Accord de sous-traitance des données (DPA)

1. Objet, durée, nature et finalité

• Objet : fournir le service Connexus de gestion de programmes partenaires.
• Durée : celle du contrat, plus la période de restitution ou de suppression prévue à l’article 8.
• Nature et finalité : hébergement, stockage, consultation, mise en forme et transmission de données pour permettre au client d’utiliser le service.
• Catégories de personnes concernées : partenaires, candidats à un programme partenaires, contacts, prospects et utilisateurs du client.
• Catégories de données : identité, coordonnées, données professionnelles, contenus et historiques saisis dans le service.
• Le service peut attribuer un score aux candidatures avec le fournisseur d’IA du client et, si le client active un seuil, approuver automatiquement une candidature ; aucun refus n’est automatique.

2. Instructions et confidentialité

Connexus traite les données uniquement sur instructions documentées du client, y compris en ce qui concerne les transferts vers un pays tiers ; le contrat et l’usage du service en sont l’expression. Connexus informe immédiatement le client si, selon lui, une instruction constitue une violation du RGPD ou d’autres dispositions applicables. Les personnes autorisées à traiter les données sont tenues à la confidentialité.

3. Mesures de sécurité

• Données hébergées chez Supabase, dans l’Union européenne (Paris, France).
• Chiffrement des clés d’IA et des secrets d’intégration saisis par le client.
• Contrôles d’accès conçus pour isoler les données de chaque organisation.
• Journal d’audit horodaté des principales actions, sans garantie d’exhaustivité.

4. Sous-traitants ultérieurs

Le client autorise le recours aux sous-traitants ultérieurs suivants : Supabase (hébergement de la base de données), Vercel (hébergement du site et de l’application web), Stripe (paiement) et Resend (e-mails transactionnels). Connexus impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données ; il demeure pleinement responsable de leur exécution envers le client. Connexus informe le client par écrit de tout ajout ou remplacement d’un sous-traitant ultérieur au moins 30 jours à l’avance. Le client peut s’y opposer par écrit pour un motif raisonnable dans ce délai ; à défaut de solution, il peut résilier sans frais.

Les fournisseurs d’IA et intégrations que le Client active avec ses propres clés (par exemple OpenAI, OpenRouter, HubSpot, Slack, Pappers) agissent sous son contrat et ne sont pas des sous-traitants ultérieurs de Connexus.

5. Transferts hors Union européenne

Les sous-traitants établis hors de l’Union européenne (Vercel, Stripe, Resend et la société Supabase) sont encadrés par les clauses contractuelles types de la Commission européenne ou, pour un fournisseur certifié, par le cadre de protection des données UE–États-Unis. Le mécanisme retenu pour chaque fournisseur et une copie des garanties sont communiqués sur demande à tannous@connexus.fr.

6. Assistance et notification des violations

• Connexus aide le client à répondre aux demandes d’exercice des droits des personnes et à respecter les obligations des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations dont il dispose.
• Connexus notifie au client toute violation de données à caractère personnel sans retard injustifié après en avoir pris connaissance, avec les informations dont il dispose, pour lui permettre de respecter ses propres obligations.

7. Audits

Connexus met à la disposition du client les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d’audits, y compris des inspections, par le client ou un auditeur qu’il mandate, selon des modalités raisonnables convenues à l’avance.

8. Suppression ou restitution des données

Pendant le contrat, sur demande écrite du client, Connexus lui remet un export de ses données dans un format structuré. À la fin du contrat, le client peut demander par écrit, pendant 30 jours, un export de ses données dans un format structuré ; Connexus supprime ensuite ses données dans les 30 jours suivants. Les sauvegardes sont purgées par rotation dans un délai de 30 jours. Sont exceptées les données qu’une obligation légale impose de conserver (notamment les factures et pièces comptables, 10 ans) et le journal d’audit, conservé 12 mois, dont les identifiants directs (e-mail, adresse IP) sont effacés sur demande.

9. Responsabilité et droit applicable

La responsabilité des parties est régie par les conditions générales. Le présent accord est soumis au droit français ; le tribunal de commerce de Lille Métropole est compétent. Pour toute question : tannous@connexus.fr.