Traduction fournie à titre informatif. Seule la version allemande fait foi.

conformément à l’art. 28 RGPD

entre le Client, en qualité de responsable du traitement, et Tapcoat GmbH, en qualité de sous-traitant

Tapcoat GmbH
Hanauer Landstraße 204
60314 Frankfurt am Main
HRB 141281, Amtsgericht Frankfurt am Main
Représentée par : Tim Hoh, Lutz Bischoff (gérance)
Mise à jour : mai 2026

Le présent DPA prend effet dès son acceptation dans le tableau de bord par une personne habilitée à représenter le responsable du traitement. Les annexes 1 (MTO) et 2 (destinataires des données à caractère personnel) font partie intégrante du présent contrat.

Préambule

Tapcoat met à la disposition du responsable du traitement un logiciel de vestiaire dans le cloud sur la base des CGV en vigueur entre les parties (consultables sur tapcoat.com/fr/cgv) (« contrat principal »). Dans le cadre de cette utilisation, Tapcoat traite des données à caractère personnel pour le compte du responsable du traitement. Le présent DPA précise les obligations en matière de protection des données au titre de l’art. 28 RGPD.

§ 1 Objet, durée et fin du contrat

(1) L’objet du traitement est la mise à disposition de la plateforme Tapcoat pour la gestion numérique des processus du vestiaire, y compris l’ensemble des fonctions associées (check-in, pass Wallet, fonctions de paiement, reporting, notifications push, branding, etc.).

(2) Durée : Le présent DPA s’applique pendant toute la durée du contrat principal et prend fin automatiquement à la cessation de celui-ci.

(3) Après la fin du contrat, les dispositions du § 11 relatives aux obligations concernant les données s’appliquent.

§ 2 Nature et finalité du traitement

(1) Nature : collecte, enregistrement, organisation, structuration, conservation, adaptation, modification, consultation, utilisation, communication, mise à disposition, transmission, interconnexion, limitation, effacement et destruction de données à caractère personnel — dans chaque cas exclusivement sur instruction du responsable du traitement.

(2) Finalité : mise à disposition et exploitation du logiciel de vestiaire, en particulier :

enregistrement des affaires et attribution à un emplacement de rangement
émission de pass vestiaire numériques (Apple Wallet, Google Wallet)
identification des invités au moyen de QR codes, d’identifiants NFC, de billets externes ou d’une liste nominative
traitement des opérations de paiement (facultatif, via Frisbii)
envoi de notifications push et de messages de remarketing (facultatif)
reporting et analyses pour le responsable du traitement

§ 3 Catégories de données à caractère personnel

(1) Données du personnel du responsable du traitement (rôles Manager et User) :

nom, adresse e-mail, numéro de téléphone (facultatif)
données de compte (mot de passe sous forme de hachage bcrypt, heures de connexion, adresse IP, données de l’appareil)
rôle, autorisations, événements attribués
journaux d’activité (journal d’audit)

(2) Données de la clientèle finale (invités du responsable du traitement) :

caractéristiques d’identification (ID de pass Wallet, QR code, tag NFC, ID de billet externe)
facultatif : nom, place assise, adresse e-mail, numéro de téléphone (dans la mesure où ces données sont collectées par le responsable du traitement)
données relatives aux affaires déposées (emplacement de rangement, heure de prise en charge, heure de retrait, type d’article, photo facultative)
en cas de vestiaire payant : jetons de paiement chiffrés (via Frisbii), statut de la transaction, montant, horodatage
jetons de notification push (si cette fonction est activée)
données d’appareil et de navigateur issues de la page de destination (landing page) de la clientèle finale (adresse IP, user agent)

(3) Les catégories particulières de données (art. 9 RGPD) ne font l’objet d’aucun traitement prévu. Si le responsable du traitement souhaite en introduire, un accord écrit distinct est requis.

