Accord de sous-traitance (DPA)

Le présent accord est conclu entre :

le Client de Nectera, agissant, pour les traitements concernés, en qualité de responsable de traitement,

ci-après le « Responsable de traitement »,

et

STUDIO LIBRA, SAS au capital de 2 000 euros, 116 rue des Eaux Bonnes, 64121 Serres-Castet, RCS Pau 992 430 199, téléphone 06 70 65 84 88, email contact@nectera.fr,

agissant en qualité de sous-traitant,

ci-après le « Sous-traitant ».

Le présent DPA a pour objet de définir les obligations respectives des Parties concernant les traitements de données personnelles réalisés par STUDIO LIBRA pour le compte du Responsable de traitement au moyen de Nectera.

Il vise notamment à satisfaire aux exigences de l’article 28 du RGPD.

Le présent Accord relatif au traitement des données personnelles fait partie intégrante des conditions contractuelles Nectera.

Le Responsable de traitement détermine les finalités et les moyens essentiels du traitement.

STUDIO LIBRA traite les données uniquement :

• pour fournir Nectera ;
• conformément au présent DPA ;
• conformément aux Conditions générales ;
• conformément aux paramètres et actions du Responsable de traitement dans le Service ;
• et conformément aux autres instructions documentées licites reçues du Responsable de traitement.

STUDIO LIBRA ne réutilise pas les Données Client pour des finalités propres incompatibles avec sa qualité de sous-traitant.

Objet

Fourniture, hébergement, exploitation, sécurisation, maintenance et assistance du service Nectera.

Durée

Durée de l’essai gratuit et, le cas échéant, de l’Abonnement, période de réversibilité et délais techniques de suppression prévus par le contrat.

Nature des opérations

Selon les fonctionnalités :

• collecte ;
• réception ;
• enregistrement ;
• organisation ;
• structuration ;
• stockage ;
• consultation technique ;
• affichage ;
• mise à disposition ;
• transmission ;
• modification ;
• extraction ;
• export ;
• sauvegarde ;
• effacement.

Finalités

Permettre au Responsable de traitement de gérer au moyen de Nectera sa relation avec ses clients et utilisateurs, notamment concernant :

• les fiches clients ;
• les informations de contact ;
• les documents ;
• les demandes d’intervention ;
• les communications ;
• les devis et références de facturation ;
• les contenus et informations du portail ;
• l’historique de la relation client.

Selon l’utilisation décidée par le Responsable de traitement, les traitements peuvent notamment concerner :

• ses clients ;
• ses prospects ;
• les contacts professionnels de ses clients ;
• ses représentants ;
• ses collaborateurs autorisés ;
• ses salariés lorsque leur utilisation de Nectera le justifie ;
• les personnes invitées dans un portail Nectera.

Selon les fonctionnalités utilisées :

• identité ;
• coordonnées ;
• entreprise ;
• données de compte ;
• données relatives à la relation commerciale ;
• demandes d’intervention et messages ;
• documents et pièces jointes (devis, factures, contrats et autres pièces) ;
• actualités diffusées et accusés de lecture ;
• informations financières déclaratives relatives à la relation (recettes, dépenses, opérations, montants, catégories) ;
• notes internes, étiquettes et rappels de suivi ;
• identifiants des cartes d’accès QR et jalons d’activation ;
• historique ;
• données techniques liées à l’utilisation.

Le Service n’est pas conçu, par défaut, pour le traitement régulier de catégories particulières de données au sens de l’article 9 du RGPD ni pour les données pénales visées à l’article 10.

Le Responsable de traitement s’engage à ne pas utiliser Nectera principalement à ces fins sans avoir préalablement :

• informé STUDIO LIBRA ;
• vérifié la compatibilité du Service avec ses obligations ;
• et obtenu, lorsque STUDIO LIBRA l’exige raisonnablement, son accord écrit.

Les instructions documentées comprennent notamment :

• le présent DPA ;
• les Conditions générales ;
• la configuration du compte ;
• les actions effectuées dans le Service ;
• les demandes écrites adressées à STUDIO LIBRA.

Toute instruction supplémentaire nécessitant un développement, une intervention manuelle ou générant un coût substantiel peut donner lieu à une facturation raisonnable après information préalable, sauf lorsque l’assistance doit légalement être fournie sans coût supplémentaire compte tenu des circonstances.

