Accord de sous-traitance des données personnelles
Article 28 du Règlement Général sur la Protection des Données
Cet accord fait partie intégrante des Conditions générales de partenariat. Son acceptation est un préalable obligatoire à tout accès aux dossiers des pèlerins, ceux-ci contenant des pièces d’identité.
OMRA-COMPARE, SIRET 93982204500018, agissant en qualité de responsable de traitement, ci-après « Omra Compare ».
L’Agence ayant accepté les Conditions générales de partenariat, agissant en qualité de sous-traitant au sens de l’article 28 du RGPD pour les traitements décrits ci-après, ci-après « l’Agence ».
Article 1 — Objet et qualification des Parties
Le présent accord encadre le traitement, par l’Agence, des données personnelles des pèlerins que lui transmet Omra Compare dans le cadre d’un dossier client.
Les Parties reconnaissent que leur qualification peut varier selon la finalité poursuivie :
- Pour la collecte, l’hébergement et la mise à disposition du dossier, Omra Compare est responsable de traitement et l’Agence est sous-traitant, agissant sur instruction documentée d’Omra Compare.
- Pour l’organisation effective du voyage (demande de visa, réservation de vols et d’hôtels, relation contractuelle avec le pèlerin), l’Agence devient responsable de traitement autonome et assume à ce titre l’ensemble des obligations du RGPD.
Le présent accord régit la première de ces situations. La seconde relève de la responsabilité propre de l’Agence.
Article 2 — Description du traitement
| Élément | Description |
|---|---|
| Finalité | Permettre à l’Agence d’organiser le séjour Omra ou Hajj demandé par le pèlerin : vérification des pièces, établissement du devis, demande de visa, émission des documents de voyage. |
| Nature des opérations | Consultation, téléchargement, validation ou refus des pièces, dépôt de documents de voyage, saisie d’informations dans le dossier. |
| Catégories de personnes | Pèlerins ayant ouvert un dossier, et personnes voyageant avec eux dans le cadre du même dossier, y compris mineurs. |
| Catégories de données | Identité (nom, prénom), coordonnées (téléphone, e-mail), données de voyage (dates, composition du groupe), pièces d’identité (passeport, photo d’identité, titre de séjour), documents complémentaires demandés par l’Agence, informations de paiement déclaratives (montants, dates). |
| Durée | Le temps nécessaire à l’organisation du voyage, et au maximum jusqu’à la clôture ou l’expiration du dossier sur la plateforme. |
L’Agence reconnaît que les pièces d’identité constituent des données dont la divulgation présente un risque élevé d’usurpation d’identité pour les personnes concernées, et s’engage à leur appliquer un niveau de protection en conséquence.
Article 3 — Obligations de l’Agence
L’Agence s’engage à :
- Ne traiter les données que sur instruction documentée d’Omra Compare, telle que résultant des présentes et de l’usage normal de la plateforme, et exclusivement pour les finalités décrites à l’Article 2.
- N’accéder qu’aux dossiers qui lui sont attribués. Toute tentative d’accès à un dossier non attribué constitue une violation caractérisée du présent accord.
- Garantir la confidentialité des données, et s’assurer que les personnes autorisées à y accéder au sein de son organisation sont soumises à une obligation de confidentialité et formées aux risques.
- Ne pas extraire, dupliquer ou conserver les pièces d’identité au-delà de la durée strictement nécessaire à l’exécution de la prestation, et les supprimer de ses propres systèmes à l’issue du voyage.
- Ne transmettre aucune donnée à un tiers non impliqué dans l’organisation du voyage. Les transmissions nécessaires (autorités consulaires saoudiennes, compagnies aériennes, hôtels) sont limitées aux données strictement requises.
- Ne recourir à aucun sous-traitant ultérieur pour le traitement de ces données sans information préalable d’Omra Compare, permettant à cette dernière d’émettre des objections.
