ACCORD DE TRAITEMENT DES DONNÉES (DPA) — Art. 28 RGPD

1. DÉFINITIONS

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » ont le sens défini à l'art. 4 du RGPD.

2. RÔLES

Pour les données des clients et du personnel du salon traitées via la plateforme, le Responsable du traitement (Salon) détermine les finalités et les moyens et est le RESPONSABLE DU TRAITEMENT ; Primer traite ces données UNIQUEMENT pour le compte du Responsable du traitement en qualité de SOUS-TRAITANT. Primer demeure un RESPONSABLE DU TRAITEMENT DISTINCT uniquement pour les données traitées à ses propres fins de plateforme (facturation de l'abonnement, sécurité, prévention de la fraude, amélioration agrégée du service, ses propres obligations légales). Le présent article s'applique sous réserve des exceptions expressément prévues aux articles 16 et 17, qui décrivent des traitements dans lesquels Primer a la qualité de responsable conjoint du traitement, respectivement de responsable du traitement pour son propre compte.

3. OBJET ET DURÉE [Art. 28(3)]

Objet : le traitement nécessaire à la fourniture de la plateforme Primer (réservations, communications, gestion du salon, assistant IA, marketing initié par le Responsable du traitement). Durée = la durée de l'Accord principal, plus la période de suppression de la clause 11. L'objet et la durée fixés au présent article concernent le traitement que Primer effectue pour le compte du Responsable du traitement, en qualité de sous-traitant. Les articles 16 et 17 décrivent des traitements dans lesquels Primer n'a pas cette qualité, et leur durée est celle prévue auxdits articles.

4. NATURE ET FINALITÉ [Art. 28(3)]

Nature : collecte, enregistrement, organisation, structuration, conservation, adaptation, extraction, consultation, utilisation, transfert aux sous-traitants ultérieurs, communication par diffusion ou toute autre forme de mise à disposition, lorsque le Responsable du traitement ordonne la publication par les configurations de la plateforme — en particulier le site web public du Responsable du traitement, les pages de réservation, la présentation de l'équipe, la galerie et le catalogue de prestations, ainsi que le contenu propre du Responsable du traitement publié dans le registre d'avis, limitation, effacement et destruction. Finalité : gérer les réservations et la relation client du salon, envoyer des notifications/SMS/e-mails, traiter les paiements, établir des rapports, fonctionnalités d'assistant IA, campagnes de marketing ordonnées par le Responsable du traitement — strictement selon les instructions du Responsable du traitement.

5. TYPES DE DONNÉES ET CATÉGORIES DE PERSONNES CONCERNÉES [Art. 28(3)]

Personnes concernées : clients du salon, visiteurs du site web, personnel/collaborateurs du salon. Types de données : nom, téléphone, e-mail, historique des rendez-vous et des services, préférences, notes (y compris d'éventuelles données relatives aux allergies/au cuir chevelu fournies volontairement — potentiellement sensibles, traitées uniquement à l'initiative du Responsable du traitement), données de paiement tokenisées (via Stripe), données d'utilisation/d'analyse, identifiants publicitaires lorsque le Responsable du traitement active le marketing. Primer ne demande pas de données relevant de catégories particulières ; si le Responsable du traitement en saisit, il est responsable de la base légale. S'ajoutent aux types de données ci-dessus, en tant que données publiées : le contenu de l'avis, la note, le mode d'affichage de l'auteur choisi par celui-ci, le jour ou le mois de la visite selon ce mode, le nom de la prestation et le nom affiché de la personne qui l'a effectuée, ainsi que la réponse publique du Responsable du traitement. Données mises à disposition au titre de l'article 17 : l'identifiant interne de la réservation, son jour calendaire local, sa classe et son état au moment du scellement, ainsi que les cinq éléments d'éligibilité énumérés à l'article 17, point (c) ; les personnes concernées correspondantes sont les clients du Responsable du traitement qui ont effectué une réservation par le canal en ligne.

6. INSTRUCTIONS DU RESPONSABLE DU TRAITEMENT [Art. 28(3)(a)]

Primer traite les données à caractère personnel uniquement sur la base des instructions documentées du Responsable du traitement (y compris le présent DPA, l'Accord principal et la configuration dans la plateforme), y compris pour les transferts internationaux, sauf obligation imposée par le droit de l'UE/d'un État membre — auquel cas Primer en informe le Responsable du traitement au préalable, sauf si ce droit l'interdit. Primer informe immédiatement le Responsable du traitement si, selon lui, une instruction enfreint le RGPD.

7. CONFIDENTIALITÉ [Art. 28(3)(b)]

Primer veille à ce que les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, selon le principe du « besoin d'en connaître ».

