Contrat de Traitement des Données (DPA)

Conformément à l'Art. 28 du Règlement Général sur la Protection des Données (RGPD). En vigueur depuis le 1er mars 2026.

Le présent Contrat de Traitement des Données («DPA») est conclu entre NextGate Digital UG (haftungsbeschränkt) (opérant sous le nom de PassportLab), Im Winkel 8, 50189 Elsdorf, Allemagne, enregistrée à l'Amtsgericht Köln, HRB 128572 («Sous-traitant») et le client ayant accepté les Conditions Générales de PassportLab («Responsable du traitement»). Ce DPA complète et fait partie intégrante des Conditions Générales.

1. Objet, Nature et Durée

Le Sous-traitant fournit des services de création, de publication et de maintenance de passeports numériques de produit pour le compte du Responsable du traitement. Le traitement a lieu pendant la durée du contrat et, après sa fin, uniquement dans la mesure convenue entre les parties ou exigée par la loi (section 4(f)). Le Sous-traitant agit exclusivement sur instruction documentée du Responsable du traitement.

2. Catégories de Données et Personnes Concernées

Le Sous-traitant peut traiter les catégories suivantes de données personnelles pour le compte du Responsable du traitement : (a) Données de compte — noms, adresses email et coordonnées de l'entreprise des utilisateurs autorisés du Responsable du traitement ; (b) Données du passeport produit — noms de fournisseurs, adresses de fabricants et toute autre donnée personnelle que le Responsable du traitement choisit d'inclure dans les champs du passeport ; (c) Données d'utilisation et d'audit — adresses IP, identifiants de session et horodatages d'accès enregistrés dans le journal d'audit. Les personnes concernées comprennent les employés, administrateurs du Responsable du traitement et toute personne physique dont les données figurent dans les champs du passeport produit.

3. Obligations du Responsable du Traitement

Le Responsable du traitement garantit que : (a) il dispose d'une base juridique valable pour toutes les données personnelles soumises à la plateforme ; (b) il a fourni toutes les informations requises aux personnes concernées ; (c) il ne soumettra pas de données de catégories particulières (art. 9 RGPD) sans accord écrit préalable.

4. Obligations du Sous-Traitant

Le Sous-traitant s'engage à : (a) ne traiter les données personnelles que sur instruction documentée du Responsable du traitement, y compris pour les transferts vers des pays tiers ; (b) informer immédiatement le Responsable du traitement si, à son avis, une instruction enfreint le RGPD ou d'autres dispositions de l'Union ou des États membres en matière de protection des données (art. 28, par. 3 RGPD) ; (c) garantir que le personnel autorisé est soumis à des obligations de confidentialité appropriées ; (d) mettre en œuvre et maintenir les mesures techniques et organisationnelles décrites à la section 6 ; (e) aider le Responsable du traitement à satisfaire les droits des personnes concernées (art. 12–22 RGPD) et ses obligations au titre des art. 32–36 RGPD (sécurité, notification des violations, analyses d'impact et consultation préalable) ; (f) supprimer ou restituer toutes les données personnelles à la fin des services, au choix du Responsable du traitement, sauf si le droit de l'Union ou d'un État membre exige leur conservation ; (g) mettre à disposition toutes les informations nécessaires pour démontrer la conformité à l'art. 28 RGPD.

5. Sous-Traitants Ultérieurs

Le Responsable du traitement accorde une autorisation générale au recours aux sous-traitants ultérieurs suivants : (a) STRATO (Allemagne) — hébergement serveur de l'application et de la base de données ; (b) Hetzner Online GmbH (Allemagne) — stockage objet pour les sauvegardes et images produit, le cas échéant ; (c) Stripe Payments Europe Ltd. (Dublin, Irlande) — traitement des paiements ; (d) serveur d'analyse Matomo (Allemagne) — statistiques d'utilisation du site, uniquement avec le consentement de l'utilisateur ; (e) Anthropic (USA) — extraction assistée par IA de données produit depuis les documents que le Responsable du traitement choisit de soumettre à cette fonction, avec des transferts assortis de garanties appropriées (art. 46 RGPD). Le Sous-traitant notifiera au Responsable du traitement tout changement prévu de sous-traitants ultérieurs au moins 30 jours à l'avance. Le Responsable du traitement peut s'opposer à un nouveau sous-traitant sous 14 jours ; à défaut de solution, il peut résilier les services concernés. Tous les sous-traitants ultérieurs sont liés par des obligations de protection des données au moins équivalentes à celles du présent accord.

