Contrat de sous-traitance des données

01 Parties

RESPONSABLE DU TRAITEMENT (RESPONSABLE DEL TRATAMIENTO) : l’établissement qui ouvre un compte sur Kommyt et qui décide quelles données il recueille auprès des personnes qu’il gère et à quelle fin. Il est identifié à partir des données fournies lors de l’ouverture du compte.

SOUS-TRAITANT (ENCARGADO DEL TRATAMIENTO) : Luis Coronado, NIF 79273745-J, domicilié à Castellar del Vallès (Barcelona), España, qui développe et fournit le service Kommyt sous le nom commercial Ads&Nexus.

Contact du Sous-traitant en matière de protection des données : info@adsandnexus.com.

Le Sous-traitant est une personne physique. Il n’a pas désigné de délégué à la protection des données, aucune des hypothèses de l’article 37 du RGPD n’étant réunie ; si cette situation venait à se présenter, elle serait communiquée au Responsable.

02 Objet

Le présent contrat régit le traitement de données personnelles que le Sous-traitant réalise POUR LE COMPTE du Responsable à la suite de la fourniture du service Kommyt, conformément à l’article 28, paragraphe 3, du RGPD.

Il ne régit pas les données dont le Sous-traitant est responsable pour son propre compte (les coordonnées et données de facturation du client même de Kommyt), qui relèvent de la politique de confidentialité.

Il est conclu par l’acceptation expresse du Responsable dans le formulaire d’ouverture de compte. Cette acceptation est enregistrée avec la date, la version du texte et une empreinte cryptographique du contenu exact accepté, de sorte que les deux parties puissent établir ultérieurement ce qui a été signé.

03 Gratuité

Le présent contrat s’applique dans les mêmes termes que le service soit fourni contre rémunération ou gratuitement, notamment lors d’essais, de démonstrations ou de versions préliminaires.

L’absence de contrepartie ne réduit aucune des obligations du Sous-traitant, car le RGPD ne les subordonne pas au paiement.

04 Nature, finalité et durée du traitement

NATURE : collecte, enregistrement, structuration, conservation, consultation, modification, extraction, communication par transmission et effacement de données personnelles, au moyen de systèmes informatiques.

FINALITÉ : exclusivement fournir au Responsable les fonctions du CRM que celui-ci a souscrites et configurées : gestion des personnes qu’il prend en charge, rendez-vous et réservations, encaissements et consommations, inventaire, personnel, documents et autres fonctions incluses dans son forfait et dans son secteur.

DURÉE : tant que le Responsable maintient un compte actif. Une fois le service terminé, subsistent les obligations des clauses 9 (confidentialité) et 17 (restitution ou suppression).

05 Catégories de données personnelles

Le détail figure à l’Annexe I. En résumé, le Responsable peut saisir des données d’identification (nom et prénoms, numéro de document d’identité, date de naissance, adresse postale, téléphone, courriel), des images (photographie de la personne et copies du document d’identité recto et verso), des données économiques (consommations, cotisations, encaissements, soldes de porte-monnaie), des données d’activité (accès au local, participation à des cours ou événements, rendez-vous) et des données relatives à son personnel (horaires, pointages, contrats, rémunérations).

CATÉGORIES PARTICULIÈRES (article 9 du RGPD) : le service ADMET des données relatives à la santé lorsque le Responsable exerce une activité sanitaire ou de bien-être. Concrètement, l’historique des prestations fournies à une personne peut contenir des annotations cliniques ou esthétiques — y compris des allergies — ainsi que la facturation auprès de mutuelles ou d’assureurs. De même, les dossiers d’un cabinet professionnel peuvent refléter des données relatives à des procédures judiciaires au sens de l’article 10 du RGPD.

Le traitement de ces catégories par le Sous-traitant est fondé sur l’article 9, paragraphe 3, du RGPD, dans la mesure où il est effectué sous la responsabilité d’un professionnel soumis au secret ou de quiconque est tenu à un devoir de confidentialité équivalent, et il est soumis aux mesures renforcées de la clause 10.

Le Sous-traitant ne demande pas, ne consulte pas et n’utilise pas ces données à aucune finalité propre.

06 Catégories de personnes concernées

Les personnes que le Responsable gère par le biais du service, sous le nom qu’elles reçoivent dans leur secteur : membres, clients, patients, élèves ou utilisateurs.