8. SÉCURITÉ [Art. 28(3)(c) avec l'Art. 32]

Primer met en œuvre des mesures techniques et organisationnelles appropriées, notamment : chiffrement en transit (TLS) et au repos pour les données sensibles ; contrôle d'accès basé sur les rôles et authentification ; isolation multi-tenant des données par salon ; tokenisation des données de carte (déléguée à Stripe — Primer ne stocke aucun PAN) ; journaux d'audit pour les opérations relatives à l'argent/à l'authentification/aux données de tenant ; sauvegardes et capacité de restauration ; tests périodiques ; séparation des environnements dev/prod ; gestion des secrets dans Azure Key Vault ; limitation du débit sur les points de terminaison sensibles.

9. SOUS-TRAITANTS ULTÉRIEURS [Art. 28(2) et 28(3)(d)]

Le Responsable du traitement accorde une AUTORISATION GÉNÉRALE pour les sous-traitants ultérieurs figurant à l'Annexe 1. Primer impose à chacun, par contrat, des obligations de protection des données équivalentes à celles du présent DPA et demeure pleinement responsable envers le Responsable du traitement. Primer donne un préavis d'au moins 30 jours avant d'ajouter/de remplacer un sous-traitant ultérieur ; le Responsable du traitement peut s'y opposer pour des motifs raisonnables de protection des données et, à défaut de solution, peut résilier le service concerné.

10. ASSISTANCE [Art. 28(3)(e) et (f)]

(e) Primer assiste le Responsable du traitement pour répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). (f) Primer assiste le Responsable du traitement dans le respect des art. 32 à 36 : sécurité, notification des violations et AIPD/consultation préalable. Violation : Primer notifie le Responsable du traitement SANS RETARD INJUSTIFIÉ (objectif : dans les 48 heures après en avoir pris connaissance), en fournissant la nature de la violation, les catégories et le nombre approximatif de personnes concernées/d'enregistrements, les conséquences probables et les mesures prises, afin de permettre la notification dans les 72 heures au titre de l'art. 33.

11. SUPPRESSION/RESTITUTION [Art. 28(3)(g)]

À la cessation des services, au choix du Responsable du traitement, Primer supprime ou restitue toutes les données à caractère personnel et supprime les copies existantes dans un délai de 30 jours, sauf si le droit de l'UE/d'un État membre impose leur conservation. Les copies de sauvegarde sont écrasées selon le cycle de rotation.

12. AUDIT [Art. 28(3)(h)]

Primer met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect de l'art. 28 et permet la réalisation d'audits/inspections, y participe, par le Responsable du traitement ou un auditeur mandaté, moyennant un préavis raisonnable (min. 30 jours), au plus une fois par an (ou en cas de violation confirmée / de demande de l'autorité), pendant les heures ouvrables, sans perturbation disproportionnée et dans le respect de la confidentialité. Primer peut également satisfaire à cette obligation en fournissant des certifications/rapports pertinents.

13. TRANSFERTS INTERNATIONAUX

Pour tout transfert hors de l'EEE, les Parties s'appuient sur les Clauses Contractuelles Types (CCT) de l'UE (Décision 2021/914), module approprié, incorporées par référence, ainsi que sur des mesures supplémentaires si nécessaire. Certains sous-traitants ultérieurs (p. ex. Anthropic, Meta, Google) peuvent traiter des données aux États-Unis sur la base des CCT et/ou du cadre de protection des données UE-États-Unis (Data Privacy Framework).

14. RESPONSABILITÉ

La responsabilité de chaque Partie découle de l'art. 82 du RGPD. Les limitations de responsabilité de l'Accord principal s'appliquent au présent DPA sur une base cumulée, sans limiter la responsabilité qui ne peut être exclue par la loi. Chaque Partie supporte les amendes administratives qui lui sont imputables.

15. PRÉVALENCE

En cas de conflit relatif à la protection des données, le présent DPA prévaut sur l'Accord principal.

