Entre :

le Client (ci-après « le Responsable de traitement »), tel qu'identifié dans le contrat de prestation de services informatiques liant les Parties ;
Sébastien Muler, entrepreneur individuel (EI), exerçant sous le nom commercial MulerTech, SIRET 00000000200006, domicilié 58 rue de Monceau 75380 Paris France (ci-après « le Sous-traitant »).

Ci-après désignés individuellement « la Partie » et collectivement « les Parties ».

Article 1 – Objet et durée du traitement

Le présent accord de traitement des données (ci-après « le DPA ») définit les conditions dans lesquelles le Sous-traitant, au sens de l'article 28 du Règlement (UE) 2016/679 (RGPD), traite des données à caractère personnel pour le compte du Client, responsable de traitement.

Le DPA est une annexe du contrat de prestation de services informatiques liant les Parties (ci-après « le Contrat principal »), qui en nomme la version. Il entre en vigueur à la signature du Contrat principal et reste en vigueur pendant toute sa durée, y compris ses renouvellements. En cas de contradiction entre le DPA et le Contrat principal, le DPA prévaut pour tout ce qui concerne le traitement des données à caractère personnel.

Article 2 – Nature et finalité du traitement

Le Sous-traitant traite les données à caractère personnel du Responsable de traitement dans le cadre exclusif des prestations suivantes :

Hébergement : mise à disposition d'une infrastructure d'hébergement sécurisée pour les applications et sites du Client ;
Développement et maintenance : interventions techniques sur les applications du Client ;
Sauvegardes : sauvegardes quotidiennes chiffrées, conservées deux mois, complétées d'un instantané mensuel conservé deux ans ;
Supervision : surveillance de la disponibilité et des performances des services hébergés ;
Support technique : assistance en cas d'incident ou de demande du Client.

Le Sous-traitant ne traite les données que dans la mesure nécessaire à l'exécution des prestations définies au Contrat principal. Il ne les traite jamais pour ses propres finalités.

Article 3 – Types de données et catégories de personnes concernées

Les types de données et les catégories de personnes concernées sont déterminés par le Responsable de traitement selon son utilisation des services du Sous-traitant. À titre indicatif :

Types de données

données d'identification (nom, prénom, adresse électronique, numéro de téléphone) ;
données de connexion (adresses IP, journaux d'accès, identifiants) ;
données professionnelles (fonction, société, adresse professionnelle) ;
toute autre donnée que le Client choisit de traiter dans les applications hébergées ou développées.

Catégories de personnes concernées

clients et prospects du Responsable de traitement ;
utilisateurs des applications hébergées ou développées ;
salariés et collaborateurs du Responsable de traitement ;
toute autre catégorie déterminée par le Responsable de traitement.

Article 4 – Instructions documentées

Le Responsable de traitement détermine les finalités et les moyens du traitement. Il répond de la licéité des traitements qu'il met en œuvre et de la conformité des instructions qu'il adresse au Sous-traitant.

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement, y compris pour les transferts vers un pays tiers ou une organisation internationale, sauf obligation légale contraire dont il informe alors le Responsable de traitement. Les instructions initiales sont constituées par le Contrat principal, le DPA et les conditions générales de vente nommées au Contrat principal. Toute instruction complémentaire est formulée par écrit.

Localisation : les données sont hébergées dans l'Union européenne (Allemagne) par IONOS SE ; une copie hors site des sauvegardes, exclusivement chiffrée, est stockée dans l'Union européenne par pCloud AG (article 10). Aucun transfert de données hors de l'Union européenne n'est effectué.

Article 5 – Obligations du Sous-traitant

5.1. Traitement sur instructions

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. S'il estime qu'une instruction enfreint le RGPD ou une autre disposition relative à la protection des données, il en informe immédiatement le Responsable de traitement.

5.2. Assistance

Le Sous-traitant aide le Responsable de traitement, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes d'exercice des droits des personnes concernées, à garantir la sécurité du traitement, à notifier les violations de données et, le cas échéant, à réaliser une analyse d'impact.

5.3. Confidentialité

Le Sous-traitant garantit que les personnes autorisées à traiter les données sont tenues à la confidentialité. Le Sous-traitant étant un entrepreneur individuel, seul Sébastien Muler a accès aux données.

5.4. Notification des violations

Le Sous-traitant notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les quarante-huit (48) heures. La notification précise la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ou proposées.

5.5. Contact protection des données

Le point de contact pour toute question relative à la protection des données est : rgpd@mulertech.net.

5.6. Restitution et suppression en fin de contrat

À l'expiration ou à la résiliation du Contrat principal :

restitution : le Sous-traitant fournit au Client l'ensemble de ses données dans un format structuré et couramment utilisé, dans un délai de trente (30) jours suivant la demande ;
suppression : une fois la restitution effectuée ou à défaut de demande, le Sous-traitant supprime les données du Client dans un délai de soixante (60) jours suivant la fin du contrat, sous réserve des obligations légales de conservation. Les données présentes dans les sauvegardes disparaissent à l'expiration de celles-ci (article 2) ;
un certificat de suppression est fourni sur demande.

