Accord de sous-traitance des données (DPA) — ORGANIZYA PRO
Texte identique à celui intégré dans l’application ORGANIZYA PRO (version déployée le 12 octobre 2026).
Accord de sous-traitance des données personnelles (DPA) — version du 12 octobre 2026, v2 — annexe contractuelle aux CGU/CGV de LOGILYA.
1. Parties et portée contractuelle
Le présent accord est conclu entre le professionnel titulaire du compte LOGILYA (le « Responsable de traitement ») et l’EURL LOGILYA, représentée par Angélique THILL, 9, Grande Rue, Les Ombraies, 55260 Lignières-sur-Aire, France, SIREN 108 539 420, contact@logilya.fr (le « Sous-traitant »). Il régit les traitements de données personnelles réalisés par LOGILYA pour le compte du Responsable de traitement dans le cadre du logiciel de gestion professionnelle. Il complète les CGU/CGV et prévaut sur celles-ci pour les obligations relevant de l’article 28 du RGPD.
2. Objet, durée et instructions documentées
Les opérations de sous-traitance ont pour objet l’hébergement, l’organisation, la consultation, la mise à jour, la sauvegarde technique et la restitution des données renseignées par le professionnel. Elles durent pendant la mise à disposition du service et, le cas échéant, pendant les opérations de restitution ou de suppression. LOGILYA traite ces données uniquement sur instruction documentée du Responsable de traitement, constituée notamment par le présent accord, les fonctionnalités utilisées et les demandes écrites, sauf obligation légale contraire. Dans ce dernier cas, LOGILYA informe préalablement le Responsable de traitement, sauf interdiction légale. LOGILYA avertit sans délai le Responsable de traitement si une instruction lui paraît constituer une violation du RGPD ou d’une autre disposition applicable en matière de protection des données.
3. Description des traitements — annexe A
Finalités : gestion des fiches clients, coordonnées, rendez-vous, prestations, membres de l’équipe, plannings, congés et informations professionnelles associées, selon les fonctionnalités activées. Opérations : collecte par saisie du professionnel, enregistrement, structuration, hébergement, consultation, modification, export et effacement. Personnes concernées : clients et prospects du professionnel, membres de son équipe et contacts professionnels enregistrés. Catégories de données : identité, coordonnées, informations de rendez-vous, prestations, notes et données professionnelles associées. Le Responsable de traitement détermine les finalités et la base légale de ses traitements.
Données sensibles : le logiciel n’est pas destiné, par défaut, à recueillir des données relevant de l’article 9 du RGPD (notamment données de santé). Le professionnel s’interdit d’y saisir de telles données sans avoir vérifié la licéité du traitement, sa nécessité, les mesures de sécurité appropriées et l’adéquation du service. Aucune garantie d’hébergement de données de santé au sens du droit français n’est donnée par le présent accord.
4. Confidentialité des personnes autorisées
LOGILYA veille à ce que les personnes autorisées à traiter les données pour son compte soient soumises à un engagement de confidentialité ou à une obligation légale appropriée, et reçoivent des instructions adaptées à leurs fonctions. L’accès aux données doit être limité aux besoins opérationnels et de support légitimes.
5. Mesures techniques et organisationnelles — annexe B
LOGILYA met en œuvre des mesures appropriées au risque, conformément à l’article 32 du RGPD, notamment : authentification et contrôle des accès, séparation logique des comptes, restrictions d’accès aux données par utilisateur, communications chiffrées lorsqu’elles transitent sur les réseaux publics, gestion des habilitations, mises à jour de sécurité, suivi des incidents et recours aux mécanismes de sécurité des prestataires. Les sauvegardes quotidiennes de la base Supabase Pro ont été constatées le 12 octobre 2026 ; une restauration complète n’a pas été testée. Les modalités concrètes de journalisation, de chiffrement au repos, de restauration et de conservation doivent être vérifiées et documentées dans les procédures techniques de LOGILYA ; le présent accord ne prétend pas qu’un dispositif non vérifié est déjà opérationnel.
6. Sous-traitants ultérieurs — annexe C
Le Responsable de traitement autorise de manière générale le recours aux prestataires nécessaires au fonctionnement du service, notamment Supabase (base de données, authentification et services associés) et Vercel (hébergement et déploiement de l’application), dans la mesure où ils ont effectivement accès à des données traitées pour son compte. Stripe intervient pour les paiements et la facturation ; sa qualification et son périmètre de traitement doivent être appréciés selon les flux réels et ses conditions contractuelles, sans le qualifier automatiquement de sous-traitant ultérieur pour les fiches clients.
