Accord de traitement des données

DPA - DATA PROCESSING AGREEMENT

LUMINORIS

Services numériques, automatisation et intelligence artificielle

Le présent Accord de traitement des données (ci-après le « DPA ») complète les Conditions Générales de Vente, les conditions particulières et, le cas échéant, tout bon de commande conclu entre le Client et Luminoris. Il encadre les traitements de données à caractère personnel effectués par Luminoris pour le compte du Client en qualité de sous-traitant au sens de l’article 28 du Règlement (UE) 2016/679 (« RGPD »).

1. Parties et qualification

Le présent DPA est conclu entre :

Le Client / Responsable du traitement :

Dénomination / nom : [À COMPLÉTER]

Adresse : [À COMPLÉTER]

Et :

VERSCHELDEN Aurélie EI - Entrepreneur individuel

Nom commercial : Luminoris

Adresse professionnelle : 59 rue d’Enfer 60420 GODENVILLERS

SIREN : 514206051

Contact données personnelles : contact@luminoris.fr

Dans le cadre des traitements couverts par le présent DPA, le Client agit en qualité de « responsable du traitement » et Luminoris en qualité de « sous-traitant », sauf qualification différente imposée par la réalité du traitement ou par la réglementation applicable.

Les traitements réalisés par Luminoris pour ses propres finalités - notamment gestion du compte, facturation, sécurité, prévention de la fraude, vérification de l’entreprise ou de l’identité du représentant - ne relèvent pas du présent DPA et sont décrits dans la Politique de confidentialité de Luminoris.

2. Objet et ordre de priorité

Le présent DPA définit les conditions dans lesquelles Luminoris traite, pour le compte du Client, les données à caractère personnel nécessaires à la fourniture des Services souscrits.

Il fait partie intégrante de l’ensemble contractuel applicable. En cas de contradiction portant spécifiquement sur la protection des données personnelles traitées pour le compte du Client, le présent DPA prévaut sur les CGV et documents commerciaux, sauf disposition plus protectrice expressément convenue entre les parties ou règle impérative contraire.

3. Description des traitements confiés

La description détaillée des traitements est précisée en Annexe 1. Sauf indication contraire liée à une offre particulière, les traitements peuvent notamment comprendre l’hébergement, la consultation, l’organisation, l’enregistrement, la modification, la transmission, la génération, l’analyse, la sauvegarde, l’export et la suppression de données nécessaires au fonctionnement des Services.

Luminoris n’acquiert aucun droit de propriété sur les données confiées par le Client du seul fait de leur traitement dans le cadre des Services.

4. Durée des traitements

Luminoris traite les données pour le compte du Client pendant la durée du contrat et, le cas échéant, pendant la période de réversibilité ou de restitution prévue par l’offre ou les documents contractuels. À l’issue de cette période, les données sont restituées ou supprimées conformément au présent DPA, sous réserve des obligations légales de conservation et des cycles de sauvegarde applicables.

5. Instructions documentées du Client

Luminoris traite les données personnelles uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers ou une organisation internationale, sauf lorsque le droit de l’Union européenne ou le droit français impose un traitement différent.

Les instructions du Client sont notamment constituées par le présent DPA, les CGV, les conditions particulières, la configuration des Services, les paramètres et actions explicitement déclenchés ou validés par les utilisateurs habilités du Client, ainsi que toute instruction écrite ultérieure acceptée par Luminoris.

Si Luminoris considère qu’une instruction constitue une violation du RGPD ou d’une autre règle applicable en matière de protection des données, Luminoris en informe le Client dans les meilleurs délais. Luminoris peut suspendre l’exécution de l’instruction concernée tant que sa conformité n’a pas été clarifiée, lorsque cette suspension est nécessaire pour éviter une violation de la réglementation.

6. Obligations du Client - Responsable du traitement

Le Client demeure responsable de la licéité des traitements qu’il met en œuvre au moyen de Luminoris. Il lui appartient notamment de :

déterminer les finalités et bases juridiques applicables aux traitements ;

fournir aux personnes concernées les informations requises par les articles 13 et 14 du RGPD ;

recueillir les consentements nécessaires lorsqu’un traitement repose sur le consentement ;

ne confier à Luminoris que des données qu’il est légalement autorisé à traiter ;

définir des durées de conservation compatibles avec ses obligations ;

configurer les droits d’accès, automatisations, destinataires et intégrations conformément à ses obligations ;

éviter de transmettre des catégories particulières de données ou des données pénales lorsque leur traitement n’est pas nécessaire ou n’a pas été expressément prévu et sécurisé ;

répondre aux demandes des personnes concernées et aux autorités, avec l’assistance de Luminoris dans les conditions du présent DPA.

