Accord de Traitement des Données (DPA) — art. 28 RGPD

1. Rôles. Le client est responsable de traitement ; Boardee (Frédéric Barbato, entrepreneur individuel, Luxembourg) est sous-traitant.

2. Objet du traitement. Organisation de réunions de gouvernance : identités et coordonnées professionnelles des administrateurs, actionnaires, membres d'équipes et invités ; documents de réunion ; réponses et signatures.

3. Localisation. Les données sont hébergées et traitées exclusivement dans l'Union européenne. Aucun transfert hors UE sans accord écrit préalable du client et garanties appropriées.

4. Sous-traitants ultérieurs. Liste tenue à jour et notifiée au client : Clever Cloud SAS (hébergement de l'application et des données, Paris, France) ; Scaleway SAS (copie de sauvegarde hors plateforme, Paris, France) ; le prestataire d'envoi d'emails transactionnels (Union européenne) ; le prestataire de signature électronique choisi et contracté directement par le client ; le fournisseur de modèle de langage (Anthropic, Azure OpenAI ou OpenAI), si le client active l'assistance rédactionnelle, choisi et contracté directement par le client, avec la clé du client, pour les seules données que le client choisit d'y envoyer. Hormis ce dernier, dont la localisation dépend du contrat du client, tous sont établis dans l'Union européenne et y traitent les données. Le client dispose d'un droit d'objection.

5. Sécurité. Chiffrement en transit (TLS 1.2+) et au repos ; isolation stricte des espaces clients ; comptes créés uniquement sur invitation, mots de passe hachés (bcrypt, coût 12) et jamais transmis par email ; 2FA disponible ; journal d'audit ; limitation de débit.

6. Assistance. Boardee assiste le client pour les demandes d'exercice de droits (accès, rectification, effacement) et les analyses d'impact.

7. Violation de données. Notification au client sans délai injustifié et au plus tard 48 h après la découverte, avec les informations de l'art. 33-3 RGPD.

8. Fin du contrat. Au choix du client : restitution puis suppression, ou suppression directe, attestée par écrit. La suppression commence par la fermeture de l'espace — plus aucune connexion, aucun lien personnel ni partage, aucune écriture ni aucun envoi en son nom — puis chaque document est supprimé et sa disparition vérifiée. L'attestation écrite indique ce qui a été supprimé, ce que Boardee conserve et pourquoi — les factures émises au client et leur PDF, ses conditions de facturation et les décomptes mensuels sur lesquels elles reposent, au titre des obligations comptables de Boardee ; le journal d'audit, douze mois — et, le cas échéant, les documents dont la suppression chez le fournisseur de stockage est encore en cours : elle est alors provisoire, et une attestation définitive est remise quand la dernière suppression a abouti. Les copies de sauvegarde contiennent les données supprimées au plus 30 jours après l'effacement, puis plus aucune ne les contient.

9. Audit. Le client peut auditer le respect du présent DPA une fois par an, avec un préavis de 30 jours, à ses frais.