Le personnel du Responsable dont les données sont saisies dans le service pour gérer les plannings, les pointages, les commissions ou les paies.

Les tiers liés à son activité dont le Responsable décide d’enregistrer les données, comme les personnes de contact de fournisseurs ou d’assureurs.

07 Instructions documentées

Le Sous-traitant ne traite les données que sur instructions documentées du Responsable, y compris celles relatives aux transferts internationaux.

Sont considérées comme instructions documentées : (a) le présent contrat ; (b) la configuration que le Responsable effectue dans le service, y compris l’activation d’intégrations facultatives ; et (c) les ordres qu’il transmet par écrit à l’adresse de contact du Sous-traitant depuis un compte disposant du profil de titulaire ou d’administrateur.

Le silence du Responsable ne vaut pas instruction. Face à une demande étrangère au présent contrat, le Sous-traitant s’abstiendra jusqu’à réception d’une instruction écrite.

Si le Sous-traitant estime qu’une instruction enfreint le RGPD ou la réglementation espagnole en matière de protection des données, il le communiquera sans délai au Responsable et pourra suspendre son exécution jusqu’à confirmation ou rectification.

Si le Sous-traitant devait traiter les données pour se conformer à une obligation légale, il en informera préalablement le Responsable, sauf si cette même norme l’interdit pour des motifs d’intérêt public.

08 Obligations du Responsable

Déterminer la finalité et les moyens du traitement, et disposer d’une base juridique valable pour les données qu’il saisit.

Informer les personnes concernées conformément aux articles 13 et 14 du RGPD, y compris de l’existence du présent contrat de sous-traitance. Le Sous-traitant n’a pas de relation avec ces personnes et ne peut pas les informer à sa place.

Réaliser, le cas échéant, l’analyse d’impact et les consultations préalables ; le Sous-traitant l’assistera conformément à la clause 15.

Ne saisir que les données nécessaires à son activité et les maintenir exactes et à jour.

Garder ses identifiants et ceux de son personnel, et retirer les accès de quiconque n’en a plus besoin.

Décider s’il active les intégrations facultatives de l’Annexe II, en sachant que certaines impliquent des transferts internationaux.

09 Confidentialité

Le Sous-traitant maintient le secret professionnel à l’égard des données auxquelles il accède ; cette obligation subsiste indéfiniment après la fin du contrat.

Le Sous-traitant garantit que toute personne agissant sous son autorité et accédant aux données s’est engagée par écrit à respecter la confidentialité avant d’obtenir l’accès, et a reçu information de ses obligations en matière de protection des données.

Le Sous-traitant tient à jour la liste des personnes ayant accès, qu’il mettra à la disposition du Responsable si celui-ci la demande.

À la date de la présente version, le Sous-traitant n’a pas de personnel à sa charge : le seul accès administratif est celui du titulaire lui-même.

10 Mesures de sécurité et limitations déclarées

Le Sous-traitant applique les mesures techniques et organisationnelles de l’article 32 du RGPD détaillées à l’Annexe III, parmi lesquelles l’isolement entre établissements au niveau de la base de données, le chiffrement en transit, le contrôle des accès par permissions, le journal d’audit des modifications et la limitation des tentatives d’accès.

RENFORCEMENT POUR LES CATÉGORIES PARTICULIÈRES : les fichiers susceptibles de contenir des données de santé ou des copies de documents d’identité sont stockés hors de la base de données, dans un dépôt privé, et ne sont servis que par l’application, après vérification de la session et de la permission. Il n’est jamais généré de liens publics ni d’adresses signées d’accès direct.

LIMITATIONS CONNUES. Le Sous-traitant informe expressément, afin que le Responsable puisse évaluer le risque avant d’accepter, qu’à la date de la présente version : (a) la limite de tentatives d’accès opère par instance et en mémoire, de sorte que si le service tournait sur plusieurs instances, la limite serait par instance et non globale ; et (b) le journal d’audit est isolé entre établissements par la base de données elle-même, mais il n’est pas inaltérable dans celle-ci : que seules des entrées soient ajoutées et qu’aucune ne soit modifiée ni effacée est garanti par l’application, car aucun chemin du programme ne les altère. C’est une propriété réelle et vérifiable, mais elle relève de l’application et non de la base de données.

