Data Processing Agreement (DPA)

Accord de sous-traitance au titre de l'article 28 du RGPD - Version 2.0 · En vigueur au 4 septembre 2026

Dernière révision juridique : 5 mai 2026 - Document en vigueur.

1. Roles, périmètre et instructions documentees

Le Client agit en qualite de responsable du traitement au sens de l'article 4.7 du Règlement (UE) 2016/679 pour l'ensemble des données personnelles qu'il saisit, importe ou fait collecter au moyen du Service, notamment celles de ses clients finaux, prospects, salaries et partenaires. L'Éditeur agit en qualite de sous-traitant au sens de l'article 4.8 du même règlement.

L'Éditeur ne traité ces données que sur instruction documentee du Client. Constituent les seules instructions documentees, a l'exclusion de toute autre : (a) le présent accord et les conditions générales de vente auxquelles il est annexe ; (b) les parametrages, saisies et actions effectues par le Client ou ses utilisateurs dans le Service ; (c) les instructions écrites complementaires adressees a [email protected] et expressement acceptees par écrit par l'Éditeur. Une instruction complementaire qui exige un developpement, une configuration specifique ou une intervention humaine n'est executee qu'aux conditions financieres convenues au préalable par écrit.

Conformement au dernier alinea de l'article 28.3 du Règlement, l'Éditeur informe le Client s'il estime qu'une instruction constitue une violation du Règlement ou d'une autre disposition du droit de l'Union ou du droit francais relative a la protection des données. Il peut suspendre l'exécution de l'instruction litigieuse jusqu'a confirmation écrite du Client. Si le Client confirme son instruction par écrit, l'Éditeur peut soit l'executer sous la seule responsabilité du Client, soit refuser de l'executer. Ce refus ne constitue pas un manquement de l'Éditeur et n'ouvre droit ni à indemnite, ni à reduction de prix, ni à résiliation a ses torts.

L'Éditeur est autorise a produire et à exploiter, pour ses besoins propres, notamment d'amelioration du Service, de statistiques et de sécurité, des données agrégées et anonymisées, c'est-a-dire ne permettant plus, par aucun moyen raisonnablement susceptible d'être utilise, la reidentification d'une personne physique. Ces données ne sont pas des données personnelles et ne relevent pas du présent accord. L'Éditeur s'interdit toute reidentification et ne communique a aucun tiers de donnée permettant d'identifier le Client ou ses clients finaux.

Si une instruction du Client conduisait l'Éditeur a determiner lui-même les finalites ou les moyens essentiels d'un traitement, l'Éditeur peut la refuser. Il est rappele qu'en application de l'article 28.10 du Règlement, un sous-traitant qui déterminé les finalites et les moyens d'un traitement est considéré comme responsable de ce traitement.

2. Obligations et garanties du Client

Le Client garantit disposer, pour chaque traitement qu'il met en oeuvre au moyen du Service, d'une base legale valable au sens de l'article 6 du Règlement, et avoir délivré aux personnes concernees l'information prévue aux articles 12, 13 et 14, y compris la mention du recours a l'Éditeur en qualite de sous-traitant et des destinataires figurant a l'annexe B.

Prospection. Pour toute prospection commerciale par courriel ou par message textuel, le Client garantit disposer du consentement préalable exige par l'article L. 34-5 du code des postes et des communications électroniques ou, le cas echeant, du benefice de la dispense applicable aux clients pour des produits ou services analogues, et il en conservé la preuve. Le Client s'interdit d'importer dans le Service un fichier de contacts acquis aupres d'un tiers sans base legale vérifiée et documentee.

Mineurs. Le Client est seul responsable de la determination de l'age des personnes concernees et du recueil, lorsqu'il est requis, de l'autorisation du titulaire de l'autorite parentale. Il declare connaitre le fait qu'en France le consentement d'un mineur a une offre directe de services de la société de l'information n'est licite qu'a partir de quinze ans.

Données sensibles. Le Service n'est pas concu pour recevoir des données relevant de l'article 9 du Règlement, notamment des données de sante telles qu'allergies, traitements, aptitudes ou restrictions physiques, ni des données relevant de l'article 10. Le Client s'interdit d'en saisir dans les champs libres, commentaires, notes internes, pieces jointes ou fichiers importes. S'il choisit neanmoins d'en traiter, il le fait sous sa seule responsabilité, garantit disposer d'une exception de l'article 9.2, en informe l'Éditeur par écrit préalablement, et supporte le coût des mesures complementaires convenues.