16. RESPONSABLES CONJOINTS DU TRAITEMENT POUR LA RÈGLE D'INVITATION AUX AVIS [Art. 26 RGPD]

Par dérogation à l'article 2, pour UN SEUL segment de traitement — la règle qui détermine QUI reçoit l'invitation à laisser un avis après une visite terminée — les Parties sont RESPONSABLES CONJOINTS DU TRAITEMENT au sens de l'art. 26 RGPD. La raison est factuelle et non formelle : Primer décide, de manière uniforme pour toute la plateforme et par pays, la base légale et la population invitée (intérêt légitime et exception pour les clients existants dans les pays dont la transposition de l'art. 13(2) de la Directive 2002/58 a été vérifiée, consentement partout ailleurs), et le Responsable NE PEUT PAS y déroger — ni pour l'élargir, ni pour la restreindre. Celui qui détermine les finalités et les moyens est responsable du traitement, quel que soit le nom que lui donne le contrat. LA RÉPARTITION TRANSPARENTE DES OBLIGATIONS exigée par l'art. 26(1) : (a) Primer fixe et publie la règle d'invitation, la fréquence (une invitation par visite éligible, un délai de carence et un plafond à vie) et le contenu de l'invitation, qui ne contient aucune publicité ; (b) le Responsable est le commerçant au sens de l'exception « client existant » (art. 13, § 2 de la directive 2002/58, tel que transposé dans son pays) — il a fourni le service, il a obtenu directement les coordonnées, et l'invitation part en son nom ; (c) le Responsable affiche la mention de collecte et offre l'opposition au moment où les coordonnées sont obtenues, sur les canaux qu'il exploite ; (d) Primer garantit le droit d'opposition (art. 21 RGPD) dans chaque message, en une étape et gratuitement, et l'honore définitivement, sans que le Responsable puisse le lever ; (e) Primer est responsable de l'information des personnes concernées sur ce traitement (art. 13-14), via la politique d'invitation aux avis publiée par Primer et via le document public du registre. L'ESSENTIEL DE CET ACCORD EST MIS À LA DISPOSITION DE LA PERSONNE CONCERNÉE au titre de l'art. 26(2), par cette même politique publiée. Indépendamment de la répartition, la personne concernée peut exercer ses droits à l'égard de chacune des Parties (art. 26(3)) ; les Parties se transmettent sans délai les demandes reçues. Pour le registre public d'avis lui-même — publication, ancrage cryptographique et garantie d'intégrité du corpus — Primer reste RESPONSABLE DE TRAITEMENT DISTINCT et non conjoint.

