Accord de sous-traitance des données (DPA)

Parties

• Le Client, titulaire d'une organisation DeckPuls, agissant en qualité de responsable du traitement (ci-après « le Responsable ») ;
• [À COMPLÉTER : raison sociale de l'éditeur], [À COMPLÉTER : forme juridique, adresse du siège et numéro d'immatriculation de l'éditeur], éditeur du service DeckPuls, agissant en qualité de sous-traitant (ci-après « le Sous-traitant »).

Lorsque le Client est un revendeur qui gère des organisations pour ses propres clients, il agit lui-même en qualité de sous-traitant de ces derniers ; le Sous-traitant est alors son sous-traitant ultérieur, et le revendeur répercute à ses clients des obligations équivalentes.

1. Objet

Le présent accord définit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable, les données personnelles nécessaires à la fourniture du service d'affichage dynamique DeckPuls (« le Service »). Les termes « données personnelles », « traitement », « violation de données », « personne concernée » et « sous-traitant ultérieur » ont le sens que leur donne le RGPD.

2. Description du traitement

La nature, la finalité, les catégories de données et de personnes concernées et la durée du traitement sont décrites en annexe 1.

3. Durée

L'accord s'applique pendant toute la durée d'utilisation du Service par le Responsable, puis jusqu'à la restitution et à la suppression des données prévues à l'article 12.

4. Instructions du Responsable

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable. Constituent ces instructions : les CGU, le présent accord, ainsi que les réglages et actions effectués par le Responsable et ses utilisateurs dans le dashboard ou au moyen de l'API (import de contenus, activation de modules connectés, programmation, invitations, durées d'expiration, suppressions…).

Le Sous-traitant informe immédiatement le Responsable si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition du droit de l'Union ou du droit français. Il peut traiter des données sans instruction lorsque le droit de l'Union ou le droit français l'y oblige ; il en informe alors le Responsable, sauf si la loi l'interdit.

5. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et n'y accèdent que dans la mesure nécessaire à leurs missions (exploitation, sécurité, support).

6. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en annexe 2, afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Il peut les faire évoluer, à condition de ne pas réduire le niveau de sécurité global.

7. Sous-traitants ultérieurs

Le Responsable autorise de manière générale le recours aux sous-traitants ultérieurs listés en annexe 3. Le Sous-traitant informe le Responsable de tout ajout ou remplacement au moins [À COMPLÉTER : délai de préavis avant un changement de sous-traitant ultérieur (par exemple 30 jours)] à l'avance, par email ou dans le dashboard. Le Responsable peut s'y opposer pour un motif raisonnable lié à la protection des données ; à défaut d'accord, il peut résilier le contrat sans pénalité.

Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données au moins équivalentes à celles du présent accord, et reste responsable de leur exécution envers le Responsable.

Les services tiers que le Responsable relie lui-même au Service au moyen des modules connectés (annexe 3, second tableau) sont choisis et activés sur sa seule instruction. Ils agissent selon leurs propres conditions, et ne sont pas des sous-traitants ultérieurs choisis par le Sous-traitant.

8. Transferts hors de l'Union européenne

Le Sous-traitant héberge les données en France et dans l'Union européenne et ne les transfère pas hors de l'Union européenne, sauf instruction du Responsable (notamment l'activation d'un module connecté à un service tiers établi hors de l'Union) ou obligation légale. Tout transfert réalisé par un sous-traitant ultérieur est encadré par l'un des mécanismes du chapitre V du RGPD et indiqué en annexe 3.

9. Droits des personnes concernées

Le Sous-traitant aide le Responsable, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes. Le dashboard et l'API permettent au Responsable de consulter, corriger, exporter et supprimer lui-même les données de son organisation. Si une personne adresse directement sa demande au Sous-traitant, celui-ci la transmet sans délai au Responsable et n'y répond pas lui-même, sauf instruction.

10. Violations de données

Le Sous-traitant notifie au Responsable toute violation de données personnelles dans les meilleurs délais et au plus tard [À COMPLÉTER : délai maximal de notification d'une violation au Responsable (par exemple 48 heures)] après en avoir pris connaissance, à l'adresse email du propriétaire de l'organisation. La notification précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Les informations non disponibles immédiatement sont communiquées dès que possible.

Il appartient au Responsable de notifier la violation à l'autorité de contrôle et, le cas échéant, aux personnes concernées ; le Sous-traitant l'y assiste.

11. Assistance et documentation

Le Sous-traitant aide le Responsable à réaliser, le cas échéant, une analyse d'impact relative à la protection des données et la consultation préalable de l'autorité de contrôle, en lui communiquant les informations dont il dispose sur le Service.

Il tient le registre des traitements effectués pour le compte de ses clients prévu à l'article 30.2 du RGPD.

Il met à la disposition du Responsable les informations nécessaires pour démontrer le respect du présent accord. Le Responsable peut faire réaliser un audit, au plus une fois par an et à ses frais, par un auditeur indépendant tenu au secret, moyennant un préavis de 30 jours et selon des modalités qui ne compromettent ni la sécurité du Service ni la confidentialité des données des autres clients. Un audit supplémentaire est possible après une violation de données concernant le Responsable.

