Accord de sous-traitance des données personnelles (DPA)
Dernière mise à jour : octobre 2026
Accord conclu en application de l'article 28 du Règlement (UE) 2016/679 (RGPD). Il fait partie intégrante des CGU et des CGV et s'applique dès la création d'un compte.
1. Rôles des parties
Pour les données personnelles que l'utilisateur enregistre dans Daplon concernant ses propres clients, prospects, fournisseurs, sous-traitants et salariés, l'utilisateur est responsable du traitement et BREEKS agit en qualité de sous-traitant. Pour les données du compte de l'utilisateur lui-même (identité, abonnement), BREEKS est responsable de traitement (voir la politique de confidentialité).
2. Objet, nature et finalité
Le sous-traitant héberge et traite les données pour fournir le service : établissement de devis et factures, suivi de chantier, relances, envoi d'e-mails à la demande de l'utilisateur, signature en ligne, fonctions d'IA déclenchées par l'utilisateur, sauvegarde et assistance. Il ne traite les données que sur instruction documentée de l'utilisateur, matérialisée par l'utilisation du service.
3. Données et personnes concernées
- Personnes : clients et prospects (particuliers et contacts professionnels), fournisseurs, sous-traitants, membres d'équipe de l'utilisateur.
- Données : identité, coordonnées (adresse, e-mail, téléphone), adresse des travaux, SIRET/TVA, contenu des devis et factures, montants et règlements, signatures en ligne (nom, date, adresse IP), heures de travail des équipes, fichiers joints (plans, photos, factures d'achat).
- Le service n'est pas conçu pour des données sensibles (art. 9 RGPD) ; l'utilisateur s'engage à ne pas en enregistrer.
4. Durée
Le présent accord s'applique pendant toute la durée d'utilisation du service, puis jusqu'à la suppression ou la restitution des données (article 9).
5. Obligations du sous-traitant
- traiter les données uniquement pour les finalités ci-dessus et sur instruction de l'utilisateur ; l'informer si une instruction lui paraît contraire au RGPD ;
- garantir la confidentialité : personnes autorisées soumises à une obligation de confidentialité ; accès support uniquement en lecture seule, limité dans le temps et journalisé ;
- mettre en œuvre des mesures de sécurité appropriées (article 7) ;
- ne pas utiliser les données pour son propre compte, ni les vendre, ni les utiliser pour entraîner des modèles d'IA ;
- aider l'utilisateur à répondre aux demandes d'exercice des droits (accès, rectification, effacement, portabilité) — l'export et la suppression sont disponibles dans l'application ;
- aider l'utilisateur pour ses analyses d'impact et ses obligations de sécurité ;
- tenir le registre des traitements effectués pour le compte de ses clients (art. 30.2 RGPD).
6. Sous-traitants ultérieurs
L'utilisateur autorise de manière générale le recours aux sous-traitants ultérieurs suivants. Le sous-traitant informera l'utilisateur de tout ajout ou remplacement au moins 30 jours à l'avance ; l'utilisateur pourra s'y opposer pour un motif légitime et, à défaut d'accord, résilier sans frais.
| Prestataire | Rôle | Localisation | Garanties |
|---|---|---|---|
| Supabase Inc. | Base de données et authentification | Union européenne (région West EU) | Hébergement UE ; DPA Supabase |
| Vercel Inc. | Hébergement de l'application | États-Unis / UE (réseau mondial) | Clauses contractuelles types de la Commission européenne ; Data Privacy Framework |
| Resend Inc. | Envoi des e-mails (devis, factures, relances, comptes) | États-Unis | Clauses contractuelles types |
| OpenAI, L.L.C. | Fonctions d'IA (rédaction de devis, lecture de plans, de factures d'achat, dictée vocale) | États-Unis | Clauses contractuelles types ; données d'API non utilisées pour l'entraînement selon les conditions OpenAI |
| Functional Software Inc. (Sentry) | Suivi des erreurs techniques | États-Unis / UE | Clauses contractuelles types |
| Crisp IM SAS | Messagerie d'assistance (chat) | France / UE | Hébergement UE |
| SUPER PDP | Plateforme agréée de facturation électronique (transmission des factures aux clients professionnels, à la demande de l'utilisateur) | Union européenne | Plateforme agréée par l'administration fiscale ; conditions SUPER PDP |
| Stripe Payments Europe Ltd | Paiement de l'abonnement Daplon (et paiement en ligne des factures si activé) | Irlande / États-Unis | Clauses contractuelles types ; Stripe agit aussi comme responsable de traitement pour ses obligations propres |
Les transferts hors de l'Union européenne sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le cadre de protection des données UE–États-Unis (Data Privacy Framework).
7. Sécurité
- chiffrement des échanges (HTTPS/TLS) et chiffrement au repos par l'hébergeur ;
- isolation des données par compte (Row Level Security) et contrôle des droits côté serveur ;
- authentification par mot de passe, double authentification (2FA) disponible ;
- verrouillage des documents comptables émis et journal des modifications ;
- sauvegardes réalisées par l'hébergeur de base de données ;
- suivi des erreurs et des incidents techniques.
8. Violation de données
Le sous-traitant notifie à l'utilisateur toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations disponibles (nature, catégories et volume approximatif de données et de personnes, conséquences probables, mesures prises), afin de permettre à l'utilisateur de notifier la CNIL dans les 72 heures si nécessaire.
9. Fin du traitement
À la fin du contrat, l'utilisateur dispose de 90 jours pour exporter ses données. Le sous-traitant supprime ensuite les données, sauf obligation légale de conservation, et en atteste sur demande.
10. Audit
Le sous-traitant met à disposition de l'utilisateur les informations nécessaires pour démontrer le respect du présent accord et permet des audits raisonnables, sur demande écrite préalable de 30 jours, au plus une fois par an, aux frais de l'utilisateur, par un auditeur tenu au secret.
11. Contact
Questions relatives aux données personnelles : contact@daplon.fr