Accord de traitement des données (DPA)
Conformément à l’article 28 du règlement (UE) 2016/679 (RGPD)
Le présent accord de traitement des données (« DPA ») fait partie du contrat conclu entre l’agence de voyages abonnée à la plateforme Ziyara.io (l’« Agence », agissant en qualité de responsable du traitement) et Ziyara.io (agissant en qualité de sous-traitant) pour la fourniture du service de gestion d’agence Ziyara.io (le « Service »). Il s’applique automatiquement à tout abonnement de l’Agence. Un exemplaire contresigné est disponible sur demande à l’adresse info@ziyara.io. Vous pouvez également consulter les versions anglaise et allemande.
1. Objet et durée
Ziyara.io traite des données à caractère personnel pour le compte de l’Agence dans la mesure nécessaire à la fourniture du Service : gestion des dossiers de pèlerins, des groupes, de la répartition des chambres, des vols, des paiements, des documents, des communications (e-mail, SMS et WhatsApp) et des fonctionnalités associées. Le présent accord s’applique pendant toute la durée de l’abonnement de l’Agence et jusqu’à la suppression ou à la restitution de l’ensemble des données à caractère personnel conformément à la section 10.
2. Nature et finalité du traitement
Le traitement comprend la conservation, l’organisation, la structuration, la consultation, l’utilisation, la transmission (par exemple l’envoi de communications sur instruction de l’Agence et la génération de manifestes et de listes de chambres) et la suppression de données à caractère personnel, exclusivement pour permettre à l’Agence d’administrer ses voyages pour l’Omra et le Hadj au sein du Service.
3. Catégories de personnes concernées et de données à caractère personnel
- Personnes concernées : les pèlerins de l’Agence (clients), ses prospects (demandes de renseignements), ainsi que son personnel, ses guides et ses partenaires prestataires.
- Données à caractère personnel : données d’identité (nom, date de naissance, numéro de passeport, numéro national d’identité, copies de passeport et photos), coordonnées (téléphone, e-mail, adresse), données de voyage (groupe, vols, répartition des chambres, statut du visa, dates de vaccination), enregistrements de paiement (montants, dates et soldes, sans données de carte bancaire), contenu des communications et, lorsque l’Agence utilise la fonction d’urgence SOS de l’application mobile, coordonnées GPS du pèlerin au moment du déclenchement de l’alerte.
- Catégories particulières de données (article 9 du RGPD) : la participation à un voyage pour l’Omra ou le Hadj peut révéler indirectement des convictions religieuses ; certaines données de santé peuvent être enregistrées, par exemple les dates de vaccination. L’Agence garantit qu’elle dispose d’une base juridique valable pour traiter ces données, généralement le consentement explicite de la personne concernée.
4. Obligations du sous-traitant (Ziyara.io)
Ziyara.io s’engage à :
- traiter les données à caractère personnel uniquement sur instruction documentée de l’Agence, notamment les instructions données au moyen des fonctionnalités du Service, sauf obligation prévue par le droit de l’Union européenne ou d’un État membre ;
- veiller à ce que les personnes autorisées à traiter les données s’engagent à respecter leur confidentialité ;
- mettre en œuvre des mesures techniques et organisationnelles appropriées conformément à l’article 32 du RGPD (section 6 ci-dessous) ;
- respecter les conditions de recours à des sous-traitants ultérieurs (section 5 ci-dessous) ;
- compte tenu de la nature du traitement, aider l’Agence, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées prévues aux articles 12 à 23 du RGPD ;
- aider l’Agence à respecter les articles 32 à 36 du RGPD (sécurité, notification des violations et analyses d’impact relatives à la protection des données), compte tenu des informations dont dispose Ziyara.io ;
- selon le choix de l’Agence, supprimer ou restituer toutes les données à caractère personnel à la fin de la fourniture du Service (section 10) ;
- mettre à disposition les informations nécessaires pour démontrer le respect de l’article 28 du RGPD, permettre la réalisation d’audits et y contribuer (section 9).
5. Sous-traitants ultérieurs
L’Agence accorde à Ziyara.io une autorisation générale de recourir aux sous-traitants ultérieurs figurant dans la liste des sous-traitants ultérieurs. Ziyara.io informe l’Agence, au moins 14 jours à l’avance, de tout ajout ou remplacement envisagé d’un sous-traitant traitant des données de pèlerins, par e-mail ou par notification dans l’application, afin de lui permettre de s’y opposer. Ziyara.io impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent accord et demeure pleinement responsable envers l’Agence de l’exécution des obligations de chacun de ces sous-traitants.
