Essai gratuit

Accord de sous-traitance

Dernière mise à jour : 4 novembre 2026

Entre qui cet accord s'applique

Cet accord s'applique entre vous, l'entreprise de location qui a un compte BoothBuddy (« vous »), et Perception Group BV, Gitsestraat 593, 8800 Roeselare, Belgique, numéro d'entreprise 1031.162.458, TVA BE 1031.162.458 (« nous »). Il fait partie des conditions d'utilisation et vous l'acceptez lorsque vous créez un compte.

Qui fait quoi

Pour les photos et les données des invités, vous êtes le responsable du traitement et nous sommes le sous-traitant (article 28 RGPD). Vous décidez pourquoi et comment elles sont traitées. Pour vos propres données de compte, nous sommes le responsable : voyez la politique de confidentialité.

Ce que nous traitons et pourquoi

Nous traitons les photos et les données des invités pour que vous puissiez faire tourner vos événements : le placement des photos dans votre propre Google Drive ou Dropbox et leur chargement depuis celui-ci, la galerie de l'invité, la galerie de votre client, le diaporama, le rapport client, la liste des invités et l'export CSV, l'envoi par e-mail ou SMS via nos sous-traitants ultérieurs, et la transmission vers votre propre webhook. Chez nous, une photo ne reste que jusqu'à ce qu'elle soit arrivée dans votre stockage, plus un petit aperçu pour la galerie. Nous le faisons tant que cet accord court et pendant la durée de conservation de votre formule. Nous n'utilisons ni IA ni reconnaissance faciale, nous ne faisons pas de profilage et nous n'utilisons pas ces données pour nous-mêmes.

Données et personnes

  • Données : photos, bandes photo, GIF et boomerangs ; ce que les invités saisissent (par exemple nom, adresse e-mail, numéro de téléphone, réponses à vos questions) ; leurs choix de consentement ; où les e-mails et SMS ont été envoyés ; combien de fois la page d'un invité et la galerie d'un événement ont été ouvertes, sous la forme d'un nombre sur notre serveur, sans cookie, sans adresse IP et sans horodatage ; le nom et les coordonnées de vos clients et vos notes à leur sujet.
  • Personnes : les invités de vos événements, y compris des enfants, et les personnes de contact de vos clients.
  • Données sensibles : nous ne les demandons pas. Ne posez pas de questions qui en collectent dans un formulaire, sauf si vous avez une base juridique.

Vos instructions

Nous ne traitons ces données que sur vos instructions, telles que vous les donnez via les réglages de l'app web et des apps, ou par écrit. Si la loi nous oblige à faire autre chose, nous vous le disons d'abord, sauf si cette loi l'interdit. Si nous pensons qu'une instruction viole le RGPD, nous vous le disons.

Confidentialité

Toute personne chez nous ayant accès aux données est tenue à la confidentialité et ne les consulte que si c'est nécessaire pour vous aider ou pour garder le service sûr.

Sécurité

Ces mesures sont en place :

  • connexions chiffrées (HTTPS) vers l'app web, les galeries et les apps ;
  • fichiers chiffrés au repos par Cloudflare ;
  • mots de passe conservés uniquement sous forme de hachage PBKDF2 salé, et cookies de connexion uniquement sous forme de hachage SHA-256 ;
  • votre accès à Drive et Dropbox conservé chiffré (AES-GCM) ;
  • chaque compte strictement séparé des autres, avec des tests automatiques sur cette séparation ;
  • limites sur les tentatives de connexion, de création de compte, d'association et de code d'accès de galerie ;
  • pages et fichiers des invités sur de longues adresses impossibles à deviner, et un code d'accès que vous pouvez définir pour la galerie d'un événement ;
  • une clé par iPad ou ordinateur, que vous pouvez révoquer dans l'app web ;
  • un journal des modifications de votre compte, avec des adresses IP raccourcies ;
  • envois contrôlés par type, et fichiers stockés qui ne peuvent pas s'exécuter comme une page.

Sous-traitants ultérieurs

Vous nous donnez une autorisation générale d'utiliser ces sous-traitants ultérieurs :

  • Cloudflare, Inc. (États-Unis, avec un réseau mondial) : hébergement de l'app web et de la base de données, le stockage temporaire des photos et les aperçus. La base de données et le stockage sont liés à l'Union européenne dès leur création.
  • Resend (Plus Five Five, Inc., États-Unis, envoi depuis l'Irlande) : l'e-mail qu'un invité demande. Reçoit son adresse e-mail, le lien vers sa galerie et vos mots. Transferts dans le cadre du EU-US Data Privacy Framework et des clauses contractuelles types de la Commission européenne.
  • Twilio (Twilio Inc., États-Unis) : le SMS qu'un invité demande. Reçoit son numéro de mobile, le lien vers sa galerie et vos mots. Transferts dans le cadre du EU-US Data Privacy Framework, des règles d'entreprise contraignantes de Twilio et des clauses contractuelles types de la Commission européenne.
  • Stripe et Apple gèrent les paiements et ne sont pas ici des sous-traitants ultérieurs : ils ne reçoivent de notre part aucune donnée d'invités. Nous les citons pour que vous ayez une vue complète.

Nous vous prévenons par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, en indiquant de qui il s'agit, ce qu'il fait et la date à laquelle cela prend effet. Pendant ce délai, vous pouvez vous y opposer pour des raisons de protection des données. Nous cherchons alors une solution ensemble. Si nous n'y parvenons pas avant la date, vous pouvez mettre fin à l'accord sans frais avant cette date, et nous remboursons ce que vous avez payé à l'avance pour la période suivante. Nos sous-traitants ultérieurs sont tenus aux mêmes obligations, et nous restons responsables d'eux envers vous.

