Data Processing Agreement (DPA)

Accord de sous-traitance au titre de l'article 28 du RGPD - Version 2.1 · Dernière mise à jour : 12 octobre 2026

Cette version s'applique aux souscriptions conclues à compter de sa mise en ligne. Pour les contrats en cours, elle s'applique trente jours après sa notification par courriel (article 19 des conditions générales de vente) ; jusque-là, la version 2.0 du 4 septembre 2026 reste applicable.

Parties. Le présent accord lie le Client, qui souscrit au Service, et l'Éditeur : Aymeric GUERCHON, entrepreneur individuel, exploitant du Service sous le nom commercial Pulzar, SIREN 102 744 596, siège : 1 Allée du Sintets, 40410 Saugnac-et-Muret, France, contact : [email protected].

1. Roles, périmètre et instructions documentées

1.1 Le Client agit en qualité de responsable du traitement au sens de l'article 4.7 du Règlement (UE) 2016/679 pour l'ensemble des données personnelles qu'il saisit, importe ou fait collecter au moyen du Service, notamment celles de ses clients finaux, prospects, salariés et partenaires. L'Éditeur agit en qualité de sous-traitant au sens de l'article 4.8 du même règlement.

1.2 L'Éditeur ne traite ces données que sur instruction documentée du Client. Constituent les seules instructions documentées, à l'exclusion de toute autre : (a) le présent accord et les conditions générales de vente auxquelles il est annexé ; (b) les paramétrages, saisies et actions effectués par le Client ou ses utilisateurs dans le Service ; (c) les instructions écrites complémentaires adressées à [email protected] et expressement acceptées par écrit par l'Éditeur. Une instruction complémentaire qui exige un développement, une configuration spécifique ou une intervention humaine n'est exécutée qu'aux conditions financieres convenues au préalable par écrit.

1.3 Conformément au dernier alinéa de l'article 28.3 du Règlement, l'Éditeur informe le Client s'il estime qu'une instruction constitue une violation du Règlement ou d'une autre disposition du droit de l'Union ou du droit francais relative à la protection des données. Il peut suspendre l'exécution de l'instruction litigieuse jusqu'à confirmation écrite du Client. Si le Client confirme son instruction par écrit, l'Éditeur peut soit l'exécuter sous la seule responsabilité du Client, soit refuser de l'exécuter. Ce refus ne constitue pas un manquement de l'Éditeur et n'ouvre droit ni à indemnité, ni à réduction de prix, ni à résiliation à ses torts.

1.4 L'Éditeur est autorise à produire et à exploiter, pour ses besoins propres, notamment d'amélioration du Service, de statistiques et de sécurité, des données agrégées et anonymisées, c'est-à-dire ne permettant plus, par aucun moyen raisonnablement susceptible d'être utilise, la réidentification d'une personne physique. Ces données ne sont pas des données personnelles et ne relèvent pas du présent accord. L'Éditeur s'interdit toute réidentification et ne communique à aucun tiers de donnée permettant d'identifier le Client ou ses clients finaux.

1.5 Si une instruction du Client conduisait l'Éditeur à determiner lui-même les finalites ou les moyens essentiels d'un traitement, l'Éditeur peut la refuser. Il est rappele qu'en application de l'article 28.10 du Règlement, un sous-traitant qui déterminé les finalites et les moyens d'un traitement est considéré comme responsable de ce traitement.

2. Obligations et garanties du Client

2.1 Le Client garantit disposer, pour chaque traitement qu'il met en oeuvre au moyen du Service, d'une base légale valable au sens de l'article 6 du Règlement, et avoir délivré aux personnes concernées l'information prévue aux articles 12, 13 et 14, y compris la mention du recours à l'Éditeur en qualité de sous-traitant et des destinataires figurant à l'annexe B.

