Accord de traitement des données personnelles (DPA)

Version 1.0 en vigueur au 13/11/2026. Annexe des conditions générales d’abonnement. Voir aussi la politique de confidentialité.

Le présent accord est conclu en application de l’article 28 du Règlement (UE) 2016/679 (RGPD) entre le Client, agissant en qualité de responsable de traitement, et Datagram, agissant en qualité de sous-traitant (le « Prestataire »). Il fait partie intégrante des CGV et prend effet avec elles.

Article 1 – Objet

Le Prestataire traite des données personnelles pour le compte du Client dans le seul but de fournir le Service décrit aux CGV. La nature, la finalité, les catégories de données et de personnes concernées sont décrites à l’Annexe 1.

Article 2 – Durée

Le présent accord s’applique pendant toute la durée des CGV et jusqu’à la suppression ou la restitution complète des données conformément à l’article 9.

Article 3 – Obligations du Prestataire

Le Prestataire s’engage à :

1. traiter les données uniquement sur instruction documentée du Client, les CGV, le Bon de Commande et l’utilisation du Service par le Client valant instructions ; informer le Client si une instruction lui paraît contraire au RGPD ;
2. ne traiter les données à aucune autre fin, notamment commerciale, et ne pas les utiliser pour entraîner des modèles hors du périmètre du Service sans accord écrit ;
3. veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et reçoivent une formation adaptée ;
4. mettre en œuvre les mesures techniques et organisationnelles de l’Annexe 2, et les faire évoluer en fonction de l’état de l’art et des risques ;
5. assister le Client, par des mesures appropriées, pour répondre aux demandes d’exercice de droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition) dans un délai de 10 jours ouvrés ; transmettre sans délai toute demande reçue directement, sans y répondre lui-même sauf instruction ;
6. aider le Client à garantir le respect des obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable de la CNIL, compte tenu des informations dont il dispose ;
7. tenir un registre des catégories d’activités de traitement effectuées pour le compte du Client ;
8. mettre à disposition toutes les informations nécessaires pour démontrer le respect du présent accord.

Article 4 – Obligations du Client

Le Client garantit qu’il dispose d’une base légale pour les traitements qu’il réalise via le Service, qu’il a informé ses Utilisateurs et les autres personnes qu’il y référence, notamment ses intérimaires et sous-traitants, conformément aux articles 13 et 14 du RGPD, et qu’il a, lorsque la loi l’exige, consulté les instances représentatives du personnel avant la mise en place d’un outil permettant de suivre l’activité des salariés. Il ne saisit dans le Service aucune donnée sensible au sens de l’article 9 du RGPD.

Article 5 – Sous-traitants ultérieurs

5.1. Le Client autorise de manière générale le Prestataire à recourir aux sous-traitants ultérieurs listés à l’Annexe 3.

5.2. Le Prestataire informe le Client de tout ajout ou remplacement au moins 30 jours avant, par e-mail ou dans l’application. Le Client peut s’y opposer par écrit pour un motif légitime lié à la protection des données. En l’absence de solution acceptable sous 30 jours, le Client peut résilier les CGV sans frais pour la période non échue.

5.3. Le Prestataire impose à chaque sous-traitant ultérieur, par contrat, des obligations équivalentes à celles du présent accord. Il demeure pleinement responsable envers le Client de leur exécution.

Article 6 – Transferts hors Union européenne

Les données du Service sont hébergées en France. Deux sous-traitants ultérieurs traitent des données hors de France : le service d’authentification des Utilisateurs, hébergé dans l’Union européenne par une société établie en Suisse, et l’acheminement des notifications push vers les téléphones, aux États-Unis. L’Annexe 3 indique le mécanisme qui encadre chacun d’eux. Tout autre transfert vers un pays tiers n’interviendrait qu’avec un mécanisme prévu aux articles 45 ou 46 du RGPD (décision d’adéquation, clauses contractuelles types), après information du Client dans les conditions de l’article 5.2.

Article 7 – Violation de données

7.1. Le Prestataire notifie au Client toute violation de données personnelles dans les 48 heures après en avoir pris connaissance, à l’adresse e-mail de l’administrateur du Client, afin de lui permettre de respecter le délai de 72 heures de l’article 33 du RGPD.

7.2. La notification décrit, dans la mesure des informations disponibles, la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées. Les informations manquantes sont communiquées au fur et à mesure.

7.3. Le Prestataire ne communique pas sur la violation auprès des personnes concernées ou de la CNIL sans accord du Client, sauf obligation légale propre.

Article 8 – Audit

8.1. Le Prestataire fournit au Client, sur demande et au plus une fois par an, sa documentation de sécurité, ses certifications ou rapports d’audit disponibles et les réponses à un questionnaire de sécurité raisonnable.

8.2. Si ces éléments ne suffisent pas, le Client peut faire réaliser un audit sur site ou à distance par un auditeur indépendant soumis à confidentialité, avec un préavis de 30 jours, pendant les heures ouvrées, au plus une fois par an sauf violation avérée ou demande d’une autorité. L’audit ne doit pas donner accès aux données d’autres clients. Les coûts sont à la charge du Client, et le temps du Prestataire au-delà d’un jour est facturé au tarif en vigueur.