- Mettre en œuvre des mesures de sécurité appropriées au sens de l’article 32 du RGPD : accès protégé par mot de passe, postes verrouillés, pas de stockage de pièces d’identité sur des supports non chiffrés ou des messageries personnelles.
- Ne procéder à aucun transfert hors de l’Union européenne autre que ceux strictement nécessaires à l’obtention du visa auprès des autorités saoudiennes, lesquels relèvent de l’article 49-1-b du RGPD (exécution du contrat conclu avec la personne concernée).
Article 4 — Droits des personnes concernées
Les demandes d’exercice de droits (accès, rectification, effacement, opposition, limitation, portabilité) sont adressées en premier lieu à Omra Compare, responsable de traitement.
L’Agence s’engage à assister Omra Compare dans le traitement de ces demandes, et à y répondre dans un délai maximal de 10 jours ouvrés à compter de la sollicitation, afin de permettre à Omra Compare de respecter le délai d’un mois prévu par le RGPD.
Si une demande est adressée directement à l’Agence par un pèlerin issu de la plateforme, l’Agence en informe Omra Compare sans délai.
Article 5 — Violation de données
L’Agence notifie à Omra Compare, à l’adresse contact@omra-compare.com, toute violation de données personnelles concernant des pèlerins issus de la plateforme, dans les 24 heures suivant sa connaissance, avec les éléments dont elle dispose :
- Nature de la violation et catégories de données concernées.
- Nombre approximatif de personnes concernées et dossiers identifiés.
- Conséquences probables et mesures prises ou envisagées.
Ce délai est justifié par l’obligation faite à Omra Compare de notifier la CNIL dans les 72 heures.
Article 6 — Sécurité assurée par Omra Compare
De son côté, Omra Compare met en œuvre les mesures suivantes sur la plateforme :
- Stockage des pièces en dehors de la racine web du site, hors d’atteinte d’une URL directe.
- Accès au dossier par lien personnel non devinable et code de vérification envoyé par e-mail.
- Chiffrement des échanges (HTTPS) et renommage systématique des fichiers déposés.
- Journalisation horodatée de chaque consultation et de chaque téléchargement de pièce, attribuée à son auteur.
- Suppression automatique des pièces d’identité 90 jours après la dernière activité d’un dossier resté sans suite, ou à la clôture définitive du dossier.
Article 7 — Audit et contrôle
Omra Compare peut demander à l’Agence, une fois par an au maximum et à ses frais, de démontrer le respect des obligations du présent accord. L’Agence répond dans un délai raisonnable, sans être tenue de divulguer d’informations couvertes par le secret des affaires ou concernant d’autres clients.
Le journal d’accès de la plateforme constitue en outre un moyen de contrôle permanent, opposable aux deux Parties.
Article 8 — Sort des données en fin de partenariat
À la fin du partenariat, ou sur demande d’Omra Compare :
- L’accès de l’Agence aux dossiers de la plateforme est révoqué immédiatement.
- L’Agence supprime de ses propres systèmes l’ensemble des pièces d’identité issues de la plateforme, sauf pour les dossiers dont le voyage est en cours ou pour lesquels une obligation légale de conservation lui est propre.
- L’Agence atteste par écrit de cette suppression sur demande d’Omra Compare.
Les données que l’Agence conserve en qualité de responsable de traitement autonome (dossier commercial, comptabilité) ne sont pas concernées par cette obligation de suppression.
Article 9 — Responsabilité
Chaque Partie assume les conséquences de ses propres manquements au RGPD. L’Agence garantit Omra Compare contre toute réclamation, sanction ou action résultant d’un manquement qui lui serait imputable, notamment d’une divulgation ou d’une conservation abusive de pièces d’identité.
Article 10 — Droit applicable
Le présent accord est soumis au droit français et au Règlement (UE) 2016/679. Tout litige relève des tribunaux compétents de Paris.
Dernière mise à jour : 2 septembre 2026