Accord de sous-traitance (DPA)
Version 1.3 — en vigueur depuis le 30 octobre 2026 · Article 28 du RGPD
Le présent accord (« DPA ») est conclu entre le cabinet client désigné au bon de commande (« le Responsable ») et Louis Rives, entrepreneur individuel (EI) — micro-entreprise, SIREN 103 706 172, éditeur du service Cockpit (« le Sous-traitant »). Il constitue le contrat prévu à l'article 28 du règlement (UE) 2016/679 (« RGPD »). Il fait partie du contrat d'abonnement, avec le bon de commande, les CGV et les CGU, et il prévaut sur ces documents pour tout ce qui concerne la protection des données personnelles. Il est accepté par la signature du bon de commande, qui y renvoie dans sa version datée.
Article 1 — Objet
Le Sous-traitant traite des données personnelles pour le compte du Responsable, aux seules fins de lui fournir le service Cockpit (« le Service ») tel que décrit dans les CGV. Les termes « données personnelles », « traitement », « responsable du traitement », « sous-traitant », « violation de données » et « personne concernée » ont le sens que leur donne le RGPD.
Article 2 — Description du traitement
| Nature des opérations | Hébergement, enregistrement, conservation, mise à disposition des utilisateurs habilités, transmission par e-mail des notifications, sauvegarde, export, anonymisation et suppression. |
|---|---|
| Finalité | Pilotage des chantiers du Responsable : plans et diffusion, planning, comptes-rendus, devis et travaux supplémentaires, signatures, réserves, documents, photos, discussions et notifications. |
| Durée | Durée du contrat d'abonnement, puis jusqu'à la restitution et à la suppression des données (article 10). |
| Personnes concernées | Architectes et collaborateurs du Responsable ; maîtres d'ouvrage, y compris des particuliers, et leurs représentants ; entreprises, artisans et leurs salariés ; autres intervenants invités sur un chantier. |
| Catégories de données | Identité et coordonnées (nom, e-mail, téléphone, entreprise) ; adresse du chantier, qui peut être le domicile du maître d'ouvrage ; contenus des chantiers (plans, comptes-rendus, documents, photos, messages) ; montants et lignes des devis ; dossiers de preuve de signature (texte de consentement, date et heure, adresse IP, navigateur, empreinte du document) ; heures d'arrivée sur le chantier déclarées par les entreprises ; traces techniques (adresse IP, navigateur, journal des opérations). Aucune coordonnée bancaire n'est traitée : le paiement en ligne n'est pas proposé. |
| Données sensibles | Aucune n'est nécessaire au Service. Le Responsable s'abstient d'y déposer des données relevant des articles 9 et 10 du RGPD (santé, infractions…) ; si un chantier en implique, par exemple un aménagement lié à un handicap, il limite l'information au strict nécessaire. |
Article 3 — Instructions du Responsable
Le Sous-traitant ne traite les données que sur instruction documentée du Responsable : le présent DPA, le contrat d'abonnement, l'utilisation que le Responsable fait des fonctions du Service et ses instructions écrites complémentaires. Il ne transfère pas les données hors de l'Union européenne, sauf instruction du Responsable ou obligation légale, dont il l'informe alors avant le traitement, à moins que la loi ne l'interdise. Il informe immédiatement le Responsable si, selon lui, une instruction constitue une violation du RGPD ou d'une autre règle relative à la protection des données (article 28-3, alinéa 2, du RGPD).
Article 4 — Confidentialité
Seul l'Éditeur, Louis Rives, dispose à ce jour d'un accès d'administration au Service et à ses données. Toute autre personne qui serait autorisée à les traiter s'engagerait au préalable, par écrit, à en respecter la confidentialité. Le Sous-traitant n'accède au contenu des chantiers que pour les besoins du Service : support demandé par le Responsable, accompagnement de démarrage, résolution d'un incident, export ou obligation légale.
Article 5 — Sécurité
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 1, appropriées au risque (article 32 du RGPD). Il peut les faire évoluer, à condition de ne pas réduire le niveau de protection.
Article 6 — Sous-traitants ultérieurs
Le Responsable autorise le recours aux sous-traitants ultérieurs listés à l'annexe 2. Le Sous-traitant leur impose par contrat des obligations de protection des données au moins équivalentes à celles du présent DPA (article 28-4 du RGPD) et reste responsable de leur exécution. Il informe le Responsable par e-mail de tout ajout ou remplacement au moins trente (30) jours à l'avance. Le Responsable peut s'y opposer par écrit, pour un motif raisonnable, dans les quinze (15) jours ; à défaut de solution, il peut résilier sans frais avant la prise d'effet du changement, la réversibilité prévue par les CGV s'appliquant.