7. Obligations générales de Luminoris - Sous-traitant

Luminoris s’engage, pour les traitements couverts par le présent DPA, à :

traiter les données uniquement pour les finalités et selon les instructions documentées du Client ;

mettre en œuvre des mesures techniques et organisationnelles appropriées au regard des risques ;

garantir que les personnes autorisées à traiter les données sont soumises à une obligation appropriée de confidentialité ;

tenir à disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues par l’article 28 du RGPD ;

assister raisonnablement le Client pour l’exercice des droits des personnes, la sécurité, les violations de données, les analyses d’impact et les consultations préalables, compte tenu de la nature des traitements et des informations disponibles ;

notifier au Client les violations de données personnelles dans les conditions prévues au présent DPA ;

encadrer le recours aux sous-traitants ultérieurs conformément au RGPD ;

restituer ou supprimer les données à la fin de la prestation conformément aux choix et instructions contractuelles du Client.

8. Confidentialité et personnel autorisé

Luminoris veille à ce que l’accès aux données confiées par le Client soit limité aux personnes ayant besoin d’y accéder pour fournir, sécuriser, maintenir ou assister les Services. Ces personnes sont soumises à une obligation légale ou contractuelle de confidentialité appropriée.

Luminoris applique le principe du moindre privilège et adapte les habilitations aux fonctions exercées, dans la mesure permise par l’architecture technique effectivement déployée.

9. Sécurité des traitements

Luminoris met en œuvre des mesures techniques et organisationnelles appropriées afin d’assurer un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD. Les mesures principales sont décrites en Annexe 2 et peuvent évoluer pour tenir compte de l’état de l’art, des risques, des évolutions techniques et des services utilisés.

Ces mesures peuvent notamment concerner l’authentification, la gestion des habilitations, le chiffrement des communications, la journalisation, les sauvegardes, la restauration, la protection des infrastructures, la gestion des vulnérabilités et la supervision des incidents.

Le Client demeure responsable de la sécurité des éléments placés sous son contrôle, notamment ses terminaux, comptes utilisateurs, mots de passe, droits d’accès, intégrations et configurations.

10. Sous-traitants ultérieurs

Le Client accorde à Luminoris une autorisation générale de recourir à des sous-traitants ultérieurs lorsque cela est nécessaire à la fourniture des Services, sous réserve du respect des exigences de l’article 28 du RGPD.

Luminoris tient à disposition une liste des sous-traitants ultérieurs concernés, précisant au minimum leur rôle et, lorsque pertinent, leur localisation. Cette liste figure en Annexe 3 ou sur une page dédiée indiquée au Client.

Luminoris informe le Client de tout ajout ou remplacement significatif d’un sous-traitant ultérieur avant sa prise d’effet lorsque cela est raisonnablement possible, afin de permettre au Client d’émettre une objection motivée pour des raisons légitimes de protection des données.

En cas d’objection légitime non résolue, les parties recherchent une solution raisonnable. Lorsque l’intégration du sous-traitant est indispensable à la fourniture du Service et qu’aucune alternative raisonnable n’est disponible, les conditions contractuelles applicables, y compris la possibilité de résiliation de la fonctionnalité ou du Service concerné, s’appliquent.

Luminoris impose à ses sous-traitants ultérieurs des obligations de protection des données offrant un niveau de protection substantiellement équivalent à celui requis par le présent DPA pour les traitements qui leur sont confiés.

11. Services tiers choisis directement par le Client

Lorsqu’un Client connecte directement un service tiers à Luminoris ou demande la transmission de données vers un service qu’il a lui-même choisi, la transmission correspondante constitue une instruction du Client. Le Client demeure responsable de la sélection de ce tiers, de sa base juridique et des conditions applicables lorsque ce tiers n’agit pas en qualité de sous-traitant ultérieur de Luminoris.

Les prestataires traitant des données pour leurs propres finalités en qualité de responsables de traitement indépendants ne sont pas des sous-traitants ultérieurs au sens du présent DPA.

12. Transferts internationaux

Luminoris ne transfère ou ne permet le transfert de données confiées par le Client vers un pays situé hors de l’Espace économique européen que conformément au chapitre V du RGPD et aux instructions documentées du Client.