§ 4 Catégories de personnes concernées

personnel du responsable du traitement (personnes ayant le rôle Manager ou User, personnel du vestiaire)
clientèle finale (invités ayant recours aux services de vestiaire sur les sites du responsable du traitement)
le cas échéant, personnes de contact de tiers (par ex. dans le cadre du service Lost & Found)

§ 5 Obligations du sous-traitant (Tapcoat)

(1) Respect des instructions : Tapcoat traite les données à caractère personnel exclusivement sur instruction documentée du responsable du traitement. Les instructions découlent du présent DPA, du contrat principal et de l’utilisation du logiciel (instructions de configuration). Les instructions complémentaires doivent être données sous forme textuelle (un e-mail suffit).

(2) Information en cas d’instruction illicite : Si Tapcoat estime qu’une instruction du responsable du traitement est illicite, Tapcoat en informe sans délai le responsable du traitement et peut en suspendre l’exécution jusqu’à clarification.

(3) Confidentialité : Tapcoat veille à ce que toutes les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de secret.

(4) Sécurité (art. 32 RGPD) : Tapcoat met en œuvre des mesures techniques et organisationnelles appropriées conformément à l’annexe 1 (MTO).

(5) Sous-traitants ultérieurs : Tapcoat peut faire appel à des sous-traitants ultérieurs conformément au § 7 et à l’annexe 2.

(6) Assistance : Tapcoat assiste le responsable du traitement dans le traitement des demandes des personnes concernées (art. 12 à 22 RGPD) ainsi qu’en matière de sécurité des données (art. 32), de violations de données (art. 33 et 34) et d’analyses d’impact relatives à la protection des données (art. 35 et 36). Les prestations allant au-delà du périmètre fonctionnel contractuel peuvent donner lieu à une rémunération distincte.

(7) Notification des violations de données : Tapcoat informe le responsable du traitement sans délai, et au plus tard dans les 24 heures après en avoir pris connaissance, de toute violation de données à caractère personnel et fournit toutes les informations dont le responsable du traitement a besoin pour satisfaire à son obligation de notification au titre de l’art. 33 RGPD.

(8) Obligations relatives aux données : À la fin du contrat, Tapcoat agit conformément au § 11.

(9) Obligations de preuve : Tapcoat met à disposition toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’art. 28 RGPD et permet la réalisation d’audits conformément au § 9.

(10) Délégué à la protection des données : Tapcoat n’a actuellement pas désigné de délégué à la protection des données, dans la mesure où la loi ne l’exige pas. Les demandes relatives à la protection des données doivent être adressées à datenschutz@tapcoat.com.

§ 6 Obligations du responsable du traitement

(1) Le responsable du traitement répond de la licéité du traitement des données, en particulier de la base juridique, des obligations d’information à l’égard des invités et du personnel ainsi que du recueil des consentements requis.

(2) Le responsable du traitement veille à ce que les données téléversées aient été collectées de manière licite et à ce que les personnes concernées aient été dûment informées.

(3) Le responsable du traitement désigne une personne de contact pour la protection des données et enregistre ses coordonnées dans le tableau de bord.

(4) Le responsable du traitement vérifie le caractère approprié des MTO (annexe 1) avant la conclusion du contrat et est tenu de contrôler régulièrement le traitement effectué par le sous-traitant.

§ 7 Sous-traitants ultérieurs

(1) Autorisation générale : Le responsable du traitement accorde à Tapcoat une autorisation générale de recourir aux sous-traitants ultérieurs mentionnés à l’annexe 2 ainsi qu’à de futurs sous-traitants ultérieurs selon les dispositions ci-après.

(2) Notification préalable : Tapcoat informe le responsable du traitement sous forme textuelle au moins 30 jours avant le recours à un sous-traitant ultérieur ou son remplacement.

(3) Droit d’opposition : Le responsable du traitement peut, pour un motif grave, s’opposer au recours à un nouveau sous-traitant ultérieur dans un délai de 30 jours à compter de la notification.

(4) Conséquences d’une opposition : Si les parties ne parviennent pas à un accord dans un délai de 30 jours, chaque partie peut résilier le contrat principal de manière extraordinaire moyennant un préavis de 30 jours.

