Sésame Pro · documents contractuels

Contrat de sous-traitance des données

Version dpa-2026-10-16 · en vigueur le 16 octobre 2026.

1. Parties et objet

Le présent contrat de sous-traitance (le « DPA ») est conclu entre le client de Sésame Pro, identifié par son SIREN lors de l’inscription (le « Client », responsable de traitement), et SesameVisa, société par actions simplifiée à capital variable (capital social de 1 000 euros), RCS Paris 131 479 149, 59 rue de Ponthieu, Bureau 326, 75008 Paris (« Sésame », sous-traitant). Il complète les conditions générales de Sésame Pro et prévaut sur elles pour tout ce qui concerne les données personnelles. Il est accepté électroniquement à l’inscription par une personne habilitée à engager le Client ; sa version et sa date d’acceptation sont enregistrées.

Il a pour objet de définir les conditions dans lesquelles Sésame traite, pour le compte du Client, des données personnelles, conformément à l’article 28 du règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée.

2. Description du traitement

3. Instructions du Client

Sésame ne traite les données que sur instruction documentée du Client. Le présent DPA, les Conditions et l’utilisation des fonctions du service par les utilisateurs du Client (import, modification, export, suppression, réglage du délai de purge) constituent ses instructions. Sésame n’utilise les données à aucune autre fin, notamment pas pour son service grand public Sésame Visa, pour de la prospection ou pour entraîner des modèles d’intelligence artificielle.

Si Sésame considère qu’une instruction constitue une violation du RGPD ou d’une autre disposition applicable, il en informe immédiatement le Client. S’il est tenu par le droit de l’Union ou d’un État membre de procéder à un transfert ou à une communication de données, il en informe le Client avant le traitement, sauf si ce droit l’interdit.

4. Confidentialité

Sésame veille à ce que les personnes autorisées à accéder aux données, en nombre limité au strict nécessaire, s’engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et reçoivent la sensibilisation nécessaire à la protection des données. Le personnel de Sésame n’accède aux données d’un espace que pour l’assistance demandée par le Client ou pour la sécurité du service.

5. Sécurité

Sésame met en œuvre les mesures techniques et organisationnelles appropriées décrites à l’annexe 1, conformément à l’article 32 du RGPD, compte tenu de l’état des connaissances, de la nature des données et des risques pour les personnes. Il peut les faire évoluer, à condition de ne pas réduire le niveau global de sécurité.

6. Sous-traitants ultérieurs

Le Client autorise de manière générale Sésame à recourir aux sous-traitants ultérieurs listés à l’annexe 2. Sésame informe le Client par e-mail de tout ajout ou remplacement envisagé au moins 30 jours à l’avance ; le Client peut s’y opposer pour un motif raisonnable lié à la protection des données. Si aucune solution n’est trouvée, le Client peut résilier le contrat sans frais avant l’entrée en vigueur du changement.

Sésame impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent DPA, et reste pleinement responsable devant le Client de leur exécution.

7. Transferts hors de l’Union européenne

Les données sont stockées dans l’Union européenne. Certains sous-traitants ultérieurs appartiennent à des groupes établis hors de l’Union et peuvent, pour l’exploitation, le support ou la sécurité, accéder aux données depuis un pays tiers. Tout transfert est encadré par une décision d’adéquation (dont le cadre de protection des données UE–États-Unis pour les sociétés certifiées) ou par les clauses contractuelles types de la Commission européenne, complétées le cas échéant de mesures supplémentaires (chiffrement, minimisation). Sésame ne procède à aucun autre transfert sans l’accord écrit du Client.

8. Droits des personnes

Le Client est l’interlocuteur des voyageurs et utilisateurs pour l’exercice de leurs droits (accès, rectification, effacement, limitation, opposition, portabilité). Le service lui permet de consulter, corriger, exporter et supprimer les données d’un voyageur. Si une personne s’adresse directement à Sésame, celui-ci transmet sa demande au Client sous 5 jours ouvrés, sans y répondre lui-même, et assiste le Client dans la mesure du possible.

9. Violation de données

Sésame notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail aux administrateurs de l’espace. La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et le contact chez Sésame. Les informations peuvent être communiquées de manière échelonnée. Il revient au Client, responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées ; Sésame l’y assiste.

10. Analyse d’impact et consultation préalable

Sésame fournit au Client, sur demande, les informations utiles à la réalisation d’une analyse d’impact relative à la protection des données (article 35 du RGPD) et, le cas échéant, à la consultation préalable de la CNIL (article 36), notamment la description du traitement et des mesures de sécurité.