Article 7 — Localisation des données et accès par des autorités
Les données sont hébergées dans l'Union européenne par IONOS SE, société établie en Allemagne. Ni le Sous-traitant ni ses sous-traitants ultérieurs ne les transfèrent hors de l'Union européenne. Le Sous-traitant, établi en France, ne communique les données à une autorité publique d'un pays tiers que si la demande repose sur un accord international en vigueur (article 48 du RGPD et article 32 du règlement (UE) 2023/2854) ; il conteste toute demande qui ne remplit pas cette condition. Il vérifie le fondement et la portée de toute demande d'une autorité, n'y répond que dans la mesure strictement nécessaire et, sauf interdiction légale, en informe le Responsable avant toute communication.
Article 8 — Assistance au Responsable
- Droits des personnes. Le Service permet à chaque utilisateur d'exporter ses données personnelles et de rectifier son profil. Le Sous-traitant transmet au Responsable, dans un délai de cinq (5) jours ouvrés, toute demande d'exercice de droits qu'il reçoit directement au sujet des chantiers du Responsable ; il n'y répond lui-même que sur instruction. Il réalise les opérations techniques que le Responsable lui demande pour y donner suite (extraction, rectification, effacement, limitation).
- Analyse d'impact et consultation préalable. Il fournit au Responsable les informations utiles sur le Service et sur ses mesures de sécurité pour réaliser une analyse d'impact relative à la protection des données ou consulter la CNIL (articles 35 et 36 du RGPD).
- Sécurité. Il aide le Responsable à respecter ses obligations de sécurité et de gestion des violations (articles 32 à 34 du RGPD).
Article 9 — Violation de données
Le Sous-traitant notifie au Responsable toute violation de données personnelles concernant ses chantiers dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, par e-mail à l'adresse de contact indiquée au bon de commande. La notification précise, dans la mesure où ces informations sont disponibles : la nature de la violation ; les catégories et le nombre approximatif de personnes et d'enregistrements concernés ; le nom et les coordonnées du point de contact ; les conséquences probables ; les mesures prises ou proposées pour y remédier et en limiter les effets. Les informations qui ne sont pas disponibles immédiatement sont communiquées par étapes, sans retard indu.
Il appartient au Responsable de notifier la violation à la CNIL et, le cas échéant, d'en informer les personnes concernées (articles 33 et 34 du RGPD). Le Sous-traitant l'assiste dans ces démarches et n'y procède lui-même que sur instruction écrite du Responsable. Il consigne toute violation dans un registre interne.
Article 10 — Sort des données en fin de contrat
À la fin du contrat, le Sous-traitant restitue les données au Responsable, puis les supprime, selon l'article 12 des CGV : export complet (données structurées et fichiers) fourni sur demande dans un délai de trente (30) jours, conservation pendant une période de récupération d'au moins trente (30) jours, puis effacement des données et de leurs copies. Lorsqu'un verrou d'intégrité empêche techniquement la suppression d'un enregistrement (preuves de signature notamment), celui-ci est rendu anonyme de manière irréversible. Les sauvegardes qui contiennent encore des données sont effacées par rotation dans un délai maximal de trente (30) jours. Le Sous-traitant confirme l'effacement par écrit sur demande et ne conserve aucune donnée au-delà, sauf instruction écrite du Responsable.
La conservation des documents que le Responsable est tenu de garder (pièces de marché, preuves de signature) lui incombe : il les reçoit dans l'export. Le compte personnel d'un utilisateur invité qui participe aussi aux chantiers d'autres clients du Sous-traitant est conservé pour ces seuls chantiers ; ses données liées aux chantiers du Responsable sont supprimées.
Article 11 — Documentation et audit
Le Sous-traitant met à la disposition du Responsable les informations nécessaires pour démontrer le respect de ses obligations : le présent DPA et ses annexes, un extrait de son registre des traitements effectués pour le compte du Responsable et, sur demande, une description à jour des mesures de sécurité. Le Responsable peut faire réaliser un audit, à ses frais, au plus une fois par an (sauf violation de données), avec un préavis de trente (30) jours, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent du Sous-traitant. L'audit est d'abord documentaire (questionnaire, pièces) ; une vérification sur place, si elle est justifiée, est organisée sans compromettre la sécurité du Service ni la confidentialité des données des autres clients.
Article 12 — Registre
Le Sous-traitant tient le registre des catégories d'activités de traitement effectuées pour le compte de ses clients, prévu à l'article 30-2 du RGPD.
Article 13 — Responsabilité
Chaque partie répond des manquements à ses propres obligations au titre du RGPD (article 82). Entre les parties, les limitations de responsabilité prévues par les CGV s'appliquent dans la mesure permise par la loi.