6. Mesures techniques et organisationnelles (article 32 du RGPD)
- Hébergement de l’application et de la base de données dans l’UE (Hetzner, Allemagne) ; stockage des fichiers sur AWS S3 dans l’UE (Francfort, eu-central-1).
- Chiffrement en transit (TLS) pour toutes les connexions ; chiffrement au repos (AES-256) des champs d’identité sensibles tels que les numéros de passeport et les numéros nationaux d’identité ; accès aux fichiers par des URL signées à durée de validité courte.
- Cloisonnement strict entre agences : au niveau de l’application, les données de chaque Agence sont limitées à celle-ci.
- Contrôle des accès par rôles au sein de l’Agence ; authentification à deux facteurs ; journalisation des modifications de données.
- Accès administrateur du personnel d’assistance de Ziyara.io uniquement à des fins d’assistance, avec journalisation et protection par authentification à deux facteurs.
- Sauvegardes chiffrées, conservées pendant une durée définie et stockées séparément de l’infrastructure principale.
- Gestion des vulnérabilités : mises à jour des dépendances, surveillance des erreurs et application des correctifs de sécurité de la plateforme sous-jacente.
7. Transferts internationaux
Les données principales du Service sont stockées dans l’UE. Lorsqu’un sous-traitant ultérieur traite des données à caractère personnel en dehors de l’EEE ou du Royaume-Uni, le transfert est encadré par une garantie appropriée au titre du chapitre V du RGPD : clauses contractuelles types de l’UE, décision d’adéquation ou certification au titre du cadre de protection des données UE–États-Unis, comme indiqué dans la liste des sous-traitants ultérieurs.
8. Notification des violations de données à caractère personnel
Ziyara.io informe l’Agence dans les meilleurs délais après avoir pris connaissance d’une violation de données à caractère personnel affectant les données de l’Agence. Ziyara.io fournit les informations raisonnablement nécessaires pour permettre à l’Agence de respecter ses propres obligations de notification au titre des articles 33 et 34 du RGPD : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables et mesures prises ou proposées.
9. Audits et informations
Sur demande écrite, au maximum une fois par an sauf exigence contraire d’une autorité de contrôle ou survenance d’une violation, Ziyara.io fournit à l’Agence les informations nécessaires pour démontrer le respect du présent accord, notamment un résumé des mesures de sécurité et des dispositions relatives aux sous-traitants ultérieurs. Si ces informations sont insuffisantes, l’Agence peut réaliser un audit limité au traitement de ses propres données, à ses frais, avec un préavis d’au moins 30 jours, pendant les heures ouvrées et sans perturber les activités.
10. Suppression et restitution des données
Pendant l’abonnement, l’Agence peut exporter elle-même l’ensemble de ses données depuis son espace agence, sous forme d’archive ZIP contenant des données structurées JSON/CSV et les fichiers, et supprimer à tout moment des enregistrements individuels. À la fin du Service, selon le choix de l’Agence, Ziyara.io supprime ou restitue toutes les données à caractère personnel. Les données actives sont supprimées dans les 30 jours suivant la confirmation de la suppression du compte ; les copies résiduelles présentes dans les sauvegardes chiffrées expirent ensuite selon le cycle de renouvellement des sauvegardes, sauf si le droit de l’Union européenne ou d’un État membre impose une conservation plus longue.
11. Obligations du responsable du traitement (Agence)
L’Agence est responsable de la licéité du traitement, notamment de l’existence d’une base juridique pour les catégories particulières de données au titre de l’article 9 du RGPD, généralement un consentement explicite recueilli lors de la réservation. Elle est également responsable de l’exactitude des données saisies, de l’information de ses clients (articles 13 et 14 du RGPD), du traitement des demandes des personnes concernées qui lui sont adressées et de l’utilisation des fonctions de communication du Service (e-mail, SMS et WhatsApp) conformément aux lois applicables en matière de prospection commerciale et de protection de la vie privée.
12. Dispositions diverses
En cas de conflit entre le présent accord et les conditions générales d’utilisation, le présent accord prévaut en matière de protection des données. La responsabilité est régie par les conditions générales d’utilisation et l’article 82 du RGPD. Si une disposition du présent accord est invalide, les autres dispositions restent applicables. Le présent texte est la traduction française de l’accord disponible en anglais et en allemand ; en cas de divergence, la version anglaise prévaut.
Version 1.2 — 15 octobre 2026. Questions et exemplaires signés : info@ziyara.io
Voir aussi : Sous-traitants ultérieurs · RGPD et protection des données · Politique de confidentialité