Deux limitations que les versions précédentes de ce contrat déclaraient n’existent plus, et le Sous-traitant le dit ici au lieu de les effacer en silence : le chiffrement au repos au niveau de l’application est désormais appliqué (depuis le 8 septembre 2026, aux numéros de documents d’identité, aux données bancaires et aux copies du document), et la purge des données supprimées n’est plus faite sur demande mais de manière automatique et quotidienne (depuis le 18 septembre 2026).

SAUVEGARDES ET RESTAURATION. Le Sous-traitant réalise des sauvegardes automatiques quotidiennes de l’ensemble des bases de données du service. Chaque sauvegarde est CHIFFRÉE en AES-256 avant de quitter le serveur et est déposée sur un stockage distinct de celui qui héberge la base, de sorte que la perte du serveur ou du fournisseur d’hébergement n’entraîne pas aussi celle des sauvegardes. Les sauvegardes des 30 derniers jours sont conservées et les plus anciennes sont supprimées automatiquement, tant sur le serveur que sur le dépôt externe. Le fournisseur d’hébergement de la base maintient en outre une récupération à un instant antérieur dans sa fenêtre de rétention.

VÉRIFICATION QUE LES SAUVEGARDES SONT UTILISABLES. Une fois par mois, un exercice complet est réalisé — téléchargement, déchiffrement et restauration sur un système isolé, avec comptage des enregistrements —, car une sauvegarde qui n’est jamais restaurée n’est pas démontrée. En outre, un processus quotidien vérifie qu’il existe une sauvegarde récente de chaque base et avertit si elle vient à manquer. L’export intégré couvre l’intégralité des données du Responsable, et il est dérivé du schéma lui-même afin qu’aucune table n’échappe.

EFFET DES SAUVEGARDES SUR LA SUPPRESSION. Lorsque des données sont supprimées, elles cessent immédiatement d’être traitées par le service, mais elles peuvent subsister dans une sauvegarde jusqu’à l’expiration de celle-ci, au plus tard 30 jours plus tard. Pendant cet intervalle, les sauvegardes ne sont utilisées à aucune autre fin que la récupération du service.

La présente déclaration est une information, non une exonération : le Sous-traitant demeure soumis à l’article 32 du RGPD et répond de son non-respect.

Concernant les deux limitations qui subsistent, le Sous-traitant s’engage comme suit, et il le fait sous forme de condition plutôt que de date car elles sont de nature différente. La (a) sera corrigée AVANT que le service ne s’exécute sur plus d’une instance, moment où elle cesse d’être théorique ; fixer une date pour quelque chose qui n’a aujourd’hui aucun effet inviterait à le reporter au jour du changement, précisément quand il ne doit pas l’être. La (b) N’EST PAS un correctif en attente mais une décision de conception prise en connaissance de cause : l’inaltérabilité dans la base supposerait de renoncer à la purge automatique qui respecte les délais publiés dans la politique de confidentialité, et entre les deux protections on a choisi celle qui produit effet chaque jour. Le Sous-traitant informera le Responsable si cette décision change.

Les versions 1.1 et 1.2 de ce contrat promettaient de corriger les points en suspens avant le 31 décembre 2026. Trois des quatre limitations ont été corrigées avant ce délai, et la présente version l’atteste ci-dessus. La promesse est réécrite ainsi parce que, sur les deux qui restent, l’une ne sera pas corrigée, et maintenir une date dont on sait qu’elle ne sera pas tenue est pire que de n’en donner aucune.

Le Sous-traitant réexaminera périodiquement l’efficacité de ces mesures et pourra les remplacer par d’autres équivalentes ou supérieures, en en informant le Responsable trente jours à l’avance si le remplacement réduit le niveau de protection.

11 Sous-traitants ultérieurs

Le Responsable autorise de manière générale le Sous-traitant à recourir aux sous-traitants ultérieurs listés à l’Annexe II.

Le Sous-traitant communiquera au Responsable toute incorporation ou remplacement de sous-traitant ultérieur au moins quinze jours naturels à l’avance. Dans ce délai, le Responsable pourra s’y opposer par écrit et de manière motivée ; s’il le fait, le Sous-traitant n’intégrera pas ce sous-traitant ultérieur pour les données du Responsable ou, si cela empêchait de fournir le service, l’une ou l’autre des parties pourra résilier le contrat sans pénalité, en appliquant la clause 17.

