Accord de traitement des données (DPA)

Annexe aux CGV — article 28 du RGPD. Encadre le traitement des données que le Client confie à AudixiA.

1. Objet

Le présent accord définit les conditions dans lesquelles Tempo Systèmes (le « Sous-traitant »), éditeur d'AudixiA, traite les données personnelles pour le compte du Client (le « Responsable de traitement »), conformément à l'article 28 du RGPD.

2. Rôles

Le Client détermine les finalités et les moyens du traitement. Tempo Systèmes agit uniquement sur instruction documentée du Client, dans le cadre de la fourniture du Service.

3. Nature et finalité du traitement

Élément	Détail
Finalité	Centralisation, audit et interrogation des processus du Client ; automatisation
Nature des opérations	Collecte, stockage, analyse par IA, consultation, suppression
Catégories de personnes	Salariés et collaborateurs du Client (Utilisateurs)
Catégories de données	Identité, coordonnées professionnelles, contenus de procédures
Durée	Durée du contrat + délai de réversibilité

4. Obligations de Tempo Systèmes

Traiter les données uniquement sur instruction du Client et pour le Service.
Ne jamais utiliser les données du Client pour entraîner ou améliorer un modèle d'IA.
Garantir la confidentialité ; n'y donner accès qu'aux personnes habilitées, elles-mêmes tenues au secret.
Mettre en œuvre des mesures de sécurité appropriées (chiffrement, cloisonnement, contrôle d'accès, sauvegardes).
Assister le Client pour les demandes d'exercice de droits et les analyses d'impact.
Notifier au Client toute violation de données dans les meilleurs délais (< 48h).
Supprimer ou restituer les données en fin de contrat, au choix du Client.

5. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants ci-dessous. Tempo Systèmes s'assure qu'ils présentent des garanties équivalentes et informe le Client de tout changement, lui permettant de s'y opposer.

Sous-traitant	Traitement	Localisation
Hetzner Online GmbH	Hébergement	Allemagne (UE)
Brevo (Sendinblue)	Emails transactionnels	France (UE)
Stripe	Paiement	UE / USA (CCT)
Google (API Gemini)	Analyse IA	UE / États-Unis (clauses contractuelles types)

6. Localisation & transferts hors UE

Les données sont hébergées dans l'Union Européenne. Tout transfert hors UE (le cas échéant, via Stripe) est encadré par les Clauses Contractuelles Types de la Commission européenne.

7. Sécurité

HTTPS/TLS, mots de passe hachés, isolation stricte par client, journalisation des accès, sauvegardes régulières et restauration testée, principe du moindre privilège.

8. Sort des données en fin de contrat

À la résiliation, le Client peut demander la restitution de ses données dans un format standard sous 30 jours. À défaut de demande, elles sont supprimées de façon sécurisée, sauvegardes comprises, dans un délai raisonnable.

9. Audit

Le Client peut demander, dans des conditions raisonnables et sur préavis, les informations nécessaires pour démontrer le respect des obligations du présent accord.