12. Fin du traitement : restitution et suppression

Jusqu'à la fin du contrat, le Responsable peut exporter ses contenus, rapports et statistiques depuis le dashboard ou au moyen de l'API. À la fin du contrat, le Sous-traitant supprime les données de l'organisation dans un délai de [À COMPLÉTER : délai de suppression des données après la fin du contrat], et des sauvegardes dans un délai de [À COMPLÉTER : délai de suppression des données dans les sauvegardes], sauf obligation légale de conservation. Il confirme la suppression par écrit sur demande.

Pendant le contrat, les purges automatiques décrites en annexe 1 s'appliquent.

13. Obligations du Responsable

Le Responsable :

• s'assure que les traitements qu'il confie reposent sur une base légale et que les personnes concernées sont informées, notamment les personnes figurant dans les contenus diffusés et les utilisateurs de son organisation ;
• ne confie pas au Service de catégories particulières de données (article 9 du RGPD) ni de données relatives aux infractions, sauf nécessité et mesures adaptées ;
• gère les accès de ses utilisateurs (rôles, groupes, double authentification) et la confidentialité de ses identifiants, clés et secrets ;
• apprécie, avant de les activer, les conséquences des modules connectés à des services tiers ;
• documente par écrit toute instruction particulière.

14. Responsabilité et droit applicable

Chaque partie répond des manquements qui lui sont imputables dans les conditions de l'article 82 du RGPD et des CGU. Le présent accord est soumis au droit français ; les litiges relèvent de la juridiction désignée dans les CGU. En cas de contradiction entre le présent accord et les CGU sur la protection des données, le présent accord prévaut.

Annexe 1 — Description du traitement

Nature des opérations

Hébergement, stockage, conversion (formats, pages, vignettes) et transmission des contenus aux écrans ; supervision et pilotage des écrans ; collecte des preuves de diffusion et calcul de statistiques ; envoi d'emails d'alerte et de rapports ; appels aux services tiers configurés par le Responsable ; sauvegarde et suppression.

Finalité

Fourniture du service d'affichage dynamique DeckPuls au Responsable.

Personnes concernées

Utilisateurs de l'organisation du Responsable (salariés, prestataires, clients d'un revendeur) ; personnes figurant dans les contenus diffusés (images, vidéos, textes, événements d'agenda, avis, publications, annonces) ; destinataires des alertes et rapports. Les personnes qui regardent les écrans ne sont pas concernées : le Service n'effectue aucune captation ni mesure d'audience.

Catégories de données

Données d'identification et de contact des utilisateurs (email, nom, prénom, téléphone facultatif) ; données de connexion et de sécurité (journal d'audit, double authentification, identité SSO) ; contenus et données qu'ils contiennent ; captures d'écran ; preuves de diffusion ; données techniques des écrans et journaux d'événements.

Localisation

France et Union européenne ([À COMPLÉTER : nom de l'hébergeur et pays du centre de données]).

Annexe 2 — Mesures de sécurité

Contrôle des accès

• Mots de passe enregistrés uniquement sous forme hachée (bcrypt) ; jetons d'accès de courte durée (15 minutes) et renouvellement avec rotation.
• Double authentification (TOTP), pouvant être imposée à toute l'organisation ; SSO OpenID Connect.
• Rôles (propriétaire, gestionnaire, éditeur, lecteur) et restriction des utilisateurs à des groupes d'écrans ; clés d'API à portée lecture ou écriture, affichées une seule fois et révocables.
• Limitation du nombre de tentatives sur la connexion, la double authentification, le mot de passe oublié, l'inscription, l'appairage et le contact.

Cloisonnement et intégrité

• Chaque requête est limitée à l'organisation de l'appelant ; un objet d'une autre organisation est traité comme inexistant.
• Jeton propre à chaque écran et à chaque boîtier, révocable ; appairage par code à durée limitée, refusé pour un écran déjà rattaché à une autre organisation.
• Fichiers servis uniquement par des liens signés ; secrets des modules et des webhooks jamais réaffichés ; webhooks signés (HMAC-SHA256).

Traçabilité

• Journal d'audit des actions sensibles (droits, clés, suppressions, appairages, commandes, validation des médias), conservé 400 jours.
• Journal des événements par écran et preuves de diffusion horodatées.

Infrastructure

• Échanges chiffrés en HTTPS ; services applicatifs à l'écoute uniquement en local derrière le serveur web frontal.
• Players sans port entrant : ils se connectent au Service en sortie. Sur le mini PC DeckPuls Box, l'interface locale de l'agent n'écoute que sur l'adresse locale (127.0.0.1) et le navigateur est piloté sans port réseau.
• Purges automatiques selon les durées de l'annexe 1.
• [À COMPLÉTER : mesures propres à l'hébergement (sauvegardes, chiffrement des disques, sécurité physique, certifications de l'hébergeur)]

Organisation

• Accès aux systèmes de production limité aux personnes habilitées de l'éditeur.
• [À COMPLÉTER : mesures organisationnelles (procédure de gestion des incidents, gestion des habilitations, sensibilisation du personnel)]

Annexe 3 — Sous-traitants ultérieurs et services tiers

Le service Open-Meteo, interrogé pour le module Météo avec le seul nom de la ville configurée, ne reçoit aucune donnée personnelle.

Signatures (version signée sur demande)