Accord de Traitement des Données (DPA)

Le présent accord définit les obligations d'ARGOUB Salim, entrepreneur individuel (micro-entrepreneur), SIREN 924 997 836, exploitant la marque commerciale ReportWise, en qualité de sous-traitant au sens de l'article 28 du RGPD, et celles du Client professionnel, en qualité de responsable du traitement.

• Finalités : fourniture du service SaaS (gestion d'interventions, génération de rapports, aide à la création de documents de facturation), support technique, sécurité et administration plateforme strictement nécessaire.
• Personnes concernées : collaborateurs, prestataires et clients finaux du Client.
• Données : identité (nom, prénom, email pro), données d’entreprise, logs techniques, facturation.
• Durées : compte actif + 3 ans après suppression, données clients (projets, interventions, rapports, factures) 10 ans, activity logs 12 mois, logs techniques 6 mois, sauvegardes base de données 30 jours glissants, fichiers et documents tant que le compte est actif.

Le Sous-traitant traite les données personnelles uniquement sur instruction documentée du Client. En cas d'instruction contraire au RGPD, le Sous-traitant en informe immédiatement le Client.

Les personnes habilitées à traiter les données sont soumises à une obligation de confidentialité contractuelle.

Les accès de niveau super administrateur sont strictement limités aux besoins de sécurité, de support et de maintien en conditions opérationnelles. Toute action d'administration sensible est journalisée (horodatage, acteur, action, cible, motif) afin de garantir la traçabilité.

• Chiffrement en transit (TLS 1.2/1.3).
• Contrôle d’accès et principe du moindre privilège.
• Double authentification (2FA) obligatoire pour les comptes super administrateurs.
• Journalisation des actions critiques.
• Sauvegardes régulières et tests de restauration.

• Hébergement : OVHcloud (France, Union Européenne).
• Paiement : Stripe — transferts hors EEE possibles, encadrés par les Clauses Contractuelles Types (SCC). Aucune donnée bancaire n'est stockée par le Sous-traitant.
• Email transactionnel : Resend — données traitées aux États-Unis, encadrées par les Clauses Contractuelles Types (SCC).
• Stockage sécurisé des documents : provider compatible S3. En production, ReportWise utilise OVH Object Storage avec des buckets privés. Les accès sont contrôlés par l'API ReportWise et délivrés via des URLs pré-signées temporaires.

Les données personnelles sont hébergées en France (OVHcloud). Le cas échéant, les transferts hors de l'Espace Économique Européen vers des sous-traitants secondaires (Stripe, Resend) sont encadrés par des garanties appropriées, notamment les Clauses Contractuelles Types (SCC) adoptées par la Commission européenne.

Le Sous-traitant assiste le Client, dans la mesure du possible, pour :

• Répondre aux demandes d’exercice des droits.
• Notifier les violations de données personnelles dans les meilleurs délais après détection et qualification raisonnable de l'incident.
• Réaliser les analyses d’impact (AIPD) si nécessaire.
• Fournir, sur demande raisonnable, les éléments de traçabilité liés aux opérations de support et d'administration.

À la fin du contrat, le Sous-traitant supprime ou restitue l'ensemble des données personnelles selon les instructions du Client, sauf obligation légale de conservation (notamment comptable ou fiscale). Le Client peut demander, sur demande raisonnable et documentée, des informations relatives aux mesures de sécurité mises en place. Tout audit sur site ou audit technique approfondi devra faire l'objet d'un accord préalable écrit entre les parties.