Si STUDIO LIBRA estime qu’une instruction viole le RGPD ou une autre disposition applicable à la protection des données, elle en informe le Responsable de traitement.

Le Responsable de traitement garantit notamment :

• qu’il dispose d’une base juridique pour les traitements confiés ;
• qu’il fournit aux personnes concernées les informations requises ;
• qu’il respecte les principes de minimisation et de limitation de conservation ;
• qu’il n’introduit pas sciemment de données illicites ;
• qu’il attribue correctement les droits d’accès ;
• qu’il utilise le Service conformément à sa destination ;
• qu’il répond aux demandes des personnes concernées ;
• qu’il réalise, lorsque nécessaire, une analyse d’impact ;
• qu’il dispose des autorisations ou consentements nécessaires.

STUDIO LIBRA n’est pas chargée de déterminer la base juridique propre aux activités professionnelles du Responsable de traitement.

STUDIO LIBRA veille à ce que les personnes autorisées à traiter les données :

• soient soumises à une obligation appropriée de confidentialité ;
• n’y accèdent que pour les besoins de leurs fonctions ;
• soient sensibilisées aux exigences de sécurité applicables.

STUDIO LIBRA met en œuvre des mesures techniques et organisationnelles destinées à assurer un niveau de sécurité adapté au risque.

Les mesures principales sont décrites en Annexe 2.

STUDIO LIBRA peut faire évoluer ces mesures afin d’améliorer la sécurité, de tenir compte de l’évolution technologique ou de modifier son infrastructure, à condition de ne pas réduire substantiellement le niveau global de protection pendant la durée du traitement.

Le Responsable de traitement donne à STUDIO LIBRA une autorisation générale écrite pour recourir aux sous-traitants ultérieurs nécessaires à la fourniture de Nectera.

STUDIO LIBRA maintient une liste des sous-traitants ultérieurs concernés.

En cas d’ajout ou de remplacement d’un sous-traitant ultérieur ayant vocation à traiter les données confiées, STUDIO LIBRA en informe le Responsable de traitement par email, à l’adresse du compte administrateur, au moins trente jours avant la mise en œuvre du changement.

Le Responsable de traitement peut, dans ce délai, présenter une objection motivée fondée sur des motifs sérieux relatifs à la protection des données.

Les Parties recherchent alors de bonne foi une solution raisonnable.

Lorsqu’aucune solution techniquement et économiquement raisonnable ne peut être mise en œuvre sans le prestataire concerné, chacune des Parties peut mettre fin aux services affectés conformément aux modalités contractuelles applicables, sans que l’objection puisse être utilisée abusivement pour imposer à STUDIO LIBRA une architecture individualisée.

STUDIO LIBRA impose au sous-traitant ultérieur des obligations de protection des données compatibles avec celles qui lui incombent pour les traitements confiés.

STUDIO LIBRA demeure responsable envers le Responsable de traitement de l’exécution des obligations de ses sous-traitants ultérieurs dans les conditions prévues par le RGPD.

STUDIO LIBRA s’assure que les transferts de données personnelles vers un pays situé hors de l’Espace économique européen sont réalisés conformément aux dispositions du chapitre V du RGPD.

Selon le destinataire, le transfert peut notamment être fondé sur :

• une décision d’adéquation ;
• un mécanisme reconnu d’adéquation applicable à une entreprise américaine certifiée ;
• les clauses contractuelles types de la Commission européenne ;
• ou toute autre garantie autorisée.

Lorsque l’utilisation de clauses contractuelles types nécessite des mesures supplémentaires compte tenu du contexte du transfert, STUDIO LIBRA met en œuvre les mesures raisonnablement nécessaires sous sa responsabilité.

Compte tenu de la nature du traitement, STUDIO LIBRA assiste raisonnablement le Responsable de traitement afin de lui permettre de répondre aux demandes relatives aux droits des personnes.

Nectera met notamment à disposition du Responsable de traitement, depuis son compte administrateur, une fonction d’export dans un format structuré (JSON) des données de chaque client final (fiche, compte associé, demandes d’intervention et fil des échanges, références et métadonnées des documents, des pièces jointes et des cartes d’accès), ainsi que les fonctions de consultation, rectification et suppression intégrées au Service. Les fichiers eux-mêmes ne sont pas inclus dans l’export : ils se téléchargent individuellement depuis le Service. L’export exclut les notes internes, le suivi financier, les étiquettes, les rappels et les accusés de lecture d’actualités, qui constituent l’espace de travail propre du Responsable de traitement.

