Accord de traitement des données (DPA)

Le présent accord de traitement des données (DPA) encadre le traitement des données à caractère personnel que PixL-Art Studio SASU, opérant sous la marque VekTrel (ci-après le « Sous-traitant »), effectue pour le compte de ses clients (ci-après le(s) « Responsable(s) de traitement »), au titre de l'article 28 du Règlement Général sur la Protection des Données (RGPD) (UE) 2016/679.

1. Objet et durée du traitement

Le Sous-traitant fournit au Responsable de traitement des services d'hébergement (mail, web, application, SaaS) et/ou de développement logiciel sur mesure. Dans ce cadre, le Sous-traitant traite des données à caractère personnel pour le compte du Responsable de traitement.

La durée du traitement correspond à la durée du contrat de services souscrit par le Responsable de traitement. Au terme du contrat, les données sont restituées ou supprimées dans les conditions de l'article 10 ; seule une obligation légale précisément identifiée peut justifier la conservation d'une donnée au-delà.

2. Nature et finalité du traitement

Le traitement a pour finalité la fourniture des services d'hébergement et de développement commandés par le Responsable de traitement. Les opérations de traitement comprennent : le stockage, la transmission, la sauvegarde, la restauration, la suppression et la mise à disposition des données via des interfaces sécurisées.

3. Types de données et catégories de personnes concernées

Les types de données traitées dépendent du service souscrit et peuvent inclure : données d'identification, données de contact professionnel, données de navigation, contenus de messagerie, données techniques de connexion. Les catégories de personnes concernées sont les utilisateurs finaux des services hébergés ou développés pour le compte du Responsable de traitement.

4. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• Traiter les données personnelles uniquement sur instruction documentée du Responsable de traitement, y compris en matière de transferts vers un pays tiers ;
• Informer immédiatement le Responsable de traitement si, selon lui, une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou du droit des États membres relatives à la protection des données ;
• Garantir la confidentialité des personnes ayant accès aux données ;
• Prendre toutes les mesures techniques et organisationnelles appropriées pour garantir la sécurité du traitement ;
• Respecter les conditions préalables à la mise en œuvre de sous-traitants ultérieurs (autorisation préalable du Responsable de traitement) ;
• Aider le Responsable de traitement, par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, à satisfaire à son obligation de répondre aux demandes d'exercice des droits des personnes concernées ;
• Aider le Responsable de traitement à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité du traitement, notification des violations de données) ;
• Supprimer ou restituer l'ensemble des données à caractère personnel à la fin du contrat de services, selon les instructions du Responsable de traitement, et détruire les copies existantes, sauf si le droit de l'Union ou des États membres exige leur conservation ;
• Mettre à disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article 28 et permettre la réalisation d'audits, y compris des inspections, par le Responsable de traitement ou un autre auditeur qu'il a mandaté.

5. Sous-traitants ultérieurs

Le Sous-traitant peut recourir à des sous-traitants ultérieurs pour l'exécution de certaines tâches liées au service. Avant tout ajout ou remplacement, le Sous-traitant en informe le Responsable de traitement par écrit, en lui laissant un délai suffisant pour présenter une objection motivée relative à la protection des données ; aucun traitement n'est confié au nouveau prestataire avant l'accomplissement de cette procédure. Le Sous-traitant impose au prestataire les obligations de protection des données requises par l'article 28 du RGPD.

Les sous-traitants ultérieurs actuellement utilisés sont : Cloudflare, Inc. (infrastructure edge et diffusion, sous clauses contractuelles types) et Netcup GmbH (hébergement des serveurs et des bases de données, Allemagne). Les traitements qui leur sont confiés sont encadrés par un accord conforme à l'article 28 du RGPD ; les transferts éventuels sont encadrés séparément, selon le chapitre V du RGPD.

Qonto (établissement de paiement, France) n'est pas un sous-traitant ultérieur au titre du présent accord lorsqu'il intervient pour la tenue du compte de paiement, l'encaissement ou la gestion commerciale et comptable propre au Sous-traitant : il n'intervient pas sur les données traitées pour le compte du Responsable de traitement. Ces opérations sont décrites dans la politique de confidentialité.

6. Localisation des données

Les données hébergées pour le compte du Responsable de traitement sont stockées sur une infrastructure située au sein de l'Union Européenne. Le recours à une infrastructure européenne n'exclut pas des traitements hors de cette zone par certains sous-traitants ultérieurs listés à l'article 5. Tout transfert vers un pays tiers respecte les instructions documentées du Responsable de traitement et les exigences du chapitre V du RGPD.

7. Sécurité

Le Sous-traitant met en œuvre les mesures de sécurité suivantes :

• Chiffrement en transit : les connexions aux interfaces du service utilisent HTTPS/TLS.
• Contrôle d'accès : les données de chaque client sont cloisonnées au niveau de la base de données ; les accès d'administration sont attribués selon les besoins des fonctions exercées et retirés lorsqu'ils ne sont plus nécessaires.
• Sauvegardes : les bases de données de la plateforme sont sauvegardées plusieurs fois par jour et une copie est conservée hors du serveur, transférée par connexion chiffrée. Pour les services hébergés, les données sauvegardées, la fréquence des sauvegardes et leur durée de conservation sont celles de l'offre souscrite, précisées au devis.
• Journalisation : des journaux techniques des serveurs et des applications sont conservés et consultés pour détecter et traiter les incidents.
• Sécurité physique : les serveurs sont hébergés dans les centres de données de Netcup GmbH, certifié ISO/IEC 27001.

Les mesures complémentaires propres à un service donné (chiffrement au repos, authentification renforcée, vérification des restaurations) sont précisées au devis lorsqu'elles sont incluses dans l'offre souscrite.

8. Notification de violation de données à caractère personnel

En cas de violation de données à caractère personnel, le Sous-traitant en informe le Responsable de traitement dans un délai maximum de 24 heures après en avoir pris connaissance. Cette notification comprend, dans la mesure de l'information disponible : la nature de la violation, les catégories et nombre approximatif de personnes concernées, les mesures prises ou proposées pour remédier à la violation.

9. Audit et inspection

Le Responsable de traitement a le droit d'auditer les activités de traitement du Sous-traitant, sur présentation d'un préavis raisonnable et au maximum une (1) fois par an, sauf en cas de suspicion de non-conformité. L'audit peut prendre la forme d'un questionnaire de sécurité, d'une revue de documentation ou, si nécessaire, d'une inspection sur site. Le Sous-traitant s'engage à coopérer pleinement.

10. Destruction ou restitution des données

À l'expiration ou à la résiliation du contrat de services, le Sous-traitant restitue au Responsable de traitement l'ensemble des données à caractère personnel et supprime les copies existantes, conformément aux instructions du Responsable de traitement, sauf obligation légale contraire de conservation.

11. Modification du DPA

Toute modification contractuelle du présent DPA fait l'objet d'un accord écrit, y compris électronique, des parties. Les changements de sous-traitants ultérieurs suivent la procédure d'information et d'objection prévue à l'article 5. La simple poursuite de l'utilisation du service ne vaut pas acceptation d'une réduction des obligations de protection des données convenues.

12. Contact

Pour toute question relative au présent accord de traitement des données, contactez-nous à l'adresse privacy@vektrel.dev.

Dernière mise à jour : 12 octobre 2026.