Accord de traitement des données personnelles (DPA) — Trait d'État
Brouillon éditeur — à faire viser par un conseil. Ne constitue pas un avis juridique.
Modèle inspiré des clauses types UE (sous-traitance RGPD) — à adapter par un conseil.
Client (Responsable de traitement) : [À COMPLÉTER — État / entité]
Éditeur (Sous-traitant) : [À COMPLÉTER — raison sociale]
Date / référence contrat : [À COMPLÉTER]
1. Objet et durée
Le présent accord encadre le traitement des données personnelles effectué par l'Éditeur pour le compte du Client dans le cadre du service SaaS Trait d'État. Il prend effet à la date du contrat cadre et demeure en vigueur tant que l'Éditeur traite des données personnelles pour le Client.
2. Rôles
- Le Client est responsable de traitement des données personnelles de ses agents et utilisateurs autorisés.
- L'Éditeur agit en qualité de sous-traitant, uniquement sur instruction documentée du Client (utilisation du service conforme aux CGU, annexe périmètre et paramétrage du tenant).
3. Nature et finalités du traitement
Fourniture de l'application Trait d'État : authentification (magic link / code e-mail, TOTP pour rôles PR/SGPR/MDC), gestion des comptes nominatifs, pilotage du PAG fourni par le Client, journal d'audit, support technique.
4. Catégories de données et personnes concernées
Voir la politique de confidentialité (confidentialite.md). Personnes concernées : agents et utilisateurs habilités du Client.
5. Instructions du Client
Le Client instruit l'Éditeur via : (i) l'utilisation normale du produit ; (ii) les demandes support sur canal [À COMPLÉTER — e-mail support] ; (iii) les actes d'administration tenant (/platform) lorsque le Client mandate l'Éditeur.
L'Éditeur informe le Client si une instruction paraît contraire au droit applicable.
6. Confidentialité
L'Éditeur s'assure que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.
7. Mesures de sécurité
Mesures techniques et organisationnelles appropriées, notamment :
- Chiffrement des communications (TLS) ;
- Isolation multi-tenant (RLS Postgres par
organization_id) ; - Secrets TOTP des comptes à privilèges stockés chiffrés (pas en clair) ;
- Sauvegardes chiffrées et procédure de restauration testée (
docs/ops/backup.md, lot S4) ; - Refus de journalisation des codes magic, tokens et secrets ;
- Rate-limiting sur les endpoints d'authentification.
Détail complémentaire : [À COMPLÉTER — registre sécurité / annexes techniques].
8. Sous-traitants ultérieurs
Le Client autorise l'Éditeur à faire appel aux sous-traitants suivants (liste initiale) :
| Sous-traitant | Service | Localisation indicative | | --- | --- | --- | | [À COMPLÉTER — hébergeur compute] | Exécution applicative Trait d'État | [À COMPLÉTER] | | [À COMPLÉTER — fournisseur Postgres] | Base de données managée | [RÉGION POSTGRES — À COMPLÉTER] | | [À COMPLÉTER — fournisseur SMTP] | E-mails transactionnels | [À COMPLÉTER] |
L'Éditeur informe le Client de tout changement substantiel de sous-traitant selon le contrat cadre [À COMPLÉTER — préavis / objection].
9. Résidence des données
Les données personnelles traitées dans le cadre de Trait d'État sont hébergées dans la région : [RÉGION POSTGRES — À COMPLÉTER].
10. Assistance au Client
L'Éditeur aide le Client, dans la limite du raisonnable et du contrat, pour : registres, analyses d'impact, demandes d'exercice des droits, notifications à l'autorité de contrôle — lorsque le traitement par l'Éditeur est concerné.
11. Violations de données
L'Éditeur notifie le Client sans retard injustifié après prise de connaissance d'une violation de données personnelles la concernant, avec les informations disponibles pour permettre au Client de notifier l'autorité si requis.
12. Restitution et suppression
À la fin du contrat, sur instruction du Client :
- restitution des données exportables selon les moyens techniques disponibles [À COMPLÉTER — format / délai] ;
- suppression des données personnelles des environnements actifs, sauf conservation imposée par la loi ou nécessaire pour le journal d'audit (durée convenue, ex. 5 ans) et les sauvegardes dans la fenêtre de rétention S4, puis suppression selon cycle de vie des backups.
13. Audits
Le Client peut exercer les droits d'audit prévus au contrat cadre [À COMPLÉTER — fréquence, cadre, confidentialité].
14. Contact
Point de contact sécurité / données côté Éditeur : [À COMPLÉTER — e-mail]