2.2 Prospection. Pour toute prospection commerciale par courriel ou par message textuel, le Client garantit disposer du consentement préalable exige par l'article L. 34-5 du code des postes et des communications électroniques ou, le cas échéant, du bénéfice de la dispense applicable aux clients pour des produits ou services analogues, et il en conserve la preuve. Le Client s'interdit d'importer dans le Service un fichier de contacts acquis auprès d'un tiers sans base légale vérifiée et documentée.

2.3 Mineurs. Le Client est seul responsable de la détermination de l'age des personnes concernées et du recueil, lorsqu'il est requis, de l'autorisation du titulaire de l'autorité parentale. Il declare connaitre le fait qu'en France le consentement d'un mineur à une offre directe de services de la société de l'information n'est licite qu'à partir de quinze ans.

2.4 Données sensibles. Le Service n'est pas concu pour recevoir des données relevant de l'article 9 du Règlement, notamment des données de sante telles qu'allergies, traitements, aptitudes ou restrictions physiques, ni des données relevant de l'article 10 du Règlement. Le Client s'interdit d'en saisir dans les champs libres, commentaires, notes internes, pièces jointes ou fichiers importes. S'il choisit neanmoins d'en traiter, il le fait sous sa seule responsabilité, garantit disposer d'une exception de l'article 9.2 du Règlement, en informe l'Éditeur par écrit préalablement, et supporte le coût des mesures complémentaires convenues.

2.5 Comptes et accès. Le Client administre lui-même les comptes de ses utilisateurs, leurs droits et la revocation des accès des personnes qui quittent son établissement. Il garantit la confidentialité des identifiants, s'interdit les comptes partages et active les moyens d'authentification renforcee mis à sa disposition. Tout accès effectue au moyen des identifiants du Client est réputé effectue par lui jusqu'à la déclaration écrite de leur compromission.

2.6 Le Client tient le registre prévu à l'article 30.1 du Règlement et procede, lorsqu'elle est requise, à l'analyse d'impact prévue à l'article 35. L'Éditeur ne se substitue pas au Client dans ces obligations.

2.7 Le Client indemnise l'Éditeur des conséquences pecuniaires directes, y compris les frais de défense justifies, résultant d'un manquement de sa part aux garanties du présent article, dans les conditions et limites de l'article 12 du présent accord.

3. Sous-traitants ultérieurs

3.1 Le Client donne à l'Éditeur une autorisation générale écrite, au sens de l'article 28.2 du Règlement, de recourir aux sous-traitants ultérieurs figurant à l'annexe B, ainsi que de les remplacer ou d'en ajouter dans les conditions ci-après.

3.2 La liste à jour est publiée à l'adresse pulzar.fr/dpa. Le Client peut s'inscrire à l'avis de modification en écrivant à [email protected] ; à défaut d'inscription, la publication à cette adresse vaut information.

3.3 Toute addition ou tout remplacement est porté à la connaissance du Client trente (30) jours avant sa mise en oeuvre. Le Client peut s'opposer par écrit, dans les quinze (15) jours de cette information, pour un motif raisonnable et documente tenant à la protection des données. Ne constituent pas un motif raisonnable le prix, la nationalite du fournisseur considérée en elle-même, une simple preference commerciale ou l'existence d'une relation concurrente.

3.4 En cas d'opposition recevable, les parties recherchent une solution pendant trente (30) jours. L'Éditeur peut, à son choix, proposer une mesure complémentaire, maintenir le fournisseur existant pour le Client lorsque cela est techniquement et économiquement possible, ou informer le Client qu'il ne peut maintenir la fonctionnalité concernée. À défaut de solution, le Client peut résilier l'abonnement pour l'avenir, sans indemnité de part ni d'autre, avec effet à la fin de la période de facturation en cours. L'opposition ne suspend pas le changement lorsque celui-ci est rendu nécessaire par la sécurité, la continuite du Service ou une décision du fournisseur remplace ; elle n'ouvre droit ni au remboursement des sommes déjà versées, ni à aucun dommage et intérêt.

