Contrat de sous-traitance — MORYA Stay

Parties

Le responsable du traitement : l'hôte titulaire d'un compte MORYA Stay (ci-après « l'Hôte »), qui loue un ou plusieurs logements et y gère les données de ses voyageurs.

Le sous-traitant : Paul Fournier, entrepreneur individuel, SIREN 843 658 519, 15 rue de Bièvre, 75005 Paris, exploitant la plateforme MORYA (ci-après « MORYA »), joignable à [email protected].

1. Objet

Le présent contrat fixe, conformément à l'article 28 du règlement (UE) 2016/679 (RGPD), les conditions dans lesquelles MORYA traite, pour le compte de l'Hôte et sur ses seules instructions, les données personnelles des voyageurs que l'Hôte gère dans MORYA Stay. Il complète les conditions générales d'utilisation et les conditions spécifiques MORYA Stay, dont l'acceptation emporte son acceptation. En cas de contradiction sur la protection des données, le présent contrat prévaut.

2. Durée

Le contrat s'applique tant que l'Hôte utilise MORYA Stay. À sa fin, les données sont traitées comme prévu à l'article 10.

3. Description du traitement

• Nature des opérations : hébergement, enregistrement, organisation, consultation, synchronisation des calendriers avec les plateformes de réservation, envoi de messages et d'e-mails aux voyageurs, analyse automatique et rédaction de brouillons par intelligence artificielle, calcul de la taxe de séjour, tenue du registre du logeur et des fiches individuelles de police, exports, effacement et anonymisation.
• Finalités : la gestion des réservations et des séjours de l'Hôte, la communication avec ses voyageurs, et l'accomplissement de ses obligations légales (taxe de séjour, fiche individuelle de police, comptabilité).
• Personnes concernées : les voyageurs de l'Hôte, les enfants mineurs qui les accompagnent, et les membres de l'équipe de l'Hôte (ménage, co-hôtes) qu'il enregistre.
• Catégories de données : identité et coordonnées (nom, e-mail, téléphone) ; dates et composition du séjour, dont le nombre de mineurs ; montants et statut des paiements (jamais les données de carte, saisies chez Stripe) ; messages et demandes ; pour les voyageurs étrangers, les mentions de la fiche individuelle de police (date et lieu de naissance, nationalité, domicile habituel). Aucune copie de pièce d'identité n'est traitée.
• Données sensibles : aucune n'est requise par le service. L'Hôte s'interdit d'en saisir (santé, opinions, etc.) dans les notes et messages.

4. Obligations de MORYA

MORYA s'engage à :

• ne traiter les données que pour les finalités ci-dessus et sur instruction documentée de l'Hôte — les réglages et actions de l'Hôte dans MORYA Stay valent instructions — et à l'informer immédiatement si une instruction lui paraît contraire au RGPD ;
• garantir la confidentialité des données : seules les personnes habilitées par MORYA y ont accès, pour les besoins du service et du support, et sont tenues au secret ;
• prendre les mesures de sécurité décrites à l'article 7 ;
• ne recourir à un sous-traitant ultérieur que dans les conditions de l'article 6 ;
• aider l'Hôte, dans la mesure du possible, à répondre aux demandes d'exercice des droits des voyageurs (article 9) et à respecter ses obligations de sécurité, de notification des violations, d'analyse d'impact et de consultation préalable (articles 32 à 36 du RGPD) ;
• supprimer ou restituer les données en fin de contrat (article 10) ;
• mettre à disposition de l'Hôte les informations nécessaires pour démontrer le respect du présent contrat et permettre des audits (article 11) ;
• appliquer les durées de conservation de l'article 8, par une purge automatique quotidienne.

5. Obligations de l'Hôte

• disposer d'une base légale pour chaque traitement et informer ses voyageurs ; MORYA met à sa disposition une notice, reprise par la page de réservation directe (annexe Voyageurs MORYA Stay de la politique de confidentialité) ;
• ne saisir que les données nécessaires, et recueillir lui-même le consentement des voyageurs lorsqu'il est requis (offres commerciales) ;
• remplir et faire signer la fiche individuelle de police à l'arrivée de tout voyageur étranger (CESEDA, art. R.814-1 à R.814-3), MORYA n'en assurant que la tenue et la conservation ;
• répondre aux demandes de ses voyageurs, avec l'aide de MORYA.

6. Sous-traitants ultérieurs

L'Hôte autorise MORYA à recourir aux sous-traitants ultérieurs suivants, chacun lié par des obligations de protection des données au moins équivalentes :

L'analyse automatique des messages entrants par intelligence artificielle est active dès qu'un fournisseur d'IA est configuré ; les réponses automatiques, elles, ne partent que si l'Hôte les active. Les transferts vers les États-Unis reposent sur les clauses contractuelles types de la Commission européenne et, le cas échéant, sur le EU-US Data Privacy Framework.

Stripe n'est pas un sous-traitant de MORYA : les paiements des voyageurs sont encaissés par l'Hôte sur son propre compte Stripe (Stripe Connect Standard), selon le contrat qu'il a conclu directement avec Stripe. MORYA ne reçoit de Stripe que le statut et les références des paiements.

MORYA informe l'Hôte par e-mail de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance. L'Hôte peut s'y opposer pour un motif lié à la protection des données ; à défaut d'accord, il peut résilier son abonnement Stay sans frais.

7. Sécurité

• chiffrement des échanges (HTTPS, TLS 1.2 ou plus) ;
• hébergement en France (OVH), réseau privé chiffré entre les serveurs, sauvegardes ;
• contrôle d'accès : chaque Hôte n'accède qu'à ses propres données, authentification par jetons à durée limitée révoqués à la déconnexion, protections contre la falsification de requêtes ;
• minimisation : aucune donnée de carte bancaire, aucune copie de pièce d'identité ; effacement automatique à l'échéance des durées de conservation.

8. Durées de conservation

L'Hôte peut supprimer plus tôt une fiche voyageur depuis son compte, ou demander à MORYA l'effacement anticipé de toute autre donnée. Il lui appartient de conserver lui-même ses pièces comptables s'il quitte MORYA Stay avant leur terme.

9. Violations de données et droits des voyageurs

MORYA notifie à l'Hôte toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles, afin de permettre à l'Hôte, le cas échéant, de la notifier à la CNIL dans le délai de 72 heures de l'article 33 du RGPD et d'en informer les voyageurs.

Une demande d'un voyageur reçue par MORYA est transmise à l'Hôte sans délai. MORYA met à sa disposition les moyens d'y répondre (consultation, rectification et export depuis le compte, effacement sur demande).

10. Fin du contrat

À la fin du contrat, l'Hôte peut exporter ses données (réservations, voyageurs, registre) depuis son compte. MORYA les supprime ensuite dans un délai de 30 jours, sauf obligation légale de conservation ; les copies de sauvegarde sont effacées au fil de leur rotation. [À COMPLÉTER : durée de rotation des sauvegardes.]

11. Audit

MORYA fournit sur demande écrite les informations nécessaires pour démontrer le respect du présent contrat. L'Hôte peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret, au plus une fois par an et moyennant un préavis de 30 jours, sauf violation de données avérée ; chaque partie supporte ses propres frais.

12. Droit applicable

Le présent contrat est soumis au droit français. Contact pour toute question relative aux données : [email protected].