Article 6 – Obligations du Client

Le Responsable de traitement s'engage à :

fournir des instructions documentées, licites et conformes au RGPD ;
signaler sans délai toute erreur ou irrégularité constatée dans le traitement de ses données ;
s'assurer de la licéité des traitements qu'il met en œuvre au moyen des services du Sous-traitant ;
procéder, s'il le souhaite, à l'extraction et à la sauvegarde de ses données avant la fin du contrat ;
désigner un interlocuteur habilité pour les questions relatives à la protection des données.

Article 7 – Demandes des personnes concernées

Lorsque le Sous-traitant reçoit une demande d'une personne concernée relative à l'exercice de ses droits, il la transmet au Responsable de traitement dans les meilleurs délais sans y donner suite lui-même, sauf instruction contraire. Il assiste le Responsable de traitement pour y répondre dans les délais légaux (un mois, prolongeable de deux mois).

Article 8 – Mesures de sécurité (article 32 du RGPD)

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, notamment :

chiffrement HTTPS/TLS de toutes les communications et en-têtes de sécurité HTTP (HSTS, CSP) ;
mots de passe hachés (Argon2id), authentification à deux facteurs disponible, contrôle d'accès par rôles selon le principe du moindre privilège ;
sauvegardes quotidiennes chiffrées (GPG, RSA 4096) dont la clé privée est conservée hors du serveur, vérification d'intégrité quotidienne et tests de restauration en environnement isolé, au moins tous les 90 jours ;
secrets et configuration de l'hébergement, sans aucune donnée du Client, sauvegardés avec les données et chiffrés pour une clé distincte qu'aucun serveur ne détient ;
supervision de la disponibilité des services ;
journalisation des connexions et des actions sensibles ;
séparation des environnements de développement, de test et de production, sans donnée réelle hors production.

Article 9 – Preuve et audit

Le Sous-traitant met à la disposition du Responsable de traitement les informations nécessaires pour démontrer le respect du DPA et de l'article 28 du RGPD. Le Responsable de traitement peut, moyennant un préavis de trente (30) jours et sous obligation de confidentialité, procéder ou faire procéder à un audit du traitement. Le Sous-traitant y coopère. L'audit est à la charge du Responsable de traitement, sauf s'il révèle un manquement imputable au Sous-traitant.

Article 10 – Sous-traitants ultérieurs

Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs suivants :

Sous-traitant	Prestation	Localisation
IONOS SE	Hébergement, infrastructure serveur	Allemagne (UE)
pCloud AG	Copie hors site des sauvegardes, exclusivement chiffrées	Stockage dans l'UE (société suisse, pays reconnu adéquat par la Commission européenne)

Un accord de traitement des données conforme à l'article 28 du RGPD est signé entre le Sous-traitant et IONOS SE. pCloud AG ne reçoit que des sauvegardes chiffrées avant leur envoi ; la clé de déchiffrement ne quitte jamais le contrôle du Sous-traitant, pCloud n'a donc aucun moyen technique d'accéder aux données en clair, et tout échec de chiffrement bloque l'envoi. pCloud ne propose pas d'accord de traitement pour ce type de stockage.

10.1. Changement de sous-traitant ultérieur

Le présent article vaut autorisation générale au sens de l'article 28.2 du RGPD. Le Sous-traitant informe le Client par écrit de tout ajout ou remplacement d'un sous-traitant ultérieur au moins trente (30) jours avant qu'il prenne effet, en publiant une nouvelle version du DPA dans l'espace client. Il impose au nouveau sous-traitant les obligations du présent DPA et garantit que les données restent dans l'Union européenne ou dans un pays reconnu adéquat.

10.2. Droit d'opposition

Le Client peut s'opposer au changement dans un délai de quinze (15) jours suivant l'information. En cas d'opposition, il peut résilier le Contrat principal sans frais et obtenir la restitution de ses données (article 5.6).

Article 11 – Responsabilité

La responsabilité de chaque Partie au titre du DPA est régie par le Contrat principal. Chaque Partie répond des dommages causés par un traitement qui ne respecte pas les obligations du RGPD qui lui incombent, ou lorsqu'elle a agi en dehors des instructions licites du Responsable de traitement ou contrairement à celles-ci.

Article 12 – Durée, versions et dispositions finales

12.1. Durée

Le DPA est conclu pour la durée du Contrat principal. Il prend fin avec lui, sous réserve des obligations qui survivent à sa cessation.

12.2. Versions

Le DPA est publié en versions datées. Le Sous-traitant peut en publier une nouvelle version pour se conformer à une évolution réglementaire ou dans les conditions de l'article 10, avec un préavis de trente (30) jours. Le Client l'accepte depuis son espace client, où il retrouve chaque version acceptée ; cette acceptation vaut avenant au Contrat principal. À défaut d'acceptation, la version précédemment acceptée continue de s'appliquer, et le Client dispose des droits prévus à l'article 10.2.

12.3. Droit applicable et juridiction

Le DPA est régi par le droit français. Tout litige relatif à son interprétation ou à son exécution relève des tribunaux compétents de Paris, après la tentative de résolution amiable prévue au Contrat principal.

12.4. Divisibilité

Si une clause du DPA est déclarée nulle ou inapplicable, les autres clauses restent en vigueur.

Accord de traitement des données