3.5 Remplacement en urgence. Lorsque la défaillance, la faille de sécurité ou la cessation d'activité d'un sous-traitant ultérieur exige son remplacement immédiat, l'Éditeur peut y procéder sans délai et en informe le Client dans les cinq (5) jours ouvrés, en indiquant le motif.

3.6 L'Éditeur impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données offrant des garanties au moins équivalentes à celles du présent accord. Il demeure responsable devant le Client de l'exécution par ce sous-traitant de ses obligations, dans les limites de l'article 12 du présent accord et sous réserve de l'article 82.3 du Règlement.

3.7 Ne sont pas des sous-traitants ultérieurs au sens du présent article : les prestataires que le Client relie lui-même au Service au moyen de ses propres identifiants, notamment ses comptes publicitaires, ses comptes de réseaux sociaux, son prestataire d'encaissement et ses systèmes de jeu, pour lesquels le Client contracte directement et demeure seul responsable ; ainsi que les fournisseurs auxquels l'Éditeur ne confie aucune donnée personnelle du Client.

4. Transferts hors de l'Espace économique européen

4.1 Le Client autorise les transferts de données hors de l'Espace économique européen strictement nécessaires à la fourniture du Service, vers les destinataires et les pays indiques à l'annexe B, et donne mandat à l'Éditeur pour conclure en son nom, avec ces destinataires, les clauses contractuelles types.

4.2 Chaque transfert repose sur l'un des fondements suivants, dans cet ordre : (a) une décision d'adéquation en vigueur adoptee par la Commission européenne au titre de l'article 45 du Règlement, notamment la décision d'exécution (UE) 2023/1795 du 10 juillet 2023, pour les seules organisations des États-Unis effectivement inscrites et actives sur la liste du Data Privacy Framework et pour les seules catégories de données couvertes par leur certification ; (b) à défaut, les clauses contractuelles types de la décision d'exécution (UE) 2021/914 du 4 juin 2021, module 3 lorsque l'Éditeur exporte vers un sous-traitant ultérieur, module 2 lorsque le Client est lui-même exportateur, module 4 lorsque le Client est établi hors de l'Espace économique européen ; (c) à défaut, une dérogation de l'article 49 du Règlement, exclusivement pour un transfert occasionnel et documente.

4.3 Pour l'application des clauses contractuelles types : l'annexe I est réputée renseignee par l'annexe B et par la description des traitements figurant à l'article 1 du présent accord ; l'annexe II par l'annexe A relative aux mesures techniques et organisationnelles ; l'annexe III par l'annexe B. La clause d'amarrage (clause 7) est réputée acceptée. L'autorité de contrôle competente est la Commission nationale de l'informatique et des libertés.

4.4 Analyse d'impact du transfert. L'Éditeur tient à jour, pour chaque destinataire situe hors de l'Espace économique européen, une analyse documentée de la legislation et des pratiques du pays de destination ainsi que des mesures complémentaires retenues. Il la communique au Client sur demande écrite, dans les trente (30) jours, dans une version expurgée des informations couvertes par le secret des affaires ou par les engagements de confidentialité pris envers le destinataire.

4.5 Clause de repli. Si une décision d'adéquation est annulée, suspendue, ou cesse de s'appliquer à un destinataire, si les clauses contractuelles types sont modifiees ou invalidees, ou si l'analyse mentionnee au 4.4 conclut que le transfert ne peut plus être suffisamment protege, l'Éditeur met en oeuvre dans un délai raisonnable le fondement de substitution ou les mesures complémentaires appropriees. Si aucune solution n'existe, il suspend le transfert et en informe le Client. La suspension d'une fonctionnalité rendue impossible par cette situation ne constitue pas un manquement de l'Éditeur et n'ouvre droit à aucune indemnité ; le Client peut alors résilier la fonctionnalité concernée pour l'avenir, sans indemnité.