Lorsqu’une intervention technique est nécessaire au-delà de ces fonctions, STUDIO LIBRA l’apporte dans des conditions raisonnables.

Lorsqu’une personne adresse directement à STUDIO LIBRA une demande concernant les données traitées pour le compte d’un Client identifiable, STUDIO LIBRA transmet la demande au Responsable de traitement concerné sans y répondre sur le fond, sauf instruction ou obligation légale contraire.

Compte tenu de la nature du traitement et des informations disponibles, STUDIO LIBRA apporte une assistance raisonnable au Responsable de traitement concernant les obligations relevant notamment :

• de la sécurité des traitements ;
• des violations de données ;
• des analyses d’impact ;
• et des consultations préalables auprès d’une autorité de contrôle.

STUDIO LIBRA n’assure toutefois pas une prestation de conseil juridique au Responsable de traitement.

Lorsqu’elle constate une violation de données personnelles affectant des données traitées pour le compte du Responsable de traitement, STUDIO LIBRA l’en informe dans les meilleurs délais après en avoir pris connaissance.

Dans la mesure où elles sont disponibles, STUDIO LIBRA fournit notamment les informations utiles concernant :

• la nature de l’incident ;
• les catégories de données concernées ;
• les personnes potentiellement concernées ;
• les conséquences probables ;
• les mesures prises ou envisagées.

Lorsque toutes les informations ne peuvent être fournies simultanément, elles peuvent être communiquées progressivement.

La notification par STUDIO LIBRA d’un incident ne vaut pas reconnaissance de responsabilité.

Il appartient au Responsable de traitement de déterminer, sous sa responsabilité, si une notification à une autorité de contrôle ou aux personnes concernées est requise.

Sauf interdiction légale, STUDIO LIBRA informe le Responsable de traitement de toute demande juridiquement contraignante d’une autorité visant spécifiquement les données traitées pour son compte lorsque cette information est requise ou pertinente.

STUDIO LIBRA vérifie, dans la mesure raisonnablement possible, la régularité formelle d’une telle demande avant communication des données.

À la fin de la prestation (fin de l’essai gratuit sans souscription, ou fin de l’Abonnement), le Responsable de traitement dispose de la période de réversibilité de trente jours prévue dans les Conditions générales.

Pendant cette période, il peut récupérer ses données au moyen de la fonction d’export par client final disponible dans le Service, télécharger les documents déposés et, sur demande écrite formulée avant l’expiration de la période, obtenir de STUDIO LIBRA un export global des données de son organisation dans un format structuré et couramment utilisé.

Sur demande écrite du Responsable de traitement formulée pendant cette période, STUDIO LIBRA lui restitue ses données sous la forme de l’export global visé ci-dessus avant de procéder à leur suppression.

À l’issue de cette période, STUDIO LIBRA procède à la suppression des données opérationnelles dans un délai maximal de trente jours, sauf obligation légale exigeant leur conservation.

Les données peuvent subsister temporairement dans les sauvegardes automatiques de la base de données, conservées sept jours glissants, jusqu’à leur rotation. STUDIO LIBRA n’extrait pas unitairement des données de ces sauvegardes, conserve la trace de la suppression effectuée et, en cas de restauration d’une sauvegarde postérieure à cette suppression, la réapplique sur le système restauré.

Ces sauvegardes restent soumises aux mesures de protection applicables et ne sont pas réintroduites dans le Service à d’autres fins.

Les entrées du journal d’audit relatives à l’organisation supprimée sont dissociées de celle-ci et conservées dans les conditions prévues par la Politique de confidentialité (au plus cinq ans après la fin de la relation contractuelle), aux seules fins de preuve, de sécurité et de défense des droits.

STUDIO LIBRA met à disposition du Responsable de traitement les informations raisonnablement nécessaires pour démontrer le respect de ses obligations prévues par l’article 28 du RGPD.

Cette documentation peut notamment comprendre :

• le présent DPA ;
• les mesures techniques et organisationnelles ;
• la liste des sous-traitants ultérieurs ;
• les informations relatives à l’hébergement ;
• les réponses à des questionnaires raisonnables de conformité.

Le Responsable de traitement peut procéder ou faire procéder à un audit lorsque cela est raisonnablement nécessaire pour vérifier les obligations de STUDIO LIBRA découlant de l’article 28 du RGPD.

