Contrat de sous-traitance (DPA) conformément à l'art. 28 du RGPD

Version et statut du présent document

Version du 1 octobre 2026. Les nouvelles versions prennent effet conformément à la section « Responsabilité et dispositions finales ».

Pour toute question relative au contenu ou pour la conclusion d'un contrat de sous-traitance individuel, veuillez vous adresser à hello@erseni.com.

Conclusion du présent contrat

Le présent DPA est conclu lorsqu'une personne habilitée à représenter le responsable du traitement l'accepte dans le compte utilisateur en indiquant le nom de l'entreprise ou de l'organisation. Le DPA est disponible dans toutes les formules, y compris la formule gratuite.

Conclure le DPA dans le compte utilisateur

Aucun DPA n'est conclu en cas d'utilisation sans compte utilisateur, car nous ne pouvons pas rattacher ces opérations à un responsable du traitement. Un compte utilisateur est donc nécessaire pour un usage professionnel.

Lors de la conclusion, nous enregistrons la partie contractante, le nom indiqué, la version conclue, la version linguistique et la date de la conclusion, et nous envoyons le texte intégral de la version conclue à l'adresse e-mail enregistrée. La liste des sous-traitants ultérieurs et des systèmes que nous exploitons nous-mêmes en vigueur au moment de la conclusion fait partie, en tant qu'annexe, du texte conclu ; elle est enregistrée et envoyée avec lui. La conclusion par voie électronique satisfait à l'exigence de forme prévue à l'art. 28, par. 9 du RGPD (par écrit, y compris en format électronique) ; aucune signature n'est requise.

Parties et objet du traitement

Le présent contrat de sous-traitance (ci-après le « DPA ») précise les obligations des parties en matière de protection des données résultant de l'utilisation du service. Il s'applique à tous les traitements de données à caractère personnel que nous effectuons pour le compte et sur instruction du responsable du traitement.

Responsable du traitement

Le responsable du traitement au sens de l'art. 4, point 7 du RGPD est la personne physique ou morale qui utilise le service et qui détermine les finalités et les moyens de ce traitement. En cas d'utilisation professionnelle, il s'agit de l'entreprise ou de l'organisation utilisatrice indiquée lors de la conclusion.

Sous-traitant

Erseni Ltd, Private Company Limited by Shares
Archiepiskopou Makariou III, 59, MOUYIAS TOWER, 3rd floor, Flat/Office 301
6017 Larnaca, Cyprus
Numéro d'immatriculation : HE 487031
E-mail : hello@erseni.com

Objet du traitement

L'objet du traitement est l'exploitation d'un service de transmission de contenus chiffrés de bout en bout (procédé zero-knowledge). Nous mettons à disposition l'infrastructure technique permettant de stocker, de consulter et de supprimer les contenus chiffrés après consultation ou expiration. Aucune analyse du contenu n'a lieu et elle nous est techniquement impossible.

Notre politique de confidentialité s'applique en complément aux traitements pour lesquels nous sommes nous-mêmes responsables du traitement. En cas de contradiction entre le présent DPA et la politique de confidentialité, le présent DPA prévaut.

Nature, portée et finalité du traitement

Nature du traitement

Collecte, conservation, transmission, mise à disposition et suppression de contenus chiffrés et des métadonnées techniques associées. Le traitement est automatisé. Aucun accès aux contenus en clair n'a lieu, ni de notre part ni de la part de tiers.

Finalité du traitement

La finalité est exclusivement la fourniture contractuelle du service : la transmission unique et sécurisée de contenus entre un expéditeur et un destinataire, la gestion des durées de validité ainsi que la protection du service contre les abus et la surcharge.

Durée du traitement

Le traitement a lieu pendant la durée de la relation d'utilisation. Au-delà, les contenus chiffrés ne sont traités que jusqu'à la première consultation ou jusqu'à l'expiration de la durée de validité choisie. Les détails sont réglés dans la section relative au concept de suppression.