Article 14 — Durée et contacts
Le DPA s'applique pendant toute la durée du contrat et jusqu'à la suppression des données (article 10). Point de contact du Sous-traitant : le référent données personnelles, Louis Rives, cockpit@digi-connect.fr. Le Responsable indique au bon de commande l'adresse e-mail à laquelle les notifications lui sont adressées.
Annexe 1 — Mesures techniques et organisationnelles
- Hébergement : serveur privé virtuel loué à IONOS SE dans l'Union européenne ; pare-feu n'ouvrant que les ports nécessaires (SSH, HTTP, HTTPS et un VPN d'administration), base de données accessible uniquement depuis le serveur et blocage automatique des tentatives répétées de connexion ; accès d'administration réservé à l'Éditeur, par clé SSH uniquement (aucune connexion par mot de passe) ; mises à jour de sécurité installées automatiquement. Le serveur héberge d'autres applications de l'Éditeur, sans lien avec le Service : les données du Service sont stockées dans une base de données distincte, accessible par un compte propre au Service, et l'application s'exécute sous un compte système qui lui est réservé.
- Chiffrement des échanges : HTTPS obligatoire (TLS), avec en-tête HSTS d'un an.
- Authentification : mots de passe stockés sous forme d'empreinte Argon2id ; liens de connexion à usage unique, valables vingt (20) minutes et conservés sous forme d'empreinte ; sessions protégées (cookie HttpOnly, Secure, SameSite) ; limitation du nombre de tentatives de connexion.
- Cloisonnement : chaque requête vérifie que l'utilisateur appartient au cabinet ou au chantier concerné et que son rôle l'autorise à accéder à la donnée demandée.
- Fichiers : jamais exposés publiquement ; servis après contrôle d'accès ou par des liens temporaires signés, valables quinze (15) minutes au plus.
- Preuves : empreinte SHA-256 des plans publiés et des documents signés ; enregistrements de signature protégés en base de données contre toute modification ou suppression par l'application.
- Coordonnées bancaires : aucune n'est collectée tant que le paiement en ligne n'est pas proposé ; le Service chiffre au repos (AES-256-GCM) tout IBAN qui serait enregistré.
- Journal d'audit : les opérations sensibles (création, modification, suppression, signature, téléchargement) sont enregistrées avec leur auteur, leur date et l'adresse IP. L'application n'y fait que des ajouts, sans jamais modifier une entrée ; les entrées sont supprimées au terme de leur durée de conservation : douze (12) mois, et dix (10) ans pour les signatures, les téléchargements et la facturation.
- Sauvegardes : sauvegarde quotidienne de la base de données et des fichiers, conservée sur le serveur, dans un répertoire réservé à l'administrateur, sept (7) jours, ainsi qu'une sauvegarde par semaine pendant quatre (4) semaines ; copie quotidienne chiffrée transférée hors du serveur, sur un espace de stockage distinct chez IONOS SE dans l'Union européenne, conservée trente (30) jours. La restauration a été testée.
- Minimisation : purges automatiques, chaque heure, des liens de connexion et de téléchargement expirés, des tentatives de connexion (30 jours), des journaux d'inscription (90 jours), de la file d'envoi des e-mails (7 jours après l'envoi) et des fichiers temporaires (24 heures) ; anonymisation des comptes sans connexion depuis trente-six (36) mois.
- Protection de l'application : en-têtes de sécurité (politique de sécurité du contenu, protection contre l'intégration dans un cadre, HSTS) ; jetons anti-falsification sur tous les formulaires ; secrets conservés hors du code source ; procédure publique de signalement des vulnérabilités (security.txt).
- Organisation : une seule personne habilitée à administrer la production ; procédure écrite de gestion des incidents et des violations de données ; revue au moins annuelle de ces mesures.
Annexe 2 — Sous-traitants ultérieurs autorisés
| Sous-traitant | Prestation | Localisation des données |
|---|---|---|
| IONOS SE Elgendorfer Str. 57, 56410 Montabaur, Allemagne |
Serveur privé virtuel hébergeant l'application, la base de données et les fichiers ; relais d'envoi des e-mails ; espace de stockage distinct recevant la copie chiffrée des sauvegardes. | Union européenne |
Ne sont pas des sous-traitants ultérieurs au sens du présent DPA, faute d'accéder aux données des chantiers :
- le service de supervision de disponibilité UptimeRobot, qui interroge une page technique publique du Service, sans donnée personnelle ;
- le prestataire de paiement Stripe, qui traite uniquement les données de facturation de l'abonnement du Responsable, pour le compte de l'Éditeur, responsable de ce traitement (voir la politique de confidentialité).