Accord de traitement des données (DPA)
Ce document encadre le traitement des données personnelles que RGPDFlow réalise pour le compte de ses clients (article 28 du RGPD). Il est téléchargeable pour archivage ou signature.
1. Objet
Le présent accord encadre le traitement, par RGPDFlow (le « Sous-traitant »), des données personnelles pour le compte du client (le « Responsable de traitement »), dans le cadre de la fourniture du Service, conformément à l'article 28 du RGPD.
2. Nature et finalité du traitement
Le Sous-traitant traite les données aux seules fins d'exécution du Service : hébergement, génération de documents, registre des traitements, bandeau cookies et fonctions associées. Les catégories de personnes et de données dépendent des contenus que le Responsable choisit de traiter via le Service.
3. Obligations du Sous-traitant
Ne traiter les données que sur instruction documentée du Responsable ; garantir la confidentialité des personnes autorisées à traiter les données ; mettre en œuvre des mesures techniques et organisationnelles appropriées (art. 32) ; assister le Responsable pour les demandes d'exercice de droits et les analyses d'impact ; notifier toute violation de données dans les meilleurs délais.
4. Sous-traitants ultérieurs
Le Responsable autorise le recours aux sous-traitants ultérieurs listés en annexe. Le Sous-traitant informe le Responsable de tout changement et lui permet d'émettre des objections motivées. Les transferts hors UE sont encadrés par des garanties appropriées (clauses contractuelles types, Data Privacy Framework).
5. Localisation et hébergement
Les données applicatives sont hébergées dans l'Union européenne (Supabase, eu-west-1, Irlande), et la génération de documents par IA est exécutée en région UE via Amazon Bedrock (eu-west-1, Irlande). Certains sous-traitants ultérieurs peuvent traiter des données hors UE sous garanties appropriées (cf. annexe).
6. Durée et sort des données
Le traitement dure le temps de l'abonnement. À son terme, ou sur demande, le Responsable peut exporter ses données (droit d'accès/portabilité) puis les supprimer (suppression de l'organisation), ce qui efface l'ensemble des données associées.
7. Audit
Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits dans des conditions raisonnables.
Éditeur
Alexandre Piron — Entrepreneur individuel — micro-entrepreneur (profession libérale non réglementée). Contact : contact@rgpdflow.fr. SIRET : 10688330900010.
Annexe — Sous-traitants ultérieurs
| Prestataire | Finalité | Localisation | Transfert |
|---|---|---|---|
| Supabase | Base de données (PostgreSQL) | UE — eu-west-1 (Irlande) | UE |
| Vercel | Hébergement applicatif | Edge UE | SCC (société US) |
| Clerk | Authentification & gestion des organisations | États-Unis | SCC / DPF |
| Stripe | Paiement & facturation | UE / États-Unis | SCC / DPF |
| Amazon Web Services (AWS) — Amazon Bedrock | Génération de documents (IA) | UE — eu-west-1 (Irlande) | UE (DPA AWS ; SCC en repli, société US) |
| Resend | Envoi d'e-mails transactionnels | États-Unis | SCC / DPF |
| PostHog | Mesure d'audience (EU Cloud) | UE | UE |
| Sentry | Supervision des erreurs | États-Unis / UE | SCC |
| Cloudflare | CDN du bandeau cookies | UE / mondial (edge) | SCC |