Catégories de données à caractère personnel

Pour le compte du responsable du traitement, nous traitons les catégories de données suivantes :

Contenus chiffrés (texte chiffré), y compris les pièces jointes chiffrées facultatives. Ceux-ci peuvent contenir des données à caractère personnel de toute nature ; leur sélection relève du seul responsable du traitement. Sans la clé côté client, ils ne sont pas lisibles par nous.
Métadonnées techniques relatives à l'opération : un jeton d'accès généré aléatoirement, la date de création, la date d'expiration, le cas échéant la date de consultation ainsi que l'indication de savoir si le contenu peut encore être consulté.
En cas d'utilisation avec un compte utilisateur : le rattachement d'une opération au compte ainsi que les événements du journal d'activité (type d'événement, date, identifiant du compte et identifiant de l'opération, sans contenu et sans jeton d'accès).
Les notes que le responsable du traitement ajoute volontairement à une opération. Elles ne sont pas chiffrées côté client et nous sont lisibles.
En cas d'utilisation d'une organisation : le nom de l'organisation, les adhésions et rôles des membres, les adresses e-mail des membres invités pour lesquels un compte utilisateur est créé avec l'invitation, le cas échéant la date à partir de laquelle l'organisation est suspendue, ainsi que le nombre de places.
Les modèles de demande du responsable du traitement, c'est-à-dire les noms des modèles et les intitulés des champs demandés, sans les contenus demandés.
Les clés d'API du responsable du traitement sous forme de métadonnées : nom, préfixe, valeur de hachage de la clé, dates de création, de dernière utilisation et de révocation ainsi que compteurs d'utilisation. La clé elle-même n'est pas conservée.

Le responsable du traitement décide sous sa propre responsabilité des contenus qu'il transmet via le service. Les contenus ne nous étant accessibles que sous forme chiffrée, nous ne pouvons déterminer ni leur catégorie ni leur caractère personnel.

Traitements sous notre propre responsabilité

Ne relèvent pas du présent DPA les traitements suivants, pour lesquels nous sommes nous-mêmes responsables du traitement. Notre politique de confidentialité s'y applique.

Les données de compte des titulaires de compte (adresse e-mail, données de connexion, statut du compte et formule) pour l'exécution du contrat d'utilisation.
Les données de facturation et de paiement pour les formules payantes. Le traitement des paiements est assuré par Stripe en qualité de responsable du traitement à titre propre.
Les données techniques de connexion aux fins de la sécurité du service et de la prévention des abus. Pour la limitation des accès, l'adresse IP n'est pas conservée en clair, mais traitée exclusivement sous la forme d'une valeur de hachage dérivée à l'aide d'une clé secrète (HMAC-SHA-256), conservée en cache uniquement pendant la durée de la fenêtre temporelle concernée.
Les journaux d'accès au serveur contenant l'adresse IP tronquée avant l'enregistrement (sans le dernier octet pour IPv4, sans la partie finale pour IPv6), la date, le chemin appelé, le code de statut, le volume de données transféré, le référent et l'agent utilisateur. Ils sont supprimés au bout de 90 jours.
Le jeton d'accès d'une opération est retiré du chemin appelé avant l'enregistrement de ces journaux ; la clé contenue dans le fragment de l'URL n'atteint jamais le serveur. Les journaux ne permettent aucun accès aux contenus.
Les journaux applicatifs du service contenant des messages techniques et des erreurs, sans contenus et sans jetons d'accès. Ils sont supprimés au bout de 7 jours.

Catégories de personnes concernées

Utilisatrices et utilisateurs du responsable du traitement qui créent ou demandent des contenus via le service (par exemple salariés, administratrices et administrateurs).
Destinataires auxquels un lien d'accès est transmis, ainsi que toutes les personnes dont le responsable du traitement intègre les données dans un contenu chiffré.

Catégories particulières de données à caractère personnel

Le service n'est pas conçu pour le traitement de catégories particulières de données à caractère personnel au sens de l'art. 9 du RGPD. Les contenus étant chiffrés côté client, de telles données peuvent néanmoins être transmises sur le plan technique. La licéité d'un tel traitement et le respect des exigences supplémentaires de l'art. 9 du RGPD relèvent de la seule responsabilité du responsable du traitement.

Traitement sur instructions documentées

Nous traitons les données à caractère personnel exclusivement sur instruction documentée du responsable du traitement, sauf si nous sommes tenus d'y procéder en vertu du droit de l'Union ou du droit des États membres. Dans ce cas, nous informons le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public.

L'utilisation des fonctionnalités que le service met à disposition dans le compte utilisateur vaut instruction. Les instructions individuelles complémentaires ou divergentes doivent être adressées sous forme textuelle à l'adresse de contact mentionnée dans la section « Version et statut du présent document ».