Comptes et accès. Le Client administre lui-même les comptes de ses utilisateurs, leurs droits et la revocation des accès des personnes qui quittent son établissement. Il garantit la confidentialité des identifiants, s'interdit les comptes partages et active les moyens d'authentification renforcee mis a sa disposition. Tout accès effectue au moyen des identifiants du Client est réputé effectue par lui jusqu'a la declaration écrite de leur compromission.

Le Client tient le registre prévu a l'article 30.1 du Règlement et procede, lorsqu'elle est requise, a l'analyse d'impact prévue a l'article 35. L'Éditeur ne se substitue pas au Client dans ces obligations.

Le Client indemnise l'Éditeur des consequences pecuniaires directes, y compris les frais de defense justifies, resultant d'un manquement de sa part aux garanties du présent article, dans les conditions et limites de l'article 12 du présent accord.

3. Sous-traitants ulterieurs

Le Client donne a l'Éditeur une autorisation générale écrite, au sens de l'article 28.2 du Règlement, de recourir aux sous-traitants ulterieurs figurant a l'annexe B, ainsi que de les remplacer ou d'en ajouter dans les conditions ci-après.

La liste à jour est publiee a l'adresse pulzar.fr/dpa. Le Client peut s'inscrire a l'avis de modification en ecrivant a [email protected] ; a défaut d'inscription, la publication a cette adresse vaut information.

Toute addition ou tout remplacement est porte a la connaissance du Client trente (30) jours avant sa mise en oeuvre. Le Client peut s'opposer par écrit, dans les quinze (15) jours de cette information, pour un motif raisonnable et documente tenant a la protection des données. Ne constituent pas un motif raisonnable le prix, la nationalite du fournisseur considérée en elle-même, une simple preference commerciale ou l'existence d'une relation concurrente.

En cas d'opposition recevable, les parties recherchent une solution pendant trente (30) jours. L'Éditeur peut, a son choix, proposer une mesure complementaire, maintenir le fournisseur existant pour le Client lorsque cela est techniquement et economiquement possible, ou informer le Client qu'il ne peut maintenir la fonctionnalite concernee. A défaut de solution, le Client peut resilier l'abonnement pour l'avenir, sans indemnite de part ni d'autre, avec effet a la fin de la période de facturation en cours. L'opposition ne suspend pas le changement lorsque celui-ci est rendu nécessaire par la sécurité, la continuite du Service ou une decision du fournisseur remplace ; elle n'ouvre droit ni au remboursement des sommes déjà versees, ni à aucun dommage et intérêt.

Remplacement en urgence. Lorsque la défaillance, la faille de sécurité ou la cessation d'activite d'un sous-traitant ulterieur exige son remplacement immediat, l'Éditeur peut y proceder sans délai et en informe le Client dans les cinq (5) jours ouvres, en indiquant le motif.

L'Éditeur impose par contrat a chaque sous-traitant ulterieur des obligations de protection des données offrant des garanties au moins equivalentes a celles du présent accord. Il demeure responsable devant le Client de l'exécution par ce sous-traitant de ses obligations, dans les limites de l'article 12 du présent accord et sous réserve de l'article 82.3 du Règlement.

Ne sont pas des sous-traitants ulterieurs au sens du présent article : les prestataires que le Client relie lui-même au Service au moyen de ses propres identifiants, notamment ses comptes publicitaires, ses comptes de reseaux sociaux, son prestataire d'encaissement et ses systèmes de jeu, pour lesquels le Client contracte directement et demeure seul responsable ; ainsi que les fournisseurs auxquels l'Éditeur ne confie aucune donnée personnelle du Client.

4. Transferts hors de l'Espace economique europeen

Le Client autorise les transferts de données hors de l'Espace economique europeen strictement nécessaires a la fourniture du Service, vers les destinataires et les pays indiques a l'annexe B, et donne mandat a l'Éditeur pour conclure en son nom, avec ces destinataires, les clauses contractuelles types.