17. L'ENGAGEMENT QUOTIDIEN SUR L'ENSEMBLE DES RÉSERVATIONS [Art. 28(10) et Art. 6(1)(f) RGPD]

Par dérogation à l'article 2 et dans le prolongement du dernier paragraphe de l'article 16, pour le traitement désigné ci-après « l'engagement quotidien » — le calcul d'une empreinte cryptographique pour chaque réservation de l'ensemble défini ci-dessous, la construction et la publication d'une racine quotidienne sur ces empreintes, son ancrage dans le temps, l'inclusion de la tête de chaîne du Responsable du traitement en tant que feuille de la racine de réseau quotidienne de la plateforme, la conservation du matériel d'ouverture et la délivrance des preuves d'appartenance — Primer agit en qualité de RESPONSABLE DU TRAITEMENT POUR SON PROPRE COMPTE, et non en qualité de sous-traitant du Responsable du traitement ni de responsable conjoint du traitement avec celui-ci. (a) LA RAISON DE CETTE QUALIFICATION, QUI EST DE FAIT ET NON DE FORME. Primer détermine seul, de manière uniforme au niveau de la plateforme et sans droit de dérogation pour le Responsable du traitement, la finalité de ce traitement et ses moyens essentiels : les catégories de destinataires, le type de valeurs dérivées qui sont calculées et publiées, la règle d'éligibilité et sa version, la taille fixe de l'arbre, l'heure du scellement et la durée de la publication. Selon l'art. 28, paragraphe 10, du RGPD, celui qui détermine les finalités et les moyens du traitement est responsable du traitement pour ce qui concerne ce traitement, quel que soit le nom que lui donne le contrat. En conséquence, l'article 6 du présent accord ne s'applique pas à ce traitement ; l'activation de la fonctionnalité par le Responsable du traitement, décrite au point (j), NE constitue PAS une instruction documentée au sens de l'art. 28, paragraphe 3, point a), du RGPD, mais une condition à laquelle Primer subordonne son propre traitement. (b) LA BASE JURIDIQUE. Primer traite sur le fondement de l'art. 6, paragraphe 1, point f), du RGPD. L'intérêt légitime poursuivi est que l'ensemble des réservations desquelles peuvent partir les invitations à laisser un avis soit fixé publiquement avant qu'aucune réponse n'existe, de sorte que l'affirmation selon laquelle rien n'y a été choisi par la suite ne soit plus seulement déclarée, mais vérifiable ; cet intérêt est celui de Primer, celui du Responsable du traitement et celui des personnes qui lisent les avis. Le considérant 47 du RGPD reconnaît comme base juridique les intérêts légitimes du responsable du traitement, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement. L'évaluation de l'intérêt légitime, avec le test de nécessité et la mise en balance, est établie par écrit avant le premier traitement et est mise à la disposition du Responsable du traitement et de la personne concernée, sur demande. Le consentement n'est pas utilisé : une valeur déjà ancrée ne peut pas être retirée, et une base dont le retrait ne pourrait pas être honoré serait non conforme par construction. (c) CE QUI EST TRAITÉ. L'ensemble d'un jour est composé des réservations du Responsable du traitement effectuées par le client par le canal en ligne, dont le jour calendaire local, déterminé selon le fuseau horaire de l'établissement, est au plus tard ce jour-là, et qui ne sont entrées dans aucun engagement antérieur du Responsable du traitement. Les réservations annulées, les absences non annoncées et les réservations que le Responsable du traitement a retirées de son propre agenda font partie de l'ensemble, avec leur état consigné, précisément pour que l'ensemble ne puisse pas être restreint une fois connu ce qui va suivre. L'ensemble d'un jour comporte en revanche deux bords de calendrier, énoncés ici afin que l'absence d'une réservation d'un engagement ne puisse jamais être lue comme une restriction : il ne comprend pas les réservations dont le jour est antérieur au premier engagement publié du Responsable du traitement, car un engagement ne peut pas être pris rétroactivement sur une période pour laquelle il n'existait pas ; et il ne comprend pas les réservations dont le jour est plus ancien que la fenêtre de conservation prévue au point (h), comptée à partir du jour scellé, car pour ces jours-là le matériel d'ouverture est déjà détruit, et une réservation ramenée dans un arbre d'aujourd'hui affirmerait que l'ensemble d'aujourd'hui a compris une visite d'il y a plusieurs mois. Ces deux bords sont mis en œuvre par le mécanisme, dans la requête même qui constitue l'ensemble, et aucun des deux n'est à la portée du Responsable du traitement. Pour chaque réservation de l'ensemble, une empreinte de 32 octets est calculée à partir de : un séparateur de domaine, la version de la règle, l'identifiant du Responsable du traitement, le jour calendaire, un identifiant masqué de la réservation obtenu au moyen d'une fonction à clé, un engagement distinct sur un vecteur d'éligibilité de huit octets à largeur fixe, et un secret aléatoire de 32 octets propre à cette seule empreinte. Le vecteur d'éligibilité consigne exclusivement : l'existence d'un numéro de téléphone, l'existence d'une base de communication, le fait que la personne figure sur la liste de blocage du Responsable du traitement, l'atteinte du plafond d'invitations à vie, l'existence d'un avis antérieur de la même personne chez le Responsable du traitement, l'état de la réservation au moment du scellement et la classe de la réservation. Les empreintes sont placées à des positions choisies aléatoirement dans un arbre de taille fixe, identique chaque jour, dans lequel les emplacements restants reçoivent des empreintes