Le Sous-traitant imposera à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données qu’il assume dans le présent document, et vérifiera qu’il offre des garanties suffisantes avant de le mandater.

Le Sous-traitant répond pleinement devant le Responsable du non-respect de ses sous-traitants ultérieurs.

Plusieurs intégrations de l’Annexe II sont DÉSACTIVÉES par défaut et ne sont mises en service que si le Responsable les configure. Tant qu’il ne le fait pas, aucune donnée ne sort vers elles.

12 Transferts internationaux

Certains sous-traitants ultérieurs de l’Annexe II sont établis hors de l’Espace économique européen, notamment les fournisseurs d’intelligence artificielle et le fournisseur de courrier électronique, établis aux États-Unis.

Le Sous-traitant n’effectuera aucun transfert hors de l’Espace économique européen sans le couvrir par un mécanisme valable du chapitre V du RGPD : décision d’adéquation, clauses contractuelles types ou toute autre garantie appropriée. Le Sous-traitant assume cette obligation et ne la reporte pas sur le Responsable.

L’assistant d’intelligence artificielle fonctionne avec une clé propre au Responsable : c’est celui-ci qui contracte directement avec le fournisseur choisi et qui accepte ses conditions. La clé n’est conservée que dans le navigateur de la personne qui la saisit et n’est pas stockée dans les systèmes du Sous-traitant. Néanmoins, la transmission s’effectue par le biais du service, c’est pourquoi le Sous-traitant l’inclut ici et applique la garantie décrite au paragraphe suivant.

Avant d’envoyer quoi que ce soit à un fournisseur d’intelligence artificielle, le service supprime du texte les numéros de documents d’identité, les adresses postales, les numéros de téléphone et les courriels personnels, les dates de naissance et les données bancaires. Seules les données opérationnelles nécessaires à la réponse sont transmises.

Pour les données de santé, la garantie est différente, et le Sous-traitant le dit clairement parce que la version précédente de ce contrat promettait de les supprimer, ce qui n’est pas possible : il n’existe aucun moyen fiable de reconnaître automatiquement une maladie rédigée en texte libre. Ce qui existe, et sur quoi repose la protection, c’est que les outils de l’assistant n’accèdent pas à cette donnée : ils ne peuvent demander que le nom, le numéro et le solde d’une personne, le nom et le prix d’un produit, un tableau de chiffres de l’établissement et la préparation d’un encaissement — jamais les champs de notes, où cette information pourrait être écrite. De plus, l’écran de l’assistant avertit qu’il ne faut pas y saisir de données de santé.

Le Responsable peut ne pas activer cette fonction ; s’il ne l’active pas, aucun transfert international n’a lieu pour ce motif.

Les données du service — base de données et serveurs d’application — sont hébergées intégralement dans l’Espace économique européen : Neon, Inc. à Francfort (Allemagne) et Hetzner Online GmbH à Nuremberg (Allemagne). Pour ces deux prestataires, il ne se produit AUCUN transfert international. Interviennent en revanche deux prestataires américains dans des fonctions accessoires : Cloudflare, Inc. et Resend (envoi de courriers transactionnels). Pour ces deux prestataires s’appliquent les clauses contractuelles types approuvées par la Commission européenne, intégrées à leurs conditions de traitement des données. Le Responsable peut en demander une copie en écrivant à info@adsandnexus.com. S’agissant de Cloudflare, il convient de préciser ce qu’il fait et ce qu’il ne fait pas, car la version précédente de ce contrat le décrivait comme un réseau de distribution et de protection du trafic, ce qui n’est pas exact : il fournit le dépôt de fichiers de l’Annexe II et héberge la zone de noms de domaine, mais le trafic du service NE passe PAS par son réseau — il arrive directement au serveur d’application. Les fichiers qu’il stocke sont en revanche des données du Responsable, y compris les copies du document d’identité, et c’est pourquoi il figure à l’Annexe II avec cette fonction et non une autre.

13 Assistance aux droits des personnes concernées

Il appartient au Responsable de répondre aux demandes d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition des personnes concernées. Le Sous-traitant ne répondra pas directement à ces personnes.

Si une personne concernée s’adressait au Sous-traitant, celui-ci la renverra au Responsable et le lui communiquera sans délai et en tout état de cause dans les vingt-quatre heures, avec les données nécessaires pour la prendre en charge.

