Accord de traitement des données

Portée de l’accord publié

Accord de traitement des données destiné aux clients professionnels — mise à jour du 11 octobre 2026.

Ce document présente le cadre de sous-traitance des données personnelles confiées par un client professionnel. Il s’applique lorsque le contrat l’intègre et que les parties l’acceptent, avec les informations particulières de traitement : prestataires autorisés, lieux de traitement, mesures de sécurité et calendrier de restitution et de suppression. La publication du présent texte ne vaut pas autorisation d’un prestataire non identifié ni ouverture d’un traitement non documenté.

1. Parties et périmètre

Le client identifié dans la commande ou le contrat DesignLockr est le responsable du traitement des données personnelles qu'il place dans ses créations et dossiers professionnels. Il détermine leurs finalités, les personnes concernées et les instructions compatibles avec le service souscrit.

Pablo GROOT, entrepreneur individuel sous le régime de la micro-entreprise, SIREN 893 132 274, SIRET 893 132 274 00042, 200 rue de la Croix Nivert, 75015 Paris, France, exploitant de DesignLockr, agit comme sous-traitant pour ce périmètre. Contact opérationnel et protection des données : contact@designlockr.com, avec la référence du studio DesignLockr concerné.

L'exploitant est responsable de ses propres traitements de compte, facturation, sécurité du service et relation commerciale. Ces traitements sont décrits dans la politique de confidentialité et ne relèvent pas des instructions du client au titre de la présente annexe. Les opérations propres du prestataire de paiement sont également distinguées de la sous-traitance des créations.

2. Objet, opérations, données et durée

La sous-traitance a pour objet l'hébergement et la gestion des dossiers créatifs dans l'espace du client, la conservation des originaux et versions, le calcul d'empreintes, la consultation par les utilisateurs autorisés, l'organisation des partages et la préparation ou le suivi des licences. Un service de preuve ne fait partie du périmètre qu'après activation et information sur son prestataire et son fonctionnement réel. La surveillance de réutilisations indiquée « Bientôt » n'est pas incluse dans les traitements ouverts.

Les opérations peuvent comprendre réception, enregistrement, structuration, stockage, lecture, recherche interne, communication au destinataire autorisé, export, restriction d'accès et suppression selon les instructions prévues. Elles n'autorisent pas la vente des données, une analyse commerciale des contenus ou leur utilisation pour entraîner un modèle d'intelligence artificielle.

Les catégories de données comprennent les informations figurant dans les fichiers et leurs métadonnées, les noms et coordonnées de personnes indiquées par le client, les identifiants techniques du dossier, les notes, conditions de partage et éléments d'acceptation liés à une création. Les personnes concernées peuvent être les collaborateurs, clients, partenaires, bénéficiaires de licences et personnes représentées dans une création.

La nature exacte des données et des personnes dépend des dossiers du client. Celui-ci décrit les catégories particulières éventuellement concernées avant tout dépôt ; le service standard ne constitue pas une autorisation générale de traiter des données sensibles ou pénales. Les opérations nécessitant un cadrage spécifique sont suspendues tant que leurs garanties ne sont pas définies.

Le traitement dure pendant l'exécution du contrat puis, uniquement dans la mesure nécessaire, pendant la période de restitution et de suppression convenue. Une obligation légale de conservation doit être identifiée séparément et ne justifie pas la conservation générale des contenus.

3. Instructions documentées et obligations du client

Le contrat, les paramètres autorisés du studio, les actions de ses utilisateurs habilités et les demandes écrites validées constituent les instructions documentées. Le client garantit qu'il dispose du droit de transmettre les données, de la base juridique nécessaire et de l'information des personnes concernées. Il attribue les rôles de ses membres, vérifie les destinataires et limite les données au besoin du projet.

DesignLockr traite les données uniquement pour exécuter ces instructions, y compris concernant les transferts internationaux. Si le droit de l'Union ou d'un État membre impose un autre traitement, le client en est informé avant l'opération, sauf interdiction légale motivée. DesignLockr signale sans délai une instruction qui lui paraît contraire au droit de la protection des données et peut suspendre l'opération litigieuse le temps de sa clarification.

Une instruction ne peut pas permettre au client d'accéder au studio d'un tiers ou de supprimer ses données. Le client est responsable de la licéité du contenu et des permissions données ; l'exploitant demeure responsable de ses propres obligations de sous-traitant.

4. Confidentialité et habilitations

Les personnes autorisées à accéder aux données doivent être tenues à une obligation de confidentialité et ne recevoir que les accès nécessaires à leur mission. Les accès administratifs, les comptes techniques et les droits des membres doivent être attribués, retirés et revus selon une procédure documentée.

Un accès de support au contenu du client doit avoir un motif et un périmètre appropriés. Les secrets d'authentification, tokens publics et contenus de fichiers ne doivent pas être consignés sans nécessité dans les journaux. Les échanges de support contenant des données de client doivent être limités et protégés.

5. Sécurité du traitement

DesignLockr s'engage à maintenir des mesures techniques et organisationnelles adaptées aux risques, à la nature des dossiers et à l'état des connaissances. L'annexe technique de production doit documenter les mesures retenues et leur vérification ; l'annonce d'une fonctionnalité ne suffit pas à prouver son déploiement.