de remplissage calculées selon la même règle et indiscernables des empreintes réelles. Si les réservations d'un jour dépassent la taille de l'arbre, le surplus n'est pas exclu mais différé : ces réservations restent en dehors de tout engagement et entrent dans l'engagement d'un jour suivant — raison pour laquelle l'ensemble est défini par « au plus tard ce jour-là » et non par « ce jour-là même ». C'est la troisième et dernière cause pour laquelle une réservation peut manquer à l'engagement de son propre jour ; les deux autres sont les deux bords de calendrier ci-dessus, et les trois sont énoncées ici précisément pour qu'une absence ne puisse jamais être lue comme une restriction. (d) CE QUI N'EST JAMAIS TRAITÉ À CETTE FIN. L'heure de la réservation ou de la visite, la prestation effectuée ou sa catégorie, le prix, le membre du personnel qui a effectué la prestation, l'établissement, tout identifiant du client et tout élément dérivé d'un identifiant du client, ainsi que tout élément concernant un avis. Ces catégories n'entrent pas dans l'empreinte, n'entrent pas dans le vecteur et ne sont pas publiées. (e) CE QUI EST PUBLIÉ. Sont publiés, pour chaque jour calendaire : le jour, un numéro d'ordre qui augmente d'exactement une unité par jour, la version de la règle, la taille de l'arbre, la racine quotidienne, l'empreinte de l'entrée précédente et l'empreinte de l'entrée courante ; séparément, la tête de chaîne du Responsable du traitement en tant que feuille de la racine de réseau quotidienne de la plateforme, ainsi que l'ancrage temporel de celle-ci. Un jour sans aucune réservation produit une entrée qui ne se distingue pas de celle d'un jour chargé. Le document public porte également une description de ce que l'engagement prouve et de ce qu'il ne prouve pas. (f) CE QUI N'EST JAMAIS PUBLIÉ. Aucune preuve d'appartenance ; aucun secret ; aucun identifiant masqué ; aucune position d'empreinte dans l'arbre ; aucun identifiant de réservation ; aucun moment plus fin que le jour calendaire, ni pour l'entrée, ni pour l'un quelconque de ses éléments ; et aucun chiffre dont il ressortirait combien de réservations le Responsable du traitement a eues ce jour-là — l'engagement ne contient pas un tel chiffre, par construction, et la taille de l'arbre est un paramètre fixe auquel chaque jour est amené par remplissage. (g) LA PREUVE D'APPARTENANCE. Une preuve qu'une réservation déterminée se trouvait dans l'engagement du jour est délivrée, sur demande : à la personne concernée qui a laissé l'avis issu de cette réservation ; à une autorité de contrôle ou à une juridiction, dans le cadre d'une demande ou d'une procédure ; et à un auditeur mandaté, sous obligation de confidentialité. La preuve n'est jamais publiée et n'apparaît dans aucun document public, export, interface pour agents ou réponse de l'assistant. Le vecteur d'éligibilité n'est JAMAIS ouvert sur la voie par laquelle la personne concernée obtient sa propre preuve : là, la preuve porte l'engagement sur le vecteur, et non son contenu. Le vecteur n'est ouvert que sur demande expresse et motivée, adressée par la voie d'administration et d'audit, consignée comme telle, avec le motif consigné en même temps qu'elle ; par défaut, l'ouverture est fermée, et une demande qui n'indique pas de motif est refusée avant que le mécanisme n'ouvre ou ne lise quoi que ce soit du sceau : aucune feuille, aucun secret, aucun vecteur et aucune preuve ne sont touchés avant le refus, et une ouverture refusée ne produit aucune preuve. La délivrance de la preuve est bornée par le délai prévu au point (h). Après l'effondrement de conservation d'un jour, seule peut encore être délivrée la preuve d'appartenance d'une réservation dont est issu un avis publié, calculée et conservée avant l'effondrement. Pour toute autre réservation de ce jour, il ne reste rien à délivrer — ni à la demande de la personne concernée, ni à la demande d'une autorité de contrôle ou d'une juridiction, ni à la demande d'un auditeur — car le matériel d'ouverture n'existe plus chez Primer. Un avis publié après l'expiration de ce délai ne porte aucune preuve d'appartenance, et la réponse le dit en ces termes, au lieu d'affirmer que la réservation n'aurait pas été scellée. Primer consigne chaque délivrance de preuve, à toutes les voies par lesquelles une preuve est délivrée, ainsi que le fait de savoir si, lors de cette délivrance, le vecteur a été ouvert et, à la voie d'administration et d'audit, le motif invoqué ; il consigne de même la demande fondée pour laquelle le mécanisme n'a rien eu à ouvrir — parce que la réservation n'a jamais été scellée, parce que son matériel a été détruit à la demande de la personne concernée, ou parce que son jour avait déjà été oublié. Le registre d'une délivrance ne nomme le jour auquel elle se rapportait qu'aussi longtemps que le matériel d'ouverture de ce jour existe encore, et lors de l'effondrement de conservation prévu au point (h) il est détruit avec ce matériel, dans l'opération même qui le détruit ; ainsi, aucun registre nommant un jour ne survit à ce que ce jour pouvait ouvrir. Tout autre registre ne nomme aucun jour — la demande pour laquelle rien n'a été ouvert, et la délivrance d'une preuve qui a survécu au jour dont elle provient — et il est supprimé 90 jours après la date à laquelle il a été écrit. Le registre ne peut pas être modifié après coup, et sa suppression n'est admise que sur le chemin d'oubli prévu au point (h) et seulement une fois ce délai écoulé. La consignation n'est pas une conséquence de la délivrance, mais sa condition : si le registre ne peut pas être écrit, la