Accord de traitement des données (DPA)

Préambule

Le présent accord de traitement des données (le « DPA ») précise les obligations des parties en matière de protection des données découlant de l’accord principal conclu entre elles pour l’utilisation de la plateforme logicielle en tant que service (le « Accord principal »).

Le présent DPA s’applique à toutes les activités liées à l’Accord principal dans lesquelles le personnel du sous-traitant ou des tiers mandatés par celui-ci traite des données à caractère personnel du responsable du traitement.

Section 1. Parties

Responsable du traitement (client) : L’utilisateur de la plateforme, à savoir la personne indépendante ou l’entreprise qui utilise la plateforme en vertu du contrat. Les informations du compte de l’utilisateur identifient le responsable du traitement.

Sous-traitant (prestataire de services) :

Octon Holding GmbH
représenté par : Mio McQueen (Directeur général)
Paul-Ehrlich-Straße 7
79106 Freiburg im Breisgau
Tribunal d’instance de Fribourg-en-Brisgau, HRB 736329
E-mail : team@octonholding.de
(le « sous-traitant »)

Section 2. Objet et durée du traitement

(1) Le traitement concerne la mise à disposition de la plateforme au titre de l’Accord principal. Le sous-traitant traite les données à caractère personnel exclusivement à cette fin et uniquement pour le compte du responsable du traitement, et sur ses instructions.

(2) Le traitement se poursuit pendant la durée de l’Accord principal et prend fin lorsque cet accord prend fin, sous réserve des obligations de suppression et de restitution prévues à la section 11.

Section 3. Nature et finalité du traitement

(1) Le sous-traitant fournit au responsable du traitement les prestations de traitement suivantes :

• Mise à disposition de la plateforme (SaaS) pour soutenir la création et l’exploitation d’une activité
• Stockage, structuration et analyse des données commerciales du responsable du traitement (contacts, offres, factures, paiements et documents)
• Fourniture de fonctions d’IA pour soutenir les activités commerciales
• Connexion à des systèmes tiers (comptabilité et traitement des paiements) à la demande du responsable du traitement
• Création et envoi de notifications et de rapports

(2) Le traitement sert à l’exécution de l’Accord principal. Le sous-traitant ne traite pas les données à ses propres fins ; en particulier, les données ne sont pas utilisées pour entraîner ses propres modèles d’IA ni ceux de tiers.

Section 4. Types de données à caractère personnel

(1) Les catégories de données suivantes sont traitées pour le compte du responsable du traitement :

• Données de base (noms, adresses et coordonnées des clients, prospects et personnes de contact du responsable du traitement)
• Données de communication (adresses e-mail, numéros de téléphone et contenu des messages saisis sur la plateforme)
• Données contractuelles (informations relatives aux offres, factures et paiements)
• Données financières (dépenses, justificatifs et informations comptables)
• Données d’utilisation (heures de connexion, adresses IP et informations de navigateur à des fins de sécurité)
• Contenu stocké volontairement sur la plateforme par le responsable du traitement
• Fichiers image, descriptions d’images et instructions associées lorsque le responsable du traitement utilise les fonctions d’image

(2) Le traitement de catégories particulières de données à caractère personnel (article 9 du RGPD) est exclu du champ d’application du présent accord. Si le responsable du traitement saisit de telles données sur la plateforme, il le fait sous sa propre responsabilité.

Section 5. Catégories de personnes concernées

Le traitement concerne les catégories de personnes concernées suivantes :

• Les clients et prospects du responsable du traitement
• Les fournisseurs et prestataires de services du responsable du traitement
• Les clients de pages de vente ou d’applications web exploitées par le responsable du traitement
• Les personnes de contact et partenaires commerciaux du responsable du traitement
• Les autres personnes dont le responsable du traitement traite les données dans la plateforme

Section 6. Obligations du sous-traitant

(1) Le sous-traitant s’engage à traiter les données à caractère personnel :

• uniquement dans le cadre convenu et conformément aux instructions documentées du responsable du traitement
• sans les utiliser à ses propres fins, en particulier sans les utiliser pour entraîner ses propres modèles d’IA ni ceux de tiers
• sans les divulguer à des tiers non autorisés

(2) Le sous-traitant informe le responsable du traitement sans retard injustifié s’il estime qu’une instruction enfreint le droit de la protection des données.

(3) Le sous-traitant veille à ce que toutes les personnes chargées du traitement soient liées par des obligations de confidentialité et informées des exigences pertinentes en matière de protection des données.

(4) Les demandes relatives à la protection des données doivent être adressées à team@octonholding.de.

(5) Le sous-traitant assiste le responsable du traitement dans l’exécution de ses obligations au titre des articles 32 à 36 du RGPD (sécurité du traitement, notification des violations et analyses d’impact relatives à la protection des données).

Section 7. Mesures techniques et organisationnelles

Le sous-traitant met en œuvre les mesures techniques et organisationnelles requises par l’article 32 du RGPD. Celles-ci comprennent :

Confidentialité

• Contrôles d’accès physiques et système : hébergement cloud dans des centres de données de l’UE avec contrôles d’accès ; authentification multifacteur pour les administrateurs
• Contrôles d’accès aux données : séparation stricte des locataires dans l’accès à la base de données (isolement au niveau des lignes, chaque requête étant liée à un userId/businessId ; accès limité aux administrateurs désignés)
• Authentification sans mot de passe : liens magiques à usage unique (jetons hachés, valables 15 minutes) ; aucun stockage de mots de passe
• Stockage chiffré des identifiants et jetons sensibles (AES-256-GCM, clé dérivée du secret du serveur à l’aide de HKDF)
• Mesures de séparation : séparation logique des données des différents responsables du traitement au moyen d’identifiants de locataire dans l’accès à la base de données

Intégrité

• Contrôles de saisie : journalisation des opérations sensibles (acceptation de contrat et actions affectant des tiers)
• Contrôles de transfert : chiffrement TLS 1.2 ou version ultérieure pour les transferts de données

Disponibilité et résilience

• Sauvegardes chiffrées quotidiennes vers S3, conservation pendant 30 jours et rotation automatique
• Surveillance des services critiques
• Protection de l’infrastructure contre les attaques DoS/DDoS

Vérification régulière

• Politiques de protection des données documentées
• Processus de réponse aux incidents en cas de violation de données à caractère personnel
• Mises à jour de sécurité régulières pour les composants logiciels

Une description détaillée et à jour des mesures techniques et organisationnelles sera fournie dans une annexe séparée sur demande.

