Accord de sous-traitance de données (DPA)

Data Processing Agreement — En vigueur au 03/09/2026 — Version 1.0

Le présent accord précise les engagements de La Pépinière de Gaïa (« l'Éditeur », sous-traitant) envers chaque pépinière cliente du logiciel Gaïa Pépinière (« le Responsable de traitement ») s'agissant du traitement des données personnelles de leurs clients finaux, conformément à l'article 28 du RGPD (Règlement UE 2016/679).

Article 1 — Parties

Responsable de traitement

Chaque pépinière cliente ayant souscrit au logiciel Gaïa Pépinière et qui, dans le cadre de son activité, collecte et traite les données personnelles de ses propres clients finaux (particuliers, professionnels, collectivités) via le logiciel.

Sous-traitant

La Pépinière de Gaïa — Entreprise individuelle exploitée par Gaëtan d'Herbigny — 6 Ezerville, 91150 Roinvilliers, France — SIRET : [805040797] — N° TVA : [FR10805040797] — Contact : contact@gaia-pepiniere.fr.

Article 2 — Objet du traitement

Le sous-traitant s'engage à traiter les données personnelles pour le compte du Responsable de traitement dans le cadre des services suivants :

• Hébergement et stockage des données saisies dans le logiciel ;
• Gestion technique de l'application (accès, sauvegardes, sécurité) ;
• Envoi d'emails transactionnels (activation, notifications) ;
• Support technique et assistance utilisateur.

Article 3 — Nature et finalité du traitement

Catégorie de données	Personnes concernées	Finalité	Base légale
Identité (nom, prénom, email, téléphone, adresse)	Clients finaux de la pépinière	Gestion commerciale (devis, factures, livraisons)	Exécution du contrat / intérêt légitime
Données professionnelles (SIRET, TVA, fonction)	Clients pros de la pépinière	Facturation, facturation électronique	Obligation légale
Historique d'achats et de commandes	Clients finaux	Gestion des ventes, CRM, boutique en ligne	Exécution du contrat
Données bancaires (uniquement N° facture, montant)	Clients finaux	Rapprochement bancaire	Obligation légale comptable

Aucune donnée sensible au sens de l'article 9 RGPD (santé, orientation, opinions…) n'est traitée par le logiciel.

Article 4 — Durée du traitement

Le sous-traitant traite les données pendant toute la durée d'abonnement au logiciel. À la résiliation :

• 30 jours pour permettre au Responsable de traitement d'exporter ses données ;
• Suppression définitive à l'issue de ce délai, sauf données que le Responsable de traitement doit légalement conserver (factures 6 ans, comptabilité 10 ans) qui restent accessibles en lecture seule via l'export final.

Article 5 — Obligations du sous-traitant

Le sous-traitant s'engage à :

1. Traiter les données uniquement pour les finalités susmentionnées, et sur instructions documentées du Responsable de traitement ;
2. Garantir la confidentialité des données traitées et n'y donner accès qu'aux personnes strictement nécessaires (uniquement l'Éditeur et éventuels prestataires soumis aux mêmes obligations) ;
3. Mettre en œuvre les mesures de sécurité techniques et organisationnelles appropriées (voir Article 6) ;
4. Notifier toute violation de données au Responsable de traitement dans un délai maximum de 72 heures après en avoir pris connaissance, en fournissant toutes les informations utiles (nature, personnes concernées, conséquences probables, mesures prises) ;
5. Assister le Responsable de traitement dans le respect de ses propres obligations RGPD (réponse aux demandes d'accès, suppression, portabilité) via les fonctionnalités intégrées au logiciel ;
6. Supprimer ou restituer les données à l'issue de la prestation conformément à l'Article 4 ;
7. Mettre à disposition toute documentation nécessaire au Responsable de traitement pour démontrer sa conformité RGPD, et permettre les audits raisonnables (préavis 30 jours, pendant les heures ouvrables, frais à la charge du demandeur).

Article 6 — Mesures de sécurité

Le sous-traitant met en œuvre les mesures suivantes :

• Chiffrement des communications en HTTPS (TLS 1.2 minimum) ;
• Hachage des mots de passe (PBKDF2 avec sel unique) ;
• Isolation multi-tenant stricte : chaque pépinière ne peut accéder qu'à ses propres données (contrôles applicatifs et base de données) ;
• Sauvegardes quotidiennes chiffrées, conservées 30 jours, stockées sur des serveurs redondants (Render) ;
• Journalisation des accès aux données sensibles (audit trail consultable via l'interface d'administration) ;
• Correctifs de sécurité appliqués dès leur publication par les éditeurs de dépendances (Django, Python, PostgreSQL…) ;
• Séparation des environnements production / développement.

Article 7 — Sous-traitance ultérieure

Le sous-traitant peut recourir aux sous-traitants ultérieurs suivants :

Sous-traitant	Rôle	Localisation
Render Services, Inc.	Hébergement du logiciel et de la base de données	UE (Francfort) + USA
Stripe, Inc.	Traitement des paiements par carte bancaire	Irlande (UE)
OVH SAS	Envoi d'emails transactionnels	France (UE)
SUPER PDP	Plateforme de dématérialisation partenaire (facturation électronique)	France (UE)

Tout changement de sous-traitant ultérieur sera notifié au Responsable de traitement avec un préavis de 30 jours, période pendant laquelle il peut faire valoir des objections motivées.

Article 8 — Transferts hors UE

Certaines données peuvent être transférées vers les États-Unis dans le cadre de l'hébergement Render. Ces transferts sont encadrés par les Clauses Contractuelles Types de la Commission européenne (décision 2021/914) et par le Data Privacy Framework (DPF) auquel Render adhère depuis 2023.

Article 9 — Droits des personnes concernées

Les demandes d'exercice des droits (accès, rectification, suppression, portabilité, opposition) formulées par les personnes concernées doivent être adressées au Responsable de traitement (la pépinière cliente).

Le sous-traitant met à disposition dans le logiciel les fonctionnalités permettant au Responsable de traitement de répondre à ces demandes :

• Consultation et export des données personnelles d'un client ;
• Modification des données ;
• Suppression / anonymisation d'un client (sous réserve des durées légales de conservation) ;
• Export au format CSV pour la portabilité.

Article 10 — Sort des données en fin de contrat

À la résiliation du contrat, le Responsable de traitement peut :

• Exporter l'intégralité de ses données via les fonctions d'export intégrées (délai 30 jours) ;
• Demander la suppression anticipée par email à contact@gaia-pepiniere.fr.

Passé le délai de 30 jours sans instruction contraire, le sous-traitant procède à la suppression définitive des données, à l'exception des données soumises à conservation légale (factures, comptabilité) qui restent stockées pendant la durée légale mais ne sont plus accessibles.

Article 11 — Responsabilité

Chaque partie est responsable des dommages directs causés par son manquement aux obligations qui lui incombent au titre du RGPD. La responsabilité du sous-traitant est plafonnée conformément aux CGV.

Article 12 — Acceptation

Le présent DPA est réputé accepté par le Responsable de traitement dès la souscription au logiciel Gaïa Pépinière. Il fait partie intégrante des CGV.

Le Responsable de traitement peut demander une version signée de ce DPA par écrit en contactant contact@gaia-pepiniere.fr, notamment si ses propres obligations RGPD (audits internes, contrôle CNIL) le nécessitent.

Article 13 — Loi applicable et juridiction

Le présent DPA est régi par le droit français et le droit de l'Union européenne (RGPD). Tout litige relève de la compétence des tribunaux d'Évry.

Dernière mise à jour : 03/09/2026 — Version 1.0

← Retour à l'accueil