11. Durée de conservation et sort des données

Les voyages et leurs voyageurs sont supprimés automatiquement à l’expiration du délai de purge choisi par le Client après la date de retour. Le Client peut supprimer un voyage ou un voyageur à tout moment. Le journal des actions est conservé 13 mois. Le compteur de facturation ne conserve aucune donnée personnelle des voyageurs.

À la fin du contrat, le Client dispose de 30 jours pour exporter ses données ; Sésame supprime ensuite l’ensemble des données de l’espace et toute copie, et le confirme par écrit sur demande. Les sauvegardes techniques sont écrasées selon leur cycle normal, au plus tard 30 jours après. Les données nécessaires à la facturation et à la preuve du contrat sont conservées pendant la durée légale.

12. Documentation et audit

Sésame met à la disposition du Client les informations nécessaires pour démontrer le respect de ses obligations et tient un registre des traitements effectués pour le compte de ses clients (article 30.2 du RGPD). Le Client peut faire réaliser, une fois par an et à ses frais, un audit par lui-même ou par un auditeur indépendant tenu au secret, non concurrent de Sésame, moyennant un préavis de 30 jours et dans des conditions qui ne perturbent pas le service ni la confidentialité des autres clients. Un audit supplémentaire est possible après une violation de données ou à la demande d’une autorité de contrôle.

13. Obligations du Client

Le Client s’engage à : disposer d’une base légale pour le traitement (en principe l’exécution du contrat de voyage et le respect des obligations de l’organisateur) ; informer ses voyageurs, y compris les représentants légaux des mineurs, de l’utilisation de Sésame Pro ; ne fournir que des données nécessaires ; documenter par écrit toute instruction particulière ; gérer avec soin les accès de ses utilisateurs et choisir un délai de purge adapté. Les données exportées par le Client hors de Sésame Pro relèvent de sa seule responsabilité.

14. Responsabilité, durée et droit applicable

La responsabilité de chaque partie est régie par l’article 82 du RGPD et par les Conditions. Le DPA s’applique pendant toute la durée du contrat et jusqu’à la suppression complète des données. Il est soumis au droit français ; les litiges relèvent de la juridiction désignée dans les Conditions. Contact protection des données chez Sésame : privacy@sesamevisa.com.

Annexe 1 · Mesures techniques et organisationnelles

• Minimisation : lecture de la MRZ dans le navigateur de l’utilisateur ; conservation des copies désactivable par le Client ; aucune donnée biométrique n’est extraite ni conservée.
• Copies des documents : espace de stockage privé, chiffré, dans l’Union européenne (région de Paris) ; aucun lien public ; chaque ouverture passe par une fonction serveur qui vérifie le rôle de l’utilisateur et délivre un lien à usage court (60 secondes) ; suppression avec le voyage et contrôle quotidien des fichiers non rattachés.
• Hébergement : base de données dans l’Union européenne (région de Paris), dans un centre de données certifié (ISO 27001, SOC 2).
• Chiffrement : en transit (TLS 1.2 ou supérieur) et au repos (AES-256) ; sauvegardes chiffrées.
• Cloisonnement : chaque espace est isolé des autres par des règles de sécurité appliquées au niveau de la base de données (contrôle d’accès par ligne), testées pour chaque rôle.
• Contrôle d’accès : quatre rôles (Administrateur, Responsable, Agent, Lecture seule) ; numéros de documents masqués par défaut et lisibles en clair par les seuls rôles Responsable et Administrateur ; suppression réservée aux rôles Responsable et Administrateur.
• Authentification : connexion sans mot de passe par lien à usage unique et limité dans le temps, envoyé à l’e-mail professionnel ; sessions expirantes.
• Traçabilité : journal horodaté à la seconde des créations, modifications, suppressions, consultations de numéros en clair, ouvertures, téléchargements, exports et relectures de copies, refus d’accès et changements d’accès, avec l’utilisateur et son adresse IP ; consultable par le Client (rôles Administrateur et Responsable) et conservé 13 mois.
• Purge automatique : suppression quotidienne des voyages dont le délai de conservation est dépassé.
• Exploitation : accès d’administration limités, nominatifs et protégés par une double authentification ; mises à jour de sécurité suivies ; principe du moindre privilège.
• Organisation : engagement de confidentialité des personnes habilitées ; procédure de gestion des violations de données ; revue annuelle des mesures.

Annexe 2 · Sous-traitants ultérieurs autorisés

La recherche d’entreprise par SIREN interroge l’API publique Recherche d’entreprises de l’État ; elle ne porte sur aucune donnée de voyageur.