Contrat de traitement des données personnelles (article 28 RGPD) — PassWiFi

Le présent contrat encadre le traitement de données à caractère personnel réalisé par CD CONNECT pour le compte de ses clients dans le cadre du service PassWiFi. Il est conclu en application de l'article 28 du Règlement (UE) 2016/679 (RGPD) et fait partie intégrante des conditions générales de vente et des conditions générales de service.

Une précision de vocabulaire, parce que le mot prête à confusion : le RGPD appelle « sous-traitant » celui qui traite des données pour le compte d'un autre. Cela ne signifie pas que votre service serait confié à un tiers — c'est bien CD CONNECT qui l'exploite. Le terme désigne notre rôle juridique vis-à-vis de vos données, rien de plus.

1. Qualité des parties

Le client est responsable de traitement : c'est lui qui décide d'ouvrir un accès WiFi à ses visiteurs, qui détermine les finalités poursuivies et les données collectées.

CD CONNECT est sous-traitant : il fournit et exploite le service, et ne traite les données que sur instruction du client.

2. Objet, durée et nature du traitement

Objet : la fourniture d'un accès WiFi à des visiteurs, avec portail captif, journalisation des connexions et, selon l'offre souscrite, sollicitation d'avis en ligne et envoi de lettres d'information.

Durée : le traitement dure aussi longtemps que l'abonnement, augmenté des durées de conservation décrites à l'article 5.

Nature des opérations : collecte, enregistrement, conservation, consultation, extraction, communication sur réquisition, effacement.

3. Finalités

• Fournir l'accès Internet aux visiteurs de l'établissement.
• Conserver les données de connexion et répondre aux réquisitions judiciaires (article L34-1 du code des postes et des communications électroniques).
• Pour l'offre Social uniquement, et sur consentement de la personne : solliciter un avis en ligne après la visite, et adresser des lettres d'information.

4. Catégories de données et de personnes concernées

Personnes concernées : les visiteurs, clients ou usagers qui se connectent au réseau WiFi mis à disposition par le client.

Catégories de données : adresse email, adresse MAC du terminal, adresse IP attribuée, horodatage et durée des sessions, volume échangé, borne de rattachement et, le cas échéant, nature et date des consentements recueillis ainsi que l'historique des messages adressés.

Aucune donnée sensible au sens de l'article 9 du RGPD n'est collectée. Le contenu des communications des visiteurs n'est ni enregistré, ni analysé.

5. Durées de conservation

• Données de connexion : un an à compter de la connexion, en application de l'obligation légale de conservation.
• Adresses email et consentements : la durée convenue avec le client à la mise en service, et au plus tard jusqu'au retrait du consentement ou à la désinscription.
• Après la fin du contrat : voir l'article 11.

6. Obligations de CD CONNECT

CD CONNECT s'engage à :

• Traiter les données sur la seule instruction documentée du client, y compris pour un transfert hors Union européenne — hypothèse qui ne se présente pas, les données étant hébergées en France ;
• informer le client si une instruction lui paraît constituer une violation du RGPD ;
• garantir la confidentialité : les personnes autorisées à traiter les données sont tenues à une obligation de confidentialité et n'accèdent qu'à ce que leur fonction exige ;
• mettre en œuvre les mesures de sécurité décrites à l'article 8 ;
• aider le client à répondre aux demandes d'exercice des droits, ainsi qu'à ses obligations d'analyse d'impact et de notification de violation ;
• notifier au client toute violation de données le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les éléments nécessaires à sa propre notification à la CNIL ;
• tenir le registre des catégories de traitements effectués pour le compte du client, et lui mettre à disposition les éléments correspondants — une fiche de registre est éditable depuis l'espace client ;
• mettre à disposition toute information nécessaire pour démontrer le respect de l'article 28 et permettre les audits prévus à l'article 10.

7. Obligations du client

Le client s'engage à :

• fournir des instructions licites et documenter celles qui sortent du cadre du présent contrat ;
• informer les personnes concernées et recueillir leur consentement lorsqu'il est requis — le portail captif en fournit le moyen, le client en valide le contenu ;
• tenir son propre registre des traitements et y reporter le traitement WiFi ;
• répondre aux demandes d'exercice des droits qui lui sont adressées, dans le délai légal d'un mois ;
• notifier lui-même à la CNIL toute violation de données le concernant, cette obligation incombant au responsable de traitement ;
• veiller à la confidentialité des accès à son espace client.

8. Mesures de sécurité

• Réseau visiteurs isolé du réseau interne de l'établissement par un VLAN dédié.
• Isolation entre visiteurs : deux terminaux connectés au réseau visiteurs ne communiquent pas entre eux.
• Chiffrement des échanges avec l'espace client et la console de gestion (HTTPS/TLS).
• Accès par compte nominatif et mot de passe ; aucun compte partagé n'est fourni d'origine.
• Hébergement des données en France, sur l'infrastructure de CD CONNECT.
• Journalisation des accès à la console de gestion.

9. Sous-traitants ultérieurs

CD CONNECT recourt aux prestataires suivants, à jour au 8 août 2026 :

• CD CONNECT — hébergement de la solution et des données, en France ;
• Amazon Web Services EMEA (région Paris, eu-west-3) — acheminement des emails envoyés depuis le service ; les messages transitent par des serveurs situés en France.

L'encaissement des paiements relève d'un traitement distinct, pour lequel CD CONNECT est responsable de traitement et non sous-traitant : il n'entre pas dans le périmètre du présent contrat.

La liste ci-dessus est également communiquée sur simple demande. CD CONNECT informe le client de tout ajout ou remplacement avec un préavis de trente (30) jours, période pendant laquelle le client peut s'y opposer par écrit ; à défaut d'accord, il peut résilier sans frais.

Les sous-traitants ultérieurs sont tenus aux mêmes obligations que celles du présent contrat. CD CONNECT demeure pleinement responsable de leur exécution devant le client.

10. Audit

Le client peut demander, une fois par année civile et moyennant un préavis raisonnable, la communication des éléments démontrant le respect du présent contrat. Un audit sur site peut être diligenté par le client ou un auditeur indépendant qu'il mandate, aux frais du client, dans des conditions convenues entre les parties et sans compromettre la sécurité des données des autres clients.

11. Sort des données à la fin du contrat

À la fin du contrat, le client dispose de trente (30) jours pour demander la restitution de ses données dans un format exploitable — journaux de connexion et base d'adresses email. À l'expiration de ce délai, CD CONNECT supprime les données de ses serveurs ainsi que les copies existantes, sauf obligation légale de conservation, et l'atteste par écrit sur demande.

12. Contact

Toute question relative au présent contrat s'adresse à support@passwifi.fr — CD CONNECT, 45 avenue Franklin Roosevelt, 77210 Avon, France.

Le client peut éditer depuis son espace client une version de ce contrat préremplie à son nom, ainsi que la fiche de registre des traitements correspondante.