Accord de sous-traitance (DPA)

Dernière mise à jour : 16/09/2026 · Version 1.0 · Article 28 RGPD

Le présent accord (« DPA ») précise les rôles, obligations et mesures de protection des données à caractère personnel traitées par l'éditeur de Cockpit (Louis Rives, ci-après « le Sous-traitant ») pour le compte du client professionnel (ci-après « le Responsable de traitement »), conformément à l'article 28 du Règlement (UE) 2016/679 (« RGPD »). Il fait partie intégrante des CGU et des CGV.

Article 1 — Définitions

Les termes « données à caractère personnel », « responsable du traitement », « sous-traitant », « violation de données », « personne concernée » s'entendent au sens du RGPD.

Article 2 — Objet et durée

Le Sous-traitant traite les données pour le compte du Responsable de traitement aux seules fins de la fourniture du Service Cockpit (cf. CGU). Le présent DPA s'applique pendant toute la durée de l'abonnement et jusqu'à la suppression effective des données conformément à l'article 9 ci-dessous.

Article 3 — Description du traitement

Article 4 — Obligations du Sous-traitant (art. 28-3 RGPD)

• Instructions documentées — Le Sous-traitant ne traite les données que sur instruction du Responsable de traitement. L'usage du Service par le Responsable vaut instruction.
• Confidentialité — Le Sous-traitant veille à ce que toute personne autorisée à traiter les données s'engage à la confidentialité ou soit soumise à une obligation légale appropriée.
• Sécurité (art. 32 RGPD) — Mesures techniques et organisationnelles décrites à l'article 5 ci-dessous.
• Sous-traitance ultérieure — Voir article 6.
• Assistance au Responsable — Le Sous-traitant aide le Responsable à répondre aux demandes d'exercice des droits des personnes concernées (export RGPD intégré dans le Service, accompagnement support si nécessaire).
• Notification de violation — En cas de violation de données (art. 33 RGPD), le Sous-traitant en informe le Responsable sans retard injustifié et au plus tard sous soixante-douze (72) heures après en avoir pris connaissance.
• Restitution / suppression — À la fin de la prestation, voir article 9.
• Documentation — Le Sous-traitant met à disposition du Responsable toute documentation nécessaire pour démontrer le respect du présent DPA.

Article 5 — Mesures techniques et organisationnelles

Le Sous-traitant met en œuvre, à la date du présent DPA :

• chiffrement TLS de bout en bout (HTTPS, HSTS 1 an, certificat X.509 renouvelé automatiquement) ;
• stockage des mots de passe via Argon2id ;
• isolation multi-tenant applicative (toutes les requêtes projet passent par require_project_access()) ;
• journal d'audit immuable de toutes les opérations sensibles (création, modification, suppression, accès aux contenus versionnés) ;
• signature des URLs de téléchargement (TTL 15 minutes) ;
• en-têtes HTTP de sécurité (CSP, HSTS, X-Frame-Options, Referrer-Policy, Permissions-Policy) ;
• rate-limit anti-bruteforce sur l'authentification (5 IP / 15 min, 10 email / 15 min) ;
• sauvegardes IONOS quotidiennes (PRA hébergeur) ;
• contrôle d'accès strict à la production (un seul administrateur opérationnel) ;
• gestion des secrets via fichier .env hors webroot, non versionné ;
• politique de divulgation responsable (cf. security.txt).

Article 6 — Sous-traitance ultérieure

Le Responsable autorise par avance le recours aux sous-traitants ultérieurs suivants :

Toute évolution de la liste sera notifiée au Responsable au moins trente (30) jours à l'avance. Le Responsable peut s'opposer pour motif légitime ; à défaut d'accord, le contrat pourra être résilié.

Article 7 — Transferts hors UE

Aucun transfert hors UE n'est mis en œuvre à la date du présent DPA. Toute évolution serait encadrée par une décision d'adéquation ou les clauses contractuelles types de la Commission européenne (art. 46 RGPD).

Article 8 — Droit à l'audit

Le Responsable peut, à ses frais et avec un préavis raisonnable (en principe trente (30) jours), demander un audit limité aux mesures du présent DPA. Le Sous-traitant pourra satisfaire cette demande par la remise d'un rapport synthétique ou la mise à disposition d'éléments documentaires sans compromettre la sécurité des autres clients.

Article 9 — Restitution et suppression

À la fin de la prestation, et au plus tard un (1) mois après résiliation, le Responsable peut exporter ses données via /app/profile/export ou par demande à contact@lyrge.fr. Au-delà, les données sont anonymisées ou supprimées, à l'exception des documents soumis à conservation légale (factures 10 ans, preuves de signature 10 ans, journaux d'audit 12 mois) conservés en accès restreint pour la durée imposée par la loi.

Article 10 — Responsabilités

Le Responsable de traitement reste seul garant du respect du RGPD pour les traitements dont il est responsable, notamment de l'information et du recueil du consentement éventuel de ses propres personnes concernées (MOA, artisans). Le Sous-traitant est responsable des manquements à ses obligations propres telles que définies au présent DPA et à l'article 28-4 RGPD.

Article 11 — Coordonnées du point de contact « données »

Toute demande relative au présent DPA peut être adressée à contact@lyrge.fr.

← Retour à l'accueil