Accord de traitement des données

1. Parties et portée

Le client est le « Responsable de traitement » et Tom Blanchet, entrepreneur individuel sous le nom commercial Fluid, est le « Sous-traitant ». Le présent accord fait partie du contrat de service et s'applique aux données personnelles que le client insère dans ses modèles, variables et contrats.

2. Description du traitement

• Objet : hébergement, structuration, substitution de variables, génération, consultation et restitution de documents.
• Durée : durée du Service puis période de lecture seule de douze mois, sous réserve des suppressions demandées ou obligations légales.
• Nature et finalités : collecte par le client, stockage, organisation, conversion, extraction et mise à disposition aux seules fins de fournir et sécuriser le Service.
• Personnes concernées : utilisateurs du client, auteurs, compositeurs, éditeurs, représentants, signataires, contacts et autres personnes mentionnées dans les documents.
• Données : identité, coordonnées, qualité professionnelle, informations contractuelles, financières et toute donnée librement insérée par le client.

3. Instructions du client

Fluid ne traite les données que sur instruction documentée du client, constituée par le contrat, l'usage des fonctionnalités et les demandes écrites compatibles avec le Service. Si une instruction paraît contraire au RGPD, Fluid en informe le client et peut suspendre son exécution. Toute demande hors du fonctionnement normal peut faire l'objet d'un devis lorsqu'elle exige des moyens supplémentaires.

4. Obligations de Fluid

Fluid s'engage à :

• limiter l'accès aux personnes autorisées soumises à une obligation de confidentialité ;
• mettre en œuvre des mesures techniques et organisationnelles adaptées aux risques ;
• aider raisonnablement le client à répondre aux demandes de droits et obligations des articles 32 à 36 du RGPD ;
• notifier au client toute violation de données le concernant dans les meilleurs délais après en avoir pris connaissance ;
• tenir à disposition les informations nécessaires pour démontrer le respect du présent accord.

5. Sécurité

Les mesures comprennent notamment le chiffrement des communications, la protection des mots de passe, les contrôles d'accès, la séparation des environnements, les mises à jour de sécurité, la limitation des journaux et la surveillance des erreurs. Le client gère les habilitations, protège ses identifiants, limite les données au nécessaire et sauvegarde les documents qu'il doit conserver durablement.

6. Sous-traitants ultérieurs

Le client donne une autorisation générale au recours aux prestataires suivants, soumis à des obligations de protection équivalentes :

• IONOS GmbH, Allemagne : hébergement du serveur, de MariaDB et des fichiers ;
• Brevo SAS, France : envoi des emails liés au Service lorsque des données de contact sont nécessaires ;
• Functional Software, Inc. (Sentry) : diagnostic des erreurs et incidents techniques.

Stripe traite principalement les données de facturation pour le compte de Fluid ou sous sa responsabilité propre et ne reçoit pas le contenu des contrats. Fluid informe le client d'un changement significatif de sous-traitant au moins trente jours avant sa prise d'effet lorsque possible. Le client peut présenter une objection motivée relative à la protection des données ; les parties recherchent alors une solution adaptée.

7. Transferts internationaux

L'hébergement principal est situé en Allemagne. Lorsqu'un sous-traitant traite des données hors de l'EEE, Fluid veille à l'existence d'un mécanisme conforme au chapitre V du RGPD, tel qu'une décision d'adéquation ou les clauses contractuelles types, et applique les mesures complémentaires appropriées au risque.

8. Sort des données

À la fin du contrat, les documents restent consultables pendant douze mois afin que le client puisse les récupérer, sans export payant. Après avertissement et douze mois d'inactivité, Fluid supprime le compte et les contenus, sauf obligation légale ou demande de suppression anticipée compatible avec les droits de tiers. Les factures, qui ne font pas partie des contenus confiés, sont conservées dix ans.

9. Audit et coopération

Une fois par an, ou après un incident sérieux, le client peut demander les informations raisonnablement nécessaires à un audit. Les parties privilégient les attestations, questionnaires et contrôles documentaires. Un audit sur place nécessite un préavis raisonnable, respecte la confidentialité et ne perturbe pas le Service. Les coûts inhabituels peuvent être facturés sauf non-conformité substantielle de Fluid.

10. Responsabilité et contact

Chaque partie respecte les obligations RGPD relevant de son rôle. Le client garantit la licéité de la collecte, l'information des personnes et ses instructions. La responsabilité est régie par les CGV. Pour toute question ou notification : contact@tomblanchet.fr.