Afin de préserver la sécurité du Service et la confidentialité des autres Clients :

1. la priorité est donnée à l’examen de la documentation disponible ;
2. toute demande complémentaire doit être proportionnée ;
3. un audit sur site ne peut intervenir que lorsque la documentation disponible est insuffisante au regard d’un risque concret ou d’une obligation réglementaire ;
4. l’auditeur doit être indépendant et soumis à une obligation de confidentialité ;
5. l’audit doit être réalisé pendant les heures ouvrées et avec un préavis raisonnable, sauf incident grave ou demande d’une autorité ;
6. il ne doit pas donner accès aux données, secrets ou informations confidentielles appartenant à d’autres Clients ;
7. il ne doit pas compromettre la sécurité ou la disponibilité du Service.

Sauf violation avérée imputable à STUDIO LIBRA ou obligation légale contraire, les coûts spécifiques occasionnés par un audit individualisé excédant la documentation normalement mise à disposition sont supportés par le Responsable de traitement.

La responsabilité respective des Parties concernant les traitements de données personnelles est déterminée conformément au RGPD, aux autres dispositions impératives applicables et au contrat.

Aucune clause du présent DPA ne peut être interprétée comme supprimant les droits directement reconnus aux personnes concernées ou limitant les pouvoirs d’une autorité de contrôle.

Les limitations contractuelles de responsabilité prévues par les Conditions générales s’appliquent aux relations entre les Parties dans la mesure où leur application au traitement concerné est juridiquement permise.

Responsable de traitement : Client de Nectera
Sous-traitant : STUDIO LIBRA
Service : Nectera
Objet : fourniture d’un portail client SaaS.
Durée : durée de l’essai gratuit et, le cas échéant, de l’Abonnement + réversibilité + cycles techniques de suppression.
Fréquence : continue pendant l’utilisation du Service.

Personnes concernées :

• Clients finaux ;
• prospects lorsque le Client choisit de les enregistrer ;
• contacts professionnels ;
• utilisateurs internes ;
• représentants des entreprises clientes.

Données susceptibles d’être traitées :

• identité ;
• coordonnées ;
• informations professionnelles ;
• historique de relation ;
• demandes d’intervention et messages ;
• documents et pièces jointes (devis, factures, contrats et autres pièces) ;
• actualités et accusés de lecture ;
• informations financières déclaratives relatives à la relation ;
• notes internes, étiquettes et rappels de suivi ;
• identifiants des cartes d’accès QR ;
• métadonnées ;
• données techniques nécessaires au fonctionnement.

Catégories particulières de données : non prévues dans l’usage standard de Nectera.

Finalités : exécution des fonctionnalités de portail client à la demande et sous le contrôle du Responsable de traitement.

A. Gestion des identités et authentification

Nectera met en œuvre un mécanisme centralisé d’authentification permettant d’identifier les utilisateurs autorisés.

Le premier accès d’un utilisateur s’effectue au moyen d’un lien de connexion à usage unique valable quinze minutes, suivi de la définition obligatoire d’un mot de passe respectant une politique de complexité (douze caractères au minimum, comprenant une majuscule, un chiffre et un caractère spécial). Les mots de passe sont stockés sous forme hachée par le service d’authentification. La réinitialisation s’effectue exclusivement par lien de connexion à usage unique et à durée de validité limitée.

Les sessions et autorisations sont contrôlées au niveau applicatif et au niveau des services de données concernés.

B. Séparation des organisations

L’architecture Nectera est conçue selon un modèle multi-tenant avec séparation logique des organisations.

Les accès aux données sont notamment contrôlés par des mécanismes d’autorisation au niveau de la base de données et des services applicatifs.

L’objectif est qu’un utilisateur authentifié d’une organisation ne puisse accéder aux données d’une autre organisation sans autorisation explicite.

C. Contrôle au niveau de la base de données

Nectera utilise des politiques de contrôle d’accès adaptées à l’architecture de données.

Les règles d’isolation font l’objet de tests automatisés destinés notamment à vérifier les scénarios d’accès non autorisés.

D. Principe du moindre privilège

Les services et utilisateurs ne reçoivent que les privilèges nécessaires à leurs fonctions.

Les privilèges administratifs et techniques élevés ne sont pas exposés directement aux utilisateurs finaux.

Les identifiants techniques sensibles réservés à l’administration serveur sont utilisés uniquement dans des contextes protégés côté serveur et ne sont jamais transmis au navigateur.

