Contrat de sous-traitance (DPA)
Accord relatif au traitement des données à caractère personnel — article 28 du RGPD Dernière mise à jour : 20 juin 2026
Le présent accord (« DPA ») fait partie intégrante des CGV conclues entre :
- Le Responsable de traitement : la salle cliente souscrivant au Service (le « Client » ou « Responsable ») ;
- Le Sous-traitant : Mathieu Augas, entrepreneur individuel exerçant sous le nom commercial Prestigia (« Prestigia »).
1. Objet
Le présent DPA encadre les traitements de données à caractère personnel que Prestigia réalise pour le compte et sur instruction documentée du Responsable dans le cadre de la fourniture du Service Agent Tom.
2. Description du traitement (article 28.3)
- Nature et finalité : collecte d'avis et d'enquêtes de satisfaction auprès des adhérents du Responsable, gestion des réponses aux avis, envoi d'e-mails liés.
- Durée : durée du contrat entre le Responsable et Prestigia.
- Catégories de personnes : adhérents et prospects de la salle du Responsable.
- Catégories de données : identité (nom, prénom), coordonnées (e-mail, téléphone), réponses aux enquêtes (score NPS, commentaires), données relatives aux avis. Aucune donnée sensible n'est traitée.
3. Obligations de Prestigia (sous-traitant)
Prestigia s'engage à :
- Traiter les données uniquement sur instruction documentée du Responsable, y compris pour les transferts, sauf obligation légale (auquel cas elle en informe le Responsable) ;
- Garantir la confidentialité des données et s'assurer que les personnes autorisées à les traiter s'y sont engagées ;
- Mettre en œuvre les mesures de sécurité appropriées (article 32 RGPD) : chiffrement en transit, cloisonnement des données par salle (Row Level Security), contrôle d'accès, hébergement de la base de données dans l'UE, journalisation ;
- Respecter les conditions de sous-traitance ultérieure (article 4) ;
- Aider le Responsable à répondre aux demandes d'exercice de droits des personnes (accès, rectification, effacement, opposition, etc.), notamment via la désinscription en un clic intégrée aux e-mails ;
- Aider le Responsable à respecter ses obligations de sécurité, de notification de violations et d'analyses d'impact (articles 32 à 36) ;
- Notifier au Responsable toute violation de données dans les meilleurs délais après en avoir pris connaissance ;
- Au terme du contrat, au choix du Responsable, supprimer ou restituer les données, et détruire les copies existantes (sous réserve des obligations légales de conservation), dans un délai de 30 à 90 jours ;
- Mettre à disposition du Responsable les informations nécessaires pour démontrer le respect de l'article 28 et permettre la réalisation d'audits, dans des conditions raisonnables.
4. Sous-traitants ultérieurs
Le Responsable autorise Prestigia à recourir aux sous-traitants ultérieurs suivants pour l'exécution du Service :
| Sous-traitant ultérieur | Finalité | Localisation |
|---|---|---|
| Supabase, Inc. | Hébergement de la base de données | UE |
| Vercel Inc. | Hébergement de l'application | États-Unis |
| Resend (Plus Five Five, Inc.) | Envoi d'e-mails | États-Unis (région UE) |
| Anthropic, PBC | Génération de réponses par IA | États-Unis |
| Stripe Payments Europe, Ltd. | Paiement | Irlande |
| Google Ireland Limited | Lecture des avis publics | Irlande |
Prestigia impose à ces sous-traitants des obligations de protection équivalentes à celles du présent DPA. Toute adjonction ou remplacement de sous-traitant ultérieur est notifié au Responsable, qui peut s'y opposer pour un motif légitime dans un délai de 30 jours.
5. Transferts hors UE
Les transferts vers des sous-traitants situés hors de l'Union européenne sont encadrés par des garanties appropriées : clauses contractuelles types de la Commission européenne et/ou Data Privacy Framework UE–États-Unis lorsque le sous-traitant y est certifié.
6. Obligations du Responsable
Le Responsable garantit qu'il dispose d'une base légale valable pour les traitements confiés (information des adhérents, recueil du consentement lorsqu'il est requis, notamment pour les mineurs de moins de 15 ans), et que ses instructions sont licites. Il est seul responsable de la licéité de la collecte initiale des données qu'il importe dans le Service, ainsi que de la conformité de ses sollicitations d'avis aux règles applicables (Google, DGCCRF).
7. Responsabilité
Chaque partie répond des dommages causés par un manquement à ses obligations au titre du RGPD. La responsabilité de Prestigia au titre du présent DPA s'inscrit dans les limites prévues par les CGV.
8. Durée
Le présent DPA produit ses effets pendant toute la durée du traitement des données pour le compte du Responsable et prend fin avec la suppression ou la restitution des données.