preuve n'est pas délivrée. La demande reçoit alors une réponse d'indisponibilité temporaire, avec une invitation à revenir, et rien ne lui est remis. La règle est écrite ainsi parce qu'autrement la promesse de la première phrase ne serait vraie que lorsque la plateforme n'est pas occupée, et une promesse vraie seulement parfois n'est pas la promesse qui se signe ici. La demande que Primer refuse n'est consignée nulle part, à aucune des voies, et ce n'est pas par omission. Trois raisons, chacune suffisante à elle seule : à la voie par laquelle la personne concernée obtient sa propre preuve, tout demandeur non habilité reçoit une réponse identique, qui ne révèle pas si l'avis demandé existe, et une ligne écrite sur un avis nommément désigné répondrait précisément à la question que cette réponse refuse ; la ligne stockerait une personne qui, par l'hypothèse du refus, n'est pas l'auteur de l'avis que la ligne nomme, ce qui serait un traitement sans nécessité, contraire à l'art. 5, paragraphe 1, point c), du RGPD ; et ce serait une écriture non bornée, déclenchée par un demandeur non authentifié. (h) LA CONSERVATION. La racine quotidienne, les empreintes des entrées et leur chaîne restent publiées et ancrées pour une durée indéterminée : elles constituent un registre auquel on ne peut qu'ajouter, et dont l'ancrage temporel ne peut être retiré par aucune des Parties. Le matériel d'ouverture — le secret de l'empreinte, le secret du vecteur, le vecteur, l'identifiant masqué et le lien avec la réservation — est conservé séparément de l'artefact publié et sous des mesures techniques et organisationnelles propres, au sens de l'art. 4, point 5), du RGPD, qui exige que les informations supplémentaires soient « conservées séparément et soumises à des mesures techniques et organisationnelles afin de garantir que les données à caractère personnel ne sont pas attribuées à une personne physique identifiée ou identifiable » ; la séparation s'apprécie par rapport à l'artefact publié, dans lequel le matériel d'ouverture n'apparaît sous aucune forme. Le matériel n'est conservé qu'aussi longtemps qu'il sert la finalité visée au point (b), et les délais sont les suivants. Pour une réservation dont n'est issu aucun avis publié : au plus 90 jours à compter de la publication de l'engagement du jour dont elle fait partie. À l'expiration de ce délai, un mécanisme automatique qui s'exécute quotidiennement détruit, pour le jour entier à la fois et en une seule opération qui, soit aboutit intégralement, soit ne produit aucun effet : la ligne d'empreinte de chacune de ces réservations, avec tout ce qu'elle porte — la valeur de l'empreinte, sa position, le secret de l'empreinte, le secret du vecteur, le vecteur, l'identifiant masqué et le lien avec la réservation — ainsi que la graine à partir de laquelle étaient dérivées les empreintes de remplissage du jour. À compter de ce moment, l'ensemble de ce jour ne peut plus être recomposé, ouvert ni dénombré par quiconque, Primer inclus. Pour une réservation dont est issu un avis publié : jusqu'à ce que cet avis cesse d'être publié. Avant la destruction décrite ci-dessus, la suite d'empreintes qui relie l'empreinte de cette réservation à la racine du jour est calculée et conservée, afin que la preuve prévue au point (g) survive à l'effondrement sans que rien d'autre de ce jour ne soit conservé à cette fin. Le délai de 90 jours est une règle du mécanisme et non un délai de mise en service, et il est écrit comme tel également dans la base de données : celle-ci refuse la destruction d'une empreinte dont le jour se trouve encore dans la fenêtre, refuse la destruction d'une empreinte qu'un avis publié désigne, et refuse toute destruction de ce type en dehors de l'opération qui l'exécute. La réservation elle-même, conservée par Primer sur sa propre base et avec son propre délai, n'est pas touchée par cette opération. L'empreinte qui subsiste après une destruction demandée par la personne concernée entre dans la situation décrite au point (i). (i) L'EFFACEMENT (art. 17 du RGPD) — EXÉCUTION, ET NON DÉROGATION. Sur demande fondée d'une personne concernée, Primer détruit le secret de l'empreinte, le secret du vecteur, le contenu du vecteur, l'identifiant masqué et le lien entre l'empreinte et la réservation, en consignant le moment de la destruction ; la destruction est irréversible et est refusée par la base de données si elle n'est pas effectuée intégralement et en une seule fois. Il en résulte l'élimination de tout le contenu personnel propre à l'empreinte. L'empreinte d'une personne et sa position dans l'arbre n'ont JAMAIS été publiées et ne sont pas publiées : selon les points (e) et (f), ne demeure publié que ce qui y est énuméré, à savoir la racine quotidienne ancrée, qui engage l'empreinte sans la divulguer. Demeurent dans les registres internes de Primer la valeur de l'empreinte et sa position, et elles y demeurent pour une raison qui concerne d'autres personnes : sans elles, la racine du jour ne peut plus être recomposée, et chacune des autres personnes de l'ensemble de ce jour perd sa preuve. S'agissant de ces deux éléments, le motif prévu à l'art. 17, paragraphe 1, point a), n'est pas rempli tant qu'ils demeurent nécessaires à la finalité visée au point (b) ; et lorsque la demande est fondée sur une opposition au titre de l'art. 21, paragraphe 1, les motifs légitimes impérieux au sens de l'art. 17, paragraphe 1, point c), sont eux aussi bornés à ces deux éléments : l'impossibilité de retirer une valeur déjà ancrée, et le droit des autres personnes du même ensemble de conserver leur preuve. Cette