Accord de traitement des données (DPA)

1. Objet

Cet accord (en anglais Data Processing Agreement, DPA) encadre les traitements de données personnelles que Project 404 réalise pour le compte de ses clients, comme l’exige l’article 28 du règlement général sur la protection des données (RGPD). Il fait partie du contrat (abonnement ou devis signé, et CGV) et s’applique dès que nous traitons de telles données. Une version à signer est disponible sur demande à [email protected].

2. Rôles

• Le client est responsable du traitement : il décide pourquoi et comment les données de son site sont collectées (formulaires, comptes, commandes, réservations, statistiques).
• Project 404 est sous-traitant : il traite ces données uniquement pour fournir les services commandés.
• Pour ses propres traitements (vous répondre, établir un devis, facturer), Project 404 est responsable du traitement : voir la politique de confidentialité.

3. Description des traitements

Service	Opérations	Données	Personnes concernées
Hébergement et maintenance	Stockage, sauvegarde, mise à jour, restauration, surveillance	Toutes les données du site : comptes, formulaires, commandes, réservations, journaux du serveur	Visiteurs, clients et utilisateurs du site du client
Création, refonte, développement sur mesure	Import, saisie, tests, mise en ligne	Données fournies par le client ou collectées par l’outil réalisé	Les mêmes, et les collaborateurs du client
Référencement et suivi mensuel	Consultation de statistiques	Données de fréquentation de Search Console et Google Analytics, le plus souvent agrégées	Visiteurs du site
Automatisation et IA	Traitement des demandes par les outils définis au devis	Contenu des demandes et documents transmis	Clients et contacts du client

Durée : celle du contrat, augmentée du délai de restitution (section 9).

Données sensibles (santé, opinions, données bancaires complètes…) : elles ne nous sont confiées qu’après accord écrit et mesures adaptées.

4. Engagements de Project 404

• Traiter les données uniquement sur instruction documentée du client (contrat, devis, demandes écrites) et l’informer si une instruction lui semble contraire au RGPD.
• Ne jamais utiliser ces données pour son propre compte, les vendre ou s’en servir pour entraîner un modèle d’IA.
• Réserver l’accès aux seules personnes qui en ont besoin, tenues à la confidentialité.
• Appliquer les mesures de sécurité de la charte de sécurité.
• Aider le client à répondre aux demandes des personnes (accès, effacement, opposition…) : toute demande reçue directement lui est transmise sous [5 jours ouvrés].
• Aider le client, si besoin, pour une analyse d’impact ou une consultation de la CNIL.
• Tenir un registre des traitements réalisés pour le compte des clients.

5. Violation de données

En cas de violation de données (accès non autorisé, perte, fuite), Project 404 prévient le client sans retard injustifié, et au plus tard [48 h] après en avoir pris connaissance, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou proposées. Le client peut ainsi notifier la CNIL dans les 72 h prévues par le RGPD.

6. Sous-traitants ultérieurs

Le client autorise Project 404 à faire appel aux sous-traitants suivants, chacun lié par un contrat conforme au RGPD. Pour un client donné, seuls ceux utiles au service commandé interviennent (en général l’hébergeur et, si le site envoie des e-mails, le service d’envoi).

• Hébergeur du serveur : Hébergement du site et de l’espace client (serveur situé dans l’Union européenne, coordonnées dans les mentions légales).
• Brevo (France) : Envoi des e-mails : réponses, invitations, notifications.
• Stripe (Irlande) : Paiement en ligne, abonnements et factures.
• Google (Irlande) : Agenda et liens Google Meet des rendez-vous, mesures PageSpeed, Search Console, connexion avec Google si vous l’utilisez.
• Microsoft (Irlande) : Connexion avec Microsoft si vous l’utilisez.
• Anthropic (États-Unis) : Aide à la rédaction des rapports d’audit et des comptes rendus (mesures techniques et notes de réunion). Selon ses conditions commerciales, les données envoyées par l’API ne servent pas à entraîner ses modèles.

Tout ajout ou remplacement est annoncé par e-mail au moins 30 jours à l’avance ; le client peut s’y opposer pour un motif lié à la protection des données, et résilier le service concerné sans frais si aucune solution n’est trouvée.

7. Transferts hors de l’Union européenne

Les sites sont hébergés dans l’Union européenne. Un transfert hors de l’Union n’a lieu que si un sous-traitant listé l’exige, et il est alors encadré par le cadre de protection des données UE-États-Unis ou par les clauses contractuelles types de la Commission européenne.

8. Engagements du client

• Disposer d’une base légale pour chaque traitement et informer les personnes (mentions légales, politique de confidentialité et gestion des cookies de son propre site).
• Donner des instructions conformes au RGPD et nous prévenir de toute demande d’une personne qui nous concerne.
• Ne pas nous confier de données sensibles sans accord écrit préalable.

9. Fin du contrat

• Sur demande dans les 30 jours suivant la fin du contrat, Project 404 restitue les données (fichiers et base du site) dans un format courant.
• Les données sont ensuite supprimées, copies comprises ; les sauvegardes s’effacent au terme de leur durée de conservation [à préciser]. Une attestation de suppression est remise sur demande.
• Seules les données que la loi impose de conserver (factures, par exemple) sont gardées, pour la durée légale.

10. Contrôle

Project 404 met à disposition les informations nécessaires pour démontrer le respect de cet accord (charte de sécurité, registre, liste des sous-traitants). Un audit peut être mené au plus une fois par an, avec un préavis de 30 jours, aux frais du client et par une personne tenue à la confidentialité [modalités à confirmer].

11. Responsabilité et droit applicable

Chaque partie répond de ses propres manquements au RGPD, dans les limites prévues par les CGV. Cet accord est soumis au droit français.