Nous informons le responsable du traitement sans délai si nous estimons qu'une instruction constitue une violation du RGPD ou d'autres dispositions du droit de l'Union ou des États membres relatives à la protection des données. Nous sommes en droit de suspendre l'exécution d'une telle instruction jusqu'à sa confirmation ou sa modification.

En raison de l'architecture zero-knowledge, nous sommes techniquement dans l'impossibilité d'exécuter des instructions qui supposent un accès aux contenus en clair. Cela vaut en particulier pour les instructions de communication, de rectification ou d'examen du contenu des données chiffrées.

Un traitement de données à caractère personnel dans un pays tiers ou par une organisation internationale n'a lieu que dans la mesure où il est mentionné dans la liste des sous-traitants ultérieurs et où les conditions du chapitre V du RGPD sont remplies. Les serveurs se trouvent dans un centre de données en Allemagne, et donc dans l'Union européenne. Le traitement des contenus chiffrés eux-mêmes a lieu exclusivement au sein de l'Union européenne.

Si le responsable du traitement est établi en dehors de l'Espace économique européen, les transferts de données à caractère personnel que nous effectuons vers lui sont en outre régis par les clauses contractuelles types figurant dans la décision d'exécution (UE) 2021/914, module 4 (transfert de sous-traitant à responsable du traitement). Nous sommes l'exportateur de données, le responsable du traitement est l'importateur de données. Les indications du présent DPA relatives aux parties, à l'objet, aux catégories de données et aux personnes concernées tiennent lieu d'annexe I, et les mesures techniques et organisationnelles d'annexe II des clauses contractuelles types. En cas de contradiction, les clauses contractuelles types prévalent.

Confidentialité du personnel

Nous veillons à ce que toutes les personnes autorisées à traiter des données à caractère personnel se soient engagées à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité (art. 28, par. 3, point b) du RGPD).

Le cercle des personnes disposant d'un accès administratif aux systèmes de production est limité au minimum strictement nécessaire à l'exploitation.

L'obligation de confidentialité subsiste après la fin de l'activité concernée ainsi qu'après la fin du présent contrat.

Secret professionnel

Si le responsable du traitement est soumis à une obligation légale de secret professionnel, par exemple en qualité d'avocate ou d'avocat, de conseillère fiscale ou de conseiller fiscal, les stipulations suivantes s'appliquent en complément (article 203, paragraphes 3 et 4, du Code pénal allemand (StGB), article 43e de la loi fédérale allemande sur la profession d'avocat (BRAO), article 62a de la loi allemande sur le conseil fiscal (StBerG) ainsi que dispositions comparables des autres États membres).

Nous nous engageons, pour nous-mêmes et pour toutes les personnes qui participent à la fourniture du service, à garder le secret sur les secrets de tiers dont nous prenons connaissance à cette occasion, et nous informons ces personnes des conséquences pénales d'une violation de cette obligation. Nous ne prenons connaissance de secrets de tiers que dans la mesure nécessaire à la fourniture du service.

Nous avons été informés que la divulgation non autorisée de secrets de tiers dont nous prenons connaissance en qualité de personne participante est pénalement punissable en vertu de l'article 203, paragraphe 4, du StGB, et nous nous engageons par la présente, sous forme textuelle, à garder le secret.

Nous ne faisons appel à d'autres personnes ou prestataires pour la fourniture du service que dans la mesure où nous les avons eux-mêmes engagés au secret sous forme textuelle et informés des conséquences pénales, ou dans la mesure où ils sont soumis à une obligation légale correspondante. Pour le prestataire d'hébergement, nous en apportons la preuve sur demande.

Le responsable du traitement peut vérifier le respect de ces obligations dans le cadre de ses droits de contrôle prévus par le présent DPA.

Les contenus transmis par le canal chiffré ne sont lisibles ni pour nous ni pour nos prestataires. Les secrets ne devraient donc être saisis qu'à cet endroit et non dans les notes, les noms de modèles ou les noms d'organisation, qui nous sont lisibles.

Mesures techniques et organisationnelles (art. 32 du RGPD)

Compte tenu de l'état des connaissances, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement, nous mettons en œuvre les mesures techniques et organisationnelles décrites ci-après afin de garantir un niveau de sécurité adapté au risque. La mesure de protection centrale est l'architecture elle-même : les contenus ne quittent le terminal que sous forme chiffrée.

