Accord de sous-traitance des données (DPA)

1. Parties

• Responsable du traitement : le Client, tel que défini dans les CGV.
• Sous-traitant : Newspark, Société par actions simplifiée à associé unique (SASU), exerçant sous le nom commercial « Cadence », SIRET 109 208 280 00015, siège 47 rue Vivienne, 75002 Paris, France (l'« Éditeur »). Contact RGPD : legal@getcadence.fr. Coordonnées complètes dans les mentions légales.

2. Description du traitement

3. Obligations de l'Éditeur (sous-traitant)

L'Éditeur s'engage à :

• traiter les données personnelles uniquement sur instruction documentée du Client, y compris en cas de transfert hors UE ;
• garantir la confidentialité des données et imposer cette même obligation à son personnel et à ses sous-traitants ultérieurs ;
• mettre en œuvre les mesures techniques et organisationnelles appropriées décrites à l'§4 ;
• aider le Client à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, opposition, limitation) ;
• aider le Client à respecter ses obligations en matière d'analyses d'impact (AIPD) et de notifications de violation ;
• notifier au Client toute violation de données dans un délai maximal de soixante-douze (72) heures après en avoir eu connaissance ;
• supprimer ou restituer toutes les données au terme du contrat, selon le choix du Client, dans les conditions de l'§10 ;
• tenir un registre des traitements et le mettre à disposition du Client sur demande.

4. Mesures techniques et organisationnelles

• Chiffrement en transit : TLS 1.2 ou 1.3 sur toutes les connexions web et API.
• Chiffrement au repos : AES-256-GCM sur les jetons OAuth des réseaux sociaux ; sauvegardes chiffrées avant toute copie.
• Authentification : mots de passe hashés (Supabase Auth), double authentification par application (TOTP), connexion possible avec un compte Google ; jeton de session conservé dans un cookie propre au site (SameSite=Lax), lisible par l'application dans le navigateur.
• Cloisonnement : Row Level Security PostgreSQL sur toutes les tables, isolation stricte entre organisations.
• Audit : journalisation des actions sensibles (création, modification, suppression, exports RGPD), en lecture seule depuis l'application.
• Sauvegardes : sauvegardes quotidiennes automatisées de la base de données et des fichiers, chiffrées avant toute copie (clé privée conservée hors du serveur) ; conservation en principe de trente (30) jours sur le serveur et de quatre-vingt-dix (90) jours hors site, prolongée pour les dernières sauvegardes si un incident interrompt leur rotation (article 10) ; procédure de restauration écrite, testée sur des données de test.
• Sécurité applicative : validation Zod sur les entrées API, protection SSRF sur les webhooks sortants, en-têtes HTTP de sécurité (CSP, HSTS, X-Frame-Options).
• Mise à jour : dépendances suivies via npm audit et alertes Dependabot ; les correctifs de sécurité sont appliqués selon la gravité des vulnérabilités.
• Personnel : accès aux données restreint au strict nécessaire, soumis à une obligation contractuelle de confidentialité.

5. Sous-traitants ultérieurs

Le Client autorise par les présentes l'Éditeur à faire appel aux sous-traitants ultérieurs listés ci-dessous. Toute modification (ajout ou remplacement) fera l'objet d'une notification préalable par email permettant au Client de s'y opposer dans un délai raisonnable.

6. Transferts hors UE

Certains sous-traitants ultérieurs sont établis hors de l'Union européenne (Anthropic, OpenAI pour son infrastructure américaine, Resend, GNews), et la localisation de l'espace Google Drive qui reçoit la copie hors site des sauvegardes n'est pas garantie dans l'Union européenne. Pour encadrer les transferts vers Anthropic, OpenAI et Resend, l'Éditeur s'appuie sur les clauses contractuelles types adoptées par la Commission européenne le 4 juin 2021 (décision 2021/914/UE). Les sauvegardes ne sont copiées sur Google Drive qu'une fois chiffrées : Google ne reçoit aucune donnée en clair. Le type de compte Google utilisé, la localisation exacte de ces copies, le mécanisme de transfert applicable et la qualification juridique de Google pour cette copie ne sont pas précisés à la date du présent accord ; le Client peut demander à contact@getcadence.fr les informations dont l'Éditeur dispose sur ces transferts. En ce qui concerne Anthropic, les conditions d'utilisation API stipulent l'absence d'entraînement de modèles sur les données soumises via l'API entreprise.

7. Droits des personnes concernées

Les utilisateurs peuvent exercer leurs droits directement depuis leur espace personnel (« Paramètres > Mes données ») :

• Droit d'accès et de portabilité (Art. 15 et 20) : export JSON des données de l'utilisateur via la fonction « Exporter mes données ».
• Droit à l'effacement (Art. 17) : suppression immédiate du compte via la fonction « Supprimer mon compte ». Anonymisation des publications passées, qui restent à l'organisation.
• Droit de rectification (Art. 16) : édition directe depuis le profil utilisateur.
• Droit d'opposition et de limitation (Art. 18 et 21) : à exercer par email à contact@getcadence.fr.

L'Éditeur s'engage à transmettre au Client toute demande reçue directement d'une personne concernée, et à l'assister dans sa réponse sous un délai d'un (1) mois.

8. Violations de données

En cas de violation de données personnelles, l'Éditeur notifie le Client sans délai injustifié, et au plus tard dans les soixante-douze (72) heures, en fournissant : la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables, les mesures prises ou envisagées pour atténuer les effets négatifs.

9. Audit

Le Client dispose d'un droit d'audit sur le respect du présent DPA, à exercer par écrit avec un préavis de soixante (60) jours, à raison d'une fois par an au plus, et uniquement pendant les heures ouvrées. Les audits sont réalisés aux frais du Client. L'Éditeur peut substituer à l'audit la fourniture des rapports ou attestations de sécurité que ses sous-traitants ultérieurs mettent à sa disposition.

10. Fin du contrat et suppression des données

La fin d'un abonnement payant ne met pas fin au contrat et n'entraîne pas, à elle seule, la suppression des données (CGV, articles 6 et 7). Au terme du contrat, ou à tout moment sur demande écrite du Client, l'Éditeur supprime ou restitue les données de son organisation, selon le choix du Client :

• l'export et la suppression de l'ensemble des données d'une organisation ne sont pas automatisés : l'Éditeur les réalise sur demande écrite du titulaire du compte, et propose un dernier export avant toute suppression ;
• les données supprimées des bases actives subsistent dans les sauvegardes chiffrées déjà réalisées jusqu'à leur rotation, soit en principe trente (30) jours sur le serveur et quatre-vingt-dix (90) jours hors site. Les sept dernières sauvegardes complètes sont toujours gardées, et aucune sauvegarde n'est supprimée tant qu'une nouvelle n'a pas réussi : si un incident interrompt les sauvegardes, les dernières sont conservées au-delà de ces durées, jusqu'à leur rétablissement ;
• restent conservées les données soumises à une obligation légale de conservation, notamment les factures et pièces comptables (dix ans, article L.123-22 du Code de commerce).

11. Contact pour les données personnelles

Pour toute question relative au présent DPA ou à la protection des données :
dpo@getcadence.fr, ou par voie postale à l'adresse de l'éditeur (voir mentions légales).