Objet, durée, finalité et rôles

Ce DPA s'applique lorsque SYNSETIO traite des données personnelles pour le compte d'un Client professionnel dans Odybook. Le Client est responsable de traitement pour ses réservations et relations voyageurs; SYNSETIO est sous-traitant sur instructions documentées.

Durée : le contrat Odybook puis les opérations de sortie, restitution, suppression, sauvegarde et archive légale. Finalité : fournir, sécuriser, maintenir et assister le service. Nature : hébergement, stockage, affichage, recherche, envoi, synchronisation, paiement, support, sécurité, export et maintenance.

Catégories de données et personnes concernées

Personnes concernées : utilisateurs du Client, voyageurs, participants, contacts, bénéficiaires de bons, représentants et interlocuteurs support.
Données : identité, coordonnées, organisation, rôle, réservation, paiement référencé, messages, préférences communiquées, journaux techniques, paramètres et contenus chargés par le Client.
Données sensibles : elles ne doivent être traitées que si le Client dispose d'une base valable, donne des instructions adaptées et si les contrats fournisseurs applicables le permettent.

Instructions, confidentialité et sécurité

SYNSETIO traite les données uniquement sur instructions documentées du Client, y compris pour les transferts, sauf obligation légale contraire. SYNSETIO informe le Client si une instruction lui paraît manifestement illicite.

Les personnes autorisées par SYNSETIO sont tenues à la confidentialité. SYNSETIO maintient des mesures adaptées : chiffrement en transit, contrôle d'accès, séparation logique par organisation, sauvegardes, journalisation utile, surveillance des abus et procédures de support.

Sous-traitants ultérieurs

Le Client autorise les sous-traitants listés sur la page Sous-traitants Odybook. SYNSETIO leur impose par contrat les mêmes obligations de protection des données que celles prévues au présent DPA, dans la mesure applicable aux services confiés.

SYNSETIO reste responsable envers le Client de l'exécution des obligations de ses sous-traitants ultérieurs. SYNSETIO notifie les changements au moins 30 jours à l'avance lorsque possible; le Client dispose de 15 jours pour formuler une objection motivée. Les parties recherchent alors une solution raisonnable, pouvant inclure une configuration alternative ou la résiliation du service affecté.

Assistance, violations et audits

SYNSETIO assiste raisonnablement le Client pour les demandes de droits, analyses d'impact, consultations préalables, sécurité du traitement et obligations issues des articles 33 à 36 du RGPD.

SYNSETIO informe le Client sans retard injustifié après avoir connaissance d'une violation concernant les données traitées pour lui. SYNSETIO fournit les informations disponibles utiles à l'analyse, à la notification et à la remédiation.

Le Client peut auditer le respect du DPA par questionnaire, documentation, rapports pertinents ou inspection encadrée avec préavis raisonnable. Les inspections doivent préserver la sécurité, les secrets, les données des autres clients et la continuité du service.

Transferts internationaux

SYNSETIO ne transfère les données hors EEE sur instruction du Client ou pour fournir le service que lorsqu'un mécanisme valable existe : décision d'adéquation, clauses contractuelles types, mesures complémentaires disponibles ou autre fondement légal applicable.

Les régions et garanties réelles dépendent des fournisseurs et paramètres actifs. Le Client peut demander les informations nécessaires à son évaluation.

Fin du service et Data Act

Au choix du Client, SYNSETIO restitue ou supprime les données traitées pour son compte à la fin du service, sauf conservation imposée par la loi. Les sauvegardes suivent leur cycle technique protégé jusqu'à expiration.

Lorsque le Data Act chapitre VI s'applique, les parties coopèrent pour le changement de fournisseur et la portabilité avec vérification de l'autorité du demandeur, formats disponibles, protection des secrets, sécurité, continuité et limites des tiers.