Avenant relatif au traitement des données

Rôles et périmètre

Le client est le responsable du traitement (Responsable del Tratamiento) et [entité juridique Sixto, S.A.S.] est le sous-traitant (Encargado del Tratamiento) pour les données personnelles saisies dans Sixto par le client ou ses voyageurs. Le DPA couvre l’objet (fourniture de Sixto), la durée (abonnement plus période de suppression), la nature et la finalité (hébergement et traitement pour les réservations, les échanges avec les voyageurs, les déclarations réglementaires, la comptabilité et l’exploitation), les types de données (identité et coordonnées, voyages, pièces d’identité, paiements, messages et personnel) et les catégories de personnes (voyageurs, membres de l’équipe, propriétaires et contacts).

Pour les données des visiteurs du site et des titulaires de compte, Sixto agit en tant que responsable du traitement, comme décrit dans la Politique de confidentialité.

Obligations du sous-traitant

Sixto s’engage à :

• traiter les données personnelles uniquement selon les instructions documentées du client, à savoir les Conditions, le DPA et l’utilisation du produit par le client, et l’informer si une instruction semble enfreindre la loi ;
• veiller à ce que les personnes ayant accès aux données personnelles soient soumises à une obligation de confidentialité ;
• ne pas vendre les données, ni les utiliser pour la publicité, le profilage ou l’entraînement de modèles d’IA ;
• tenir un registre de ses activités de traitement et coopérer avec les autorités du client lorsque la loi l’exige ;
• traiter les données conformément à la Ley 1581 de 2012 et à ses règlements, ainsi qu’au RGPD lorsqu’il s’applique.

Sous-traitants ultérieurs

Le client autorise de manière générale Sixto à recourir à des sous-traitants ultérieurs. Chacun est lié par un accord écrit imposant des obligations de protection des données au moins aussi strictes que celles du DPA, et Sixto demeure responsable de leur activité. Leurs catégories et finalités figurent sur la page Sous-traitants ultérieurs ; la liste nominative actuelle est disponible sur demande.

Nous avertissons les clients par e-mail ou dans l’application avant d’ajouter ou de remplacer un sous-traitant ultérieur qui traite leurs données personnelles, normalement au moins 30 jours à l’avance. Le client peut s’y opposer pour des motifs raisonnables liés à la protection des données ; nous rechercherons une solution avec lui ou, à défaut, il pourra résilier le service concerné.

Mesures de sécurité

Sixto maintient des mesures techniques et organisationnelles adaptées aux risques, notamment :

• le chiffrement des données en transit ;
• la séparation logique des données de chaque client, appliquée dans l’application ;
• des autorisations fondées sur les rôles ; les clés API à portée limitée et les agents connectés n’obtiennent jamais plus de droits que la personne qui les a configurés ;
• des journaux d’audit pour les actions sensibles ;
• un coffre de stockage des identifiants secrets des intégrations ;
• le retrait des éléments sensibles avant l’envoi de textes aux fournisseurs d’IA, et la lecture des pièces d’identité des voyageurs par l’IA uniquement avec leur consentement ;
• l’accès de l’assistance au compte d’un client uniquement avec son consentement, en lecture seule par défaut et avec traçabilité ;
• des sauvegardes régulières et des contrôles d’accès aux systèmes de production.

Des précisions figurent sur la page Sécurité et dans le DPA complet.

Violation de données personnelles

Si Sixto prend connaissance d’une violation de sécurité entraînant la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles du client ou un accès non autorisé à celles-ci, accidentellement ou illicitement, il avertira le client sans retard injustifié et, lorsque cela est possible, dans les 72 heures suivant cette découverte. L’avis décrira les informations connues sur la nature de la violation, les données et personnes touchées, les conséquences probables et les mesures prises ou envisagées ; il sera mis à jour à mesure que nous en saurons davantage. Le client décide s’il convient d’informer la SIC (Superintendencia de Industria y Comercio), d’autres autorités ou les personnes touchées, et Sixto lui prête assistance.

Assistance au client

Compte tenu de la nature du traitement, Sixto aide le client à répondre aux demandes des personnes exerçant leurs droits (accès, mise à jour, rectification, suppression, révocation, portabilité et opposition), à réaliser des analyses d’impact et à consulter les autorités. Le produit comprend des outils d’exportation et de suppression. Si une personne écrit directement à Sixto au sujet des données d’un client, nous transmettons sa demande au client sans y répondre nous-mêmes, sauf obligation légale.

Transferts internationaux

Les données personnelles des clients peuvent être traitées hors de Colombie. Sixto veille à ce que ces transferts reposent sur un mécanisme légal, tel que les normes et garanties reconnues par la SIC ou, pour les données soumises au RGPD, les clauses contractuelles types, et les inclut au besoin dans le DPA complet.

Restitution et suppression

Le client peut exporter ses données tant que son compte est actif. Après la résiliation, Sixto laisse les données disponibles à l’exportation pendant 30 jours, puis les supprime des systèmes actifs et des sauvegardes à mesure que celles-ci expirent, sauf si la loi impose la conservation de certains documents. Sur demande, Sixto confirme la suppression par écrit.

Audits et informations

Sixto fournit au client les informations nécessaires pour démontrer le respect du DPA, par exemple les réponses à un questionnaire de sécurité raisonnable et un résumé de ses mesures. Si cela ne suffit pas, le client peut effectuer un audit au plus une fois par an, sauf en cas de violation, moyennant un préavis raisonnable, pendant les heures ouvrables, sous confidentialité et sans exposer les données d’autres clients. Les coûts raisonnables de l’audit sont à la charge du client.

Demander le DPA complet

Pour obtenir le DPA complet, une version à signer, la liste actuelle des sous-traitants ultérieurs ou pour poser une question, écrivez à [email protected]. Veuillez indiquer le nom de votre entreprise et l’adresse e-mail du titulaire du compte.