4.6 Le Client reconnait que le Service, dans sa configuration standard, implique les transferts decrits à l'annexe B. Un hébergement ou un traitement exclusivement européen ne peut être exige sans souscription préalable d'une prestation spécifique faisant l'objet d'un devis et d'un avenant.

5. Demandes des autorités publiques d'un pays tiers

5.1 L'Éditeur ne communique aucune donnée personnelle traitée pour le compte du Client à une autorité administrative ou judiciaire d'un État tiers en dehors des cas prévus à l'article 48 du Règlement, c'est-à-dire en dehors d'un accord international en vigueur, notamment d'un traité d'entraide judiciaire, entre l'État requérant et l'Union européenne ou la France.

5.2 Toute demande contraignante recue par l'Éditeur, ou dont il a connaissance chez un sous-traitant ultérieur, est notifiée au Client dans les meilleurs délais, sauf interdiction légale. Dans ce dernier cas, l'Éditeur demande la levee de l'interdiction, en conserve la trace écrite et informe le Client des qu'il le peut. Il communique en tout état de cause, à intervalle régulier, le nombre agrégé de demandes recues.

5.3 L'Éditeur conteste toute demande qui lui parait manifestement illicite ou excessive, exerce les voies de recours raisonnablement disponibles, et n'y donne suite, le cas échéant, qu'à hauteur du minimum légalement exigible.

5.4 L'Éditeur impose les mêmes obligations à ses sous-traitants ultérieurs situes hors de l'Espace économique européen, par la clause 15 des clauses contractuelles types.

5.5 Les frais de défense engagés par l'Éditeur pour contester une demande portant sur les données d'un Client déterminé sont supportes par ce Client, sauf lorsque la demande résulte d'un manquement de l'Éditeur.

6. Violation de données personnelles

6.1 L'Éditeur notifie au Client toute violation de données personnelles affectant les données traitées pour son compte, dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, par courriel à l'adresse de contact déclarée par le Client dans son espace d'administration et, si le Client en à designe une, à l'adresse dédiée aux incidents. Le Client maintient ces adresses à jour ; une notification adressée à la dernière adresse déclarée est réputée valablement délivrée.

6.2 L'Éditeur est réputé avoir pris connaissance d'une violation lorsqu'il dispose d'un degré raisonnable de certitude qu'un incident de sécurité à effectivement porte atteinte à des données personnelles. La période de qualification technique d'une alerte n'est pas comptee dans le délai du 6.1, sous réserve qu'elle n'excède pas vingt-quatre (24) heures.

6.3 La notification comporte, dans la mesure des informations disponibles : la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables, les mesures prises ou proposees pour y remedier et en attenuer les effets, et le point de contact de l'Éditeur. Lorsque toutes les informations ne peuvent être fournies en une seule fois, elles le sont par communications successives, conformément à l'article 33.4 du Règlement.

6.4 La notification et l'assistance de l'Éditeur ne valent ni reconnaissance de responsabilité, ni reconnaissance d'un manquement à ses obligations de sécurité. Il appartient au seul Client, responsable du traitement, d'apprecier si la violation doit être notifiée à la Commission nationale de l'informatique et des libertés au titre de l'article 33 du Règlement et communiquée aux personnes concernées au titre de l'article 34, d'effectuer ces demarches et d'en supporter le coût.

6.5 L'Éditeur notifie également au Client, dans le même délai, toute violation dont l'origine se situe dans les moyens propres du Client, notamment la compromission d'un identifiant. Cette notification n'emporte aucune prise en charge des conséquences de cette violation par l'Éditeur.

6.6 Le Client s'interdit de communiquer publiquement sur une violation en designant nommement l'Éditeur ou en lui imputant l'origine de l'incident avant que les parties aient échange par écrit sur les éléments techniques, sauf lorsque la loi ou une autorité l'y contraint.

