Accord de traitement des données (DPA)

1. Parties et champ

Le présent accord est conclu entre le client professionnel qui utilise Arpegon (le « Responsable du traitement ») et SMARTENA, société par actions simplifiée (SAS), RCS Paris 937 958 239, 60 rue François Ier, 75008 Paris, France (le « Sous-traitant »). Il fait partie des Conditions générales et prévaut sur elles pour tout ce qui concerne les données personnelles.

Il s'applique aux données personnelles contenues dans les Contenus que le Responsable du traitement confie au Service (demandes, fichiers, identité de marque, listes de contacts, données des visiteurs des Sites publiés). Il ne s'applique pas aux données que le Sous-traitant traite pour son propre compte (compte, facturation, sécurité), décrites dans la Politique de confidentialité.

2. Description du traitement

3. Instructions documentées

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable du traitement : les Conditions générales, le présent accord et l'utilisation du Service constituent ces instructions. Il n'utilise pas les données pour son propre compte, ne les vend pas et ne les utilise pas pour entraîner des modèles d'IA.

Si une instruction lui paraît contraire au RGPD, le Sous-traitant en informe immédiatement le Responsable du traitement et peut suspendre son exécution.

Le Responsable du traitement garantit disposer d'une base légale pour chaque traitement, avoir informé les personnes concernées et ne confier au Service que des données adéquates, pertinentes et limitées à ce qui est nécessaire.

4. Confidentialité et sécurité

Les personnes autorisées à traiter les données sont tenues à la confidentialité. Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en annexe, adaptées au risque.

5. Sous-traitants ultérieurs

Le Responsable du traitement autorise de manière générale le recours aux sous-traitants ultérieurs listés sur la page Sécurité et données. Le Sous-traitant l'informe au moins 30 jours avant tout ajout ou remplacement ; le Responsable du traitement peut s'y opposer pour un motif légitime lié à la protection des données, et, à défaut de solution, résilier le Service sans frais.

Chaque sous-traitant ultérieur est soumis par contrat à des obligations équivalentes. Le Sous-traitant demeure responsable envers le Responsable du traitement de l'exécution de leurs obligations.

6. Transferts hors de l'Union européenne

Les données sont hébergées en France. Les transferts vers des pays tiers, limités aux sous-traitants listés (fournisseur du modèle d'IA, génération d'images et de vidéos, banque de photos et service d'envoi d'e-mails, établis aux États-Unis), reposent sur les clauses contractuelles types de la Commission européenne (décision 2021/914) ou sur une décision d'adéquation. Une copie des garanties est fournie sur demande.

7. Assistance au Responsable du traitement

Le Sous-traitant aide le Responsable du traitement, dans la mesure du possible et compte tenu des informations à sa disposition, à répondre aux demandes d'exercice des droits des personnes, à réaliser une analyse d'impact et à consulter l'autorité de contrôle. Les fonctions d'export et de suppression du Service permettent de traiter la plupart des demandes en autonomie. Une demande reçue directement par le Sous-traitant est transmise sans délai au Responsable du traitement.

8. Violations de données

Le Sous-traitant notifie au Responsable du traitement toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou envisagées. Il appartient au Responsable du traitement de notifier, le cas échéant, l'autorité de contrôle et les personnes concernées.

9. Sort des données à la fin du contrat

À la fin du contrat, le Responsable du traitement exporte les données qu'il souhaite conserver. Le Sous-traitant efface ensuite les données de ses systèmes actifs, puis de ses sauvegardes dans un délai de 30 jours, sauf obligation légale de conservation.

10. Documentation et audit

Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de ses obligations. Un audit sur place peut être demandé une fois par an, avec un préavis de 30 jours, à vos frais, par un auditeur indépendant tenu au secret et non concurrent ; il ne doit pas perturber le Service ni porter atteinte à la confidentialité des autres clients. Le Sous-traitant peut d'abord répondre par un questionnaire écrit.

11. Responsabilité

Chaque partie répond des manquements qui lui sont imputables. La responsabilité du Sous-traitant au titre du présent accord est soumise au plafond et aux exclusions de l'article 17 des Conditions générales, sauf en cas de faute lourde ou dolosive.

Annexe : mesures de sécurité

• Hébergement en France (Scaleway, Paris) ; sauvegardes quotidiennes chiffrées au repos, copiées dans une seconde région de l'Union (Amsterdam), conservées 30 jours.
• Chiffrement des échanges (TLS, HSTS) ; secrets d'application hors du code, accessibles au seul administrateur.
• Authentification sans mot de passe par code ou lien à usage unique de 15 minutes, ou via un compte Google ou GitHub ; sessions signées et révocables.
• Administration du serveur par clé SSH uniquement, pare-feu, protection contre les tentatives répétées, mises à jour de sécurité automatiques.
• Isolement des Sites publiés, sans cookie ni script tiers, sous une politique de sécurité de contenu stricte.
• Journalisation des connexions et des publications, conservée un an.
• Accès aux données de production limité à une seule personne nommément habilitée.

Contact : contact@arpegon.fr, objet « DPA ».