Chaque transfert repose sur l'un des fondements suivants, dans cet ordre : (a) une decision d'adequation en vigueur adoptee par la Commission europeenne au titre de l'article 45 du Règlement, notamment la decision d'exécution (UE) 2023/1795 du 10 juillet 2023, pour les seules organisations des États-Unis effectivement inscrites et actives sur la liste du Data Privacy Framework et pour les seules catégories de données couvertes par leur certification ; (b) a défaut, les clauses contractuelles types de la decision d'exécution (UE) 2021/914 du 4 juin 2021, module 3 lorsque l'Éditeur exporte vers un sous-traitant ulterieur, module 2 lorsque le Client est lui-même exportateur, module 4 lorsque le Client est etabli hors de l'Espace economique europeen ; (c) a défaut, une derogation de l'article 49 du Règlement, exclusivement pour un transfert occasionnel et documente.

Pour l'application des clauses contractuelles types : l'annexe I est réputée renseignee par l'annexe B et par la description des traitements figurant a l'article 1 du présent accord ; l'annexe II par l'annexe A relative aux mesures techniques et organisationnelles ; l'annexe III par l'annexe B. La clause d'amarrage (clause 7) est réputée acceptee. L'autorite de contrôle competente est la Commission nationale de l'informatique et des libertes.

Analyse d'impact du transfert. L'Éditeur tient a jour, pour chaque destinataire situe hors de l'Espace economique europeen, une analyse documentee de la legislation et des pratiques du pays de destination ainsi que des mesures complementaires retenues. Il la communique au Client sur demande écrite, dans les trente (30) jours, dans une version expurgee des informations couvertes par le secret des affaires ou par les engagements de confidentialité pris envers le destinataire.

Clause de repli. Si une decision d'adequation est annulee, suspendue, ou cesse de s'appliquer a un destinataire, si les clauses contractuelles types sont modifiees ou invalidees, ou si l'analyse mentionnee au 4.4 conclut que le transfert ne peut plus être suffisamment protege, l'Éditeur met en oeuvre dans un délai raisonnable le fondement de substitution ou les mesures complementaires appropriees. Si aucune solution n'existe, il suspend le transfert et en informe le Client. La suspension d'une fonctionnalite rendue impossible par cette situation ne constitue pas un manquement de l'Éditeur et n'ouvre droit a aucune indemnite ; le Client peut alors resilier la fonctionnalite concernee pour l'avenir, sans indemnite.

Le Client reconnait que le Service, dans sa configuration standard, implique les transferts decrits a l'annexe B. Un hebergement ou un traitement exclusivement europeen ne peut être exige sans souscription préalable d'une prestation specifique faisant l'objet d'un devis et d'un avenant.

5. Demandes des autorites publiques d'un pays tiers

L'Éditeur ne communique aucune donnée personnelle traitée pour le compte du Client a une autorite administrative ou judiciaire d'un État tiers en dehors des cas prévus a l'article 48 du Règlement, c'est-a-dire en dehors d'un accord international en vigueur, notamment d'un traité d'entraide judiciaire, entre l'État requerant et l'Union europeenne ou la France.

Toute demande contraignante recue par l'Éditeur, ou dont il a connaissance chez un sous-traitant ulterieur, est notifiée au Client dans les meilleurs délais, sauf interdiction legale. Dans ce dernier cas, l'Éditeur demande la levee de l'interdiction, en conservé la trace écrite et informe le Client des qu'il le peut. Il communique en tout état de cause, a intervalle regulier, le nombre agrégé de demandes recues.

L'Éditeur conteste toute demande qui lui parait manifestement illicite ou excessive, exerce les voies de recours raisonnablement disponibles, et n'y donne suite, le cas echeant, qu'a hauteur du minimum legalement exigible.

L'Éditeur impose les mêmes obligations a ses sous-traitants ulterieurs situes hors de l'Espace economique europeen, par la clause 15 des clauses contractuelles types.

Les frais de defense engagés par l'Éditeur pour contester une demande portant sur les données d'un Client déterminé sont supportes par ce Client, sauf lorsque la demande resulte d'un manquement de l'Éditeur.