6.7 L'assistance apportée au-delà de la notification et de la mise à disposition des journaux techniques, notamment la reconstitution de périmètre, la production de listes nominatives ou l'appui à la communication aux personnes concernées, est facturée au temps passé au tarif d'intervention en vigueur, sauf lorsque la violation est imputable à un manquement de l'Éditeur.

7. Assistance aux demandes d'exercice des droits

7.1 L'Éditeur met à la disposition du Client, dans le Service et sans frais supplémentaires, les fonctionnalités lui permettant de répondre lui-même aux demandes d'exercice des droits prévus au chapitre III du Règlement : recherche et consultation d'une fiche, rectification, export au format CSV et JSON, suppression, limitation et extraction de l'historique. Le Client répond à ces demandes en priorite au moyen de ces fonctionnalités.

7.2 Lorsqu'une demande adressée directement à l'Éditeur émane d'une personne dont le Client est responsable du traitement, l'Éditeur ne répond pas au fond. Il transmet la demande au Client dans les cinq (5) jours ouvrés, à sa dernière adresse déclarée, et en informe la personne concernée. Le délai d'un mois de l'article 12.3 du Règlement court à l'égard du seul Client.

7.3 Au-delà des fonctionnalités du 7.1, l'assistance de l'Éditeur est fournie dans la mesure du possible, compte tenu de la nature du traitement, et facturée au temps passé au tarif d'intervention en vigueur, sur devis préalable accepté lorsque l'intervention excède deux (2) heures. Sont notamment concernées les extractions non couvertes par les fonctionnalités standard, les recherches menees sur des sauvegardes, et les demandes portant sur des données antérieures à la reprise de données du Client.

7.4 L'Éditeur n'apprecie ni la recevabilite de la demande, ni l'identite du demandeur, ni l'existence d'un motif de refus, de limitation ou de conservation légale. Ces appreciations relèvent du seul Client.

7.5 L'Éditeur n'execute une demande de suppression, de rectification ou de limitation portant sur les données du Client que sur instruction écrite de celui-ci. Une suppression exécutée sur instruction du Client est definitive et irréversible ; l'Éditeur ne garantit aucune restauration et ne répond d'aucune conséquence de cette suppression.

8. Assistance au titre des articles 32 à 36 du Règlement

8.1 L'Éditeur assiste le Client, compte tenu de la nature du traitement et des informations dont il dispose, dans le respect des obligations résultant des articles 32 à 36 du Règlement.

8.2 Cette assistance prend la forme, sans frais, de la mise à disposition des éléments suivants : la description des mesures techniques et organisationnelles figurant à l'annexe A, la liste des sous-traitants ultérieurs et des localisations de traitement figurant à l'annexe B, la description des traitements et des durées de conservation, et les éléments nécessaires à la seule partie de l'analyse d'impact qui porte sur les moyens techniques de l'Éditeur.

8.3 L'Éditeur ne realise pas l'analyse d'impact relative à la protection des données du Client, ne la valide pas et n'engage pas sa responsabilité sur son contenu. La réalisation d'une analyse d'impact pour le compte du Client, la consultation préalable de l'article 36, la participation à une réunion avec une autorité de contrôle ou la réponse à un questionnaire de sécurité d'un tiers mandate par le Client constituent des prestations distinctes, sur devis préalable.

8.4 L'Éditeur peut faire évoluer les mesures de l'annexe A, à la condition que le niveau global de sécurité ne soit pas reduit. La version applicable est celle publiée à l'adresse pulzar.fr/dpa à la date considérée, dont l'historique est conservé.

8.5 Les engagements de l'annexe A constituent une obligation de moyens appropries au sens de l'article 32 du Règlement, apprecies au regard de l'état des connaissances, des coûts de mise en oeuvre, de la nature, de la portée et des risques du traitement. Ils ne constituent pas une garantie de resultat d'absence d'incident de sécurité. La survenance d'une violation de données ne suffit pas, à elle seule, à établir le caractère inapproprie des mesures mises en oeuvre.