Lorsque nécessaire, le transfert repose notamment sur une décision d’adéquation, des clauses contractuelles types de la Commission européenne ou tout autre mécanisme valable, accompagné lorsque nécessaire d’une évaluation du transfert et de mesures supplémentaires appropriées.

Les mécanismes applicables aux sous-traitants ultérieurs sont précisés en Annexe 3 ou 4 lorsque des transferts sont effectivement mis en œuvre.

13. Intelligence artificielle et réutilisation des données

Lorsque des fonctionnalités d’intelligence artificielle sont utilisées, Luminoris peut transmettre aux fournisseurs concernés les prompts, instructions, fichiers ou autres données strictement nécessaires à l’exécution de la fonctionnalité demandée, dans les conditions définies par le Service et la liste des sous-traitants applicables.

Sauf instruction documentée du Client, nécessité strictement liée à la fourniture du Service ou autorisation écrite spécifique conforme à la réglementation, Luminoris n’utilise pas les données personnelles confiées en qualité de sous-traitant pour ses propres finalités indépendantes.

En particulier, toute utilisation des données confiées, prompts ou contenus pour entraîner ou améliorer un modèle d’intelligence artificielle pour une finalité propre distincte de l’exécution des Services doit être expressément encadrée et ne peut résulter du seul présent DPA. Si aucune telle réutilisation n’est prévue dans l’architecture définitive, cette absence de réutilisation devra être confirmée dans l’Annexe 3 ou la documentation produit.

14. Assistance pour les droits des personnes

Compte tenu de la nature du traitement, Luminoris aide le Client, par des mesures techniques et organisationnelles appropriées dans la mesure du possible, à s’acquitter de son obligation de répondre aux demandes d’exercice des droits prévus par le RGPD.

Si une demande est reçue directement par Luminoris concernant des données traitées exclusivement pour le compte du Client, Luminoris transmet la demande au Client dans un délai raisonnable et ne répond pas au fond sans instruction du Client, sauf obligation légale contraire.

Lorsque l’assistance nécessite des développements, recherches ou opérations exceptionnelles excédant l’assistance standard incluse dans l’offre, une prestation complémentaire peut être proposée au Client après information préalable, sous réserve de ne pas faire obstacle aux obligations impératives de Luminoris.

15. Violation de données personnelles

Luminoris informe le Client dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles affectant les données traitées pour son compte.

Dans la mesure où les informations sont disponibles, la notification comprend notamment la nature de la violation, les catégories de données et de personnes concernées, les conséquences probables, les mesures prises ou proposées et un point de contact pour obtenir des informations complémentaires.

Luminoris assiste raisonnablement le Client afin de lui permettre d’évaluer ses obligations de notification à l’autorité de contrôle et, le cas échéant, aux personnes concernées. Le Client demeure responsable des notifications lui incombant en qualité de responsable du traitement.

16. Analyses d’impact et consultation préalable

Compte tenu de la nature du traitement et des informations à sa disposition, Luminoris fournit au Client l’assistance raisonnablement nécessaire à la réalisation d’une analyse d’impact relative à la protection des données (AIPD) et, le cas échéant, à une consultation préalable de l’autorité de contrôle lorsque ces démarches sont requises pour les traitements du Client.

17. Registre, documentation et coopération avec les autorités

Luminoris tient, lorsque le RGPD l’exige, un registre des catégories d’activités de traitement effectuées pour le compte de responsables du traitement et coopère avec l’autorité de contrôle compétente dans les conditions prévues par la réglementation.

Luminoris informe le Client, sauf interdiction légale, de toute demande juridiquement contraignante d’une autorité portant spécifiquement sur les données confiées par le Client lorsque cette information est permise.

18. Audits et démonstration de conformité

Luminoris met à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect des obligations prévues par le présent DPA et l’article 28 du RGPD.

Le Client peut demander un audit lorsque cela est raisonnablement nécessaire pour vérifier la conformité des traitements qui lui sont propres. Les parties privilégient, lorsque cela est suffisant, l’examen de documents, attestations, rapports de sécurité ou questionnaires avant toute inspection sur site.

Toute inspection sur site doit être précédée d’un préavis raisonnable, se dérouler pendant les heures ouvrées, ne pas compromettre la sécurité ou la confidentialité des autres Clients et respecter les secrets d’affaires de Luminoris et de ses prestataires. Sauf incident grave, demande d’une autorité ou manquement démontré, les audits spécifiques demandés par le Client peuvent faire l’objet d’une facturation raisonnable correspondant aux coûts directement engagés, après information préalable.

