Accord de traitement des données
Projet d’annexe conforme à l’article 28 du RGPD pour le pilot B2B gratuit de Cohostly.
Projet contractuel. Cette page n’est pas un DPA signé. Les champs, instructions, durées, paramètres des sous-traitants ultérieurs et délais d’incident doivent être approuvés avant signature.
La version française constitue la version de référence. La version anglaise est fournie pour faciliter la compréhension.
1. Parties et rôles
[CLIENT PILOTE] est responsable du traitement pour les données personnelles opérationnelles saisies dans Cohostly. [EXPLOITANT DE COHOSTLY] est sous-traitant pour ces données. Chaque partie reste responsable des traitements qu’elle détermine pour ses propres finalités.
2. Détails du traitement et instructions documentées
| Objet | Mise à disposition de Cohostly comme back-office économique de l’activité de conciergerie de locations de courte durée du client. |
|---|---|
| Durée | [DURÉE DU PILOT/CONTRAT + DÉLAI DE RESTITUTION ET SUPPRESSION] |
| Opérations | Collecte, import, organisation, calcul, conservation, consultation, modification, audit, génération de documents, transmission par e-mail, export et suppression. |
| Personnes concernées | Utilisateurs autorisés, personnel et contacts du client, propriétaires ou clients facturés et personnes susceptibles d’être mentionnées dans les rapports importés, champs libres ou documents chargés. |
| Catégories de données | Identité et coordonnées, comptes et rôles, références d’appartements et de plateformes, mouvements et règles économiques, informations de facturation et fiscales, coordonnées bancaires lorsqu’elles sont saisies, textes libres, CSV, justificatifs, PDF, contenus d’e-mail et audits techniques. |
| Données particulières | Aucune donnée relevant de catégories particulières n’est requise ou prévue. Le client ne doit pas en transmettre sans avoir préalablement documenté avec Cohostly un usage licite et nécessaire. |
Le contrat, le présent accord et les actions des utilisateurs autorisés dans les fonctionnalités documentées constituent les instructions du client. Tout traitement substantiellement différent nécessite une instruction écrite ou un avenant. Cohostly informe immédiatement le client lorsqu’une instruction lui paraît contraire au droit applicable à la protection des données.
3. Engagements du sous-traitant
Cohostly s’engage à traiter les données uniquement sur instruction documentée ; garantir la confidentialité des personnes autorisées ; maintenir des mesures techniques et organisationnelles appropriées ; assister le client pour les droits des personnes, analyses d’impact et consultations lorsqu’elles sont applicables ; fournir les informations raisonnablement nécessaires pour démontrer sa conformité ; et notifier au client toute violation de données sans retard indu et au plus tard [DÉLAI CONTRACTUEL MAXIMAL] après en avoir pris connaissance.
4. Mesures de sécurité
- isolation par organisation et sécurité PostgreSQL au niveau des lignes ;
- moindre privilège du compte d’exécution et identifiants d’administration distincts ;
- authentification gérée, sessions limitées dans le temps, protection CSRF et attributs de cookie sécurisés ;
- TLS pour les connexions navigateur et base de données et en-têtes de sécurité restrictifs ;
- audits des modifications administratives, économiques et de facturation significatives ;
- contrôles de taille, type et signature des fichiers pris en charge ;
- snapshots et PDF conservés de manière immuable pour les factures émises ;
- tests automatisés de l’isolation tenant et des règles métier critiques.
Procédures de sauvegarde, restauration, revue des accès et réponse aux incidents à annexer : [PROCÉDURES OPÉRATIONNELLES APPROUVÉES].
5. Sous-traitants ultérieurs
L’autorisation proposée est une autorisation écrite générale. Cohostly informe le client avant tout ajout ou remplacement envisagé et lui laisse [DÉLAI D’INFORMATION/OPPOSITION] pour présenter une objection motivée.
| Prestataire | Fonction | Lieu/transfert à confirmer |
|---|---|---|
| Render Services, Inc. | Hébergement de l’application et journaux techniques. | Application configurée à Francfort ; entité contractante, accès distants et garanties à confirmer. |
| Supabase | Authentification et base PostgreSQL. | Région principale du projet sélectionnée dans l’EEE ; assistance et transferts opérationnels à confirmer selon le DPA actif. |
| Plus Five Five, Inc. (Resend) | Envoi transactionnel de la facture et de son PDF ainsi que des demandes d’assistance authentifiées. | États-Unis ; DPA, clauses contractuelles types et paramètres actifs à confirmer. |
| Cloudflare, Inc. | Infrastructure du nom de domaine. | Configuration DNS-only à confirmer. Réévaluer les traitements et transferts avant toute activation du proxy. |
Cohostly demeure responsable envers le client du respect par ses sous-traitants ultérieurs de leurs obligations de protection des données.
6. Droits, incidents et audits
Si Cohostly reçoit une demande relative à des données sous la responsabilité du client, il la transmet à [CONTACT VIE PRIVÉE DU CLIENT] et ne répond pas au nom du client sans instruction ou obligation légale. Les parties maintiennent les contacts opérationnels suivants pour les incidents : client [CONTACT] ; Cohostly [CONTACT].
Les audits doivent protéger les autres clients, la sécurité et les informations confidentielles. Les preuves pratiques, fréquence, préavis et répartition des coûts sont les suivants : [PROCÉDURE D’AUDIT].
7. Fin du service
Au choix du client, Cohostly restitue les données disponibles puis supprime les copies restantes après [DÉLAI DE SUPPRESSION], sauf obligation de conservation résultant du droit français ou de l’Union. Les parties doivent approuver l’application de cette règle aux factures, audits, sauvegardes fournisseurs et données conservées par les sous-traitants ultérieurs.
8. Signatures
Date d’effet : [DATE]. Représentant du responsable du traitement : [NOM, QUALITÉ, SIGNATURE]. Représentant du sous-traitant : [NOM, QUALITÉ, SIGNATURE].