LOGILYA impose à ses sous-traitants ultérieurs des obligations de protection des données substantiellement équivalentes à celles du présent accord, conformément à l’article 28 du RGPD, et demeure responsable de leur exécution dans les conditions légales. Toute addition ou remplacement de sous-traitant ultérieur est annoncé par un moyen approprié avec un délai raisonnable permettant au Responsable de traitement de formuler une objection motivée ; les modalités pratiques de notification et d’objection devront être définies dans la documentation contractuelle.
7. Localisation et transferts internationaux
La base de données principale Supabase est configurée dans la région West EU (Ireland), eu-west-1, en Irlande. Les accès d’administration, les traitements de Vercel et de Stripe et les éventuels transferts hors de l’Espace économique européen dépendent des configurations et contrats effectifs des prestataires. LOGILYA ne réalise de transfert soumis au chapitre V du RGPD que sur un fondement valide (décision d’adéquation, clauses contractuelles types accompagnées, si nécessaire, de garanties supplémentaires, ou autre mécanisme légal). La liste vérifiée des pays et mécanismes de transfert doit être communiquée au Responsable de traitement avant la mise en production définitive de cet accord.
8. Assistance au Responsable de traitement
Compte tenu de la nature du traitement et des informations à sa disposition, LOGILYA aide raisonnablement le Responsable de traitement à répondre aux demandes d’exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition), et l’assiste dans ses obligations de sécurité, notification de violations, analyses d’impact et consultations préalables lorsqu’elles sont requises. Toute demande reçue directement concernant les données d’un client du professionnel lui est transmise dans les meilleurs délais, sans réponse sur le fond sauf instruction ou obligation légale.
9. Violations de données personnelles
LOGILYA notifie au Responsable de traitement toute violation de données personnelles dont elle a connaissance, dans les meilleurs délais, conformément à l’article 33, paragraphe 2, du RGPD. Elle communique les informations disponibles sur la nature de l’incident, les catégories de données et personnes concernées, les conséquences probables et les mesures prises ou proposées, puis complète ces informations au fur et à mesure. Le Responsable de traitement demeure chargé d’apprécier et, le cas échéant, d’effectuer les notifications à la CNIL et aux personnes concernées dans les délais légaux.
10. Sort des données en fin de prestation
Au terme de la prestation, LOGILYA restitue ou supprime, au choix du Responsable de traitement et sous réserve des obligations légales de conservation, les données personnelles traitées pour son compte et supprime les copies existantes. Le titulaire du compte peut utiliser la fonction « Exporter toutes mes données (CSV) » dans les paramètres de l’application avant de demander la suppression de son compte. Cet export couvre les données métier accessibles du compte, notamment clients, rendez-vous, membres de l’équipe, prestations et absences, ainsi que des informations de profil limitées. La suppression du compte entraîne la perte d’accès aux données actives ; les éventuelles copies de sauvegarde sont soumises à leur cycle de conservation. Les délais opérationnels et les exceptions légales de conservation doivent être précisés dans une procédure de réversibilité communiquée avant la contractualisation définitive. Aucune suppression immédiate des sauvegardes techniques n’est promise sans validation des contraintes réelles.
11. Démonstration de conformité et audits
LOGILYA met à disposition les informations nécessaires pour démontrer le respect de ses obligations découlant de l’article 28 du RGPD et permet, dans des conditions raisonnables de confidentialité, de sécurité et de proportionnalité, les audits et inspections réalisés par le Responsable de traitement ou un auditeur mandaté par lui. Les modalités pratiques sont convenues préalablement afin de préserver les données des autres utilisateurs et la sécurité du service.
12. Obligations du Responsable de traitement
Le professionnel détermine les finalités et bases légales des traitements, informe les personnes concernées, recueille les autorisations nécessaires, veille à la pertinence et à la minimisation des données, définit les durées de conservation, gère les habilitations de son équipe et adresse à LOGILYA des instructions licites et documentées. Il conserve la responsabilité des données et contenus qu’il décide de saisir.
13. Entrée en vigueur, modifications et contact
Le présent accord entre en vigueur à la date de son acceptation expresse par le titulaire du compte, enregistrée avec sa version. Il demeure applicable pendant la durée des opérations de sous-traitance. Toute modification substantielle donne lieu à une information préalable et, lorsqu’elle le nécessite, à une nouvelle acceptation. Les questions et demandes liées à cet accord sont adressées à contact@logilya.fr.
Points à finaliser avant utilisation contractuelle : inventaire exact des sous-traitants et de leurs DPA, transferts internationaux, mesures de sécurité réellement activées, procédure d’incident, délais de réversibilité/suppression, ainsi que modalités de notification des changements de sous-traitants. Une validation par un professionnel du droit et une vérification technique sont recommandées.