Communities 26
Se connecter

Document légal

Accord de sous-traitance (DPA)

Conformément à l'article 28 du RGPD, cet accord encadre le traitement par Communities 26 des données personnelles dont chaque réseau est responsable.

Dernière mise à jour : 18 octobre 2026

01.Parties

  • Studio Kimyô, Société par actions simplifiée unipersonnelle (SASU), 121 rue Héron, 33000 Bordeaux, France, RCS Bordeaux 952 957 983, éditeur de Communities 26 (le « Sous-traitant ») ;
  • le réseau utilisateur de la plateforme, désigné dans son espace par sa dénomination (le « Responsable de traitement »).

Le présent accord fait partie du contrat entre les parties (CGU et, le cas échéant, CGV). Il est accepté par le Responsable de traitement à l'ouverture de son espace ou à la souscription d'un abonnement, et prévaut sur les autres documents pour tout ce qui concerne les données personnelles. Une version signée peut être fournie sur demande.

02.Objet

Définir les conditions dans lesquelles le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement, dans le respect du règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978 modifiée.

03.Description du traitement

Nature et finalités

Hébergement, traitement et restitution des données nécessaires à l'espace du réseau : annuaire des membres, événements et inscriptions, annonces et contenus, communications par email, cotisations, gestion administrative.

Durée

La durée d'utilisation de la plateforme, prolongée de la période d'export et de suppression prévue à l'article « Fin du contrat ».

Personnes concernées

  • Membres et anciens membres du réseau.
  • Invités et participants externes aux événements.
  • Candidats à l’adhésion et contacts ajoutés par le réseau.

Catégories de données

  • Identité (nom, prénom, photo).
  • Coordonnées (email, téléphone, adresse).
  • Vie professionnelle (entreprise, fonction, secteur, présentation).
  • Adhésion et paiements (statut, échéances, montants ; les données de carte sont traitées par le prestataire de paiement du réseau).
  • Usage (inscriptions, présences, réactions, préférences d'emails).
  • Données techniques (journaux, adresses IP), au strict nécessaire.

04.Obligations du Sous-traitant

Le Sous-traitant s’engage à :

  • traiter les données uniquement sur instruction documentée du Responsable de traitement (le contrat, le présent accord et les réglages de l'espace valent instructions), y compris pour les transferts hors de l'Union européenne ;
  • informer le Responsable de traitement si une instruction lui paraît contraire à la réglementation ;
  • ne pas utiliser les données à d'autres fins (ni revente, ni publicité, ni entraînement de modèles d'intelligence artificielle) ;
  • garantir la confidentialité des données par les personnes autorisées à les traiter ;
  • mettre en œuvre les mesures de sécurité décrites ci-dessous (article 32 du RGPD) ;
  • aider le Responsable de traitement à répondre aux demandes d'exercice des droits, à réaliser une analyse d'impact si nécessaire et à respecter ses obligations de sécurité et de notification ;
  • tenir un registre des traitements effectués pour le compte du Responsable de traitement ;
  • mettre à disposition les informations nécessaires pour démontrer le respect du présent accord et permettre les audits prévus ci-dessous.

05.Obligations du Responsable de traitement

  • Disposer d'une base légale pour chaque traitement et informer les personnes concernées (notamment par les documents légaux de son espace).
  • Documenter ses instructions et paramétrer son espace en conséquence (visibilité des profils, des événements, des contenus).
  • Gérer les accès de ses administrateurs et les retirer quand ils n'ont plus lieu d'être.
  • Répondre aux demandes des personnes concernées, avec l’aide du Sous-traitant si besoin.

06.Sécurité

Le Sous-traitant met en œuvre notamment les mesures suivantes :

  • chiffrement des échanges (HTTPS) ;
  • mots de passe hachés (bcrypt) et verrouillage temporaire après des échecs de connexion répétés ;
  • chiffrement des clés de paiement des réseaux (AES-256-GCM) ;
  • cloisonnement des données entre réseaux contrôlé par l'application à chaque requête ;
  • sauvegarde quotidienne chiffrée, conservée 30 jours, et procédure de restauration documentée et éprouvée ;
  • journal d'audit des actions sensibles et accès d'administration limités ;
  • limitation du nombre de requêtes sur les points sensibles (connexion, formulaires publics).