Les accès de l’éditeur aux données d’un Client à des fins de support s’effectuent en lecture seule, dans le cadre d’une session de support motivée, d’une durée maximale de soixante minutes, non prolongeable, journalisée, et notifiée par email au Client dès son ouverture. Les données internes du Client (notes, suivi financier, étiquettes, rappels, actualités) sont exclues du périmètre de ces sessions. Des interventions d’administration ponctuelles (création ou archivage d’une fiche client, envoi d’un lien de connexion à un utilisateur, gestion du statut du compte, invitation d’un administrateur) peuvent par ailleurs être réalisées par l’éditeur depuis sa console d’administration, à la demande du Client ou pour l’exécution du contrat ; elles sont systématiquement inscrites au journal d’audit.

E. Sécurité des communications

Les communications entre les utilisateurs et Nectera sont protégées au moyen de protocoles de chiffrement en transit (HTTPS/TLS), avec application des en-têtes de sécurité HTTP (HSTS, politique de sécurité de contenu) sur l’ensemble des routes de l’application.

F. Gestion des secrets

Les secrets applicatifs, clés privées et identifiants sensibles sont conservés hors du code destiné au navigateur et dans les mécanismes prévus par les infrastructures concernées.

Ils ne doivent pas être intégrés volontairement au dépôt de code public ou exposés côté client.

G. Sécurité applicative

Nectera applique notamment :

• validation des entrées ;
• encodage et échappement des contenus lorsque nécessaire ;
• protections contre les injections et accès non autorisés ;
• gestion des dépendances ;
• revues et tests automatisés ;
• vérifications de compilation et de typage ;
• procédures de mise à jour des composants.

H. Sécurité des emails

Les contenus injectés dans des modèles d’emails sont traités de manière à limiter les risques d’injection de contenu actif lorsque cela est nécessaire.

Les emails transactionnels sont transmis au moyen d’un prestataire spécialisé.

I. Stockage de fichiers

Les documents et pièces jointes sont stockés dans un espace de stockage privé, hébergé en France, accessible uniquement au moyen d’URL signées à durée de validité courte, délivrées après vérification des autorisations applicables à l’organisation et à l’utilisateur concerné.

Les chemins de stockage sont cloisonnés par organisation et participent à l’isolation entre Clients.

Seuls les éléments d’identité visuelle du Client (logo, visuels d’actualités), dépourvus de données personnelles, sont servis depuis un espace public.

Les fichiers supprimés cessent immédiatement d’être accessibles ; ils sont conservés trente jours à compter de la suppression, puis purgés du stockage actif par un traitement quotidien. Des copies peuvent subsister temporairement dans les mécanismes techniques de sauvegarde ou de résilience du prestataire d’hébergement jusqu’à leur rotation normale.

J. Journalisation et supervision

Nectera conserve des journaux et événements nécessaires :

• au diagnostic ;
• à la sécurité ;
• à la détection des erreurs ;
• à l’investigation d’incidents.

La supervision des erreurs applicatives est assurée par un prestataire spécialisé (Annexe 3), sur sa région européenne : les événements sont ingérés et stockés dans l’Union européenne (Allemagne) et conservés au plus quatre-vingt-dix jours. Elle est configurée de manière à limiter la transmission de données personnelles : capture des exceptions uniquement, sans traçage des performances, sans enregistrement de session et sans transmission des identifiants utilisateurs. Des données personnelles peuvent néanmoins apparaître incidemment dans le contenu d’un message d’erreur ; les accès d’administration du prestataire depuis les États-Unis sont couverts par les garanties de transfert visées en Annexe 3.

Les données journalisées sont limitées à ce qui est raisonnablement nécessaire à ces finalités.

K. Dépendances et vulnérabilités

Les composants logiciels et dépendances de Nectera font l’objet d’un suivi.

Lorsque des vulnérabilités pertinentes sont identifiées, STUDIO LIBRA évalue leur impact et applique les correctifs raisonnablement nécessaires selon leur niveau de risque.

L. Environnement de développement et déploiement

Le code de Nectera fait l’objet d’un processus de gestion de versions.

Toute modification de la branche de production passe par une revue et par une chaîne de contrôles automatisés bloquants, comprenant notamment :

• l’analyse statique et le formatage du code ;
• la vérification du typage ;
• les tests unitaires ;
• les tests d’isolation des données entre organisations ;
• les tests de bout en bout des parcours critiques ;
• la détection de secrets dans le code.