Le Sous-traitant assistera le Responsable par des mesures techniques et organisationnelles appropriées et lui fournira ce dont il a besoin dans un délai maximum de cinq jours ouvrables à compter de la demande écrite, afin que le Responsable puisse respecter le délai d’un mois prévu à l’article 12, paragraphe 3, du RGPD.

Le service intègre des fonctions de consultation, de correction, d’export et de suppression qui permettent au Responsable de traiter lui-même la plupart des demandes.

14 Violations de la sécurité

Le Sous-traitant notifiera au Responsable toute violation de la sécurité des données sans retard injustifié et, en tout état de cause, dans les vingt-quatre heures suivant en avoir eu connaissance. Le délai est fixé à vingt-quatre heures précisément pour que le Responsable dispose de la marge nécessaire dans les soixante-douze heures que l’article 33 du RGPD lui accorde à l’égard de l’autorité de contrôle.

La notification sera envoyée à l’adresse de contact que le Responsable a fournie lors de l’ouverture de compte, et décrira la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements affectés, les conséquences probables et les mesures prises ou proposées.

S’il n’est pas possible de fournir toutes ces informations en même temps, elles seront transmises de manière échelonnée sans délai supplémentaire.

Le Sous-traitant documentera toute violation et apportera au Responsable la collaboration nécessaire pour la notifier à l’autorité de contrôle et, le cas échéant, aux personnes concernées.

La notification à l’Agence espagnole de protection des données et aux personnes concernées incombe au Responsable, sauf instruction écrite contraire.

15 Assistance pour les analyses d’impact

Le Sous-traitant assistera le Responsable dans la réalisation d’analyses d’impact relatives à la protection des données et dans les consultations préalables auprès de l’autorité de contrôle, lorsqu’elles s’avèrent nécessaires conformément aux articles 35 et 36 du RGPD.

À cette fin, il lui fournira les informations sur le traitement dont il dispose, dans un délai maximum de dix jours ouvrables à compter de la demande écrite.

Le Sous-traitant attire l’attention sur le fait que le traitement de données de santé à grande échelle et le suivi systématique de la présence physique peuvent exiger une analyse d’impact : l’appréciation revient au Responsable.

16 Audits et information

Le Sous-traitant mettra à la disposition du Responsable toute information nécessaire pour démontrer le respect des obligations de l’article 28 du RGPD, dans un délai maximum de dix jours ouvrables à compter de la demande écrite.

Le Sous-traitant permettra et contribuera aux audits, y compris aux inspections, réalisés par le Responsable ou par un auditeur qu’il mandate. Ils seront coordonnés moyennant un préavis raisonnable, pendant les heures ouvrables, sans compromettre la sécurité ni la confidentialité d’autres clients, et au plus une fois par an, sauf en cas de violation de la sécurité ou de demande de l’autorité de contrôle.

Le coût de l’audit est supporté par celui qui le demande, sauf s’il révèle un manquement du Sous-traitant, auquel cas celui-ci le supportera.

Le Sous-traitant répondra sans délai aux demandes de l’autorité de contrôle compétente.

17 Restitution ou suppression à la fin

Une fois la prestation du service terminée, le Sous-traitant, AU CHOIX DU RESPONSABLE, restituera les données ou les supprimera, ainsi que les copies existantes, sauf si le droit de l’Union ou le droit espagnol exige de les conserver.

Le Responsable communiquera son choix par écrit. S’il ne le fait pas, le Sous-traitant le relancera et, à défaut de réponse, procédera à la RESTITUTION et non à la suppression : détruire des données sur le silence de l’autre partie pourrait causer un préjudice irréversible au Responsable et aux personnes concernées.

La restitution sera réalisée dans un délai maximum de trente jours naturels à compter de la fin, sous un format structuré et d’usage courant. Elle comprend l’intégralité des données du Responsable, y compris celles que les fonctions d’export intégrées ne couvrent pas encore et que le Sous-traitant extraira pour cette remise.

La suppression, lorsqu’elle est l’option choisie, s’étend aussi aux données effacées de manière logique et aux fichiers stockés dans le dépôt d’objets, et sera attestée par une certification écrite.

Pendant toute la durée du processus, le Sous-traitant conservera les données bloquées, sans les traiter à aucune autre fin.