Article 9 – Sort des données en fin de contrat

À l’expiration des CGV, le Prestataire laisse le Client exporter ses données pendant 60 jours comme prévu à l’article 12 des CGV, puis supprime l’ensemble des données personnelles et leurs copies, y compris les sauvegardes, dans un délai de 60 jours, sauf obligation légale de conservation (notamment les données de facturation, conservées 10 ans). Il atteste de la suppression par écrit sur demande.

Article 10 – Responsabilité

Chaque partie est responsable des dommages causés par un traitement non conforme au RGPD dans les conditions de l’article 82 du RGPD. Entre les parties, la responsabilité du Prestataire au titre du présent accord est soumise aux limitations de l’article 15 des CGV, sauf pour les amendes administratives qui lui seraient directement infligées du fait de son propre manquement.

Article 11 – Point de contact

Le Prestataire désigne son référent RGPD, joignable à contact@datagram-sas.fr, comme point de contact pour toute question relative au présent accord. Le Client désigne l’administrateur de son Instance, sauf indication contraire au Bon de Commande.

Annexe 1 – Description des traitements

Élément	Contenu
Finalité	Fourniture du Service Streamline : suivi d’outillage et de matériel, emprunts, réparations, dépôts, fournisseurs, chantiers, gestion des utilisateurs et équipes, notifications, support
Nature des opérations	Collecte, enregistrement, stockage, consultation, modification, extraction, communication aux Utilisateurs habilités, sauvegarde, suppression
Personnes concernées	Salariés, intérimaires et sous-traitants du Client référencés dans le Service ; contacts chez les fournisseurs du Client ; le cas échéant contacts sur les chantiers
Catégories de données	Identité (nom, prénom), coordonnées professionnelles (e-mail, téléphone), fonction et équipe, identifiants de connexion, actions dans l’application (emprunts, retours, scans, réparations) et leurs horodatages, affectations aux chantiers et dépôts, photos de matériel pouvant incidemment contenir des personnes, journaux techniques (IP, appareil). Le Service ne collecte aucune donnée de géolocalisation
Données sensibles	Aucune. Le Client s’engage à ne pas en saisir
Durée de conservation	Pendant la durée du contrat. Les données personnelles d’un utilisateur archivé par le Client sont supprimées automatiquement 1 an après son archivage pour un intérimaire ou un sous-traitant, 5 ans pour un salarié ; les opérations qui le citent sont conservées sous une mention anonyme. En fin de contrat, suppression sous 60 jours après la période d’export. Journaux techniques : 12 mois
Lieu de traitement	France ; Union européenne pour l’authentification des Utilisateurs ; États-Unis pour l’acheminement des notifications push. Voir Annexe 3

Annexe 2 – Mesures techniques et organisationnelles

Le Prestataire met en œuvre les mesures suivantes. Une description détaillée est fournie au Client sur demande, dans les conditions de l’article 8.1.

Domaine	Mesures
Contrôle d’accès	Comptes nominatifs ; mots de passe conformes aux recommandations de la CNIL ; authentification à deux facteurs pour les comptes d’administration ; rôles et permissions définis par le Client ; isolation logique des Instances
Chiffrement	Échanges chiffrés (TLS) ; données et sauvegardes chiffrées au repos ; mots de passe jamais stockés en clair
Journalisation	Connexions et actions sensibles journalisées, conservées 12 mois ; historique des opérations non modifiable
Sauvegarde	Sauvegarde quotidienne chiffrée, conservée 15 jours ; restauration testée régulièrement
Maintenance	Surveillance des vulnérabilités et correctifs de sécurité appliqués selon leur gravité
Organisation	Accès à la production limités aux personnes habilitées, avec double authentification ; obligation de confidentialité ; procédure de gestion des incidents
Hébergement	OVHcloud, centres de données en France

Annexe 3 – Sous-traitants ultérieurs autorisés

Sous-traitant	Service rendu	Lieu de traitement	Mécanisme de transfert
OVH SAS (OVHcloud)	Hébergement, base de données, stockage, messagerie, envoi des e-mails de notification et d’invitation	France	Aucun transfert
CAOS AG (ZITADEL Cloud), Suisse, sur l’infrastructure de Google Cloud	Authentification des Utilisateurs : identifiant, nom, adresse e-mail, mot de passe haché, second facteur, journaux de connexion	Union européenne (région UE de ZITADEL Cloud)	Suisse : décision d’adéquation de la Commission européenne ; infrastructure : clauses contractuelles types prévues au DPA de ZITADEL
Google LLC (Firebase Cloud Messaging), et Apple Inc. (Apple Push Notification service) pour iOS	Acheminement des notifications push vers les téléphones : identifiant technique de l’appareil et contenu de la notification	États-Unis	Décision d’adéquation de la Commission européenne du 10 juillet 2023 (Data Privacy Framework)