Accord de Traitement
des Données (DPA)

Le présent Accord de Traitement des Données (ci-après « DPA ») est conclu entre :

• Le Responsable de traitement : le Client professionnel (personne morale) ayant souscrit un abonnement au service Rivalyse, ci-après désigné « le Responsable ».
• Le Sous-traitant : SAS R'Prod, SIRET 90139562400017, 20 RUE DES TILLEULS, 45250 BRIARE, éditeur du service Rivalyse, ci-après désigné « le Sous-traitant ».

Le présent DPA a pour objet de définir les conditions dans lesquelles le Sous-traitant traite des données à caractère personnel pour le compte du Responsable, conformément à l'article 28 du Règlement (UE) 2016/679 (RGPD).

Le DPA complète le contrat principal (CGV + CGU) et en fait partie intégrante. En cas de contradiction, les dispositions du DPA prévalent sur celles des CGV pour les sujets relatifs à la protection des données.

Dans le cadre de la fourniture du service Rivalyse, le Sous-traitant réalise les traitements suivants pour le compte du Responsable :

• Gestion du compte client : stockage et administration des données du compte (identifiants, paramètres, URLs configurées)
• Collecte de données tarifaires : scraping automatisé des URLs de produits concurrents configurées par le Responsable
• Génération et envoi de rapports : constitution et envoi d'alertes et de résumés tarifaires à l'adresse email du Responsable
• Stockage de l'historique : conservation de l'historique des prix selon le plan souscrit

Durée du traitement : pendant toute la durée du contrat d'abonnement, puis pendant la période de conservation post-résiliation définie à l'article 9.

Note : Les données tarifaires collectées sur les sites concurrents sont des données commerciales publiques et ne constituent pas des données à caractère personnel au sens du RGPD.

Le Responsable garantit que les données transmises au Sous-traitant sont collectées et traitées conformément au RGPD et aux législations applicables. Le Sous-traitant ne traite aucune donnée de catégorie particulière (art. 9 RGPD) ni aucune donnée relative à des mineurs.

SAS R'Prod s'engage à :

• Ne traiter les données personnelles que sur instruction documentée du Responsable, y compris pour les transferts de données
• Garantir que les personnes habilitées à traiter les données s'engagent à respecter la confidentialité ou sont soumises à une obligation légale de confidentialité
• Mettre en œuvre toutes les mesures de sécurité techniques et organisationnelles requises (art. 32 RGPD) → voir article 8
• Ne pas sous-traiter à un tiers sans autorisation préalable écrite du Responsable, sauf pour les sous-traitants ultérieurs listés à l'article 7
• Notifier le Responsable de toute violation de données dans les 72 heures après en avoir pris connaissance
• Assister le Responsable dans le respect de ses obligations RGPD (demandes d'exercice de droits, analyses d'impact, etc.)
• Mettre à disposition du Responsable toutes les informations nécessaires pour démontrer le respect des obligations du présent DPA

Le Responsable dispose des droits suivants dans le cadre du présent DPA :

• Instruction : donner des instructions écrites au Sous-traitant concernant le traitement des données, dans la limite des finalités définies à l'article 3
• Audit : procéder à des audits et inspections, directement ou via un tiers mandaté, selon les modalités de l'article 10
• Information : être informé de toute violation de données dans les délais prévus à l'article 5
• Assistance : bénéficier de l'assistance du Sous-traitant pour répondre aux demandes d'exercice de droits des personnes concernées
• Récupération/suppression : obtenir la restitution ou la suppression de ses données à tout moment, y compris pendant l'abonnement actif

Le Responsable s'engage en contrepartie à utiliser le service conformément aux CGU et à ne communiquer au Sous-traitant que des données collectées légalement.

Le Responsable autorise par avance le recours aux sous-traitants ultérieurs suivants, sélectionnés pour leur conformité RGPD :

Tout changement de sous-traitant ultérieur fera l'objet d'une notification préalable de 30 jours au Responsable, qui dispose d'un droit d'opposition motivé.

SAS R'Prod met en œuvre les mesures techniques et organisationnelles suivantes conformément à l'article 32 du RGPD :

• Chiffrement en transit : HTTPS/TLS obligatoire sur toutes les communications (Let's Encrypt)
• Authentification : JWT avec expiration, bcrypt pour les mots de passe, rate limiting anti-brute force
• Accès restreint : accès à la base de données limité au processus applicatif ; interface admin protégée par token distinct
• Sauvegardes : backup quotidien de la base SQLite vers OVH Object Storage (rétention 30 jours)
• Infrastructure sécurisée : VPS OVH avec fail2ban, UFW, clé SSH uniquement, mises à jour de sécurité automatiques
• Headers de sécurité : Helmet.js (HSTS, CSP, X-Frame-Options, etc.)
• Monitoring : UptimeRobot (disponibilité), PM2 (logs applicatifs)

À l'issue du contrat d'abonnement, pour quelque cause que ce soit :

• Le Responsable dispose d'un délai de 3 mois pour récupérer l'intégralité de ses données via l'export CSV disponible dans son espace client
• À l'expiration de ce délai, ou sur demande explicite du Responsable, toutes les données personnelles sont définitivement supprimées des systèmes du Sous-traitant
• Cette suppression inclut les données de configuration, l'historique des prix et les logs associés au compte
• Une attestation de suppression peut être fournie sur demande à contact@rivalyse.com

Les données de facturation conservées pour obligation légale (3 ans) le sont sous forme anonymisée ou pseudonymisée dans la mesure du possible.

Le Responsable a le droit de réaliser des audits du Sous-traitant pour vérifier le respect du présent DPA, selon les modalités suivantes :

• Demande préalable : notification écrite à contact@rivalyse.com avec un préavis minimum de 30 jours ouvrés
• Fréquence : maximum 1 audit par an, sauf en cas de violation de données avérée
• Modalités : l'audit peut prendre la forme d'un questionnaire de sécurité, d'une revue documentaire ou d'un audit sur site (à frais partagés)
• Confidentialité : les résultats de l'audit sont confidentiels et ne peuvent être divulgués à des tiers sans accord préalable des deux parties

En alternative à un audit physique, le Sous-traitant peut fournir les certifications ou rapports d'audit de ses propres sous-traitants (OVH, Brevo) pour démontrer sa conformité.