Politique de confidentialité

(conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil, ci-après le « RGPD »)

Responsable du traitement

Utilisateur de l'application Attendu

(ci-après le « Responsable du traitement »)

Sous-traitant

Attendu s.r.o.

IČ : 24721123

dont le siège social est situé Londýnská 730/59, 120 00 Praha 2 - Vinohrady

(ci-après le « Sous-traitant »)

I. DISPOSITIONS INTRODUCTIVES

• Les présentes conditions de traitement des données à caractère personnel (ci-après les « Conditions ») régissent, conformément à l'article 28 du règlement (UE) n° 2016/679 du Parlement européen et du Conseil (règlement général sur la protection des données, ci-après le « RGPD »), les droits et obligations réciproques lorsque le Sous-traitant traite, pour le compte du Responsable du traitement, les données à caractère personnel des invités et d'autres personnes (ci-après l'« Invité ») que le Responsable du traitement téléverse dans l'application Attendu ou qui s'inscrivent, via l'application Attendu, à un événement organisé par le Responsable du traitement, lequel a conclu avec le Sous-traitant un contrat de prestation de services portant sur l'utilisation de l'application Attendu, y compris le traitement éventuel des paiements pour la participation à l'événement.

• Le Sous-traitant déclare qu'il est autorisé à traiter pour le compte du Responsable du traitement les données à caractère personnel de l'Invité qui lui sont transmises et qu'il satisfait, pendant toute la durée du traitement, à l'ensemble des exigences de la réglementation en vigueur et des présentes conditions. Si le Sous-traitant acquiert un doute fondé quant à sa capacité future à satisfaire à ces exigences, il est tenu d'y remédier immédiatement et d'en informer simultanément et immédiatement le Responsable du traitement et l'Invité.

• Les présentes Conditions servent également d'information à l'Invité sur le traitement de ses données à caractère personnel conformément aux articles 13 et 14 du RGPD. Le responsable du traitement des données à caractère personnel de l'Invité est l'organisateur de l'événement (le Responsable du traitement) ; Attendu s.r.o. est son sous-traitant. L'Invité adresse ses questions et demandes en premier lieu au Responsable du traitement ; le Sous-traitant assiste le Responsable du traitement pour y répondre.

II. ÉTENDUE DES DONNÉES TRAITÉES

• Dans le cadre de l'inscription et de la participation de l'Invité à l'événement, les catégories de données à caractère personnel suivantes peuvent être traitées :

  • Données d'identification : prénom, nom, titre.
  • Coordonnées : adresse e-mail, numéro de téléphone.
  • Données professionnelles : nom de la société, poste occupé (si ces données sont demandées).
  • Données de paiement et de transaction : informations relatives au paiement (type de carte de paiement, 4 derniers chiffres, montant, devise, statut de la transaction). Les données de paiement complètes (numéro complet de la carte, etc.) sont traitées exclusivement par la passerelle de paiement Stripe en qualité de responsable du traitement distinct.
  • Données techniques : adresse IP, données relatives à l'appareil et au navigateur (dans la mesure nécessaire au fonctionnement de l'application).
  • Conversations des utilisateurs
  • Résultats d'Attendu AI
  • Autres données : toutes autres données que le Responsable du traitement demande dans le formulaire d'inscription à l'événement.

III. DROITS ET OBLIGATIONS

• Le Responsable du traitement n'est autorisé à traiter les données à caractère personnel fournies par l'Invité que sur la base de l'inscription de l'Invité à l'événement organisé par le Responsable du traitement. Le Sous-traitant n'est autorisé à utiliser les données à caractère personnel fournies par l'Invité qu'aux fins déterminées par le Responsable du traitement.

• Le Responsable du traitement et le Sous-traitant sont tenus de respecter les présentes Conditions lors du traitement des données à caractère personnel.

• Le Responsable du traitement et le Sous-traitant sont tenus de garder confidentielles toutes les informations reçues de l'Invité, les données à caractère personnel ainsi que les mesures de sécurité. Le Responsable du traitement et le Sous-traitant sont tenus de veiller à ce que les personnes autorisées à traiter et à utiliser les données à caractère personnel soient soumises à une obligation de confidentialité.