Chiffrement et pseudonymisation (art. 32, par. 1, point a) du RGPD)

Les contenus sont chiffrés exclusivement dans le navigateur de l'utilisateur au moyen d'AES-GCM avec une longueur de clé de 256 bits avant d'être transmis au serveur. Un nonce de 12 octets propre et généré aléatoirement est utilisé pour chaque opération. Seule l'interface native Web Crypto du navigateur est utilisée. L'application en ligne de commande que nous fournissons ne chiffre aucun contenu ; elle génère sur l'appareil la paire de clés d'une demande et y déchiffre la réponse au moyen du module cryptographique de l'environnement d'exécution Node.js.
La clé est générée côté client et transmise dans la partie fragment de l'URL, après le dièse. Par principe, cette partie d'une URL n'est pas envoyée au serveur par les navigateurs et ne nous est donc pas connue. Si un mot de passe est en outre défini, un matériel de clé en est dérivé au moyen de PBKDF2-SHA256 avec 1 200 000 itérations et combiné à la clé du fragment via HKDF-SHA256 pour former une clé AES-GCM-256.
Lors d'une demande de contenu, une paire de clés X25519 est générée sur le terminal de la personne qui effectue la demande. La personne qui répond chiffre au moyen d'une paire de clés X25519 éphémère générée à nouveau pour chaque réponse et d'une clé AES-GCM-256 dérivée via HKDF-SHA256. La clé privée ne quitte pas le terminal de la personne qui effectue la demande.
Dans notre base de données, les contenus ne sont présents que sous forme de texte chiffré. Aucun texte en clair n'existe côté serveur à aucun moment, pas même temporairement lors de la livraison.

Contrôle des accès physiques

L'exploitation physique des serveurs a lieu dans un centre de données de Hetzner Online GmbH à Falkenstein, en Allemagne. La protection des accès, la vidéosurveillance, la protection contre l'incendie et l'alimentation électrique sans interruption y sont assurées par l'exploitant du centre de données ; les justificatifs correspondants sont disponibles auprès de l'exploitant. Nous ne disposons pas de locaux propres permettant d'accéder aux données à caractère personnel du responsable du traitement.

Contrôle des accès aux systèmes

L'accès administratif aux serveurs s'effectue exclusivement via SSH avec authentification par clé publique ; la connexion par mot de passe est désactivée.
Les accès administratifs sont attribués nominativement et limités au cercle de personnes nécessaire à l'exploitation.
Les mots de passe des comptes utilisateurs sont conservés exclusivement sous forme de valeur de hachage au moyen d'un procédé à forte intensité de calcul adapté aux mots de passe. Les identifiants d'accès et le matériel de clé des services sont stockés sous forme chiffrée et ne sont pas inscrits dans le code source.
Les systèmes sont protégés par un pare-feu ; seuls les services nécessaires à l'exploitation sont accessibles depuis l'extérieur. Les services de base de données et de cache ne sont pas accessibles depuis l'extérieur.

Contrôle des accès aux données

Un concept d'autorisations fondé sur les rôles existe au sein de l'application. L'accès à une opération suppose la connaissance du jeton d'accès généré aléatoirement.
Seules les données nécessaires à la finalité sont collectées. Les journaux d'activité ne contiennent ni contenus, ni jetons d'accès, ni matériel de clé.
Un accès aux contenus en clair est techniquement exclu, même avec des droits administratifs complets, la clé n'étant pas disponible côté serveur.

Contrôle des transmissions

Toutes les transmissions entre le terminal et le serveur s'effectuent exclusivement via des connexions chiffrées TLS. Les appels non chiffrés sont redirigés vers HTTPS.
La clé nécessaire au déchiffrement n'est jamais transmise au serveur sur le réseau, mais reste dans le fragment de l'URL sur le terminal.
L'application met en œuvre des en-têtes HTTP relatifs à la sécurité, notamment une Content Security Policy ainsi que HTTP Strict Transport Security, afin de rendre plus difficiles l'exécution de code étranger et un abaissement du chiffrement du transport.