Comptes que vous connectez vous-même

Google Drive et Dropbox ne sont utilisés que via votre propre compte, avec votre propre autorisation. La connexion de l'un des deux est obligatoire, car c'est là que se trouvent les photos. Ce sont vos sous-traitants, pas les nôtres : vous les choisissez et vous concluez vos propres accords avec eux, y compris sur l'endroit où se trouvent ces données. Il en va de même pour l'adresse que vous donnez à un webhook. Nous n'y envoyons les réponses des invités que si vous l'activez.

Transferts hors de l'EEE

La base de données, le stockage temporaire et les aperçus se trouvent dans l'Union européenne. Cela n'exclut pas entièrement les transferts : Cloudflare est une entreprise américaine, les requêtes passent par le serveur le plus proche de son réseau mondial, et des données de trafic ou des accès pour l'assistance peuvent se retrouver hors de l'EEE.

Ces transferts relèvent du EU-US Data Privacy Framework, auquel Cloudflare adhère. Si celui-ci disparaît, les clauses contractuelles types de la Commission européenne figurant dans l'accord de sous-traitance de Cloudflare s'appliquent. Vous pouvez nous en demander une copie.

Vous aider

Dans des limites raisonnables, nous vous aidons à répondre aux demandes des invités et à remplir vos autres obligations au titre du RGPD, comme une analyse d'impact. Dans l'app web, vous pouvez vous-même trouver, exporter et supprimer les données d'un invité. Si un invité nous écrit, nous vous transmettons sa demande et n'y répondons pas à votre place, sauf si vous nous le demandez.

Violations de données

En cas de violation de données à caractère personnel, nous vous prévenons dans les meilleurs délais et au plus tard dans les 48 heures après en avoir eu connaissance, à l'adresse e-mail de votre compte. Ces 48 heures sont une limite maximale, pas un délai d'attente. Nous disons ce qui s'est passé, quelles données et combien de personnes sont concernées, et ce que nous faisons. Si nous ne savons pas encore tout, nous signalons d'abord ce que nous savons et complétons ensuite. Vous décidez de prévenir ou non l'autorité et les invités ; pour l'autorité, vous disposez vous-même de 72 heures.

Suppression et restitution

  • Pendant l'accord, vous pouvez tout télécharger et supprimer vous-même. Les sessions au-delà de la durée de conservation de votre formule (Basis 3 mois, Pro 6 mois, Luxe 1 an, à compter du jour de la session) sont supprimées automatiquement chez nous : la galerie, l'aperçu, les réponses aux formulaires, les adresses et les numéros. Vous gérez vous-même les photos dans votre propre stockage. Si un invité demande de retirer une photo, supprimez-la aussi de ce stockage.
  • Après la fin de votre hébergement, c'est vous qui décidez : vous pouvez tout télécharger par événement et vous pouvez tout supprimer immédiatement. Votre compte reste en lecture seule pour que cela soit possible. Tant que vous ne faites rien d'autre, la durée de conservation de votre formule constitue votre instruction : elle garde vos galeries disponibles pour vous et vos invités et vous permet de recommencer.
  • Rappel. Nous vous le disons dans l'app web lorsque vous résiliez. Avant la première suppression automatique après la fin de votre hébergement, nous vous envoyons un e-mail, une seule fois, puis nous attendons au moins 30 jours. La première suppression peut donc avoir lieu jusqu'à 30 jours après la fin de la durée de conservation. Si votre formule baisse à la suite d'un remboursement, nous faisons de même avant que la durée plus courte ne s'applique.
  • Supprimer votre compte. Supprimez-le vous-même sous Paramètres, ou demandez-le-nous, et toutes les données d'invités qu'il contient disparaissent dans les 30 jours, sauf si la loi nous oblige à conserver quelque chose.
  • Historique de restauration. Les données supprimées peuvent rester jusqu'à 30 jours dans l'historique de restauration de la base de données chez Cloudflare avant de disparaître définitivement.
  • Les photos sur votre propre Drive ou Dropbox, sur vos appareils ou sur la carte de votre appareil photo sont gérées par vous.

Contrôle

Nous vous donnons les informations nécessaires pour montrer que nous respectons cet accord, sur demande et au maximum une fois par an, sauf en cas de violation. Si cela ne suffit pas, vous pouvez faire réaliser un audit à vos frais, avec un préavis raisonnable et sous confidentialité.

Vos obligations

  • Vous avez une base juridique pour ce que vous faites des données des invités, et vous informez les invités.
  • Pour les invités de moins de 16 ans, vous et votre client êtes responsables de demander l'autorisation d'un parent ou d'un tuteur, y compris pour les photos d'enfants. Les conditions d'utilisation expliquent pourquoi cela est indépendant de la limite belge de 13 ans.
  • Vous répondez aux demandes des invités et gardez votre propre contrat avec votre client.
  • Vous gardez en sécurité votre mot de passe, les codes PIN de vos appareils et vos appareils.

Durée et responsabilité

Cet accord court tant que nous conservons des données à caractère personnel pour vous. Les limites des conditions d'utilisation s'y appliquent, sauf si le RGPD en dispose autrement. Elles ne limitent pas les droits que les invités ont eux-mêmes au titre du RGPD. Si cet accord et les conditions diffèrent sur les données à caractère personnel, cet accord prévaut. Des questions ? Écrivez à info@studio-perception.be.