Accord de sous-traitance RGPD (DPA)

Parties, objet et durée

Le client est responsable du traitement des données qu’il soumet. L’exploitant identifié dans les mentions légales est sous-traitant pour la structuration, l’audit, la complétion, la validation et la restitution demandés. Le présent accord fait partie des conditions du service et s’applique aussi aux traitements gratuits d’un compte professionnel. Il demeure applicable tant que des données du client sont traitées.

Catégories de personnes : personnes liées aux adresses professionnelles transmises (notamment clients, fournisseurs, bénéficiaires et représentants). Catégories de données : adresses postales et, si le client les conserve dans le fichier, identifiants ou autres colonnes associés. Le service n’a pas besoin de données sensibles au sens de l’article 9 ni de données pénales ; le client les retire avant transmission.

Instructions documentées

Les options choisies, appels API, fichiers, durée de conservation et demandes écrites au support constituent les instructions du client : analyser, structurer, compléter ou valider, produire un export, le rendre disponible puis le supprimer. Aucun usage propre, commercialisation ou entraînement de modèle sur les fichiers du client n’est autorisé à Struct20022.

Le sous-traitant agit uniquement sur instructions documentées, y compris pour les transferts internationaux, sauf obligation légale ; il en informe préalablement le client sauf interdiction légale. Il avertit immédiatement le client lorsqu’une instruction lui paraît enfreindre le droit de la protection des données.

Confidentialité et sécurité

Les personnes autorisées sont soumises à une obligation de confidentialité et disposent uniquement des accès nécessaires. Les mesures incluent TLS pour les échanges, stockage privé avec contrôle d’accès par compte, liens de téléchargement temporaires, clés API hachées, restriction des secrets au serveur et suppression selon la durée prévue.

Les mesures sont appréciées au regard du risque conformément à l’article 32. Le client conserve ses sources et contrôle les résultats. Les limitations et informations complémentaires sont indiquées dans l’annexe sécurité ; aucune certification non obtenue n’est revendiquée.

Prestataires et autorisation

Le client autorise de façon générale les sous-traitants nécessaires suivants : Supabase (authentification, base et stockage), hébergeur applicatif indiqué dans les mentions légales, et OpenRouter avec un fournisseur de modèle compatible avec les restrictions de routage lorsque la détection externe des colonnes est utilisée. Les caractéristiques exactes et accords fournisseurs doivent être tenus à disposition du client.

Struct20022 impose aux sous-traitants ultérieurs des obligations de protection équivalentes à celles applicables à leur prestation et demeure responsable de l’exécution de leurs obligations. Il informe le client par e-mail au moins trente jours avant un ajout ou remplacement significatif ; le client peut s’y opposer pour motif documenté de protection des données. Une solution alternative est recherchée ; à défaut, le traitement concerné est arrêté et les données restituées ou supprimées selon ses instructions.

Google Maps et les sources publiques de validation sont des destinataires externes lorsqu’une option les mobilise. Leur rôle doit être apprécié selon leurs conditions propres ; Google Maps n’est pas présenté comme un sous-traitant soumis exclusivement aux instructions de Struct20022. Le client n’active ces options que si elles sont compatibles avec ses obligations. La liste des destinataires et les transferts sont précisés dans la politique de confidentialité.

Assistance, droits et contrôles

Compte tenu de la nature du traitement et des informations disponibles, Struct20022 assiste le client pour répondre aux demandes d’accès, rectification, suppression, limitation, opposition et portabilité, ainsi que pour ses analyses d’impact, consultations préalables et obligations des articles 32 à 36. Les demandes reçues directement sont transmises au client sans réponse sur le fond sauf instruction ou obligation légale.

Struct20022 met à disposition les informations nécessaires pour démontrer le respect du présent accord et permet les audits, y compris inspections, réalisés par le client ou son auditeur mandaté. Les modalités raisonnables de sécurité, confidentialité et planification protègent les autres clients sans empêcher le droit de contrôle.

Violations de données

Struct20022 notifie au client toute violation de données personnelles sans délai indu après en avoir pris connaissance. La notification décrit, selon les informations disponibles, la nature de la violation, les catégories et volumes concernés, le contact, les conséquences probables et les mesures prises ou proposées. Les informations peuvent être complétées progressivement. Le client décide des notifications à l’autorité et aux personnes ; le délai RGPD de 72 heures s’applique au responsable lorsqu’une notification à l’autorité est requise.

Fin du traitement et transferts

À l’expiration des durées choisies ou à la fin du contrat, les données sont supprimées ou restituées au choix du client, puis les copies supprimées sauf obligation légale de conservation. Le client télécharge les résultats avant leur expiration. Pour une demande spécifique de restitution ou de suppression : contact@struct20022.cloud. Les éventuelles copies de sauvegarde suivent leur cycle de suppression et ne doivent pas être réutilisées pour une autre finalité.

Un transfert hors EEE soumis au chapitre V du RGPD doit reposer sur un mécanisme valide et des garanties adaptées, avec information du client. Si les conditions d’un fournisseur ne permettent pas de respecter les instructions du client, l’option concernée ne doit pas être utilisée. Le lieu exact, les accords et les garanties applicables peuvent être demandés avant activation.