicité, ni revente, ni reconnaissance faciale, ni usage pour un autre service. Si une instruction lui semble contraire à la loi, Diapora en informe les mariés.

4. Confidentialité et sécurité

• seules les personnes de l'équipe qui en ont besoin pour l'assistance et le traitement des signalements y ont accès, par un compte nominatif à double authentification ; elles sont tenues à la confidentialité ;
• connexions chiffrées, liens des photos signés et valables peu de temps, identifiants et codes gardés sous forme d'empreinte, ouvertures de l'espace par l'équipe inscrites dans un journal ;
• données hébergées en France, copies de secours stockées dans l'Union européenne (section 5) : la base de données chiffrée avant de quitter le serveur, les originaux des photos.

5. Sous-traitants de Diapora

Les mariés autorisent Diapora à recourir à o2switch (SAS au capital de 100 000 €, RCS Clermont-Ferrand 510 909 807, Chemin des Pardiaux, 63000 Clermont-Ferrand) pour héberger les photos et la base de données, en France, et à Cloudflare (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, États-Unis) pour en garder des copies de secours, stockées dans l'Union européenne : la base, chiffrée avant de quitter le serveur, et les originaux des photos. Cloudflare adhère au cadre de protection des données UE–États-Unis, qui encadre un éventuel accès depuis les États-Unis. Tout nouveau sous-traitant est annoncé sur cette page au moins 30 jours avant d'intervenir, et par e-mail aux mariés dont l'espace est ouvert ; ils peuvent s'y opposer en mettant fin au contrat, avec le remboursement de la durée de conservation restante. Chaque sous-traitant est tenu aux mêmes obligations.

6. Aide aux mariés

• Demandes des invités : l'espace des mariés permet de masquer ou de supprimer une photo ; si une demande arrive chez Diapora, elle est transmise aux mariés, et Diapora agit lui-même s'ils ne répondent pas pour une photo qui porte atteinte à une personne.
• Violation de données : Diapora prévient les mariés concernés dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, avec ce qu'il sait de sa nature, de ses conséquences et des mesures prises.
• Sur demande, Diapora fournit les informations nécessaires pour démontrer le respect de ce contrat, et aide les mariés pour une analyse d'impact si elle était nécessaire.

7. Fin du contrat

À la fin de la conservation, ou plus tôt à la demande des mariés, Diapora supprime les photos, leurs versions, les prénoms et les identifiants des invités ; la copie de secours des photos part la nuit suivante, et les sauvegardes chiffrées de la base au plus tard 30 jours après. Les mariés peuvent tout télécharger avant. Il ne reste qu'une trace dans le journal de l'équipe (date, nombre de photos supprimées).

8. Engagements des mariés

• informer leurs invités : l'écran d'accueil de l'appareil photo indique à qui vont les photos, combien de temps elles sont gardées et comment en retirer une, avec un lien vers la politique de confidentialité ;
• garder les photos pour un usage privé, et demander l'accord des personnes concernées avant toute publication ;
• répondre aux demandes de retrait des invités et des personnes photographiées ;
• ne pas envoyer eux-mêmes de contenus illégaux, ni laisser l'espace servir à autre chose qu'à leur mariage.

Contact pour ce contrat : aide@diapora.fr.