07.Sous-traitants ultérieurs

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants :

  • Railway Corporation · Hébergement de l'API, de la base de données et de la file d'attente des tâches (envois d'emails, rappels) · Serveurs en Californie (États-Unis), transfert vers l'Europe prévu ; société aux États-Unis · Clauses contractuelles types de la Commission européenne.
  • Vercel Inc. · Hébergement du site et de l’interface · Exécution en France (Paris), réseau de diffusion mondial · Data Privacy Framework UE–États-Unis.
  • Cloudflare, Inc. · Stockage des fichiers et des sauvegardes chiffrées (R2) · Union européenne, société aux États-Unis · Data Privacy Framework UE–États-Unis.
  • Resend · Envoi des emails (transactionnels et lettres d’information) · États-Unis · Data Privacy Framework UE–États-Unis.
  • Functional Software, Inc. (Sentry) · Détection des erreurs techniques · Données stockées dans l’Union européenne, société aux États-Unis · Data Privacy Framework UE–États-Unis.
  • GitHub, Inc. · Exécution des sauvegardes automatiques (copie chiffrée en transit) · États-Unis · Data Privacy Framework UE–États-Unis.

Tout ajout ou remplacement est annoncé par email aux administrateurs au moins 30 jours à l'avance. Le Responsable de traitement peut s'y opposer pour un motif légitime dans les 15 jours ; à défaut d'accord, il peut résilier sans frais avant la mise en œuvre.

Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations de protection équivalentes et reste responsable de leur exécution.

Les paiements des membres passent par le compte Stripe du réseau, choisi et contracté par le réseau lui-même : Stripe n'est pas un sous-traitant ultérieur du Sous-traitant.

08.Transferts hors de l'Union européenne

Lorsqu'un sous-traitant ultérieur relève d'un pays tiers, le transfert est encadré par la décision d'adéquation relative au Data Privacy Framework UE–États-Unis pour les prestataires certifiés, et à défaut par les clauses contractuelles types de la Commission européenne (décision 2021/914).

09.Demandes des personnes concernées

L'espace du réseau permet d'exporter, de corriger et de supprimer les données d'un membre. Si une personne s'adresse directement au Sous-traitant pour des données du réseau, sa demande est transmise au Responsable de traitement dans les meilleurs délais.

10.Violation de données

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais, et au plus tard 72 heures après en avoir pris connaissance. Le délai de 72 heures dont dispose le Responsable de traitement pour notifier la CNIL, si nécessaire, court à partir du moment où il en a lui-même connaissance. La notification précise :

  • la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés ;
  • ses conséquences probables ;
  • les mesures prises ou envisagées pour y remédier ;
  • le point de contact pour obtenir plus d'informations.

11.Audits

Le Responsable de traitement peut faire vérifier le respect du présent accord, à ses frais, une fois par an au plus et avec un préavis de 15 jours, par lui-même ou par un auditeur tenu au secret. L'audit porte sur les seuls éléments utiles et ne doit pas perturber le service. Le Sous-traitant peut d'abord y répondre par la documentation dont il dispose.

12.Fin du contrat

  • Le Responsable de traitement dispose de 30 jours pour exporter ses données dans un format courant (CSV, JSON).
  • Ensuite, ou plus tôt sur sa demande, le Sous-traitant supprime les données et leurs copies, sauvegardes comprises, dans un délai de 90 jours au plus, et le confirme sur demande.
  • Les données dont la conservation est imposée par la loi sont isolées et ne servent plus qu'à cette obligation.

13.Responsabilité

Chaque partie répond des obligations qui lui incombent au titre du RGPD et du présent accord, dans les limites prévues au contrat lorsque la loi le permet.

14.Contact

Pour toute question sur cet accord : .