Contrôle des saisies

Pour les opérations rattachées à un compte utilisateur, un journal d'activité est tenu, qui consigne le type d'événement, sa date, l'identifiant du compte et l'identifiant de l'opération. Il ne contient ni contenus ni jetons d'accès. Pour les opérations créées de manière anonyme, aucune journalisation au niveau de l'opération n'a lieu, pour des raisons de minimisation des données.

Contrôle de la disponibilité et résilience (art. 32, par. 1, points b) et c) du RGPD)

Le serveur d'application avec la base de données est sauvegardé automatiquement chaque jour. Les sauvegardes des 7 derniers jours sont conservées ; les sauvegardes plus anciennes sont écrasées automatiquement. Les sauvegardes sont hébergées chez notre prestataire d'hébergement dans l'Union européenne. Les systèmes exploités par nos soins pour l'envoi de courriels et la mesure d'audience ne sont pas sauvegardés. Les contenus n'y figurent que sous forme chiffrée et ne sont donc pas lisibles, y compris dans les sauvegardes.
Le système d'exploitation et les composants utilisés sont régulièrement mis à jour ; les mises à jour de sécurité sont appliquées dans les meilleurs délais.
L'exploitation fait l'objet d'une surveillance ; les perturbations et états d'erreur sont signalés automatiquement. Une page de statut publique indique la version déployée et les procédés cryptographiques utilisés ; elle n'affiche pas l'état de fonctionnement.
Des limitations d'accès sont mises en œuvre afin de protéger contre les attaques automatisées et la surcharge. Les clés de comptage utilisées à cet effet sont dérivées de l'adresse IP à l'aide d'une clé secrète et conservées en mémoire vive uniquement pendant la durée de la fenêtre temporelle concernée.

Contrôle de la séparation

Les données des différents projets sont traitées de manière logiquement séparée dans des bases de données distinctes. Les environnements de production, de préproduction et de développement sont séparés les uns des autres ; aucune donnée à caractère personnel de production n'est utilisée dans les environnements de développement.

Développement sécurisé

Les modifications du code source font l'objet d'une revue et sont déployées via une chaîne automatisée.
Une analyse statique du code et des tests automatisés sont mis en œuvre ; ils doivent s'exécuter sans erreur avant le déploiement.
Les bibliothèques tierces utilisées sont figées dans leurs versions et ne sont modifiées que via la chaîne de déploiement. La chaîne de déploiement vérifie automatiquement ces bibliothèques quant aux vulnérabilités connues ; une découverte est signalée et évaluée par nos soins, mais n'arrête pas le déploiement.
La partie du service déterminante pour le chiffrement est en source ouverte et peut être vérifiée de manière indépendante. Nous mettons en outre à disposition un canal de signalement pour les alertes de sécurité à l'adresse « /.well-known/security.txt ».

Vérification et évaluation (art. 32, par. 1, point d) du RGPD)

L'efficacité des mesures est vérifiée ponctuellement ainsi qu'en cas de modifications substantielles de l'architecture, des systèmes ou des sous-traitants ultérieurs, et le présent document est actualisé en conséquence.

Limites des mesures

Nous considérons qu'une promesse de sécurité crédible implique également de révéler ce que nous n'assurons pas :

Nous ne disposons actuellement d'aucune certification ISO/IEC 27001, d'aucune certification au sens de l'art. 42 du RGPD et ne sommes soumis à aucun code de conduite approuvé au sens de l'art. 40 du RGPD.
À ce jour, aucun audit de sécurité externe et aucun test d'intrusion n'ont été réalisés.
Les bases de données et les sauvegardes ne font pas l'objet d'un chiffrement supplémentaire sur les serveurs, sauf convention contraire dans un cas particulier.
À ce jour, aucun audit cryptographique indépendant n'a été réalisé.
Le chiffrement a lieu dans le navigateur et repose sur le code de programme que nous livrons. Quiconque ne fait pas confiance à notre livraison doit vérifier lui-même le code en source ouverte ; une compromission de la livraison pourrait mettre en échec le chiffrement de bout en bout.
Même si les contenus ne sont pas lisibles par nous, des métadonnées sont générées, en particulier des dates, des délais d'expiration et le fait qu'une opération existe. Ces métadonnées nous sont connues.

