Accord de Traitement des Données (DPA)

Préambule

Le présent Accord de Traitement des Données (« DPA ») encadre le traitement des données à caractère personnel effectué par Groupe STMZ (« le Sous-traitant », éditeur de LOAD Hive) pour le compte du Client (« le Responsable de traitement »), conformément à l'article 28 du RGPD. Il est unique et s'applique à l'ensemble des clients. Il fait partie intégrante des CGV et prévaut en cas de contradiction sur la protection des données.

1. Définitions

Les termes utilisés ont le sens du Règlement (UE) 2016/679 (« RGPD »). Le Client est le responsable du traitement ; Groupe STMZ est le sous-traitant.

2. Objet et rôle des parties

Le DPA couvre le traitement des données personnelles que le Client (ou ses utilisateurs) choisit de soumettre à la plateforme (notamment messages, briefs et fichiers), décrites en Annexe 1. Le Client demeure seul responsable de la licéité de la collecte et de l'usage de ces données et garantit disposer des bases légales et informations requises à l'égard des personnes concernées.

3. Traitement sur instructions documentées

Groupe STMZ traite les données uniquement sur instructions documentées du Client, lesquelles résultent de l'utilisation du service et des présentes. Pas d'utilisation à d'autres fins. Information du Client si une instruction paraît contraire au RGPD.

4. Confidentialité

Les personnes autorisées sont soumises à une obligation de confidentialité et reçoivent la formation appropriée en protection des données.

5. Sécurité du traitement (art. 32)

Mesures techniques et organisationnelles appropriées au risque, décrites en Annexe 2. Susceptibles d'évoluer pour maintenir un niveau de protection au moins équivalent.

6. Sous-traitants ultérieurs

Autorisation générale du Client. Liste en Annexe 3. Obligations équivalentes imposées par contrat à chaque sous-traitant ultérieur. En cas d'ajout ou de remplacement, l'Annexe 3 est mise à jour ; le Client, informé par cette mise à jour, peut émettre une objection légitime.

7. Assistance au Responsable

Aide à répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité, opposition, limitation), grâce aux fonctions d'export et de suppression disponibles dans le compte, ainsi qu'aux obligations de sécurité (art. 32), de notification (art. 33-34) et d'analyse d'impact (AIPD, art. 35-36).

8. Violation de données personnelles

Notification au Client dans les meilleurs délais, et en tout état de cause dans un délai maximum de soixante-douze (72) heures après en avoir pris connaissance. Informations communiquées : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises ou proposées (art. 33-34 RGPD).

9. Transferts hors Union Européenne

Hébergement principal au sein de l'UE (Annexe 2). Lorsque le recours à un sous-traitant ultérieur implique un transfert hors UE (Annexe 3), ce transfert est encadré par une décision d'adéquation (notamment l'EU-US Data Privacy Framework) et/ou par des clauses contractuelles types (SCC).

10. Sort des données en fin de contrat

Au terme de la prestation, suppression ou restitution des données personnelles selon le choix du Client, et destruction des copies, sauf obligation légale de conservation. Export possible pendant trente (30) jours après résiliation (cf. CGV et Politique de Confidentialité).

11. Audits et mise à disposition d'informations

Mise à disposition des informations nécessaires pour démontrer la conformité (art. 28 RGPD). Audits possibles par le Client ou un auditeur mandaté, après préavis raisonnable, pendant les heures ouvrées, sans perturber l'activité et dans le respect de la confidentialité des autres clients.

12. Responsabilité et durée

Effet à l'acceptation des CGV ; durée du traitement. Responsabilité dans les limites de l'article 13 des CGV, sans préjudice des dispositions impératives du RGPD.

Annexe 1 : Description du traitement

• Nature et finalité : hébergement et traitement des contenus soumis par le Client (messages, briefs, fichiers) pour générer des livrables marketing via modèles d'IA, fonctionnalités associées (Brain, historique, génération de documents).
• Durée : durée de l'abonnement, puis durées de conservation précisées dans la Politique de Confidentialité.
• Catégories de données : données d'identification et professionnelles que le Client choisit d'inclure (noms, emails, fonctions, coordonnées des contacts), contenu des messages.
• Personnes concernées : prospects, clients, contacts et collaborateurs du Client.
• Données sensibles (art. 9 RGPD) : le Client s'engage à ne pas soumettre de données sensibles sans base légale appropriée et information préalable à Groupe STMZ.

Annexe 2 : Mesures techniques et organisationnelles de sécurité

• Chiffrement en transit (HTTPS/TLS) sur l'ensemble des communications
• Authentification par jeton JWT avec vérification
• Isolation des données par utilisateur via Row Level Security (RLS) sur l'ensemble des tables Supabase exposées via PostgREST, conformité vérifiée régulièrement via les advisors Supabase
• Validation et assainissement des entrées
• Limitation de débit (rate limiting) sur les API
• Aucun stockage de mots de passe (authentification déléguée à Supabase)
• Restriction de la taille et du type des fichiers déposés
• Hébergement des données dans l'Union Européenne (Supabase : AWS eu-west ; Render : région de Francfort)

Annexe 3 : Liste des sous-traitants ultérieurs

• Supabase : base de données, authentification, stockage. UE (AWS eu-west)
• Anthropic (Claude API) : génération de contenu par IA (co-traitant, bascule automatique). USA*
• Google (Gemini API) : génération de contenu par IA (co-traitant, bascule automatique). USA*
• xAI (Grok API) : génération de contenu par IA (co-traitant, bascule automatique). USA**
• Render : hébergement de l'API backend. UE (Francfort)
• Stripe : paiement et facturation. USA*
• Brevo (Sendinblue) : emails transactionnels et d'onboarding. UE (France)

* Transferts encadrés par l'EU-US Data Privacy Framework et/ou des clauses contractuelles types (SCC).

** Pour xAI, le transfert repose sur les clauses contractuelles types (SCC) prévues à son accord de traitement des données.

Les trois fournisseurs d'IA (Google, xAI, Anthropic) n'utilisent pas les données transmises via leurs API commerciales pour entraîner leurs modèles. Ils peuvent les conserver de façon temporaire et limitée, aux seules fins de sécurité et de prévention des abus, avant suppression automatique (30 jours chez xAI).

Périmètre du DPA : les sous-traitants présents uniquement sur le site vitrine load-hive.com (Google Analytics, Brevo Conversations chat) opèrent sur des visiteurs anonymes avec consentement explicite préalable via la bannière de cookies. Ils sortent du périmètre du présent DPA, qui couvre les données traitées pour le compte du Client sur app.load-hive.com. Ils figurent dans la Politique de Confidentialité.

Contact

contact@load-hive.com, en précisant l'objet : [RGPD] ou [DPA].