Accord de Traitement des Données

Data Processing Agreement (DPA)

Conforme à l'article 28 du RGPD (UE 2016/679)

Entre les soussignés

D'une part,

D'autre part,

Le Client et le Sous-traitant sont ci-après dénommés individuellement la "Partie" et collectivement les "Parties".

Préambule

Le Client a souscrit au service en ligne BTflow proposé par le Sous-traitant. Dans le cadre de l'utilisation de ce service, le Sous-traitant est amené à traiter des données à caractère personnel pour le compte du Client. Le présent accord a pour objet de définir les conditions dans lesquelles le Sous-traitant traite ces données, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).

Article 1 — Objet

Le présent accord encadre l'ensemble des traitements de données à caractère personnel effectués par le Sous-traitant pour le compte du Client dans le cadre de l'exécution du service BTflow.

Article 2 — Description des traitements

Article 3 — Obligations du Sous-traitant

Le Sous-traitant s'engage à :

1. Traiter les données uniquement pour les finalités décrites à l'article 2, sur instruction documentée du Client (le contrat de service tient lieu d'instruction générale).
2. Garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter s'engagent à respecter cette confidentialité.
3. Mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :
   • Chiffrement TLS 1.2+ pour tous les transits de données
   • Chiffrement au repos des bases de données (Supabase)
   • Authentification forte par JWT asymétrique
   • Isolation multi-tenant stricte (audit régulier des accès cross-tenant)
   • Sauvegardes automatiques quotidiennes
   • Logs d'audit des accès administrateurs (Sentinelle)
4. Encadrer l'accès du personnel habilité aux fins de support technique. Le personnel habilité du Sous-traitant peut accéder aux données strictement nécessaires au diagnostic et à la résolution d'un incident, notamment aux données de connexion des utilisateurs du Client (nom, prénom, rôle, date de dernière connexion). Cet accès est :
   • limité à la finalité de support — il ne constitue ni un suivi de présence, ni un contrôle de l'activité des salariés du Client ;
   • minimisé — aucune adresse e-mail, adresse IP ni historique de sessions n'est exposé, et une vue agrégée par rôle est disponible sans consultation nominative ;
   • journalisé — chaque consultation nominative est enregistrée (auteur, date, motif, Client concerné) dans un journal d'audit inaltérable, communicable au Client sur demande.
5. Notifier le Client dans les 72 heures en cas de violation de données à caractère personnel, en lui fournissant toutes les informations utiles pour qu'il puisse remplir ses propres obligations de notification à la CNIL et aux personnes concernées.
6. Aider le Client à répondre aux demandes d'exercice de droits des personnes concernées (accès, rectification, suppression, portabilité, opposition, limitation).
7. Mettre à disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues par l'article 28 du RGPD, et permettre la réalisation d'audits.
8. Supprimer ou restituer toutes les données à la fin de la prestation, sauf obligation légale de conservation (factures, comptabilité).

Article 4 — Sous-traitance ultérieure

Le Sous-traitant fait appel aux sous-traitants ultérieurs suivants pour la fourniture du service BTflow :

Le Client autorise par le présent contrat le recours à ces sous-traitants ultérieurs. Le Sous-traitant informera le Client par e-mail au moins 30 jours avant tout changement substantiel dans cette liste. Le Client pourra s'opposer à un changement en résiliant le contrat dans ce délai.

Article 5 — Transferts hors UE

Certains sous-traitants ultérieurs sont situés hors de l'Union européenne (États-Unis principalement). Les transferts sont encadrés par :

• Les Clauses Contractuelles Types de la Commission européenne (Décision 2021/914)
• L'adhésion des sous-traitants concernés au EU-U.S. Data Privacy Framework (lorsque applicable)

Article 6 — Obligations du Client

Le Client s'engage à :

1. Fournir au Sous-traitant des instructions documentées et licites pour le traitement.
2. Informer les personnes concernées (salariés notamment) de l'existence du traitement, conformément aux articles 13 et 14 du RGPD.
3. Respecter les obligations qui lui incombent en tant que responsable de traitement.
4. Tenir à jour la liste des personnes ayant accès au service côté Client.

Article 7 — Sécurité et confidentialité

Article 8 — Durée et résiliation

Le présent accord prend effet à la signature et reste en vigueur pendant toute la durée du contrat de service BTflow. À la résiliation du contrat, le Sous-traitant :

• Permettra au Client de procéder à un export complet de ses données pendant 30 jours après la résiliation
• Supprimera l'ensemble des données après ces 30 jours, sauf obligations légales de conservation
• Fournira une attestation de suppression sur demande du Client

Article 9 — Responsabilité

Chaque Partie est responsable des dommages causés par un traitement non conforme au RGPD. La responsabilité du Sous-traitant est limitée aux dommages résultant d'un manquement à ses obligations spécifiques d'article 28, dans la limite des plafonds fixés au contrat de service principal.

Article 10 — Droit applicable et juridiction

Le présent accord est régi par le droit français. Tout litige relatif à son interprétation ou son exécution relève de la compétence exclusive des tribunaux français.

Signatures

Template DPA — BTflow v1.1 — 5 août 2026