Accord de Traitement des Données (DPA)

Version 1.0 · Dernière mise à jour : 29 avril 2026 · En vigueur depuis le 29 avril 2026

Le présent Accord de Traitement des Données (« DPA ») fait partie intégrante des Conditions d'Utilisation entre [ENTITY_NAME] (« sous-traitant », « nous ») et le client (« responsable du traitement », « vous ») utilisant le service LIA. Il s'applique chaque fois que le responsable du traitement est établi dans l'Espace Économique Européen (EEE), au Royaume-Uni ou en Suisse, ou lorsque le RGPD s'applique de manière extraterritoriale au traitement effectué par le responsable du traitement.

1. Définitions

Les termes utilisés dans le présent DPA ont la signification qui leur est donnée dans le Règlement (UE) 2016/679 (« RGPD »). Les « Données à Caractère Personnel » désignent toute information se rapportant à une personne physique identifiée ou identifiable.

2. Objet et Durée

Le sous-traitant traitera les Données à Caractère Personnel pour le compte du responsable du traitement uniquement aux fins de la fourniture du Service LIA telle que décrite dans les Conditions d'Utilisation. Le présent DPA reste en vigueur pendant la durée du contrat de service et pendant toutes les périodes de conservation qui suivent la résiliation.

3. Nature et Finalité du Traitement

Le traitement est limité aux opérations nécessaires à la fourniture du Service LIA :

• Gestion des comptes utilisateurs (authentification, facturation)
• Messages de chat transmis aux fournisseurs d'inférence IA
• Télémétrie des sessions Bridge (nom de la DAW, version, horodatages)
• Communications de support client

4. Catégories de Données à Caractère Personnel et de Personnes Concernées

Catégories de personnes concernées : utilisateurs autorisés du responsable du traitement (développeurs, musiciens, prestataires).

Catégories de Données à Caractère Personnel : adresses électroniques, mots de passe hachés (Supabase Auth), noms d'affichage, métadonnées de paiement (pas de détails de carte), messages de chat, journaux d'utilisation, adresses IP (hachées avant stockage).

5. Obligations du Sous-Traitant

1. Traiter les Données à Caractère Personnel uniquement sur instructions documentées du responsable du traitement, y compris pour les transferts vers des pays tiers (art. 28 §3 a RGPD).
2. Veiller à ce que les personnes autorisées à traiter les Données à Caractère Personnel soient soumises à une obligation de confidentialité.
3. Mettre en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD), voir §9.
4. Faire appel à des sous-traitants ultérieurs uniquement avec une autorisation générale écrite préalable (voir §8).
5. Aider le responsable du traitement à répondre aux demandes des personnes concernées (art. 15 à 22 RGPD).
6. Notifier au responsable du traitement, sans retard injustifié, toute violation de Données à Caractère Personnel (art. 33 RGPD), voir §10.
7. Au choix du responsable du traitement, supprimer ou retourner toutes les Données à Caractère Personnel à la fin des services (art. 28 §3 g RGPD).
8. Mettre à disposition toutes les informations nécessaires pour démontrer la conformité et permettre des audits (art. 28 §3 h RGPD).

6. Obligations du Responsable du Traitement

Le responsable du traitement déclare avoir obtenu toutes les bases juridiques nécessaires (art. 6 RGPD) pour les Données à Caractère Personnel traitées dans le cadre du présent DPA, et avoir informé les personnes concernées conformément aux articles 13 et 14 du RGPD.

7. Transferts Internationaux de Données

Le Service est hébergé dans l'Union européenne (Francfort, Allemagne. Hostinger / supabase.com région UE). Les Données à Caractère Personnel sont traitées au sein de l'EEE. Lorsque les sous-traitants ultérieurs traitent des données en dehors de l'EEE (par exemple, fournisseurs d'inférence IA aux États-Unis), les transferts sont régis par :

• Le cadre EU-US Data Privacy Framework (DPF), lorsque le destinataire est certifié ;
• Les Clauses Contractuelles Types (CCT), Module 2 (responsable du traitement à sous-traitant), Décision UE 2021/914 de la Commission de 2021.

Aucune Donnée à Caractère Personnel n'est transférée vers des juridictions sans décision d'adéquation de l'UE ou garanties appropriées.

8. Sous-Traitants Ultérieurs

Le responsable du traitement autorise le sous-traitant à faire appel à des sous-traitants ultérieurs. La liste actuelle est disponible sur /api/legal/subprocessors (point de terminaison authentifié, droit d'accès art. 15 RGPD). Le sous-traitant notifiera au responsable du traitement tout changement prévu au moins 30 jours à l'avance, donnant au responsable du traitement un délai raisonnable pour s'y opposer.

9. Mesures de Sécurité (Article 32 RGPD)

• Chiffrement en transit : TLS 1.3 pour tout le trafic client-serveur
• Chiffrement au repos : AES-256 pour le stockage de la base de données (géré par Supabase)
• Contrôle d'accès : basé sur les rôles, MFA pour l'accès administrateur
• Isolation réseau : services liés à loopback ou au réseau Tailscale lorsque possible (défense en profondeur)
• Journalisation : piste d'audit pour toutes les actions administratives
• Réponse aux incidents : runbook documenté pour les événements de sécurité

10. Notification des Violations de Données

Le sous-traitant notifiera au responsable du traitement, sans retard injustifié (et en tout état de cause dans les 72 heures suivant la prise de connaissance), toute violation affectant les Données à Caractère Personnel traitées dans le cadre du présent DPA. La notification comprendra :

• La nature et la portée approximative de la violation
• Les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés
• Les mesures prises ou proposées pour atténuer la violation
• Les coordonnées du responsable de la confidentialité pour de plus amples informations

11. Résiliation

À la résiliation du contrat de service et sur demande écrite du responsable du traitement, le sous-traitant supprimera ou retournera toutes les Données à Caractère Personnel. Les copies de sauvegarde seront supprimées au prochain cycle normal de rotation des sauvegardes (maximum 90 jours).

12. Responsabilité

La responsabilité au titre du présent DPA est régie par les limitations énoncées dans les Conditions d'Utilisation, sauf lorsque cette limitation entre en conflit avec l'article 82 du RGPD (droit à la réparation).

13. Loi Applicable et Juridiction

Le présent DPA est régi par les lois de la République italienne. Le tribunal compétent est celui du siège social du responsable du traitement, ou lorsque celui-ci se trouve hors de l'EEE, le tribunal de [SEDE_LEGALE], Italie.

14. Autorité de Contrôle

Les réclamations concernant le traitement de vos Données à Caractère Personnel peuvent être adressées à l'autorité de contrôle compétente. En France : CNIL (Commission Nationale de l'Informatique et des Libertés), 3 Place de Fontenoy (TSA 80715) 75334 PARIS CEDEX 07.

15. Contact

Pour toute question relative au présent DPA : [email protected]