6. Violation de données personnelles

L'Éditeur notifié au Client toute violation de données personnelles affectant les données traitées pour son compte, dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, par courriel a l'adresse de contact declaree par le Client dans son espace d'administration et, si le Client en a designe une, a l'adresse dediee aux incidents. Le Client maintient ces adresses à jour ; une notification adressee a la dernière adresse declaree est réputée valablement délivrée.

L'Éditeur est réputé avoir pris connaissance d'une violation lorsqu'il dispose d'un degre raisonnable de certitude qu'un incident de sécurité a effectivement porte atteinte a des données personnelles. La période de qualification technique d'une alerte n'est pas comptee dans le délai du 6.1, sous réserve qu'elle n'excede pas vingt-quatre (24) heures.

La notification comporte, dans la mesure des informations disponibles : la nature de la violation, les catégories et le volume approximatif de données et de personnes concernees, les consequences probables, les mesures prises ou proposees pour y remedier et en attenuer les effets, et le point de contact de l'Éditeur. Lorsque toutes les informations ne peuvent être fournies en une seule fois, elles le sont par communications successives, conformement a l'article 33.4 du Règlement.

La notification et l'assistance de l'Éditeur ne valent ni reconnaissance de responsabilité, ni reconnaissance d'un manquement a ses obligations de sécurité. Il appartient au seul Client, responsable du traitement, d'apprecier si la violation doit être notifiée a la Commission nationale de l'informatique et des libertes au titre de l'article 33 du Règlement et communiquee aux personnes concernees au titre de l'article 34, d'effectuer ces demarches et d'en supporter le coût.

L'Éditeur notifié egalement au Client, dans le même délai, toute violation dont l'origine se situe dans les moyens propres du Client, notamment la compromission d'un identifiant. Cette notification n'emporte aucune prise en charge des consequences de cette violation par l'Éditeur.

Le Client s'interdit de communiquer publiquement sur une violation en designant nommement l'Éditeur ou en lui imputant l'origine de l'incident avant que les parties aient echange par écrit sur les éléments techniques, sauf lorsque la loi ou une autorite l'y contraint.

L'assistance apportee au-dela de la notification et de la mise a disposition des journaux techniques, notamment la reconstitution de périmètre, la production de listes nominatives ou l'appui a la communication aux personnes concernees, est facturee au temps passe au tarif d'intervention en vigueur, sauf lorsque la violation est imputable a un manquement de l'Éditeur.

7. Assistance aux demandes d'exercice des droits

L'Éditeur met a la disposition du Client, dans le Service et sans frais supplementaires, les fonctionnalites lui permettant de repondre lui-même aux demandes d'exercice des droits prévus au chapitre III du Règlement : recherche et consultation d'une fiche, rectification, export au format CSV et JSON, suppression, limitation et extraction de l'historique. Le Client repond a ces demandes en priorite au moyen de ces fonctionnalites.

Lorsqu'une demande adressee directement a l'Éditeur emane d'une personne dont le Client est responsable du traitement, l'Éditeur ne repond pas au fond. Il transmet la demande au Client dans les cinq (5) jours ouvres, a sa dernière adresse declaree, et en informe la personne concernee. Le délai d'un mois de l'article 12.3 du Règlement court a l'egard du seul Client.

Au-dela des fonctionnalites du 7.1, l'assistance de l'Éditeur est fournie dans la mesure du possible, compte tenu de la nature du traitement, et facturee au temps passe au tarif d'intervention en vigueur, sur devis préalable accepte lorsque l'intervention excede deux (2) heures. Sont notamment concernees les extractions non couvertes par les fonctionnalites standard, les recherches menees sur des sauvegardes, et les demandes portant sur des données anterieures a la reprise de données du Client.

L'Éditeur n'apprecie ni la recevabilite de la demande, ni l'identite du demandeur, ni l'existence d'un motif de refus, de limitation ou de conservation legale. Ces appreciations relevent du seul Client.

L'Éditeur n'execute une demande de suppression, de rectification ou de limitation portant sur les données du Client que sur instruction écrite de celui-ci. Une suppression executee sur instruction du Client est definitive et irreversible ; l'Éditeur ne garantit aucune restauration et ne repond d'aucune consequence de cette suppression.