EXCEPTION UNIQUE À LA RÈGLE DU SILENCE : L’ESSAI GRATUIT. Le service débute par une période d’essai gratuite d’un mois. Si le Responsable ne la convertit pas en abonnement payant avant la fin de l’essai, il ordonne dès à présent, par la signature du présent contrat, la SUPPRESSION des données, et non leur restitution. Cette instruction anticipée est le choix que le premier alinéa réserve au Responsable, exercé par avance et uniquement pour ce cas ; elle ne s’applique à aucune autre forme de fin de la relation.

La suppression n’est ni immédiate ni silencieuse. Entre la fin de l’essai et l’effacement s’écoulent quinze jours naturels, et le Sous-traitant avertit le Responsable par courriel, à l’adresse du titulaire du compte, à trois moments : sept jours avant la fin de l’essai ; le jour même de sa fin, en indiquant la date exacte de l’effacement ; et une fois celui-ci réalisé, pour l’attester.

Pendant ces quinze jours, le Responsable conserve trois possibilités, et chacune d’elles interrompt l’effacement : convertir le compte en abonnement payant, exporter ses données avec les fonctions intégrées, ou demander par écrit la restitution conformément au troisième alinéa. La demande de restitution PRÉVAUT sur la suppression : formulée dans les délais, rien n’est supprimé tant qu’elle n’a pas été exécutée.

Une fois l’essai terminé, l’accès au service est suspendu pendant le délai de grâce. La suspension n’est pas l’effacement : les données subsistent, bloquées et sans être traitées à aucune autre fin, et redeviennent disponibles dès que le Responsable convertit le compte.

18 Responsabilité

Chaque partie répond des dommages qu’elle cause par le manquement à ses obligations, conformément à l’article 82 du RGPD.

Aucune clause du présent contrat ne limite ni n’exclut la responsabilité du Sous-traitant envers les personnes concernées ni envers les autorités de contrôle, laquelle est impérative et ne peut être amoindrie par convention.

Le Sous-traitant ne répond pas des dommages découlant d’instructions du Responsable qui enfreignent la réglementation, à condition qu’il l’ait averti conformément à la clause 7, ni de l’absence de base juridique ou d’information aux personnes concernées, qui incombent au Responsable.

Le Sous-traitant répond des dommages causés par le traitement lorsqu’il n’a pas respecté les obligations du RGPD qui visent spécifiquement les sous-traitants, ou qu’il a agi en dehors des instructions licites du Responsable.

19 Modification du contrat

Le Sous-traitant pourra modifier le présent contrat pour l’adapter à des évolutions normatives, à des décisions de l’autorité de contrôle ou à des changements du service.

Les modifications seront communiquées au Responsable trente jours naturels à l’avance. S’il ne les accepte pas, il pourra résilier le contrat dans ce délai, en appliquant la clause 17.

Chaque version conserve son numéro et son empreinte cryptographique, afin de pouvoir déterminer à tout moment quel texte était en vigueur et lequel a été accepté.

20 Droit applicable et for

Le présent contrat est régi par le Règlement (UE) 2016/679, par la loi organique 3/2018 relative à la protection des données personnelles et à la garantie des droits numériques (Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales), ainsi que par le reste de la législation espagnole applicable.

Pour tout litige, les parties se soumettent aux juridictions de Barcelone (Barcelona). Si le Responsable a la qualité de consommateur, le for qui lui est légalement applicable sera compétent.

21 Annexe I. Données et personnes concernées

IDENTIFIANTS : nom et prénoms, numéro de membre ou de client, numéro de document d’identité, date de naissance, adresse postale, téléphone et courriel.

IMAGES : photographie de la personne et copies du document d’identité recto et verso.

ÉCONOMIQUES : consommations, cotisations, encaissements, remboursements, soldes de porte-monnaie et devis.

D’ACTIVITÉ : entrées et sorties du local, capacité d’accueil, participation à des cours, événements et tournois, rendez-vous et réservations.

SALARIÉS, du personnel du Responsable : contrat, horaires, plannings, pointages, commissions et éléments de paie.

DE CATÉGORIE PARTICULIÈRE, lorsque l’activité du Responsable le comporte : annotations de l’historique des prestations pouvant refléter un état de santé ou des allergies, et données de facturation auprès de mutuelles ou d’assureurs.

RELATIVES À DES INFRACTIONS OU PROCÉDURES, lorsque le Responsable est un cabinet professionnel : objet du dossier, juridiction et numéro de procédure.