(5) Responsabilité : Tapcoat conclut avec chaque sous-traitant ultérieur un contrat de sous-traitance équivalent et répond du respect de celui-ci comme de ses propres actes.

§ 8 Transferts vers des pays tiers

(1) Tous les traitements ont lieu en principe dans l’Union européenne. L’hébergement de la plateforme est assuré dans des centres de données situés en Allemagne (DigitalOcean FRA1, Francfort-sur-le-Main ; Hetzner, Falkenstein/Nuremberg). Les sous-traitants ultérieurs présentant un lien avec un pays tiers figurent à l’annexe 2.

(2) Les transferts vers des pays tiers n’ont lieu que dans la mesure indiquée à l’annexe 2 et reposent sur des garanties appropriées au sens des art. 44 et suivants du RGPD (notamment clauses contractuelles types de l’UE, décision d’adéquation, EU-US Data Privacy Framework).

§ 9 Droits de contrôle et audit

(1) Le responsable du traitement a le droit de vérifier le respect du présent DPA. La vérification s’effectue en priorité sur la base des documents fournis : annexe MTO, liste des sous-traitants ultérieurs, certificats, auto-déclarations écrites.

(2) Les demandes écrites reçoivent une réponse de Tapcoat dans un délai de 30 jours ouvrables. Le responsable du traitement limite ses demandes à une au maximum par année civile, sauf si un motif concret en exige une supplémentaire.

(3) Un contrôle sur place n’est admis qu’à titre exceptionnel, en présence d’un motif concret et documenté, moyennant un préavis d’au moins 30 jours ouvrables, pendant les heures de bureau habituelles et aux frais du responsable du traitement.

(4) Les auditeurs externes doivent s’être engagés par écrit à respecter la confidentialité et il doit être démontré qu’ils ne font pas partie des concurrents de Tapcoat.

§ 10 Violations de données à caractère personnel

(1) Tapcoat informe le responsable du traitement sans délai, et au plus tard dans les 24 heures après en avoir pris connaissance, de toute violation de données à caractère personnel.

(2) La notification comprend : la description de la violation, les conséquences probables, les mesures correctives prises ainsi que les coordonnées de la personne de contact chez Tapcoat.

§ 11 Fin du contrat, restitution et effacement

(1) À la fin du contrat principal, Tapcoat met les données à disposition pour export dans un format lisible par machine pendant 30 jours (portabilité des données conformément au règlement européen sur les données, EU Data Act).

(2) À l’expiration de ce délai de 30 jours, Tapcoat efface l’ensemble des données à caractère personnel, y compris les copies de sauvegarde, sauf obligations légales de conservation contraires.

(3) Conservation légale : Les données de paiement et de comptabilité sont conservées jusqu’à 10 ans conformément aux §§ 257 HGB et 147 AO. Pendant cette période, elles sont bloquées et ne sont utilisées qu’aux fins de l’exécution d’obligations légales.

(4) Tapcoat confirme l’effacement sous forme textuelle sur demande.

§ 12 Responsabilité

(1) Les dispositions du contrat principal (CGV) relatives à la responsabilité s’appliquent par analogie.

(2) À l’égard des personnes concernées, Tapcoat et le responsable du traitement sont solidairement responsables conformément à l’art. 82 RGPD. Dans leurs rapports internes, la responsabilité est répartie en fonction de la part de faute de chacun.

§ 13 Dispositions finales

(1) Le présent DPA prend effet dès son acceptation dans le tableau de bord par une personne habilitée à représenter le responsable du traitement. En cas de contradiction, le présent DPA prévaut sur le contrat principal en ce qui concerne la sous-traitance.

(2) Toute modification requiert la forme textuelle.

(3) Le droit allemand s’applique, à l’exclusion de la Convention des Nations unies sur les contrats de vente internationale de marchandises (CVIM). Juridiction compétente : Francfort-sur-le-Main.

(4) Si certaines dispositions devaient être invalides, la validité des autres dispositions n’en serait pas affectée.

Annexes :

Contrat de sous-traitance (DPA)