8. Assistance au titre des articles 32 a 36 du Règlement

L'Éditeur assiste le Client, compte tenu de la nature du traitement et des informations dont il dispose, dans le respect des obligations resultant des articles 32 a 36 du Règlement.

Cette assistance prend la forme, sans frais, de la mise a disposition des éléments suivants : la description des mesures techniques et organisationnelles figurant a l'annexe A, la liste des sous-traitants ulterieurs et des localisations de traitement figurant a l'annexe B, la description des traitements et des durées de conservation, et les éléments nécessaires a la seule partie de l'analyse d'impact qui porte sur les moyens techniques de l'Éditeur.

L'Éditeur ne realise pas l'analyse d'impact relative a la protection des données du Client, ne la valide pas et n'engagé pas sa responsabilité sur son contenu. La realisation d'une analyse d'impact pour le compte du Client, la consultation préalable de l'article 36, la participation a une reunion avec une autorite de contrôle ou la reponse a un questionnaire de sécurité d'un tiers mandate par le Client constituent des prestations distinctes, sur devis préalable.

L'Éditeur peut faire evoluer les mesures de l'annexe A, a la condition que le niveau global de sécurité ne soit pas reduit. La version applicable est celle publiee a l'adresse pulzar.fr/dpa a la date considérée, dont l'historique est conservé.

Les engagements de l'annexe A constituent une obligation de moyens appropries au sens de l'article 32 du Règlement, apprecies au regard de l'état des connaissances, des coûts de mise en oeuvre, de la nature, de la portee et des risques du traitement. Ils ne constituent pas une garantie de resultat d'absence d'incident de sécurité. La survenance d'une violation de données ne suffit pas, a elle seule, a etablir le caractère inapproprie des mesures mises en oeuvre.

9. Preuve de conformité et audit

L'Éditeur met a la disposition du Client les informations nécessaires pour demontrer le respect des obligations de l'article 28 du Règlement et permettre la realisation d'audits, dans les conditions ci-après, qui organisent ce droit sans le supprimer.

Preuve de premier rang. L'Éditeur repond, une fois par année civile et sans frais, a un questionnaire écrit de sécurité et de conformité, dans les trente (30) jours de sa reception. Il communique, lorsqu'il en dispose, les rapports d'audit, certifications ou attestations de ses propres sous-traitants ulterieurs, ainsi que la synthese de son dernier test d'intrusion. Le Client accepte ces éléments comme mode de preuve de premier rang.

Audit. Si ces éléments ne permettent pas au Client de satisfaire une obligation legale precise ou de repondre a une demande d'une autorite de contrôle, un audit sur pieces ou sur site peut être conduit dans les conditions cumulatives suivantes : une fois par période de vingt-quatre (24) mois, sauf incident de sécurité avere affectant le Client ou demande motivee d'une autorite de contrôle ; sur preavis écrit de trente (30) jours ; pendant les jours et heures ouvres ; pour une durée n'excedant pas deux (2) jours ouvres ; sans accès aux données d'autres clients, aux secrets d'affaires, au code source, ni aux systèmes de production en ecriture ; par un auditeur independant qui n'est pas un concurrent de l'Éditeur et qui a préalablement signe un engagement de confidentialité. L'Éditeur peut recuser un auditeur par decision écrite et motivee, le Client devant alors en proposer un autre.

Frais. Les frais de l'audit sont supportes par le Client, y compris le temps consacre par l'Éditeur, facture au tarif d'intervention en vigueur. Par exception, si l'audit revele un manquement substantiel de l'Éditeur au présent accord, celui-ci supporte les frais raisonnables de l'audit et remedie au manquement a ses frais, dans un délai convenu entre les parties.

Mutualisation en reseau. Lorsque plusieurs Clients appartenant a un même reseau, groupe, enseigne ou franchise demandent un audit, ils designent un mandataire unique et l'audit est mutualise. Un audit mutualise vaut pour l'ensemble de ces Clients au titre de la période considérée.

Les constats d'audit sont confidentiels. Ils ne peuvent être communiques a un tiers autre qu'une autorite de contrôle ou un conseil tenu au secret professionnel, et ne peuvent être utilises a des fins concurrentielles.