9. Preuve de conformité et audit

9.1 L'Éditeur met à la disposition du Client les informations nécessaires pour demontrer le respect des obligations de l'article 28 du Règlement et permettre la réalisation d'audits, dans les conditions ci-après, qui organisent ce droit sans le supprimer.

9.2 Preuve de premier rang. L'Éditeur répond, une fois par année civile et sans frais, à un questionnaire écrit de sécurité et de conformité, dans les trente (30) jours de sa réception. Il communique, lorsqu'il en dispose, les rapports d'audit, certifications ou attestations de ses propres sous-traitants ultérieurs, ainsi que la synthese de son dernier test d'intrusion. Le Client accepte ces éléments comme mode de preuve de premier rang.

9.3 Audit. Si ces éléments ne permettent pas au Client de satisfaire une obligation légale precise ou de répondre à une demande d'une autorité de contrôle, un audit sur pièces ou sur site peut être conduit dans les conditions cumulatives suivantes : une fois par période de vingt-quatre (24) mois, sauf incident de sécurité avere affectant le Client ou demande motivee d'une autorité de contrôle ; sur préavis écrit de trente (30) jours ; pendant les jours et heures ouvrés ; pour une durée n'excedant pas deux (2) jours ouvrés ; sans accès aux données d'autres clients, aux secrets d'affaires, au code source, ni aux systèmes de production en écriture ; par un auditeur indépendant qui n'est pas un concurrent de l'Éditeur et qui a préalablement signe un engagement de confidentialité. L'Éditeur peut recuser un auditeur par décision écrite et motivee, le Client devant alors en proposer un autre.

9.4 Frais. Les frais de l'audit sont supportes par le Client, y compris le temps consacre par l'Éditeur, facture au tarif d'intervention en vigueur. Par exception, si l'audit revele un manquement substantiel de l'Éditeur au présent accord, celui-ci supporte les frais raisonnables de l'audit et remedie au manquement à ses frais, dans un délai convenu entre les parties.

9.5 Mutualisation en réseau. Lorsque plusieurs Clients appartenant à un même réseau, groupe, enseigne ou franchise demandent un audit, ils designent un mandataire unique et l'audit est mutualise. Un audit mutualise vaut pour l'ensemble de ces Clients au titre de la période considérée.

9.6 Les constats d'audit sont confidentiels. Ils ne peuvent être communiques à un tiers autre qu'une autorité de contrôle ou un conseil tenu au secret professionnel, et ne peuvent être utilises à des fins concurrentielles.

10. Restitution et suppression des données en fin de contrat

10.1 À l'expiration ou à la résiliation du contrat, pour quelque cause que ce soit, le Client indique par écrit, dans les trente (30) jours, s'il souhaite la restitution ou la suppression des données personnelles traitées pour son compte. Ce choix appartient au Client, conformément à l'article 28.3 g) du Règlement.

10.2 Restitution. Pendant ce délai de trente (30) jours, le Client dispose dans son espace d'administration d'un export complet et gratuit aux formats CSV et JSON, comprenant les fiches clients, les réservations, les ventes, les factures et les journaux d'encaissement. Toute restitution dans un format spécifique, toute reprise assistee, toute migration vers un tiers et tout export posterieur à ce délai font l'objet d'un devis préalable.

10.3 Suppression. À l'expiration du délai de trente (30) jours, à défaut d'instruction écrite contraire du Client, l'Éditeur supprime les données personnelles des bases de production de manière irréversible. Cette suppression vaut exécution de l'obligation de l'article 28.3 g). Le Client reconnait qu'aucune recuperation ne sera ensuite possible et decharge l'Éditeur de toute demande à ce titre.

