Accord de traitement des données (DPA)

Le présent accord (« DPA ») fait partie intégrante des conditions générales de vente. Il définit les conditions dans lesquelles KMY SERVICES (« le Sous-traitant ») traite des données personnelles pour le compte de l’établissement client (« le Responsable de traitement »), conformément à la loi n° 09-08 et, lorsqu’il s’applique, à l’article 28 du RGPD.

Le DPA s’applique pendant toute la durée de l’abonnement, essai compris, et jusqu’à la suppression ou la restitution complète des données.

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement : les CGV, le présent DPA et les paramétrages effectués sur la plateforme constituent ces instructions. Il informe immédiatement le Responsable de traitement si une instruction lui paraît contraire à la réglementation.

• Traiter les données uniquement pour les finalités prévues, sans les réutiliser pour son propre compte.
• Garantir la confidentialité : les personnes autorisées sont soumises à une obligation de confidentialité et formées.
• Mettre en œuvre les mesures de sécurité décrites ci-dessous.
• Tenir un registre des traitements effectués pour le compte de ses clients.
• Ne pas transférer les données hors des pays autorisés sans garanties appropriées.

Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants :

• Vercel Inc.

  Hébergement du site web et de l’interface

  440 N Barranca Ave #4133, Covina, CA 91723, USA

  vercel.com

• Railway Corp.

  Hébergement de l’API et de la base de données

  San Francisco, CA, USA

  railway.com

• Cloudflare, Inc.

  Gestion du nom de domaine (DNS)

  101 Townsend St, San Francisco, CA 94107, USA

  www.cloudflare.com

Envoi des e-mails transactionnels : Brevo.

Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement au moins 30 jours à l’avance. Celui-ci peut s’y opposer pour un motif légitime ; à défaut de solution, il peut résilier l’abonnement sans pénalité. Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes et reste responsable de leur exécution.

• Cloisonnement logique de chaque établissement (filtrage systématique par établissement).
• Chiffrement des flux (TLS) ; secrets et jetons protégés ; mots de passe hachés.
• Contrôle d’accès par rôles et périmètres ; double authentification ; politique de mots de passe.
• Journal d’audit des opérations sensibles ; journalisation technique.
• Sauvegardes régulières et tests de restauration ; plan de continuité.
• Gestion des vulnérabilités et mises à jour de sécurité.

Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance.

La notification précise, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables, les mesures prises ou envisagées, et un point de contact. Les informations peuvent être communiquées de manière échelonnée.

Le Sous-traitant aide le Responsable de traitement, dans la mesure du possible : à répondre aux demandes d’exercice des droits des personnes (les outils d’export et de rectification de la plateforme y contribuent), à réaliser des analyses d’impact, et à remplir ses obligations de sécurité et de notification.

Le Sous-traitant met à disposition la documentation nécessaire pour démontrer le respect du DPA. Le Responsable de traitement peut faire réaliser un audit, une fois par an, par un auditeur indépendant tenu au secret, moyennant un préavis de 30 jours, à ses frais et sans perturber l’exploitation.

Lorsque des données sont traitées hors du Maroc ou de l’Union européenne, le Sous-traitant s’assure de l’existence de garanties appropriées (clauses contractuelles types, autorisation de la CNDP lorsque requise).

À la fin du contrat, le Responsable de traitement peut exporter ses données pendant 30 jours (accès en lecture seule et export complet sur demande). Le Sous-traitant supprime ensuite l’ensemble des données, copies et sauvegardes comprises, dans un délai maximal de 90 jours, sauf obligation légale de conservation, et en fournit l’attestation sur demande.

La responsabilité des parties au titre du DPA est régie par les CGV. En cas de contradiction entre le DPA et les CGV concernant la protection des données, le DPA prévaut.