M. Sauvegarde et résilience

La base de données fait l’objet de sauvegardes quotidiennes automatiques, conservées sept jours glissants par le prestataire d’hébergement de la base de données. Aucun mécanisme de restauration à un instant précis (point-in-time recovery) n’est souscrit à ce jour.

Les fichiers déposés reposent sur la redondance native de l’infrastructure de stockage objet ; ils ne font pas l’objet d’une sauvegarde quotidienne distincte.

STUDIO LIBRA veille à ce que les dispositifs souscrits restent cohérents avec le niveau de continuité attendu du Service et peut les faire évoluer.

N. Gestion des incidents

En cas d’incident de sécurité, STUDIO LIBRA applique un processus comprenant, selon la situation :

1. identification ;
2. qualification ;
3. limitation de l’impact ;
4. analyse ;
5. correction ;
6. restauration lorsque nécessaire ;
7. documentation ;
8. notification aux parties concernées lorsque celle-ci est requise.

O. Suppression

La suppression des données est mise en œuvre au niveau des systèmes actifs conformément aux fonctionnalités de Nectera : suppression logique immédiate, conservation des fichiers trente jours puis purge du stockage actif par un traitement quotidien ; suppression définitive de l’organisation par une opération unique et atomique en base de données, suivie de l’effacement de ses fichiers.

Les données peuvent continuer à exister pendant une durée limitée dans des sauvegardes techniques avant leur rotation ou expiration. Les entrées du journal d’audit sont conservées dans les conditions prévues à l’article 18.

P. Réversibilité

Nectera met à disposition du Client, depuis son compte administrateur, une fonction d’export dans un format structuré (JSON) des données de chaque client final (dans le périmètre décrit à l’article 14), ainsi que l’export de la liste des clients et du suivi financier sous forme de fichiers. Ces fonctions sont réservées au compte administrateur afin d’éviter l’exfiltration des données par un utilisateur insuffisamment habilité ; chaque export est inscrit au journal d’audit.

Un export global des données de l’organisation est fourni par STUDIO LIBRA sur demande écrite, dans les conditions prévues à l’article 18.

Q. Localisation des traitements

Les données au repos (base de données, authentification, fichiers) sont hébergées en France (Paris, région eu-west-3).

La couche d’exécution de l’application est opérée par Vercel Inc. depuis des centres de calcul situés en France (Paris, région cdg1). Vercel étant établie aux États-Unis, des accès d’administration ou de support par ce prestataire peuvent intervenir depuis ce pays, dans le cadre des garanties de transfert visées en Annexe 3.

Les emails transactionnels sont acheminés par un prestataire établi aux États-Unis, qui conserve leur contenu et les journaux d’envoi pendant trente jours, dans le cadre des garanties de transfert visées en Annexe 3.

Les événements d’erreur sont stockés dans l’Union européenne (Allemagne), sur la région européenne du prestataire de supervision.

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants pour la fourniture de Nectera.

Stripe est listé par transparence : il n’intervient pas sur les données confiées par le Responsable de traitement (données de ses clients finaux), mais sur les données du compte et de la facturation du Responsable de traitement lui-même, pour lesquelles STUDIO LIBRA agit en qualité de responsable de traitement (Politique de confidentialité, article 2.1).