10. Restitution et suppression des données en fin de contrat

A l'expiration ou à la résiliation du contrat, pour quelque cause que ce soit, le Client indique par écrit, dans les trente (30) jours, s'il souhaite la restitution ou la suppression des données personnelles traitées pour son compte. Ce choix appartient au Client, conformement a l'article 28.3 g) du Règlement.

Restitution. Pendant ce délai de trente (30) jours, le Client dispose dans son espace d'administration d'un export complet et gratuit aux formats CSV et JSON, comprenant les fiches clients, les reservations, les ventes, les factures et les journaux d'encaissement. Toute restitution dans un format specifique, toute reprise assistee, toute migration vers un tiers et tout export posterieur a ce délai font l'objet d'un devis préalable.

Suppression. A l'expiration du délai de trente (30) jours, a défaut d'instruction écrite contraire du Client, l'Éditeur supprime les données personnelles des bases de production de manière irreversible. Cette suppression vaut exécution de l'obligation de l'article 28.3 g). Le Client reconnait qu'aucune recuperation ne sera ensuite possible et decharge l'Éditeur de toute demande a ce titre.

Sauvegardes. Les données présentes dans les sauvegardes chiffrees sont effacees par la rotation normale de celles-ci, selon la durée de retention effectivement indiquee a l'annexe A. Pendant cette période, elles ne font l'objet d'aucun traitement autre que leur conservation puis leur destruction, et restent protegees par les mesures de l'annexe A.

Conservations imposees par la loi. Par exception au 10.3, l'Éditeur conservé, pour la seule durée legale et sans autre usage : les factures et pieces comptables le concernant ; les données dont la conservation est imposee par la réglementation applicable aux logiciels de gestion, de caisse et de comptabilite ; et les éléments strictement nécessaires a la constatation, a l'exercice ou à la defense d'un droit en justice, pendant la durée de la prescription applicable. Ces données sont isolees et ne font l'objet d'aucun usage commercial.

Suspension pour défaut de paiement. En cas de suspension du Service pour défaut de paiement, les données sont conservées en l'état, sans traitement autre que leur conservation, pendant quatre-vingt-dix (90) jours. L'accès a l'export est retabli après règlement des sommes dues. Passe ce délai, le 10.3 s'applique. Le Client conservé en tout état de cause, sans condition de paiement préalable, la faculte d'obtenir les seules données strictement nécessaires pour repondre a une demande d'exercice de droits d'une personne concernee ou à une injonction d'une autorite de contrôle.

L'Éditeur remet au Client, sur demande écrite formulee dans les quatre-vingt-dix (90) jours de la suppression, une attestation de suppression signee.

11. Repartition des responsabilités et sanctions

Chaque partie repond des obligations qui lui incombent personnellement au titre du Règlement. En application de l'article 82.2 du Règlement, l'Éditeur, sous-traitant, ne repond du dommage cause par le traitement que s'il n'a pas respecte les obligations du Règlement incombant specifiquement aux sous-traitants, ou s'il a agi en dehors des instructions licites du Client ou contrairement a celles-ci.

Amendes administratives. Une amende prononcee par une autorite de contrôle présente un caractère personnel et est supportee par la partie qui en est destinataire. Aucune partie ne peut demander a l'autre, au titre d'une garantie, le remboursement d'une amende prononcee contre elle-même.

Par exception au 11.2, et sur le fondement du droit commun de la responsabilité contractuelle, la partie dont le manquement a ses propres obligations legales ou contractuelles est la cause de la mise en demeure, de l'injonction ou de l'amende subie par l'autre repare le préjudice qui en resulte, y compris les frais de defense justifies. Relevent notamment du Client : les consequences d'une instruction illicite, d'un défaut de base legale, d'un défaut d'information des personnes concernees, d'une prospection sans consentement, d'une saisie de données sensibles non annoncee, d'une mauvaise administration des comptes de ses utilisateurs et de l'usage qu'il fait des fonctionnalites du Service. Relevent notamment de l'Éditeur : les consequences d'un défaut de sécurité qui lui est imputable et d'un traitement effectue hors instruction du Client.