6. Mesures Techniques et Organisationnelles (MTO)

Le Sous-traitant met en œuvre et maintient les mesures suivantes : (a) Chiffrement — identifiants, clés de signature et autres secrets sont stockés chiffrés (Fernet : AES-128-CBC avec HMAC-SHA256) ; (b) Chiffrement en transit — TLS 1.2+ imposé pour tout le trafic API et web ; en-têtes HSTS appliqués ; (c) Contrôles d'accès — accès par rôles ; authentification multifacteur (TOTP) disponible ; clés API stockées uniquement sous forme de hachages SHA-256 ; (d) Journalisation d'audit — journal d'audit en chaîne de hachage pour toutes les modifications des données de passeport, protégé contre la modification par des déclencheurs de base de données ; (e) Minimisation des données — filtrage des champs par rôle ; divulgation sélective SD-JWT pour le partage d'attestations avec des tiers ; (f) Localisation — application, base de données et sauvegardes hébergées en Allemagne (STRATO ; stockage objet Hetzner le cas échéant). Exception : les documents soumis par le Responsable du traitement à l'extraction assistée par IA sont traités par Anthropic aux États-Unis (section 5(e)) ; (g) Réponse aux incidents — procédure documentée de notification des violations ; surveillance de la disponibilité de l'API.

7. Droits des Personnes Concernées

À réception d'une demande vérifiée d'une personne concernée transmise par le Responsable du traitement, le Sous-traitant apportera son aide en fournissant les données pertinentes en format structuré et lisible par machine (JSON/CSV) sous 5 jours ouvrés. Le Sous-traitant exécutera les demandes d'effacement sous 30 jours, sous réserve des obligations de conservation découlant des règles produit applicables et du droit commercial et fiscal allemand. La portabilité des données est prise en charge à tout moment via le point de terminaison /org/export.

8. Notification de Violation de Données Personnelles

En cas de violation de données personnelles affectant des données traitées dans le cadre du présent DPA, le Sous-traitant notifiera le Responsable du traitement sans délai injustifié et au plus tard dans les 72 heures après en avoir pris connaissance. La notification comprendra : (a) la nature de la violation ; (b) les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés ; (c) les conséquences probables de la violation ; (d) les mesures prises ou proposées pour remédier à la violation. Le Responsable du traitement reste responsable de la notification à l'autorité de contrôle compétente (le Landesbeauftragte für Datenschutz, NRW) et aux personnes concernées si nécessaire.

9. Audits et Inspections

Le Responsable du traitement peut effectuer des audits des activités de traitement des données du Sous-traitant dans le cadre du présent DPA au maximum une fois par année civile, avec un préavis écrit d'au moins 14 jours. Les audits seront conduits pendant les heures normales de bureau, aux frais du Responsable du traitement, et ne perturberont pas déraisonnablement les opérations. Le Sous-traitant peut satisfaire aux demandes d'audit en fournissant des rapports ou certifications d'audit tiers à jour (ex. ISO 27001) lorsque disponibles.

10. Droit Applicable

Le présent DPA est régi par le droit de la République Fédérale d'Allemagne. Tout litige découlant du présent DPA sera soumis à la compétence exclusive des tribunaux de Cologne, Allemagne. En cas de conflit entre le présent DPA et les Clauses Contractuelles Types (CCT) émises par la Commission européenne, les CCT prévaudront pour les transferts transfrontaliers de données.