Le présent accord est conclu conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD) et définit les obligations de MonPPSPS en tant que sous-traitant des données personnelles.
Parties
Le présent accord de traitement des données (« DPA ») est conclu entre :
Le responsable de traitement : le client, tel qu'identifié lors de la souscription au service MonPPSPS.
Le sous-traitant : SHALABY Cyril, micro-entreprise, éditeur de MonPPSPS - contact@monppsps.fr
Ce DPA fait partie intégrante des conditions générales d'utilisation et des conditions générales de vente du service MonPPSPS.
Objet et finalité du traitement
Le sous-traitant traite les données personnelles pour le compte du responsable de traitement aux seules fins suivantes :
- Fourniture du service MonPPSPS (création, stockage et export de documents PPSPS)
- Gestion du compte utilisateur et authentification
- Traitement des paiements via le sous-traitant Stripe
- Support technique et assistance à l'utilisation du service
- Extraction automatique de données depuis les documents PGC importés
Nature des données traitées
| Catégorie | Données | Personnes concernées |
|---|---|---|
| Identification | Nom, prénom, email, téléphone | Utilisateurs du service |
| Professionnelles | Entreprise, SIRET, adresse, fonction | Utilisateurs et contacts mentionnés dans les PPSPS |
| Contenu documentaire | Données saisies dans les PPSPS (risques, mesures, effectifs) | Personnes mentionnées dans les documents |
| Techniques | Adresse IP, logs de connexion, cookies de session | Utilisateurs du service |
Aucune donnée sensible (au sens de l'article 9 du RGPD) n'est traitée par le service.
Obligations du sous-traitant
MonPPSPS s'engage à :
- Traiter les données uniquement sur instructions documentées du responsable de traitement
- Garantir la confidentialité des données - tout personnel ayant accès aux données est soumis à une obligation de confidentialité
- Mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité des données (article 32 du RGPD)
- Ne pas faire appel à un autre sous-traitant sans l'autorisation préalable du responsable de traitement (la liste des sous-traitants ultérieurs est disponible ci-dessous)
- Assister le responsable de traitement dans l'exécution de ses obligations (droits des personnes, analyse d'impact, notification de violations)
- Supprimer ou restituer les données à caractère personnel au terme de la prestation, selon le choix du responsable de traitement
- Mettre à la disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect du RGPD
Sous-traitants ultérieurs
MonPPSPS fait appel aux sous-traitants ultérieurs suivants pour la fourniture du service. Le client autorise le recours à ces sous-traitants en acceptant le présent DPA :
| Sous-traitant | Finalité | Localisation | Garanties |
|---|---|---|---|
| Hostinger International Ltd | Hébergement des serveurs et bases de données | Union Européenne (Lituanie) | Conforme RGPD, serveurs UE |
| Stripe, Inc. | Traitement des paiements par carte bancaire | États-Unis (DPF certifié) | PCI-DSS niveau 1, EU-US Data Privacy Framework |
| OpenAI, Inc. | Extraction IA de données depuis les documents PGC importés | États-Unis (DPF certifié) | DPA OpenAI, données non utilisées pour l'entraînement (API) |
| Google LLC (GTM / GA4) | Mesure d'audience et analyse de trafic (soumis au consentement) | États-Unis (DPF certifié) | EU-US Data Privacy Framework, Google Consent Mode v2, données anonymisées |
| PostHog, Inc. | Analyse produit, funnels de conversion et enregistrements de sessions (soumis au consentement) | Union Européenne (eu.posthog.com) | Hébergement UE, inputs masqués, IP non collectée, opt-out par défaut |
En cas de changement de sous-traitant ultérieur, MonPPSPS informera le client au moins 30 jours à l'avance, lui permettant de s'opposer au changement. En cas d'opposition légitime, le client pourra résilier le service sans frais.
Mesures de sécurité
Conformément à l'article 32 du RGPD, les mesures suivantes sont mises en œuvre :
- Chiffrement des données en transit (TLS 1.2 ou TLS 1.3) et de certaines données sensibles au repos (AES-256-GCM)
- Authentification sécurisée avec hachage bcrypt des mots de passe
- Isolation des données entre les utilisateurs (architecture multi-tenant sécurisée)
- Protection contre les attaques par force brute (rate limiting)
- Journalisation des accès et actions sur les données
- Mises à jour de sécurité régulières des composants logiciels
Notification de violation de données
En cas de violation de données à caractère personnel (au sens de l'article 33 du RGPD), MonPPSPS s'engage à :
- Notifier le responsable de traitement dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance
- Fournir toutes les informations nécessaires : nature de la violation, catégories de données concernées, nombre de personnes concernées, conséquences probables, mesures prises
- Coopérer avec le responsable de traitement pour la notification à la CNIL et aux personnes concernées si nécessaire
Durée et suppression
Le présent DPA est en vigueur pendant toute la durée de la relation contractuelle. À la résiliation du service :
- Le client dispose de 30 jours pour exporter l'intégralité de ses données
- Sur demande du client, les données sont supprimées dans un délai de 30 jours
- À défaut de demande, les données sont conservées 3 ans puis supprimées
- Les données de facturation sont conservées 10 ans conformément aux obligations légales comptables
Droits d'audit
Le responsable de traitement a le droit de vérifier le respect des obligations du présent DPA. MonPPSPS s'engage à :
- Mettre à disposition toute information nécessaire pour démontrer la conformité
- Permettre la réalisation d'audits, y compris par un auditeur tiers mandaté par le responsable de traitement
- Les audits sont réalisés avec un préavis de 30 jours et pendant les heures ouvrables
Contact DPO
Pour toute question relative au traitement de vos données :
Email : contact@monppsps.fr
Délai de réponse : 30 jours maximum
Dernière mise à jour : Mars 2026