Accord de traitement des données (DPA)
Version 2026-09-29
Le présent accord complète les conditions d’utilisation et s’applique lorsque [À COMPLÉTER : dénomination sociale] (le « Sous-traitant ») traite, pour le compte du client (le « Responsable de traitement »), des données personnelles contenues dans les logs et métadonnées envoyés au Service, conformément à l’article 28 du RGPD.
1. Description du traitement
- Objet et nature : collecte, stockage, indexation, recherche, agrégation (issues, statistiques), alertes et notification à partir des logs envoyés par le client.
- Durée : celle du contrat, plus la période de suppression prévue à l’article 8.
- Catégories de personnes : utilisateurs finaux et collaborateurs du client, tels qu’ils apparaissent dans ses logs.
- Catégories de données : celles que le client choisit d’envoyer (identifiants, adresses IP, e-mails, traces d’erreur…). Le client s’engage à ne pas envoyer de données sensibles (art. 9 RGPD) ni de données de paiement.
2. Instructions
Le Sous-traitant traite les données uniquement sur instruction documentée du client (contrat, configuration du Service, appels d’API) ; il l’informe s’il estime qu’une instruction viole le RGPD.
3. Confidentialité
Les personnes autorisées à traiter les données sont tenues à la confidentialité et n’y accèdent que si nécessaire (support demandé par le client, sécurité, maintenance).
4. Sécurité (art. 32)
Mesures techniques et organisationnelles : cloisonnement des données par organisation et projet, contrôle d’accès par rôles, authentification forte des sessions, chiffrement en transit, chiffrement des secrets applicatifs, masquage configurable des données sensibles à l’ingestion, limitation de débit, journal d’audit, sauvegardes, procédure de gestion des incidents.
5. Sous-traitants ultérieurs
Le client autorise le recours aux sous-traitants ultérieurs suivants. Toute modification est notifiée au moins 30 jours à l’avance ; le client peut s’y opposer pour un motif raisonnable et, à défaut d’accord, résilier sans pénalité.
| Rôle | Prestataire | Données concernées |
|---|---|---|
| Hébergement de l’infrastructure | [À COMPLÉTER : hébergeur (nom, adresse, pays)] | Toutes les données du service — [À COMPLÉTER : région d’hébergement des données (ex. UE — Francfort)] |
| Paiement — « Merchant of Record » | Paddle.com Market Limited | Facturation, TVA, moyens de paiement (Tailowl ne reçoit jamais votre numéro de carte) |
| Envoi des e-mails transactionnels | [À COMPLÉTER : prestataire d’envoi d’e-mails (ex. Postmark, Resend, Amazon SES)] | Adresse e-mail, nom, contenu du message (vérification, réinitialisation, invitation) |
Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes et reste responsable de leur exécution.
6. Droits des personnes
Le Sous-traitant aide le client à répondre aux demandes d’exercice de droits, notamment par les outils en libre-service : export des logs d’un projet, purge des logs, suppression de projet ou de compte. Toute demande reçue directement d’une personne concernée est transmise au client.
7. Violation de données
Le Sous-traitant notifie le client dans les meilleurs délais, et au plus tard 48 heures après en avoir eu connaissance, en fournissant les informations utiles pour ses propres obligations de notification.
8. Sort des données en fin de contrat
À la fermeture du compte, ou à la suppression d’un projet ou d’une organisation, les données sont effacées de la base active immédiatement et des sauvegardes sous 30 jours maximum. Avant cela, le client peut exporter ses données.
9. Audit et documentation
Le Sous-traitant met à disposition les informations nécessaires pour démontrer sa conformité et permet des audits raisonnables (au plus une fois par an, préavis de 30 jours, aux frais du client, dans le respect de la confidentialité), y compris par la fourniture de rapports de sécurité ou de tests.
10. Transferts hors EEE
Les données sont hébergées : [À COMPLÉTER : région d’hébergement des données (ex. UE — Francfort)]. Aucun transfert hors de l’Espace économique européen n’est réalisé sans garanties appropriées (décision d’adéquation ou clauses contractuelles types).