Contrat de sous-traitance (DPA)

Ce contrat de sous-traitance (article 28 du RGPD) fait partie des conditions générales de vente. Il s’applique dès que le client (le responsable de traitement) envoie des données personnelles à Ksar (le sous-traitant) via l’API, le tableau de bord ou l’audit d’un fichier.

1. Objet et durée

Ksar analyse les adresses e-mail transmises par le client lors des inscriptions sur ses services, afin de détecter les adresses jetables, les comptes en double et les abus de promotions (codes promo, essais gratuits, crédits offerts). Le contrat dure aussi longtemps que le compte du client.

2. Données et personnes concernées

• Personnes : les utilisateurs qui s’inscrivent sur les services du client.
• Données : adresse e-mail, et le cas échéant les identifiants techniques transmis par le client (identifiant externe, événements d’inscription).
• Aucune donnée sensible n’est demandée ni traitée.

3. Comment les données sont traitées

• L’adresse reçue est analysée en mémoire, puis seules des empreintes (HMAC-SHA256 avec un secret serveur et un sel propre à chaque client) et le nom de domaine sont conservés. L’adresse n’est jamais stockée en clair, ni en base, ni dans les journaux.
• Les données de chaque client sont cloisonnées : elles ne servent jamais à un autre client.
• Durée de conservation des empreintes : 395 jours par défaut, réglable par le client, avec purge automatique quotidienne.

4. Obligations de Ksar

Ksar s’engage à :

• ne traiter les données que sur instruction documentée du client (l’appel de l’API et les réglages du client valent instruction) ;
• garantir la confidentialité des données et former les personnes autorisées ;
• mettre en œuvre des mesures de sécurité appropriées : chiffrement des échanges (TLS), hachage des clés API, accès restreints et journalisés, sauvegardes chiffrées, journaux sans données personnelles en clair ;
• aider le client à répondre aux demandes des personnes : l’API permet l’effacement de toutes les empreintes liées à une adresse (DELETE /v1/subjects) ;
• notifier au client toute violation de données le concernant dans les meilleurs délais, et au plus tard sous 48 heures après en avoir pris connaissance ;
• aider le client pour ses analyses d’impact et ses échanges avec l’autorité de contrôle ;
• à la fin du contrat, supprimer toutes les données du client sous 30 jours (sauf obligation légale de conservation) ;
• mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations.

5. Sous-traitants ultérieurs

Le client autorise le recours aux sous-traitants suivants :

Sous-traitant	Rôle	Localisation des données
OVH SAS	Hébergement de l’API et de la base de données	Union européenne (France)
Cloudflare, Inc.	Hébergement du site, protection anti-robots, statistiques sans cookie	Réseau mondial (clauses contractuelles types, Data Privacy Framework)
Brevo (Sendinblue SAS)	Envoi des e-mails transactionnels	Union européenne (France)
Stripe Payments Europe, Ltd.	Paiement et facturation	Union européenne (Irlande)

Ksar informe le client par e-mail de tout ajout ou remplacement au moins 30 jours à l’avance ; le client peut s’y opposer en résiliant son abonnement. Chaque sous-traitant est tenu par des obligations équivalentes à celles du présent contrat.

6. Localisation et transferts

L’API et la base de données sont hébergées dans l’Union européenne (France). Tout transfert hors de l’Union européenne est encadré par les clauses contractuelles types de la Commission européenne ou par une décision d’adéquation.

7. Obligations du client

Le client informe les personnes concernées du traitement (par exemple dans sa propre politique de confidentialité), dispose d’une base légale (en général l’intérêt légitime de prévention de la fraude) et n’envoie à Ksar que les données nécessaires.

8. Audit

Le client peut demander les informations utiles au contrôle de ce contrat. Un audit sur place est possible une fois par an, à ses frais, avec un préavis de 30 jours et sous engagement de confidentialité.

Contact : [email protected].