• Supabase Pte. Ltd (groupe Supabase, entité désignée dans l’accord de sous-traitance du prestataire) — 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513
  • Service : base de données, authentification, stockage de fichiers
  • Données : ensemble des données du Service
  • Localisation : UE, France (Paris, région eu-west-3) pour les données au repos ; accès d’administration ou de support possibles hors UE
  • Durées propres au prestataire (offre souscrite) : sauvegardes quotidiennes de la base conservées sept jours ; journaux techniques conservés sept jours
  • Transfert et garantie : clauses contractuelles types de la Commission européenne, DPA : supabase.com/legal/dpa. Le prestataire n’est pas certifié au Data Privacy Framework.
• Vercel Inc. — 440 N Barranca Avenue #4133, Covina, CA 91723, États-Unis
  • Service : hébergement et exécution de l’application
  • Données : données transitant lors du traitement des requêtes
  • Localisation : UE, France (Paris, région cdg1) ; entité établie aux États-Unis
  • Durées propres au prestataire : journaux d’exécution conservés d’une heure à trois jours selon l’offre, hors option d’observabilité étendue
  • Transfert et garantie : transfert possible (accès d’administration ou de support depuis les États-Unis) ; certification EU-U.S. Data Privacy Framework (participant « Vercel Inc. », statut actif) et clauses contractuelles types, DPA : vercel.com/legal/dpa.
• Plus Five Five, Inc. (Resend) — 2261 Market Street #5039, San Francisco, CA 94114, États-Unis
  • Service : acheminement des emails transactionnels (liens de connexion, notifications)
  • Données : adresse email, nom, contenu des notifications
  • Localisation : prestataire établi aux États-Unis ; la région d’émission des messages est paramétrée au niveau du domaine d’envoi
  • Durées propres au prestataire : contenu des messages et journaux d’envoi conservés trente jours
  • Transfert et garantie : certification EU-U.S. Data Privacy Framework (participant « Resend », statut actif, re-certification en cours d’examen à la date de vérification) et clauses contractuelles types, DPA : resend.com/legal/dpa.
• Functional Software, Inc. (Sentry) — 45 Fremont Street, 8th Floor, San Francisco, CA 94105, États-Unis
  • Service : supervision applicative et analyse d’erreurs
  • Données : données techniques d’erreur (messages, traces d’exécution) ; la configuration limite la transmission de données personnelles sans pouvoir exclure leur présence incidente
  • Localisation : UE (Allemagne, Francfort) pour les événements d’erreur, sur la région européenne du prestataire ; données de compte de STUDIO LIBRA et administration depuis les États-Unis
  • Durées propres au prestataire : événements conservés au plus quatre-vingt-dix jours
  • Transfert et garantie : certification EU-U.S. Data Privacy Framework (participant « Sentry.io », statut actif) et clauses contractuelles types, DPA : sentry.io/legal/dpa.
• Stripe Payments Europe, Limited — One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlande
  • Service : paiement en ligne et facturation de l’Abonnement (pages de paiement hébergées, gestion de l’abonnement, factures)
  • Données : identité et coordonnées de facturation du professionnel abonné, adresse email du compte administrateur, numéro de TVA intracommunautaire, montants, statut des paiements, référence du moyen de paiement ; les données de carte sont saisies sur les pages de paiement de Stripe et ne transitent pas par Nectera ; aucune donnée des clients finaux du professionnel
  • Localisation : UE (Irlande) ; Stripe Payments Europe appartient au groupe Stripe (États-Unis), dont certains traitements de support et d’infrastructure interviennent depuis les États-Unis
  • Transfert et garantie : clauses contractuelles types ; l’entité américaine du groupe, Stripe, LLC, est certifiée au EU-U.S. Data Privacy Framework (statut actif), DPA : stripe.com/legal/dpa.
  • Rôle : sous-traitant pour l’exécution des paiements et la facturation ; Stripe agit en revanche en qualité de responsable de traitement indépendant pour la prévention et la détection de la fraude, la maîtrise de ses risques financiers et le respect de ses propres obligations légales (lutte contre le blanchiment, connaissance du client), traitements régis par sa propre politique de confidentialité.

Les statuts de certification au Data Privacy Framework indiqués ci-dessus ont été vérifiés sur le registre officiel (dataprivacyframework.gov) le 11 septembre 2026, date de la présente version ; ils font l’objet d’une vérification annuelle. La décision d’adéquation (UE) 2023/1795 relative à ce cadre est en vigueur à cette date.

Les prestataires ci-dessus peuvent eux-mêmes recourir à des fournisseurs d’infrastructure (notamment Amazon Web Services, dont la région Paris héberge les services de Supabase), encadrés par leurs propres accords de sous-traitance.

La présente liste reflète l’état de la production à la date de sa dernière mise à jour. Tout ajout ou remplacement d’un sous-traitant ultérieur ayant vocation à traiter les données confiées est notifié au Responsable de traitement conformément à l’article 12 avant sa mise en œuvre, et cette annexe est mise à jour en conséquence.

STUDIO LIBRA tient cette liste à jour sans garantir qu’un prestataire conservera indéfiniment la même organisation technique ou juridique.

Pour STUDIO LIBRA :

contact@nectera.fr

Le Client communique dans son espace ou à STUDIO LIBRA les coordonnées de la personne compétente pour recevoir les communications relatives :

• aux demandes d’exercice de droits ;
• aux incidents de sécurité ;
• aux changements de sous-traitants ;
• et aux autres sujets RGPD relatifs au Service.