Contrat de sous-traitance (DPA)
Traitement des données personnelles au sens de l'article 28 du RGPD
Dernière mise à jour :
Le présent Contrat de sous-traitance (« DPA ») fait partie intégrante des Conditions générales et s'applique au traitement, par THE PROCUREMENTOR, société par actions simplifiée (SAS) au capital de 1 000 €, immatriculée au registre du commerce et des sociétés de Metz sous le numéro 130 492 077, dont le siège social est situé 10 rue du Général Devers, 57370 Phalsbourg, France (« le Sous-traitant »), des données personnelles pour le compte de votre organisation (« le Responsable de traitement ») dans le cadre de Procurementor Savings Tracker.
Une version signable de ce DPA est disponible sur demande.
1. Objet et rôles
Le Responsable de traitement détermine les finalités et les moyens du traitement des données saisies dans le Service. Le Sous-traitant traite ces données uniquement sur instruction documentée du Responsable, telle que matérialisée par l'usage du Service et les présentes.
2. Nature et durée du traitement
- Nature : hébergement, stockage, organisation, consultation, sauvegarde et suppression des données nécessaires au fonctionnement du Service.
- Durée : pendant toute la durée du contrat, puis suppression conformément à la politique de conservation.
3. Catégories de personnes et de données
- Personnes concernées : utilisateurs de l'organisation (acheteurs, responsables d'équipe, validateurs finance, administrateurs) et contacts fournisseurs éventuellement renseignés.
- Données : noms, adresses e-mail professionnelles, rôles, ainsi que les données métier (initiatives, montants d'économies, fournisseurs, objectifs, pièces jointes, messages).
4. Obligations du Sous-traitant
- Traiter les données uniquement sur instruction du Responsable.
- Garantir la confidentialité (personnel soumis à une obligation de confidentialité).
- Mettre en œuvre des mesures techniques et organisationnelles appropriées (voir page Sécurité).
- Assister le Responsable pour répondre aux demandes d'exercice des droits des personnes concernées.
- Notifier au Responsable toute violation de données sans retard injustifié, dans la limite des informations disponibles.
- Supprimer ou restituer les données au terme du contrat, au choix du Responsable.
- Mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28 et permettre des audits raisonnables.
5. Sous-traitants ultérieurs
Le Responsable autorise le recours aux sous-traitants ultérieurs ci-dessous. Le Sous-traitant informera le Responsable de tout ajout ou remplacement, lui laissant la possibilité de s'y opposer pour un motif légitime.
| Sous-traitant ultérieur | Rôle | Localisation |
|---|---|---|
| Supabase Pte. Ltd. | Base de données, authentification et stockage de fichiers | Données hébergées dans l'UE (Paris, France) |
| Vercel Inc. | Hébergement de l'application web et réseau de diffusion (CDN) | Code serveur exécuté à Paris ; réseau de diffusion mondial ; société américaine — transferts encadrés par les CCT |
| Brevo (Sendinblue SAS) | Envoi des emails transactionnels (confirmation, invitations, réinitialisation) et notification de vos messages de contact | France (UE) |
6. Transferts hors UE
La base de données, l'authentification et le stockage de fichiers sont hébergés dans l'Union européenne (Paris, France (EU — eu-west-3)) par Supabase. Le code serveur de l'application s'exécute chez Vercel dans la région de Paris (cdg1). Vercel est une société américaine et son réseau de diffusion achemine les requêtes et sert les contenus statiques depuis le point de présence le plus proche du visiteur : des données techniques (adresse IP, journaux d'accès) peuvent donc être traitées hors de l'UE. Ces transferts sont encadrés par les accords de traitement des données et les clauses contractuelles types (CCT) applicables.
7. Sécurité
Les mesures de sécurité comprennent l'isolation des données par organisation au niveau de la base (RLS), le chiffrement en transit et au repos, un journal d'audit en ajout seul, des droits d'accès par rôle appliqués dans la base, et des sauvegardes selon le plan d'hébergement. Le détail figure sur la page Sécurité.
8. Violation de données
En cas de violation de données affectant le Responsable, le Sous-traitant le notifie sans retard injustifié à privacy@theprocurementor.com, avec les éléments connus permettant au Responsable de satisfaire, le cas échéant, à son obligation de notification sous 72 heures.