• Le Sous-traitant est autorisé à faire appel à un sous-traitant ultérieur pour le traitement des données à caractère personnel. Le Sous-traitant est en outre tenu d'imposer au sous-traitant ultérieur le respect des obligations prévues par les présentes Conditions. Le Sous-traitant répond du respect des obligations du sous-traitant ultérieur comme s'il effectuait lui-même directement le traitement des données à caractère personnel. Le Sous-traitant fournit au Responsable du traitement, sur demande, la liste à jour des sous-traitants ultérieurs. Le Sous-traitant informe le Responsable du traitement par e-mail, au moins 14 jours à l'avance, de tout projet de recours à un nouveau sous-traitant ultérieur ou de remplacement de celui-ci ; le Responsable du traitement peut, dans ce délai, formuler une objection motivée. Si les parties ne s'accordent pas sur une solution, le Responsable du traitement peut résilier le contrat pour ce motif.

• Certains sous-traitants ultérieurs peuvent traiter les données à caractère personnel en dehors de l'Espace économique européen. Le Sous-traitant veille à ce qu'un tel transfert repose sur une décision d'adéquation ou sur des clauses contractuelles types conformément à l'article 46 du RGPD.

• Dès que la finalité du traitement des données à caractère personnel a disparu ou que la durée pendant laquelle le Responsable du traitement devait traiter les données à caractère personnel a expiré, le Responsable du traitement cesse de traiter les données à caractère personnel de l'Invité, efface immédiatement l'ensemble des données à caractère personnel et efface également toutes les copies existantes, sauf si leur conservation ultérieure est exigée par une disposition légale en vigueur. Le Sous-traitant procède à l'effacement des données à caractère personnel sur instruction du Responsable du traitement. À la fin du contrat entre le Responsable du traitement et le Sous-traitant, le Sous-traitant, au choix du Responsable du traitement, restitue au Responsable du traitement les données à caractère personnel des Invités dans un format lisible par machine ou les efface. Sauf choix contraire du Responsable du traitement, le Sous-traitant efface les données à caractère personnel des Invités, y compris les copies existantes, dans un délai de 30 jours à compter de la fin du contrat, à l'exception des données dont la conservation ultérieure est exigée par une disposition légale.

• Le Sous-traitant traite les données à caractère personnel de l'Invité exclusivement sur la base du contrat conclu avec le Responsable du traitement et des instructions documentées du Responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers. La base juridique du traitement à l'égard de l'Invité est déterminée par le Responsable du traitement.

• Bases juridiques du traitement :

  • Exécution du contrat (article 6, paragraphe 1, point b), du RGPD) : traitement nécessaire à l'inscription à l'événement et au traitement éventuel du paiement.
  • Intérêt légitime (article 6, paragraphe 1, point f), du RGPD) : garantie de la sécurité de l'application et prévention de la fraude.
  • Consentement (article 6, paragraphe 1, point a), du RGPD) : pour les finalités pour lesquelles aucune autre base juridique n'est disponible (par ex. communication marketing).

• Destinataires des données à caractère personnel :

  • Autorités publiques (par ex. tribunaux, autorités administratives).
  • Prestataires de services juridiques, comptables et fiscaux.
  • Responsable du traitement organisant des événements via l'application Attendu.
  • Stripe, Inc. (passerelle de paiement) : en qualité de sous-traitant ultérieur aux fins de l'intermédiation des paiements et, simultanément, en qualité de responsable du traitement distinct aux fins de la prévention de la fraude et du respect des obligations réglementaires. Les conditions de traitement des données à caractère personnel de la société Stripe sont disponibles à l'adresse https://stripe.com/privacy.
  • Éventuels autres sous-traitants ultérieurs, dont la liste à jour est disponible sur demande auprès du Sous-traitant.