TECHNIQUES ET DE TRAÇABILITÉ : adresse IP, identifiant du navigateur, date et heure de chaque accès et journal d’audit des modifications.

PERSONNES CONCERNÉES : les personnes gérées par le Responsable — membres, clients, patients, élèves ou utilisateurs —, son personnel, et les personnes de contact de ses fournisseurs et assureurs.

22 Annexe II. Sous-traitants ultérieurs

HÉBERGEMENT DE LA BASE DE DONNÉES — PostgreSQL géré par Neon, Inc. Il stocke l’intégralité des données du service. Localisation : région AWS Europe Centrale 1 (Francfort, Allemagne), au sein de l’Espace économique européen. Statut : toujours actif.

SERVEUR D’APPLICATION — Hetzner Online GmbH. Il exécute le programme et traite les requêtes ; les données demeurent dans la base de données et dans le dépôt de fichiers. Localisation : Nuremberg (Allemagne), au sein de l’Espace économique européen. Statut : toujours actif.

DÉPÔT DE FICHIERS — stockage d’objets compatible S3, sur Cloudflare R2. Il stocke les photographies et les documents, y compris les copies du document d’identité, ainsi que les sauvegardes chiffrées de la base. Localisation : région européenne. Statut : ACTIF. Les versions précédentes de ce contrat le déclaraient prévu et désactivé par défaut, ce qui a cessé d’être exact dès sa configuration ; cela est corrigé ici, car l’endroit où sont conservées les copies du document d’identité conditionne une grande partie de ce que le Responsable doit évaluer.

COURRIER ÉLECTRONIQUE — Resend, États-Unis. Il envoie des communications aux personnes gérées : destinataire, objet et contenu du message. Statut : DÉSACTIVÉ par défaut ; il n’est activé que si la clé du service est configurée.

INTELLIGENCE ARTIFICIELLE — Anthropic, OpenAI, Google et Groq, États-Unis. Ils reçoivent les requêtes de l’assistant et les données opérationnelles nécessaires pour y répondre, après la suppression préalable décrite à la clause 12. Ils fonctionnent avec une clé propre au Responsable, conservée uniquement dans son navigateur. Statut : DÉSACTIVÉ par défaut ; il n’est activé que si le Responsable saisit une clé.

Le système d’identification et de sessions s’exécute au sein même de l’infrastructure du service et n’envoie de données à aucun tiers. Aucun outil d’analyse, de publicité ni de télémétrie de tiers n’est utilisé.

23 Annexe III. Mesures de sécurité

CLOISONNEMENT ENTRE ÉTABLISSEMENTS : sécurité au niveau des lignes dans la base de données, de sorte que chaque requête est restreinte à l’établissement de la session. Aucun client ne peut lire ni modifier les données d’un autre.

CONTRÔLE D’ACCÈS : identification par identifiant et mot de passe, et autorisation par rôles et permissions par module. Les mots de passe sont stockés au moyen d’une fonction de dérivation de clé avec sel (scrypt), jamais en clair.

SESSIONS : cookies inaccessibles depuis le navigateur, avec expiration au bout de sept jours. La session se prolonge à l’usage, au plus une fois toutes les quinze minutes. La révocation peut prendre jusqu’à cinq minutes à se propager en raison de l’utilisation d’un cache de session.

CHIFFREMENT EN TRANSIT : HTTPS obligatoire, avec une politique de transport strict de deux ans et sous-domaines inclus.

EN-TÊTES DE SÉCURITÉ : politique de contenus restrictive, interdiction d’intégration dans des cadres, blocage de la détection du type de contenu et politique d’autorisations restreinte.

PROTECTION CONTRE LA FORCE BRUTE : douze tentatives d’accès toutes les cinq minutes par adresse, et limites supplémentaires sur les autres routes d’authentification.

TRAÇABILITÉ : journal d’audit avec auteur, action, entité concernée, date, adresse IP et valeurs antérieure et postérieure.

FICHIERS : dépôt privé, sans liens publics ni adresses signées ; les octets ne sont toujours servis que par l’application, après vérification de la session et de la permission.

SECRETS : les identifiants des services sont lus à partir de variables d’environnement et ne figurent pas dans le code.

Les insuffisances connues de la présente annexe sont déclarées à la clause 10 et ne doivent pas être considérées comme comblées par l’énumération qui précède.