10.4 Sauvegardes. Les données présentes dans les sauvegardes chiffrées sont effacées par la rotation normale de celles-ci, selon la durée de rétention effectivement indiquee à l'annexe A. Pendant cette période, elles ne font l'objet d'aucun traitement autre que leur conservation puis leur destruction, et restent protegees par les mesures de l'annexe A.

10.5 Conservations imposées par la loi. Par exception au 10.3, l'Éditeur conserve, pour la seule durée légale et sans autre usage : les factures et pièces comptables le concernant ; les données dont la conservation est imposée par la réglementation applicable aux logiciels de gestion, de caisse et de comptabilité ; et les éléments strictement nécessaires à la constatation, à l'exercice ou à la défense d'un droit en justice, pendant la durée de la prescription applicable. Ces données sont isolees et ne font l'objet d'aucun usage commercial.

10.6 Suspension pour défaut de paiement. En cas de suspension du Service pour défaut de paiement, les données sont conservées en l'état, sans traitement autre que leur conservation, pendant quatre-vingt-dix (90) jours. L'accès à l'export est retabli après règlement des sommes dues. Passe ce délai, le 10.3 s'applique. Le Client conserve en tout état de cause, sans condition de paiement préalable, la faculte d'obtenir les seules données strictement nécessaires pour répondre à une demande d'exercice de droits d'une personne concernée ou à une injonction d'une autorité de contrôle.

10.7 L'Éditeur remet au Client, sur demande écrite formulée dans les quatre-vingt-dix (90) jours de la suppression, une attestation de suppression signée.

11. Répartition des responsabilités et sanctions

11.1 Chaque partie répond des obligations qui lui incombent personnellement au titre du Règlement. En application de l'article 82.2 du Règlement, l'Éditeur, sous-traitant, ne répond du dommage cause par le traitement que s'il n'a pas respecte les obligations du Règlement incombant spécifiquement aux sous-traitants, ou s'il a agi en dehors des instructions licites du Client ou contrairement à celles-ci.

11.2 Amendes administratives. Une amende prononcée par une autorité de contrôle présente un caractère personnel et est supportee par la partie qui en est destinataire. Aucune partie ne peut demander à l'autre, au titre d'une garantie, le remboursement d'une amende prononcée contre elle-même.

11.3 Par exception au 11.2, et sur le fondement du droit commun de la responsabilité contractuelle, la partie dont le manquement à ses propres obligations légales ou contractuelles est la cause de la mise en demeure, de l'injonction ou de l'amende subie par l'autre repare le préjudice qui en résulte, y compris les frais de défense justifies. Relèvent notamment du Client : les conséquences d'une instruction illicite, d'un défaut de base légale, d'un défaut d'information des personnes concernées, d'une prospection sans consentement, d'une saisie de données sensibles non annoncee, d'une mauvaise administration des comptes de ses utilisateurs et de l'usage qu'il fait des fonctionnalités du Service. Relèvent notamment de l'Éditeur : les conséquences d'un défaut de sécurité qui lui est imputable et d'un traitement effectue hors instruction du Client.

11.4 Action d'une personne concernée. Si une personne concernée agit contre l'une des parties en réparation d'un dommage sur le fondement de l'article 82 du Règlement, cette partie en informe l'autre dans les meilleurs délais et peut l'appeler en garantie. Les parties se communiquent les pièces utiles et n'acquiescent à aucune demande engageant l'autre sans son accord écrit. Dans leurs rapports entre elles, chaque partie supporte la part de la réparation correspondant à sa part de responsabilité dans le dommage, conformément à l'article 82.5 du Règlement.

11.5 Faits non imputables. L'Éditeur ne répond pas des dommages résultant : de la défaillance d'un sous-traitant ultérieur ayant lui-même respecte ses obligations contractuelles ; d'une attaque informatique menee avec des moyens que les mesures de l'annexe A ne pouvaient raisonnablement dejouer ; de la compromission d'un identifiant du Client ou de l'un de ses utilisateurs ; d'un service tiers relie par le Client au moyen de ses propres identifiants ; et plus généralement de tout fait qui ne lui est nullement imputable au sens de l'article 82.3 du Règlement.