• Durée du traitement des données à caractère personnel : les données à caractère personnel seront traitées pendant la durée nécessaire à la réalisation de la finalité du traitement, c'est-à-dire pendant la durée du contrat entre le Responsable du traitement et le Sous-traitant, ou pendant une durée plus courte déterminée par le Responsable du traitement, puis pendant la durée exigée par les dispositions légales, notamment la loi n° 499/2004 Sb. et le RGPD. Les données de paiement traitées par Stripe sont soumises au régime de conservation des données de la société Stripe.

• Droits de l'Invité :

  • Droit d'accès aux données à caractère personnel.
  • Droit de rectification et de complément des données à caractère personnel.
  • Droit à l'effacement des données à caractère personnel.
  • Droit à la limitation du traitement.
  • Droit à la portabilité des données.
  • Droit de s'opposer au traitement fondé sur l'intérêt légitime.
  • Droit de retirer son consentement au traitement, lorsque le traitement est fondé sur le consentement, sans porter atteinte à la licéité du traitement effectué avant ce retrait.

• En cas d'insatisfaction concernant le traitement, l'Invité peut déposer une réclamation auprès du Responsable du traitement ou auprès de l'Úřad pro ochranu osobních údajů (Office pour la protection des données personnelles).

IV. TRAITEMENT DES PAIEMENTS

• Si l'événement organisé par le Responsable du traitement requiert un paiement (par ex. droit d'entrée, frais d'inscription), le paiement est traité via la passerelle de paiement Stripe, Inc.

• Stripe intervient en une double qualité :

  • En qualité de sous-traitant ultérieur (sub-processor) à l'égard du Sous-traitant, aux fins de l'intermédiation et du traitement du paiement.
  • En qualité de responsable du traitement distinct pour ses propres finalités, notamment la prévention de la fraude, le respect des obligations réglementaires et l'amélioration de ses services.

• Les données de paiement complètes (par ex. le numéro complet de la carte de paiement, le code CVC) sont saisies directement dans l'interface sécurisée de Stripe, et ni le Sous-traitant ni le Responsable du traitement n'y ont accès. Le Sous-traitant et le Responsable du traitement ne peuvent avoir accès qu'à des données de transaction limitées (type de carte, 4 derniers chiffres, montant, statut du paiement).

• Les conditions de protection des données à caractère personnel de la société Stripe sont disponibles à l'adresse : https://stripe.com/privacy

V. MESURES DE SÉCURITÉ ET MESURES TECHNIQUES DU SOUS-TRAITANT

• Le Sous-traitant s'engage à prendre des mesures contre l'accès non autorisé, la modification, la destruction ou la perte des données à caractère personnel.

• Le Sous-traitant s'engage à garantir un niveau de sécurité adapté au regard des risques du traitement.

• Les mesures comprennent la pseudonymisation, le chiffrement, la disponibilité et la capacité de rétablissement des systèmes ainsi que l'évaluation régulière de leur efficacité.

• Prise en compte des risques tels que l'accès non autorisé, la destruction, la perte ou la divulgation des données.

• Les employés du Sous-traitant sont tenus à une obligation de confidentialité.

• Le Sous-traitant est tenu :

  • d'informer les personnes autorisées des Conditions,
  • de garantir que seules les personnes autorisées ont accès aux systèmes,
  • d'assurer la protection des supports de données,
  • d'assurer la sécurité de la transmission des données à caractère personnel,
  • d'aider le Responsable du traitement à s'acquitter de ses obligations envers les Invités,
  • de notifier au Responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais, au plus tard dans les 48 heures après en avoir pris connaissance, et d'aider à y remédier et à la notifier,
  • de permettre les audits et les contrôles de conformité au RGPD.

VI. ENTRÉE EN VIGUEUR ET MODIFICATION DES CONDITIONS

• Les présentes Conditions entrent en vigueur le 6 mai 2026.

• Le Sous-traitant est en droit de modifier les présentes Conditions. Il notifie la modification au Responsable du traitement par e-mail au moins 30 jours avant son entrée en vigueur.