Les mesures à vérifier et maintenir comprennent : transport HTTPS ; authentification ; contrôles d'accès serveur selon le studio et les rôles ; séparation des données entre clients ; stockage privé des fichiers ; limitation et révocation des liens publics ; protection des secrets ; validation des entrées ; journalisation proportionnée ; mises à jour de sécurité ; gestion des incidents ; sauvegardes, restauration et tests réguliers adaptés au service réellement souscrit.

Les données de paiement ne doivent pas être incorporées aux créations. Les événements financiers reçus du prestataire sont vérifiés avant l'activation des droits correspondants. Aucun engagement de chiffrement de bout en bout, de restauration instantanée ou de disponibilité absolue n'est déduit de cette annexe.

La description des mesures de sécurité, la politique de sauvegarde et de restauration, les habilitations de support et les vérifications associées ne sont pas encore toutes arrêtées pour cette version. Elles doivent figurer dans les informations particulières communiquées avant le début du traitement. Ces informations sont ensuite tenues à jour et accessibles dans les conditions de l’article 12.

6. Sous-traitants ultérieurs

Le recours à un sous-traitant ultérieur exige l’autorisation écrite spécifique ou générale du client. L’acceptation de cet accord ne vaut pas autorisation d’une liste de prestataires qui n’a pas été communiquée et complétée.

Le registre annexé au contrat doit indiquer, pour chaque prestataire autorisé, l'entité contractante, sa mission, les catégories de données concernées, les lieux de traitement et d'accès, ainsi que le mécanisme applicable en cas de transfert. Les intervenants prévus sont Google/Firebase pour les services techniques effectivement retenus, l'hébergeur VPS, et le prestataire de preuve s'il est activé. L'hébergeur WordPress n'entre dans ce périmètre que s'il traite réellement des données de dossiers professionnels pour le client. Brevo n'y entre que pour les communications effectuées sur instruction du client ; son rôle doit être précisé selon le message. Stripe n'est pas qualifié automatiquement de sous-traitant ultérieur des fichiers de création.

Le registre nominatif des sous-traitants ultérieurs, leurs missions, régions, accès et garanties contractuelles n’est pas encore arrêté pour cette version. Il est remis au client et soumis à son autorisation avant le traitement concerné. Une architecture envisagée ne constitue pas une liste de prestataires autorisés.

En cas d'autorisation générale, DesignLockr informe le client d'un ajout ou remplacement au moins trente jours avant sa prise d'effet. Une urgence de sécurité motivée peut justifier un préavis réduit, mais conserve une information préalable et une possibilité réelle d'objection avant toute transmission au nouveau prestataire, ou exige un accord spécifique préalable documenté. Si ces conditions ne peuvent être satisfaites, le traitement concerné est suspendu pendant l'urgence. Le client peut formuler une objection documentée liée à la protection des données. Les parties recherchent une solution ; à défaut, le traitement concerné est suspendu ou la prestation concernée résiliée selon le contrat, sans conférer un droit de retenir indéfiniment les données.

DesignLockr impose au sous-traitant ultérieur des obligations de protection au moins équivalentes à celles applicables à sa mission et demeure responsable envers le client de l'exécution de ces obligations conformément au RGPD.

7. Prestataire de preuve et inscriptions publiques

Le fonctionnement envisagé transmet au service de preuve un manifeste comprenant des identifiants de studio et de création, des noms de fichiers, tailles et empreintes. Les fichiers originaux ne sont pas transmis par cette API. Le manifeste doit donc être traité comme une donnée du client pouvant contenir des données personnelles et confidentielles.

Avant activation, le prestataire doit confirmer que les fichiers, noms de fichiers, identités et autres données personnelles ne sont pas inscrits en clair dans une blockchain. L'inscription publique prévue se limite à une empreinte ou à un engagement cryptographique adapté, avec analyse de son caractère éventuellement personnel. Une modification du payload public requiert un nouvel examen et une instruction documentée compatible avec les droits des personnes.

Le fournisseur, le réseau et le contenu effectivement public ne sont pas encore arrêtés pour cette version. Ils doivent être communiqués au client avant l’ouverture du service de preuve. Aucun ancrage de données personnelles dans un registre public ne peut être justifié par la seule acceptation générale du service. La confidentialité du manifeste et les conséquences de l’immutabilité sont expliquées et font l’objet d’instructions documentées compatibles avec les droits des personnes.

8. Transferts internationaux

DesignLockr ne transfère les données en dehors de l'Espace économique européen que sur instruction documentée et dans un cadre conforme au chapitre V du RGPD. Les accès de support depuis un pays tiers doivent aussi être examinés. Une région européenne de stockage ne suffit pas, à elle seule, à exclure tous les transferts.

Le client reçoit les destinations et le mécanisme juridique applicable : adéquation effectivement pertinente ou garanties appropriées telles que des clauses contractuelles types, avec l'analyse et les mesures complémentaires nécessaires. Les clauses de la présente annexe ne remplacent pas les clauses requises pour un transfert et ne constituent pas une garantie générale d'absence de sortie de l'Union européenne.

