Contrat de traitement des données (DPA)
Le présent Contrat de traitement des données (Data Processing Agreement) est conclu entre le client (ci-après le « Responsable de traitement ») et Comply-Agent SAS (ci-après le « Sous-traitant »), conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).
Article 1 — Objet et portée
Le présent accord définit les obligations respectives des parties en matière de protection des données personnelles traitées par le Sous-traitant pour le compte du Responsable de traitement dans le cadre de l'utilisation de la plateforme Comply-Agent.
Article 2 — Nature et finalités du traitement
| Élément | Description |
|---|---|
| Finalité | Analyse automatisée de conformité NIS2/DORA, génération de rapports, gestion documentaire |
| Catégories de personnes | Utilisateurs de la plateforme, employés des entreprises clientes mentionnés dans les documents téléversés |
| Catégories de données | Données d'identification (nom, email), données professionnelles, contenu des documents téléversés |
| Durée du traitement | Pendant la durée de l'abonnement, plus trente (30) jours après résiliation |
Article 3 — Obligations du Sous-traitant
Le Sous-traitant s'engage à :
- Traiter les données personnelles uniquement sur instruction documentée du Responsable de traitement.
- Garantir la confidentialité des données en s'assurant que les personnes autorisées à les traiter sont soumises à une obligation de confidentialité.
- Mettre en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD.
- Ne pas faire appel à un autre sous-traitant sans l'autorisation préalable écrite du Responsable de traitement. La liste des sous-traitants ultérieurs est disponible à l'adresse /legal/sous-traitants.
- Aider le Responsable de traitement à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, limitation, opposition).
- Notifier le Responsable de traitement dans un délai de soixante-douze (72) heures en cas de violation de données personnelles.
- Supprimer ou restituer l'ensemble des données personnelles à l'issue de la prestation, selon le choix du Responsable de traitement.
- Mettre à disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent contrat et permettre la réalisation d'audits.
Article 4 — Mesures de sécurité
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes :
- Chiffrement des données en transit (TLS 1.2+) et au repos (AES-256).
- Contrôle d'accès basé sur les rôles avec authentification multi-facteurs.
- Journalisation et audit des accès aux données.
- Sauvegardes chiffrées quotidiennes avec rétention de trente (30) jours.
- Hébergement des données au sein de l'Union européenne exclusivement.
- Tests de pénétration et audits de sécurité réguliers.
- Plan de continuité d'activité et de reprise après sinistre.
Article 5 — Transferts hors UE
Le Sous-traitant s'engage à ne pas transférer de données personnelles en dehors de l'Espace économique européen sans l'accord préalable du Responsable de traitement et sans que des garanties appropriées ne soient mises en place conformément au chapitre V du RGPD.
Article 6 — Durée
Le présent accord est conclu pour la durée de l'abonnement du Responsable de traitement à la plateforme Comply-Agent. Les obligations de confidentialité et de sécurité survivent à la résiliation du contrat.
Article 7 — Droit applicable
Le présent contrat est régi par le droit français et le Règlement (UE) 2016/679. Tout litige sera soumis à la compétence des tribunaux de Paris.
Dernière mise à jour : février 2026