11.6 Chaque partie informe l'autre, dans les meilleurs délais, de tout contrôle, demande, mise en demeure ou procédure d'une autorité de contrôle portant sur les traitements objet du présent accord, et ne communique à cette autorité, sur l'autre partie, que des informations exactes et nécessaires.

12. Plafond de responsabilité propre au présent accord

12.1 La responsabilité totale et cumulee de l'Éditeur au titre du présent accord, toutes causes confondues, ne peut excéder le plus eleve des deux montants suivants : le montant hors taxes des sommes effectivement versées par le Client au titre de son abonnement au cours des douze (12) mois précédant le fait générateur, ou cinq mille (5 000) euros. Ce plafond est global et non par sinistre.

12.2 Ce plafond n'est pas cumulable avec celui figurant aux conditions générales de vente : les deux stipulations constituent un plafond unique, non un plafond par document.

12.3 Sont exclus les dommages indirects, la perte de chiffre d'affaires, de bénéfice, de clientele ou d'image, ainsi que le préjudice résultant de l'action d'un tiers dont la cause se trouve dans un manquement du Client.

12.4 Les limitations du présent article ne s'appliquent ni au dol, ni à la faute lourde, ni aux dommages corporels, ni dans les cas ou la loi les ecarte. Elles ne s'appliquent pas davantage à la réparation due directement à une personne concernée en application de l'article 82 du Règlement, qui demeure regie par ce texte ; elles regissent en revanche integralement les rapports entre les parties, y compris l'action recursoire de l'article 82.5.

12.5 Le présent accord prévaut sur les conditions générales de vente pour tout ce qui concerne la protection des données personnelles. Pour le reste, les conditions générales de vente s'appliquent. Aucune condition de sous-traitance émanant du Client, aucun modèle d'accord de sous-traitance qu'il propose et aucune annexe de son propre contrat cadre ne s'applique, sauf acceptation écrite et signée par l'Éditeur.

12.6 Le présent accord entre en vigueur à la souscription et prend fin à l'achevement des opérations de restitution et de suppression prévues à l'article 10. Les stipulations relatives à la confidentialité, à la responsabilité, aux conservations imposées par la loi et à la compétence juridictionnelle survivent à son terme.

Annexe A. Sécurité - Annexe A

• TLS 1.3 en transit, AES-256 au repos (Supabase).
• Row Level Security PostgreSQL, isolation multi-tenant testée.
• Authentification forte (Supabase Auth), JWT courts.
• Rate limiting nginx, WAF fail2ban.
• Journalisation (audit log 12 mois).
• Sauvegardes chiffrées quotidiennes, rétention 30 j.
• Revue sécurité trimestrielle, pentest annuel (à partir 2027).

Annexe B - Sous-traitants ultérieurs

Liste à jour au 12 octobre 2026 : ajout de Telegram (section B.8), employé à cette date pour les alertes d'exploitation et pour les notifications des établissements qui les demandent. Localisations des sections B.1 à B.7 vérifiées techniquement (métadonnées d'hébergement, régions cloud, résolution DNS) et non déclaratives ; celle de la section B.8 provient de la politique de confidentialité de l'éditeur.

B.1 - Socle du service

B.2 - Paiement, facturation et obligations légales

B.3 - Communication avec les clients finaux

B.4 - Intelligence artificielle

B.5 - Réseaux sociaux et visibilité (activés par l'établissement)

B.6 - Intégrations propres à certains équipements

B.7 - Outils techniques recevant l'adresse IP des visiteurs

B.8 - Alertes d'exploitation et notifications sur messagerie

Toute modification de cette liste est notifiée 30 jours à l'avance, conformément à l'article 3 du présent accord.