Les destinations, importateurs, instruments de transfert et mesures complémentaires dépendent des prestataires effectivement retenus. Ils ne sont pas encore tous renseignés dans cette version et doivent être communiqués au client avant tout transfert concerné. Aucune absence générale de transfert hors Espace économique européen n’est affirmée.

9. Assistance aux droits et à la conformité

DesignLockr aide le client, compte tenu de la nature du traitement et des informations disponibles, à répondre aux demandes d'accès, rectification, effacement, limitation, portabilité et opposition. Une demande reçue directement concernant les données du client lui est transmise sans délai inutile. DesignLockr n'y répond pas au nom du client sans instruction, sauf obligation légale applicable.

Le client reste responsable de la décision et de la réponse dans le délai légal. L'assistance comprend les recherches et exports possibles dans le périmètre concerné, la restriction des accès et l'exécution des suppressions autorisées. Les droits des autres personnes et la sécurité des autres studios doivent être préservés.

DesignLockr fournit les informations utiles à l'analyse d'impact, à l'évaluation de la sécurité et, lorsque nécessaire, à une consultation préalable de l'autorité. Les coûts d'une assistance particulière peuvent être encadrés dans le contrat ; ils ne peuvent servir à écarter une obligation légale du sous-traitant.

10. Violations de données

DesignLockr notifie au client toute violation concernant ses données dans les meilleurs délais après en avoir connaissance, sans attendre que l'enquête soit achevée. Une première notification peut être complétée progressivement.

La notification indique, dans la mesure connue, la nature de l'incident, les catégories et nombres approximatifs de personnes et de données affectées, un contact, les conséquences probables, les mesures prises et les actions proposées. DesignLockr documente l'incident, contient ses effets, conserve les éléments utiles et coopère avec le client.

Le client apprécie les obligations de notification à l'autorité, en principe dans les soixante-douze heures lorsqu'elle est requise, et d'information des personnes en cas de risque élevé. DesignLockr n'effectue pas ces notifications au nom du client sans instruction ou obligation propre. Les points de contact d'incident du client sont renseignés dans son contrat ou dossier de studio.

11. Fin de prestation, restitution et suppression

À la fin de la prestation, le client choisit la restitution ou la suppression des données relevant de ses instructions, sauf obligation légale de conservation applicable. La restitution porte sur les fichiers originaux et les informations exportables convenues ; son format, son canal sécurisé et sa période de disponibilité sont définis avant la fin du service.

Après la restitution demandée, ou sur instruction de suppression, DesignLockr supprime les copies actives conformément au calendrier contractuel et fait appliquer les obligations correspondantes aux sous-traitants ultérieurs. Le client peut demander une confirmation de l'exécution. Les sauvegardes suivent leur cycle documenté, sont protégées contre un usage courant et ne doivent pas réintroduire en production des données effacées lors d'une restauration.

Une conservation pour obligation légale ou litige identifié est limitée aux données nécessaires, isolée des usages actifs et expliquée au client. L'archivage d'un dossier dans l'interface n'est pas une instruction de suppression. L'expiration d'un lien n'efface pas les copies déjà reçues par ses destinataires. Une inscription publique effectivement immuable doit avoir été minimisée et expliquée avant sa création.

Les formats d’export, la période de restitution, les délais de purge des bases et fichiers, le cycle de sauvegarde, les exceptions d’archivage et la procédure de confirmation doivent être définis dans les informations particulières avant le début du traitement. Ces paramètres ne sont pas encore arrêtés pour cette version ; aucun délai technique non vérifié n’est promis.

12. Information, audits et coopération

DesignLockr met à disposition les informations nécessaires pour démontrer le respect de ses obligations et permet les audits, y compris inspections, réalisés par le client ou un auditeur mandaté. Les parties conviennent de modalités proportionnées : préavis raisonnable hors urgence, confidentialité, périmètre des données du client et protection des autres clients et secrets de sécurité.

La fourniture de rapports ou d'attestations peut constituer une première étape mais ne supprime pas le droit d'audit prévu par le RGPD. Aucune certification ou audit indépendant n'est annoncé sans document réel. Les frais éventuels et modalités pratiques ne doivent pas rendre l'exercice de ce droit impossible. Les demandes de l'autorité de contrôle et une urgence liée à une violation ne sont pas subordonnées au préavis ordinaire.

DesignLockr coopère avec l'autorité compétente, conserve les documents requis et informe le client des évolutions affectant substantiellement son traitement. En cas de contradiction, la présente annexe prévaut sur le contrat pour les obligations de protection des données, sans réduire les droits des personnes ou les exigences impératives du RGPD.

Références officielles

• RGPD — texte officiel EUR-Lex, notamment articles 28, 29, 32, 33, 34, 35, 36 et chapitre V.
• CNIL — chapitre IV du RGPD.
• CNIL — travailler avec un sous-traitant.
• CNIL — exemple de clauses de sous-traitance.
• CNIL — blockchain et données personnelles.