Sous-traitants ultérieurs

Le responsable du traitement donne son autorisation écrite générale au recours à d'autres sous-traitants au sens de l'art. 28, par. 2, deuxième phrase du RGPD. Les sous-traitants ultérieurs auxquels il est fait appel au moment de la conclusion du contrat figurent dans la liste tenue séparément et sont réputés autorisés. Les systèmes que nous exploitons nous-mêmes, qui y sont mentionnés à côté d'eux, ne sont pas des sous-traitants ultérieurs ; les dispositions de la présente section ne leur sont pas applicables.

Outre le prestataire d'hébergement, nous utilisons des systèmes que nous exploitons nous-mêmes : un serveur de messagerie propre pour l'envoi de notifications, une instance Matomo auto-hébergée pour la mesure d'audience et une instance GitLab exploitée par nos soins pour les rapports d'erreur techniques. Ils fonctionnent sur des serveurs du même prestataire d'hébergement en Allemagne et figurent séparément dans la liste en tant que systèmes exploités par nos soins. Matomo fonctionne sans cookies, tronque l'adresse IP de deux octets avant l'enregistrement et supprime les données brutes des visites au bout de 180 jours. Les rapports d'erreur contiennent des indications techniques sur l'erreur et peuvent contenir des données à caractère personnel issues de l'appel concerné ; nous supprimons les mots de passe et les clés d'accès avant la transmission. Nous conservons les rapports d'erreur aussi longtemps qu'ils sont nécessaires à la résolution des erreurs et à la traçabilité de celle-ci.

Nous imposons contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles qui nous incombent en vertu du présent contrat, et restons responsables envers le responsable du traitement du respect des obligations en matière de protection des données par le sous-traitant ultérieur.

Nous informons le responsable du traitement de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance, par e-mail à l'adresse enregistrée ainsi que sur la page présentant la liste des sous-traitants ultérieurs. Le responsable du traitement peut s'opposer à un changement pour des motifs liés à la protection des données, sous forme textuelle, dans ce délai. À défaut d'opposition dans le délai, le changement est réputé autorisé. En cas d'opposition, nous ne faisons pas appel au nouveau sous-traitant ultérieur pour son compte, dans la mesure où cela peut raisonnablement être exigé de nous ; à défaut, il peut résilier le présent DPA et le contrat sous-jacent avec effet à la date du changement, sans frais supplémentaires. Nous remboursons au prorata les sommes payées d'avance pour la période postérieure à la fin du contrat.

Ni les sous-traitants ultérieurs auxquels il est fait appel ni les systèmes que nous exploitons nous-mêmes n'obtiennent l'accès aux contenus en clair. Le prestataire d'hébergement met à disposition l'infrastructure sur laquelle se trouvent le texte chiffré et les métadonnées qui nous sont lisibles (par exemple les notes, les données d'organisation et de compte) ; il n'obtient aucun contenu en clair. Les autres prestataires ne traitent aucun contenu transmis, mais exclusivement les données nécessaires à leur finalité respective.

Nous ne recourons à des outils de prestataires externes par lesquels nous faisons traiter des rapports d'erreur ou des données issues du service, en particulier des outils d'analyse fondés sur l'intelligence artificielle, que si le prestataire figure dans la liste des sous-traitants ultérieurs, et uniquement pour la finalité qui y est indiquée.

Vous trouverez ici la liste à jour des sous-traitants ultérieurs avec la finalité, la région et les informations relatives à la protection des données : Liste des sous-traitants ultérieurs

Assistance en matière de droits des personnes concernées

Nous aidons le responsable du traitement, dans la mesure du possible, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes des personnes concernées souhaitant exercer leurs droits au titre du chapitre III du RGPD (art. 28, par. 3, point e) du RGPD).

Si une personne concernée s'adresse directement à nous, nous transmettons sa demande sans délai au responsable du traitement, dans la mesure où elle porte sur des traitements effectués pour son compte. Nous n'y répondons pas de manière autonome dans ce cas.

Nous ne pouvons donner suite aux demandes d'accès, de rectification ou de communication portant sur des contenus chiffrés, ceux-ci ne nous étant accessibles que sous forme de texte chiffré ; pour les données qui nous sont lisibles, nous assistons le responsable du traitement conformément à l'alinéa qui précède. Un effacement est en revanche possible à tout moment et affecte également le texte chiffré, qui devient ainsi définitivement inutilisable.

