Data Processing Agreement

1. Parties et définitions

Le DPA est conclu entre le Customer (responsable du traitement) et Unimoni (sous-traitant). Il s’applique en complément des Conditions d’utilisation.

2. Objet

Unimoni traite les données personnelles que le Customer transmet via le Service, uniquement pour fournir le Service conformément aux instructions documentées du Customer.

3. Catégories de données

• Identifiants (e-mail, nom) — des membres de l’organisation du Customer
• Métriques et métadonnées d’infrastructure — le contenu est déterminé par le Customer
• Enregistrements d’actions de l’audit log

4. Personnes concernées

• Employés du Customer (utilisant le cabinet)
• End users du Customer (si leurs identifiants apparaissent dans les métriques — la configuration de la cardinality est du côté du Customer)

5. Mesures de sécurité

• Encryption in transit (TLS 1.2+) et at rest (AES-256-GCM)
• Principe du moindre privilège
• Audits d’accès réguliers
• 2FA obligatoire pour les employés
• Journalisation de toutes les actions administratives
• Tests de disaster recovery une fois par trimestre

6. Subprocessors

Liste des subprocessors actuels :

AWS — Hosting d’infrastructure — EU / US (au choix)

Stripe — Traitement des paiements — US, EU

SES — Transactional email — EU / US

Cloudflare — CDN + protection DDoS — Global

Postmark — Backup transactional email — US

Les modifications de la liste des subprocessors sont notifiées 30 jours à l’avance. Le Customer peut s’y opposer.

7. Notification de breach

En cas de découverte d’une violation de la sécurité des données, le Customer est notifié sans retard injustifié (au plus tard 72 heures après la découverte), avec une description de :

• La nature et l’ampleur
• Les personnes concernées et les catégories de données
• Les mesures prises et prévues

8. Suppression et restitution

À la résiliation de l’abonnement, le Customer peut demander un export de toutes les données dans les 30 jours. Ensuite, les données sont supprimées de façon irréversible (y compris les backups) dans les 90 jours.

9. Audit

Le Customer peut demander un audit de conformité au DPA une fois par an. L’audit est réalisé sur la base des rapports fournis par Unimoni (SOC2, pen-test summaries) ou, par accord, par une inspection on-site (aux frais du Customer).

10. Signature

Pour les forfaits Business et Enterprise, le DPA est signé séparément. Demandez une copie contresignée à [email protected].