Accord de traitement des données à caractère personnel

Conforme à l'article 28 du Règlement (UE) 2016/679 (RGPD) — Version 1.0 — Septembre 2026

Le présent accord (ci-après « l'Accord » ou « DPA ») encadre le traitement de données à caractère personnel effectué par REZOPILOT pour le compte de son client, dans le cadre de la fourniture du service de publication et de gestion de présence en ligne.

Article 1 — Les parties

Le Responsable de traitement (ci-après « le Client ») : la personne morale souscrivant au service REZOPILOT, identifiée par les informations de son compte et de sa fiche de facturation.

Le Sous-traitant (ci-après « le Prestataire ») :
GPT Privé — Entreprise individuelle — France
SIRET : 393 923 008 00030
Contact en matière de protection des données : contact@rezopilot.com

Article 2 — Objet et description du traitement

Le Prestataire traite des données à caractère personnel pour le seul compte du Client, aux fins de fournir le service souscrit.

2.1 — Nature et finalités des opérations

• Création et gestion des comptes utilisateurs du Client
• Génération de contenus éditoriaux par intelligence artificielle
• Publication de ces contenus sur les comptes de réseaux sociaux du Client
• Collecte et réponse aux avis clients publics
• Mesure d'audience et restitution statistique
• Facturation et gestion de la relation contractuelle

2.2 — Catégories de personnes concernées

• Les collaborateurs du Client disposant d'un accès à la plateforme
• Les personnes dont l'image ou la voix apparaît sur les médias transmis par le Client
• Les auteurs d'avis publics et de commentaires auxquels le Client répond
• Les visiteurs des pages et sites publiés pour le compte du Client

2.3 — Catégories de données traitées

2.4 — Durée

Le présent Accord s'applique pendant toute la durée de fourniture du service et cesse avec lui, sous réserve des obligations survivant à son terme (article 10).

Article 3 — Obligations du Prestataire

Le Prestataire s'engage à :

1. Traiter les données uniquement pour les finalités définies à l'article 2, et sur instruction documentée du Client. La souscription au service et l'usage de ses fonctions valent instruction. Si le Prestataire estime qu'une instruction constitue une violation du RGPD, il en informe le Client sans délai.
2. Garantir la confidentialité des données traitées, et n'autoriser l'accès qu'aux personnes dont les fonctions l'exigent, tenues à une obligation de confidentialité.
3. Prendre en compte la protection des données dès la conception et par défaut, notamment par le cloisonnement des données de chaque client.
4. Ne pas transférer les données vers un pays tiers sans encadrement approprié (article 7).
5. Assister le Client dans le respect de ses propres obligations, notamment pour les demandes d'exercice de droits (article 5), les analyses d'impact et les consultations préalables de l'autorité de contrôle.
6. Mettre à disposition toute information nécessaire pour démontrer le respect de l'article 28, et permettre les audits prévus à l'article 9.
7. Tenir un registre des catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30.2 du RGPD. Ce registre est publié à l'adresse rezopilot.fr/legal#registre.

Article 4 — Sous-traitants ultérieurs

Le Client autorise le Prestataire à faire appel aux sous-traitants ultérieurs listés ci-dessous (autorisation générale au sens de l'article 28.2 du RGPD). Chacun est lié par un accord imposant des obligations de protection équivalentes à celles du présent Accord.

Le Prestataire informe le Client de tout ajout ou remplacement de sous-traitant ultérieur par mise à jour de la présente liste, avec un préavis de 30 jours. Le Client dispose de ce délai pour formuler une objection motivée ; à défaut de solution, il peut résilier le service sans pénalité.

Article 5 — Droits des personnes concernées

Le Prestataire ne répond pas directement aux demandes des personnes concernées, sauf accord contraire. Il assiste le Client par les moyens suivants :

• export complet des données au format JSON, rectification des données du compte et suppression définitive du compte, accessibles en autonomie depuis la plateforme ;
• transmission au Client, dans les meilleurs délais, de toute demande reçue directement ;
• assistance technique pour toute demande ne pouvant être satisfaite par les fonctions de la plateforme.

Les demandes sont adressées à contact@rezopilot.com. Le Prestataire s'engage à y répondre dans un délai permettant au Client de respecter le délai d'un mois prévu à l'article 12.3 du RGPD.

