Accord de traitement de données (DPA)

Version 1.0 — Effective au 17 mai 2026.

Cette page reproduit l'intégralité de l'Accord de sous-traitance RGPD (art. 28) qui s'applique entre Volumii et chaque Client titulaire d'un abonnement. Pour obtenir une version PDF nominative pré-remplie avec votre raison sociale, rendez-vous dans Paramètres → Facturation → Télécharger le DPA depuis votre espace Volumii.

Entre

• AGNINGORA Elie (entrepreneur individuel), SIREN 878 944 628, dont le siège est 34 rue Germain, 69006 Lyon, ci-après « le Sous-traitant » ou « Volumii ».
• [Nom du Studio Client], SIREN [....], dont le siège est [....], ci-après « le Responsable de traitement » ou « le Client ».

Article 1 — Objet

Le présent Accord encadre les traitements de données à caractère personnel mis en œuvre par le Sous-traitant pour le compte du Responsable dans le cadre de l'utilisation du logiciel Volumii.

Article 2 — Description des traitements

| Élément | Description | |---|---| | Nature | Hébergement, stockage, traitement et restitution de données saisies par le Client | | Finalités | Gestion CRM, devis, factures, contrats, projets, paiements, communication | | Catégories de données | Identité, coordonnées professionnelles, données de facturation, données contractuelles | | Catégories de personnes | Clients finaux du Studio (particuliers et professionnels), prospects, fournisseurs | | Durée | Durée de l'abonnement + 30 jours, sauf obligations légales de conservation |

Article 3 — Obligations du Sous-traitant

Volumii s'engage à :

a) ne traiter les données que sur instruction documentée du Responsable, sauf obligation légale ;

b) garantir la confidentialité des données ; toute personne autorisée à les traiter est tenue à un devoir de confidentialité ;

c) mettre en œuvre les mesures techniques et organisationnelles appropriées décrites à l'Annexe 1 ci-après ;

d) ne recourir à un autre sous-traitant qu'avec autorisation écrite préalable (générale par la présente, pour les sous-traitants listés à l'Annexe 2 ; spécifique pour tout nouvel ajout, notifié 15 jours avant) ;

e) aider le Responsable à répondre aux demandes d'exercice des droits des personnes concernées, par la mise à disposition d'outils techniques (export, suppression) ;

f) assister le Responsable pour la réalisation d'analyses d'impact (AIPD) si nécessaire ;

g) notifier au Responsable toute violation de données dans les meilleurs délais et sans délai indu après en avoir pris connaissance, en fournissant les éléments prévus à l'article 33-3 du RGPD ;

h) supprimer ou restituer les données à la fin de la prestation, dans les conditions prévues à l'article 7 ci-après ;

i) fournir au Responsable toutes les informations nécessaires pour démontrer la conformité, et permettre la réalisation d'audits (sur préavis raisonnable, frais à la charge du demandeur).

Article 4 — Obligations du Responsable

Le Client s'engage à :

• fournir des instructions documentées et licites ;
• informer ses propres clients finaux du traitement de leurs données conformément aux articles 13 et 14 du RGPD ;
• veiller au respect des droits des personnes concernées sur la part qui relève de sa responsabilité.

Article 5 — Sous-traitants ultérieurs autorisés (Annexe 2)

Le Client autorise dès à présent les sous-traitants ultérieurs listés à l'adresse /legal/sous-traitants. Cette liste constitue l'Annexe 2 du présent DPA. Volumii notifie tout ajout ou remplacement par e-mail au moins 15 jours avant son effectivité. Le Client peut s'opposer dans ce délai pour motif sérieux ; à défaut d'accord trouvé, il pourra résilier l'abonnement sans frais.

Article 6 — Transferts hors UE

Pour les sous-traitants situés hors UE, les transferts sont encadrés par les outils suivants :

• Décision d'adéquation Data Privacy Framework UE-US (Décision (UE) 2023/1795 du 10 juillet 2023) pour les sous-traitants certifiés DPF ;
• Clauses contractuelles types (Décision (UE) 2021/914 du 4 juin 2021) à titre subsidiaire.

Article 7 — Sort des données à la fin de la prestation

À l'expiration de l'abonnement, le Client dispose de 30 jours pour exporter ses données via l'outil d'export prévu dans le Service. À l'issue de ce délai, Volumii procède à la suppression définitive de toutes les données, sauf obligations légales de conservation (notamment : factures = 10 ans, signatures électroniques = 10 ans). Un certificat de destruction peut être délivré sur demande.

Article 8 — Confidentialité

Les Parties s'engagent à une stricte confidentialité sur les informations échangées. Cette obligation survit 5 ans après la fin de l'Accord.

Article 9 — Durée

Le présent DPA prend effet à la signature de l'abonnement et reste applicable tant que Volumii traite des données pour le compte du Client.

Article 10 — Droit applicable

Droit français. Compétence du tribunal du siège du Sous-traitant.

Annexe 1 — Mesures techniques et organisationnelles

Chiffrement

• TLS 1.2+ en transit, AES-256 au repos (Supabase).
• Mots de passe stockés en Argon2.

Contrôle d'accès

• Authentification e-mail + mot de passe avec règles de complexité (10 caractères minimum).
• 2FA TOTP disponible pour tous les comptes, obligatoire pour les administrateurs.
• Row Level Security PostgreSQL : isolation stricte par studio_id.

Journalisation

• Logs de connexion conservés 12 mois.
• Logs applicatifs 6 mois.
• Logs financiers (factures, signatures) 10 ans.

Sauvegardes

• Sauvegardes chiffrées quotidiennes (PITR Supabase + dump hebdomadaire).
• Rétention 30 jours.

Continuité

• RTO < 4 h, RPO < 24 h.

Gestion des incidents

• Procédure documentée de notification interne dans les meilleurs délais.
• Notification du Responsable sans délai indu après prise de connaissance.
• Notification CNIL sous 72 h si requise (art. 33 RGPD).

Tests et audit

• Audits de code et tests de sécurité réalisés régulièrement, selon les moyens et l'évolution du Service.
• Revue régulière de la liste des accès.

Annexe 2 — Sous-traitants ultérieurs

Voir liste à jour à l'adresse /legal/sous-traitants.