Data Processing Agreement

1. Objet

Le présent Accord de Traitement des Données (DPA) encadre le traitement des données personnelles effectué par Reverdin SASU pour le compte du client, dans le cadre de la fourniture du service Deckmin, conformément au Règlement (UE) 2016/679 (RGPD).

2. Rôles des parties

• Responsable du traitement : le client (l'organisation ou la personne ayant souscrit à Deckmin) — il détermine les finalités et les moyens du traitement des données de ses utilisateurs finaux.
• Sous-traitant : Reverdin SASU, 1 place du Parvis, 95300 Pontoise, France — elle traite les données uniquement sur instruction documentée du Responsable.

3. Données traitées

Dans le cadre du service, le Sous-traitant peut traiter les catégories de données suivantes :

• Données de compte administrateur : adresse email, nom, mot de passe haché (bcrypt)
• Données projet : listes d'utilisateurs, statuts d'abonnement, métriques analytics — lues depuis les bases de données ou API configurées par le Responsable
• Données de session : cookie de session (httpOnly, expiration 24h)
• Logs d'audit : actions effectuées dans le dashboard (TTL 90 jours)

Deckmin ne collecte pas directement de données auprès des utilisateurs finaux du Responsable. Il accède uniquement aux données via les connexions configurées par le Responsable.

4. Finalité du traitement

Les données sont traitées exclusivement dans le but de fournir le service de dashboard d'administration Deckmin : visualisation, gestion des utilisateurs, suivi financier, envoi d'emails lifecycle, et analytics projet.

Le Sous-traitant s'engage à ne pas traiter les données à des fins autres que celles définies par le Responsable.

5. Durée du traitement

• Durée du contrat entre les parties, plus 30 jours à l'issue du contrat pour permettre l'export et la suppression des données
• Au terme de cette période, toutes les données sont supprimées ou anonymisées, sauf obligation légale de conservation contraire

6. Sous-traitants ultérieurs

Le Sous-traitant fait appel aux sous-traitants ultérieurs suivants :

• Hetzner Online GmbH — Hébergement des serveurs (Nuremberg, Allemagne, UE) — politique de confidentialité

Le Sous-traitant informe le Responsable de tout changement prévu concernant l'ajout ou le remplacement de sous-traitants ultérieurs, en lui laissant la possibilité de s'y opposer.

7. Droits du Responsable et de ses utilisateurs

Sur demande du Responsable du traitement, le Sous-traitant s'engage à :

• Supprimer l'ensemble des données liées à un compte ou un projet dans un délai de 30 jours
• Fournir un export des données dans un format lisible (JSON ou CSV)
• Assister le Responsable dans la réponse aux demandes d'exercice de droits RGPD formulées par ses utilisateurs finaux

Pour toute demande : contact@deckmin.com

8. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données contre toute destruction, perte, altération, divulgation ou accès non autorisés :

• Chiffrement des connexions via HTTPS (TLS 1.2+)
• Mots de passe hachés avec bcrypt
• Sessions signées avec HMAC-SHA256
• Rate limiting sur les tentatives de connexion (5 par minute par IP)
• Accès serveur restreint aux administrateurs autorisés

9. Notification des violations

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, le Sous-traitant notifie le Responsable du traitement dans les 72 heures suivant la prise de connaissance de l'incident.

10. Contact DPO et droit applicable

Contact délégué à la protection des données : contact@deckmin.com

Le présent accord est soumis au droit français. En cas de litige, les tribunaux compétents sont ceux du ressort du siège social de Reverdin SASU.