Article 6 — Sécurité

Le Prestataire met en œuvre les mesures techniques et organisationnelles suivantes, au sens de l'article 32 du RGPD :

• chiffrement TLS 1.3 de l'ensemble des communications ;
• chiffrement des données au repos assuré par l'hébergeur d'infrastructure ;
• cloisonnement des données de chaque client par Row Level Security au niveau de la base de données ;
• authentification et hachage des mots de passe délégués à Supabase Auth ; le Prestataire n'a jamais accès aux mots de passe en clair ;
• jetons de session à durée de vie courte (une heure) ;
• sauvegardes automatiques quotidiennes chiffrées ;
• limitation des accès internes aux seules personnes dont les fonctions l'exigent.

Ces mesures peuvent évoluer, sans que le niveau de protection soit réduit.

Article 7 — Transferts hors Union européenne

Les données de compte, de contenu et de publication sont hébergées dans l'Union européenne (Irlande, Pologne, Allemagne — voir article 4). Les transferts vers des sous-traitants établis hors de l'Union sont encadrés soit par la certification au EU-US Data Privacy Framework, soit par les Clauses Contractuelles Types adoptées par la Commission européenne, comme précisé à l'article 4.

Article 8 — Violation de données

Le Prestataire notifie au Client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance, conformément à l'article 33.2 du RGPD, afin de permettre au Client de remplir sa propre obligation de notification à l'autorité de contrôle.

La notification, adressée à l'adresse électronique de contact du compte, précise autant que possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, et les mesures prises ou proposées.

Article 9 — Audit

Le Client peut vérifier le respect du présent Accord, une fois par année civile, par l'un des moyens suivants :

• envoi d'un questionnaire de conformité, auquel le Prestataire répond sous 30 jours ;
• consultation du registre public des traitements et de la liste des sous-traitants ultérieurs ;
• audit sur pièces, après préavis écrit de 30 jours, aux frais du Client, dans des conditions ne perturbant pas l'exploitation du service et sans accès aux données d'autres clients.

Une fréquence supérieure est admise en cas de violation de données avérée ou d'injonction de l'autorité de contrôle.

Article 10 — Sort des données en fin de contrat

À la cessation du service, au choix du Client exprimé par écrit dans les 30 jours :

• restitution des données dans un format structuré et lisible par machine, que le Client peut obtenir lui-même depuis ses paramètres de compte, ou demander au Prestataire ; ou
• suppression de l'ensemble des données et des copies existantes.

À défaut de choix exprimé dans ce délai, les données sont supprimées. La suppression du compte entraîne celle des données liées. Les données de facturation sont conservées jusqu'au terme du délai légal de dix ans, à cette seule fin.

Article 11 — Responsabilité et documentation

Chaque partie assume la responsabilité de ses propres manquements au RGPD. Le Client garantit disposer d'une base légale pour les données qu'il confie au Prestataire, notamment le droit d'utiliser l'image des personnes figurant sur les médias qu'il transmet.

Le Prestataire tient à disposition du Client la documentation nécessaire pour démontrer le respect de ses obligations, et l'informe sans délai s'il ne peut plus respecter le présent Accord.

Article 12 — Signature

Le présent Accord est accepté lors de la souscription au service. Un exemplaire nominatif, mentionnant l'identité du Client et destiné à être signé par les deux parties, peut être obtenu sur simple demande à contact@rezopilot.com — notamment pour les administrations, collectivités et grands comptes dont les procédures internes l'exigent.

Document de référence : exemples de clauses de sous-traitance publiés par la CNIL. Registre des traitements : rezopilot.fr/legal#registre.

Signer cet accord

Les organismes publics et les entreprises dont les procédures internes l'exigent peuvent signer cet accord en ligne. La signature est horodatée, associée à l'empreinte du texte ci-dessus, et vous en recevez une copie par courriel.

Vérifier un document signé

Toute personne disposant de la référence d'un document signé chez REZOPILOT — accord de traitement des données (DPA-…) ou contrat de partenariat (RZP-…) — peut contrôler ici son authenticité. La référence figure sur l'exemplaire PDF et dans le courriel de confirmation.

Le contrôle recalcule l'empreinte SHA-256 du texte archivé et la compare à celle enregistrée au moment de la signature. Si le document avait été modifié depuis, ne serait-ce que d'un caractère, les deux empreintes différeraient.