nécessité a un terme court, fixe et écrit : pour une réservation dont n'est issu aucun avis publié, la valeur de l'empreinte et sa position ne survivent pas à l'effondrement de conservation prévu au point (h) — la ligne est effacée en entier, au plus tard 90 jours après le jour scellé, de sorte que le résidu disparaît pour tout le monde, Primer inclus, sans qu'aucune demande n'ait à être formulée. Ne demeure que la racine du jour, qui engage un ensemble que plus personne ne peut ouvrir. Pour une réservation dont est issu un avis publié, le résidu est conservé aussi longtemps que cet avis est publié, et la raison est celle exposée ci-dessus : sans lui, la preuve de cet avis et les preuves des autres avis du même jour ne peuvent plus être vérifiées. Cette limitation est communiquée à la personne, avec ses motifs, conformément à l'art. 12, paragraphe 4, du RGPD ; le reste de la demande est exécuté intégralement. Il s'agit là de l'exécution du droit à l'effacement et non d'une dérogation à celui-ci : l'art. 4, point 2), du RGPD compte la destruction parmi les opérations de traitement, et l'art. 17 exige que les données ne soient plus attribuables à la personne, et non qu'un octet déterminé disparaisse d'un artefact public. À l'égard de toute personne autre que Primer, l'empreinte engagée dans la racine publiée n'est pas attribuable : sa préimage contient 32 octets d'entropie générés cryptographiquement, qui ont été détruits, et leur reconstitution n'est pas un moyen raisonnablement susceptible d'être utilisé par quiconque, au sens du considérant 26. À l'égard de Primer, ce qui subsiste n'ajoute rien à ce que dit déjà la réservation que Primer conserve de toute façon, sur sa propre base et avec son propre délai : de la règle publiée au point (c) il résulte que toute réservation en ligne d'un jour fait partie de l'engagement de ce jour, ce qui se lit directement dans le registre des réservations, sans aucune empreinte ; à l'expiration de la durée de conservation de la réservation, cette voie disparaît elle aussi. Tant que l'artefact demeure publié, Primer maintient les mesures dont dépend la conclusion ci-dessus : la fonction d'empreinte demeure non cassée, et en cas de dégradation de celle-ci une nouvelle version de la règle est émise sans réécriture des versions antérieures ; les secrets ne quittent pas la plateforme, si ce n'est dans les preuves prévues au point (g) ; les secrets sont générés par un générateur cryptographique et jamais à partir d'un élément de la personne ; et Primer s'engage à maintenir le cycle d'écrasement des sauvegardes des secrets en deçà du délai de réponse à une demande d'effacement, à le mesurer avant le premier scellement et à le vérifier au moins une fois par an. Le droit d'opposition, prévu au point (o), demeure disponible séparément et produit ses effets sur l'avenir. (j) L'ACTIVATION, L'ARRÊT ET LES LIMITES DU RESPONSABLE DU TRAITEMENT. L'engagement n'est calculé pour le Responsable du traitement que si sont réunies, cumulativement, les conditions suivantes : le module d'avis est activé par le Responsable du traitement ; le Responsable du traitement a signé la présente version de l'accord ou une version ultérieure ; et la plateforme détient la clé avec laquelle le scellement est effectué — à défaut de celle-ci, aucune empreinte n'est calculée, pour aucun Responsable du traitement. Le Responsable du traitement peut arrêter le module à tout moment, avec effet immédiat pour les jours suivants. Le Responsable du traitement NE peut PAS modifier, retirer ou réordonner un engagement déjà publié, ne peut pas retirer une réservation d'un ensemble déjà scellé, ne peut pas en ajouter une et ne peut pas exiger le recalcul d'une racine. Ces limites ne sont pas une promesse de conduite, mais sont mises en œuvre par le mécanisme lui-même : la base de données refuse, à l'égard de quiconque, la modification de l'une quelconque des valeurs publiées d'une entrée — le jour, le numéro d'ordre, la version de la règle, la taille de l'arbre, la racine, l'empreinte de l'entrée précédente et l'empreinte de l'entrée courante — refuse la suppression d'une entrée, refuse le vidage du registre et refuse tout jour manquant dans la chaîne. Les seules écritures ultérieures admises sont celles de Primer, elles sont énumérées limitativement et aucune d'elles ne touche une valeur publiée : l'inscription de l'horodatage prévu au point (l) avec le lien vers la racine quotidienne de réseau dans laquelle la tête de chaîne est entrée — une seule opération, une fois pour chaque entrée — et l'effondrement de conservation prévu au point (h), qui détruit la graine de remplissage et consigne le moment, une seule fois. Après l'une comme après l'autre, les octets publiés du jour sont identiques à ceux d'avant. L'arrêt du module ne retire pas les engagements déjà publiés. (k) LA MISE À DISPOSITION DES DONNÉES PAR LE RESPONSABLE DU TRAITEMENT. Par l'activation prévue au point (j), le Responsable du traitement met à la disposition de Primer, en la qualité de responsable du traitement pour son propre compte de ce dernier, les données énumérées à l'article 5 sous l'intitulé « données mises à disposition au titre de l'article 17 » ; le Responsable du traitement répond de l'existence d'une base qui lui est propre pour cette mise à disposition, base qui, à défaut d'un autre choix communiqué par écrit, est celle de l'art. 6, paragraphe 1, point f), du RGPD. Primer publie, dans toutes les langues de la plateforme, un paragraphe type qui décrit l'engagement quotidien et renvoie à la politique publiée par Primer. Dans la mesure où le Responsable