Action d'une personne concernee. Si une personne concernee agit contre l'une des parties en reparation d'un dommage sur le fondement de l'article 82 du Règlement, cette partie en informe l'autre dans les meilleurs délais et peut l'appeler en garantie. Les parties se communiquent les pieces utiles et n'acquiescent a aucune demande engageant l'autre sans son accord écrit. Dans leurs rapports entre elles, chaque partie supporte la part de la reparation correspondant a sa part de responsabilité dans le dommage, conformement a l'article 82.5 du Règlement.

Faits non imputables. L'Éditeur ne repond pas des dommages resultant : de la défaillance d'un sous-traitant ulterieur ayant lui-même respecte ses obligations contractuelles ; d'une attaque informatique menee avec des moyens que les mesures de l'annexe A ne pouvaient raisonnablement dejouer ; de la compromission d'un identifiant du Client ou de l'un de ses utilisateurs ; d'un service tiers relie par le Client au moyen de ses propres identifiants ; et plus generalement de tout fait qui ne lui est nullement imputable au sens de l'article 82.3 du Règlement.

Chaque partie informe l'autre, dans les meilleurs délais, de tout contrôle, demande, mise en demeure ou procédure d'une autorite de contrôle portant sur les traitements objet du présent accord, et ne communique a cette autorite, sur l'autre partie, que des informations exactes et nécessaires.

12. Plafond de responsabilité propre au présent accord

La responsabilité totale et cumulee de l'Éditeur au titre du présent accord, toutes causes confondues, ne peut exceder le plus eleve des deux montants suivants : le montant hors taxes des sommes effectivement versees par le Client au titre de son abonnement au cours des douze (12) mois precedant le fait generateur, ou cinq mille (5 000) euros. Ce plafond est global et non par sinistre.

Ce plafond n'est pas cumulable avec celui figurant aux conditions générales de vente : les deux stipulations constituent un plafond unique, non un plafond par document.

Sont exclus les dommages indirects, la perte de chiffre d'affaires, de benefice, de clientele ou d'image, ainsi que le préjudice resultant de l'action d'un tiers dont la cause se trouve dans un manquement du Client.

Les limitations du présent article ne s'appliquent ni au dol, ni à la faute lourde, ni aux dommages corporels, ni dans les cas ou la loi les ecarte. Elles ne s'appliquent pas davantage a la reparation due directement a une personne concernee en application de l'article 82 du Règlement, qui demeure regie par ce texte ; elles regissent en revanche integralement les rapports entre les parties, y compris l'action recursoire de l'article 82.5.

Le présent accord prevaut sur les conditions générales de vente pour tout ce qui concerne la protection des données personnelles. Pour le reste, les conditions générales de vente s'appliquent. Aucune condition de sous-traitance emanant du Client, aucun modèle d'accord de sous-traitance qu'il propose et aucune annexe de son propre contrat cadre ne s'applique, sauf acceptation écrite et signee par l'Éditeur.

Le présent accord entre en vigueur a la souscription et prend fin a l'achevement des opérations de restitution et de suppression prévues a l'article 10. Les stipulations relatives a la confidentialité, a la responsabilité, aux conservations imposees par la loi et à la compétence juridictionnelle survivent a son terme.

Annexe A. Sécurité - Annexe A

• TLS 1.3 en transit, AES-256 au repos (Supabase).
• Row Level Security PostgreSQL, isolation multi-tenant testée.
• Authentification forte (Supabase Auth), JWT courts.
• Rate limiting nginx, WAF fail2ban.
• Journalisation (audit log 12 mois).
• Sauvegardes chiffrées quotidiennes, rétention 30 j.
• Revue sécurité trimestrielle, pentest annuel (à partir 2027).

Annexe B - Sous-traitants ultérieurs

Liste à jour au 27 août 2026. Localisations vérifiées techniquement (métadonnées d'hébergement, régions cloud, résolution DNS) et non déclaratives.

B.1 - Socle du service

B.2 - Paiement, facturation et obligations légales

B.3 - Communication avec les clients finaux

B.4 - Intelligence artificielle

B.5 - Réseaux sociaux et visibilité (activés par l'établissement)

B.6 - Intégrations propres à certains équipements

B.7 - Outils techniques recevant l'adresse IP des visiteurs

Toute modification de cette liste est notifiée 30 jours à l'avance, conformément à l'article 6 du présent accord.