19. Restitution, réversibilité et suppression

À la fin des Services, Luminoris, selon les modalités prévues au contrat et au choix applicable du Client, restitue ou rend accessibles pour export les données personnelles traitées pour son compte, puis procède à leur suppression, sauf obligation légale imposant leur conservation.

Le Client doit procéder à l’export des données qu’il souhaite conserver dans la période de réversibilité prévue. Après expiration de cette période, les données peuvent être supprimées des environnements actifs.

Les copies résiduelles présentes dans les sauvegardes sont supprimées au fur et à mesure des cycles de rotation applicables et demeurent protégées contre toute réutilisation active, sous réserve des contraintes techniques et obligations légales.

20. Responsabilité et répartition des rôles

Chaque partie répond des obligations qui lui incombent en vertu du RGPD selon son rôle effectif dans le traitement. Le Client demeure responsable des finalités, bases juridiques, instructions et usages qu’il décide. Luminoris demeure responsable de ses propres obligations de sous-traitant.

Les limitations de responsabilité prévues par les CGV s’appliquent dans la mesure permise par la réglementation, sans pouvoir exclure ou limiter une responsabilité lorsqu’une telle limitation est interdite par une disposition impérative, notamment au regard de l’article 82 du RGPD.

21. Durée, modification et fin du DPA

Le présent DPA entre en vigueur à la date à laquelle Luminoris commence à traiter des données personnelles pour le compte du Client et demeure applicable aussi longtemps que Luminoris conserve ou traite de telles données dans le cadre des Services.

Luminoris peut mettre à jour le DPA afin de tenir compte d’évolutions légales, réglementaires, techniques ou de ses sous-traitants. Les modifications substantielles sont portées à la connaissance du Client selon les modalités contractuelles applicables.

22. Droit applicable et règlement des différends

Le présent DPA est soumis au droit français. Les dispositions relatives au droit applicable et au règlement des litiges prévues dans les CGV s’appliquent, sous réserve des compétences et pouvoirs des autorités de contrôle prévus par le RGPD.

ANNEXE 1 - DESCRIPTION DES TRAITEMENTS

Cette annexe doit être ajustée à l’offre réellement souscrite et aux fonctionnalités activées par le Client.

ANNEXE 2 - MESURES TECHNIQUES ET ORGANISATIONNELLES

La présente annexe décrit un socle à confirmer selon l’architecture réellement déployée. Les mesures peuvent évoluer sans diminution substantielle du niveau global de sécurité applicable aux données confiées.

ANNEXE 3 - SOUS-TRAITANTS ULTÉRIEURS

À compléter avant utilisation du DPA. N’y inscrire que les prestataires qui traitent effectivement des données personnelles pour le compte de Luminoris dans le cadre des Services du Client. Les prestataires agissant pour leurs propres finalités comme responsables de traitement indépendants doivent être distingués.

Prestataire de paiement : Stripe ne doit être ajouté à cette annexe que pour les traitements dans lesquels il agit effectivement comme sous-traitant de Luminoris pour des données du Client. Les traitements pour lesquels Stripe agit comme responsable de traitement indépendant relèvent de sa propre documentation de confidentialité.

ANNEXE 4 - TRANSFERTS HORS EEE

Si aucun transfert hors EEE n’est effectué pour les données couvertes par le présent DPA, indiquer : « Aucun transfert hors EEE identifié pour les traitements couverts à la date de mise à jour ».

ANNEXE 5 - CONTACTS ET INSTRUCTIONS PARTICULIÈRES

RÉFÉRENCES OFFICIELLES DE PRÉPARATION

Le présent document de travail a été préparé en cohérence avec les CGV et la Politique de confidentialité de Luminoris, ainsi qu’en tenant compte notamment de l’article 28 du Règlement (UE) 2016/679 (RGPD), de l’article 32 relatif à la sécurité, des dispositions relatives aux violations de données, aux transferts internationaux et des recommandations de la CNIL concernant la sous-traitance.

CNIL - Travailler avec un sous-traitant.

CNIL - Clauses contractuelles types entre responsable de traitement et sous-traitant.

CNIL - Exemple de clauses de sous-traitance.

Règlement (UE) 2016/679 - RGPD, notamment articles 28, 32 à 36 et chapitre V.