Section 8. Sous-traitants ultérieurs

(1) Le responsable du traitement accorde une autorisation générale pour faire appel aux sous-traitants ultérieurs suivants afin de fournir la plateforme :

• Amazon Web Services EMEA SARL (hébergement, stockage des données et envoi d’e-mails via SES) — établie au Luxembourg ; localisation des serveurs : Francfort-sur-le-Main, Allemagne
• Stripe Payments Europe Ltd. (traitement des paiements et Stripe Connect) — établie en Irlande
• Anthropic PBC (traitement par IA) — établie aux États-Unis ; avenant relatif au traitement des données (DPA) et CCT en place ; aucune utilisation à des fins d’entraînement
• OpenAI (génération d’images via API ; descriptions d’images et paramètres de sortie). Un traitement en dehors de l’UE peut avoir lieu. L’article 28 et le chapitre V du RGPD s’appliquent également à ce service.
• Lexware GmbH (lexoffice) (intégration comptable, uniquement si activée) — établie en Allemagne
• PostHog EU B.V./Ltd. (analyses de produit, uniquement avec consentement via la bannière de cookies) — hébergement dans l’UE (eu.posthog.com)

(2) Les transferts vers des pays tiers (États-Unis : Anthropic) sont protégés par les clauses contractuelles types de l’UE (CCT).

(3) Le sous-traitant informera le responsable du traitement de toute ajout ou remplacement envisagé de sous-traitants ultérieurs. Le responsable du traitement a un droit d’opposition dans un délai de 30 jours. Si une opposition est justifiée, le responsable du traitement peut résilier le contrat pour motif légitime.

(4) Le sous-traitant veille à ce que chaque sous-traitant ultérieur soit soumis à des obligations équivalentes en matière de protection des données (article 28, paragraphe 4, RGPD).

Section 9. Droits des personnes concernées et assistance au responsable du traitement

(1) Le sous-traitant aide le responsable du traitement à répondre aux demandes des personnes concernées (articles 12 à 23 du RGPD).

(2) La plateforme offre les fonctions suivantes :

• Exportation des données stockées (article 20 du RGPD)
• Suppression d’enregistrements individuels et du compte entier (article 17 du RGPD)
• Correction des données inexactes (article 16 du RGPD)

Section 10. Notification des violations de données à caractère personnel

(1) Le sous-traitant notifiera au responsable du traitement toute violation de données à caractère personnel relevant de sa sphère de responsabilité sans retard indu et au plus tard dans les 48 heures suivant en avoir eu connaissance.

(2) La notification comprendra au moins :

• Une description de la nature de la violation
• Les catégories et le nombre de personnes concernées et d’enregistrements affectés, dans la mesure du possible
• Le nom et les coordonnées d’une personne de contact
• Une description des conséquences probables
• Les mesures prises ou proposées

Section 11. Suppression et restitution après la résiliation

(1) Après la fin du contrat principal, le responsable du traitement peut télécharger ses données à l’aide de la fonction d’exportation de la plateforme pendant une période de grâce de 30 jours.

(2) À l’issue de la période de grâce, le sous-traitant supprime les données à caractère personnel du responsable du traitement, sauf si des obligations légales de conservation s’opposent à leur suppression.

(3) Les données dans les systèmes de sauvegarde sont supprimées selon les cycles de sauvegarde réguliers, dans un délai maximal de 90 jours.

(4) Une confirmation de suppression est fournie sur demande écrite.

Section 12. Droits d’audit du responsable du traitement

(1) Le responsable du traitement peut vérifier le respect du présent contrat. Le sous-traitant le permet par :

• Des informations écrites sur demande
• Une documentation à jour des mesures techniques et organisationnelles ainsi que des sous-traitants ultérieurs
• Des inspections sur accord préalable lorsqu’il existe des motifs raisonnables, aux frais du responsable du traitement

(2) Lorsqu’ils sont disponibles, les rapports d’audit et les certifications délivrés par des auditeurs reconnus pour les prestataires d’hébergement utilisés seront fournis.

Section 13. Responsabilité

La responsabilité des parties pour les dommages résultant d’une violation du droit de la protection des données est régie par l’article 82 du RGPD et le contrat principal (Conditions, section 10).

Section 14. Dispositions finales

(1) Si une disposition du présent contrat est invalide, les autres dispositions restent valables.

(2) En cas de conflit entre le présent accord de traitement des données et le contrat principal, le présent accord de traitement des données prévaut pour les questions de protection des données.

(3) Les modifications et compléments doivent être apportés par écrit ; l’e-mail est suffisant. Le responsable du traitement sera informé en temps utile des modifications substantielles.

(4) Le droit allemand s’applique. Les tribunaux de Freiburg im Breisgau sont compétents si le responsable du traitement est un commerçant ou une personne morale de droit public.

Conclusion du contrat

Le présent accord de traitement des données est conclu lorsque le responsable du traitement accepte les Conditions du sous-traitant lors de l’inscription. Le sous-traitant enregistre l’heure et la version de l’acceptation.