du traitement maintient une information propre à ses clients au titre de l'art. 13 du RGPD, il y inclut ce paragraphe, lors de la première mise à jour de cette information et au plus tard dans les 90 jours suivant la date d'effet de la présente version. L'information des personnes concernées au sujet du traitement visé au présent article demeure à la charge de Primer, qui l'assure par sa politique publiée et par le document public du registre. Le Responsable du traitement transmet à Primer, sans retard, toute demande reçue d'une personne concernée qui porte sur l'engagement quotidien, et Primer transmet au Responsable du traitement, dans les mêmes conditions, les demandes qu'il reçoit et qui portent sur les données du Responsable du traitement. (l) L'HORODATAGE. La racine de réseau quotidienne de la plateforme est envoyée, sous la forme d'une valeur unique de 32 octets, à un réseau public d'horodatage, afin qu'il puisse être prouvé ultérieurement que cette valeur existait à ce moment-là. Cette valeur est le résultat d'au moins treize niveaux successifs d'empreintes au-dessus de l'empreinte de toute réservation et n'est accompagnée d'aucun autre élément ; elle ne se rapporte pas à une personne physique identifiée ou identifiable pour les opérateurs de ce réseau, qui ne détiennent pas et ne peuvent pas obtenir les informations supplémentaires nécessaires à l'attribution. En conséquence, le réseau d'horodatage est un DESTINATAIRE TECHNIQUE DÉCLARÉ de cette valeur, et non un sous-traitant ultérieur au sens de l'art. 28, paragraphes 2 et 4, du RGPD, et il ne figure pas à l'Annexe 1. Primer le déclare dans ses documents publics. (m) LE LIEN AVEC L'ARTICLE 16. La règle selon laquelle l'invitation à laisser un avis pour une réservation en ligne n'est envoyée qu'après la publication de l'engagement du jour de cette réservation est un élément de la règle d'invitation, que l'article 16, point (a), attribue déjà à Primer pour qu'il l'établisse et la publie, et que l'article 16, point (e), couvre au titre de l'information des personnes concernées. Le présent article n'étend pas la portée de l'article 16 et ne crée pas d'obligations supplémentaires pour le Responsable du traitement en matière d'invitation. (n) L'ABSENCE D'EFFET SUR LES AUTRES CLAUSES. Le présent article ne modifie pas les obligations de Primer en qualité de sous-traitant pour les autres traitements et ne diminue pas les droits du Responsable du traitement prévus aux articles 11 et 12, qui continuent de s'appliquer intégralement aux traitements effectués par Primer pour le compte du Responsable du traitement. (o) LE DROIT D'OPPOSITION (art. 21, paragraphe 1, du RGPD). La personne concernée peut s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à l'inclusion de ses réservations dans les engagements quotidiens. Primer honore l'opposition sans invoquer de motifs légitimes impérieux : à compter de son enregistrement, aucune réservation ultérieure de cette personne — chez le Responsable du traitement ou chez tout autre responsable du traitement utilisant la plateforme — n'entre plus dans l'ensemble visé au point (c), et le matériel d'ouverture des réservations de cette personne déjà scellées, chez l'un quelconque de ces responsables du traitement, est détruit conformément au point (i). Cette portée n'est pas un choix de courtoisie, mais la conséquence de la qualification retenue au point (a) : l'opposition porte sur le traitement effectué par Primer pour son propre compte, et non sur la relation commerciale avec un Responsable du traitement déterminé, de sorte qu'elle est enregistrée au niveau de la plateforme et produit ses effets partout où cette personne a des réservations. Le Responsable du traitement prend connaissance de cet effet par la présente clause : une opposition enregistrée par une personne qui est également cliente d'un autre responsable du traitement de la plateforme retire cette personne des ensembles du Responsable du traitement également. En revanche, le Responsable du traitement ne peut ni enregistrer, ni lever, ni consulter une opposition, et aucune voie ne lui est ouverte à cette fin — un responsable du traitement qui pourrait marquer ses propres clients hors de l'ensemble détiendrait exactement le filtre que l'engagement a pour objet d'exclure, sous un nom de protection des données. Le fait de l'opposition n'est pas communiqué au Responsable du traitement : l'état qu'il voit pour une telle réservation est l'étiquette commune à plusieurs situations sans lien avec une opposition, et aucun motif distinct ne lui est montré. Les seuls éléments sur lesquels l'opposition ne produit pas d'effet sont la valeur d'empreinte déjà engagée dans une racine publiée et ancrée, ainsi que sa position, pour les raisons exposées au point (i) ; ces raisons sont communiquées à la personne, avec leur justification. Les engagements déjà publiés ne sont pas retirés. L'opposition peut être exercée par l'un quelconque des canaux par lesquels Primer reçoit les demandes des personnes concernées, y compris à l'aide de procédés automatisés, conformément à l'art. 21, paragraphe 5, du RGPD. Conformément à l'art. 21, paragraphe 4, du RGPD, Primer porte ce droit à l'attention de la personne concernée explicitement et séparément de toute autre information, au plus tard au moment de la première communication qu'il lui adresse au sujet du traitement visé au présent article ; la politique publiée ne tient pas lieu de cette mention, elle l'accompagne. Primer répond à une opposition dans le délai prévu à l'art. 12, paragraphe 3, du RGPD.

Annexe 1 — Sous-traitants ultérieurs