Nous aidons en outre le responsable du traitement à respecter les obligations découlant des art. 32 à 36 du RGPD, en particulier lors d'une analyse d'impact relative à la protection des données et d'une éventuelle consultation préalable de l'autorité de contrôle, et mettons à disposition à cette fin les informations dont nous disposons.

Nous fournissons ces prestations d'assistance à titre gratuit dans une mesure habituelle. Pour toute charge dépassant ce cadre et qui ne résulte pas d'une circonstance qui nous est imputable, nous pouvons exiger une rémunération appropriée ; nous en informons préalablement.

Notification des violations de données à caractère personnel

Nous informons le responsable du traitement dans les meilleurs délais, et au plus tard dans les 48 heures, après avoir pris connaissance d'une violation de données à caractère personnel survenue dans le cadre du traitement effectué pour son compte (art. 33, par. 2 du RGPD). L'information est adressée sous forme textuelle à l'adresse e-mail enregistrée lors de la conclusion du présent DPA ou à celle que le responsable du traitement nous a communiquée depuis.

La notification contient, dans la mesure où nous en avons connaissance, une description de la nature de la violation, les catégories et le nombre approximatif d'enregistrements concernés, les conséquences probables ainsi que les mesures prises ou proposées. Si toutes les informations ne sont pas immédiatement disponibles, nous les fournissons sans délai par la suite.

Nous prenons sans délai les mesures nécessaires pour sécuriser les données et atténuer les éventuelles conséquences négatives, et convenons de mesures complémentaires avec le responsable du traitement.

La notification à l'autorité de contrôle au titre de l'art. 33 du RGPD et la communication aux personnes concernées au titre de l'art. 34 du RGPD incombent au responsable du traitement. Nous ne procédons pas nous-mêmes à de telles notifications pour le compte du responsable du traitement, mais nous l'y assistons.

Les incidents de sécurité et les vulnérabilités peuvent être signalés à tout moment à hello@erseni.com ainsi que via le canal de signalement publié à l'adresse « /.well-known/security.txt ».

Effacement et restitution après la fin du contrat (concept de suppression)

Le service est conçu de telle sorte que l'effacement est la règle et la conservation l'exception. Nous décrivons ci-après quelles données sont supprimées, à quel moment et de quelle manière.

Effacement lors de la première consultation

Lors de la consultation d'un contenu, l'enregistrement est lu et simultanément supprimé physiquement de la table au cours d'une opération de base de données unique et atomique. Le contenu délivré n'existe ensuite que de manière fugace en mémoire vive, pendant la durée de la livraison. Une seconde consultation du même lien est ainsi exclue. Nous ne pouvons pas restaurer le texte chiffré à partir du système en fonctionnement ; il peut subsister dans les sauvegardes jusqu'à 7 jours après la suppression et n'y est pas lisible sans la clé, dont nous n'avons jamais disposé. Nous ne restaurons des sauvegardes que pour rétablir l'ensemble du système après une panne, jamais pour récupérer des opérations individuelles.

Durée de conservation maximale des contenus non consultés

Si un contenu n'est pas consulté, il ne peut plus l'être à l'expiration de la durée de validité choisie par le responsable du traitement et il est définitivement supprimé lors de la prochaine exécution nocturne de suppression. La durée maximale sélectionnable dépend de la formule utilisée :

Utilisation gratuite et utilisation sans compte utilisateur : 7 jours au maximum
Formule Pro : 30 jours au maximum
Formule Business : 30 jours au maximum

Dans ces limites maximales, le responsable du traitement peut choisir une durée de validité plus courte ; la durée la plus courte sélectionnable est d'une minute. Une prolongation au-delà des limites maximales indiquées est techniquement impossible.

Effacement automatisé des données expirées

Un processus d'effacement automatisé supprime quotidiennement les enregistrements expirés au cours d'une fenêtre nocturne. L'effacement prend la forme d'une suppression définitive de la base de données par lots ; il n'existe ni marquage comme supprimé ni corbeille. Sont concernés les contenus expirés, les demandes expirées, les métadonnées de statut expirées ainsi que les données techniques auxiliaires servant à la prévention des abus.

Métadonnées de statut et délai de latence

Après l'effacement d'un contenu, un enregistrement purement statutaire subsiste pendant un délai de latence de 24 heures à compter de l'expiration, afin que le sort d'une opération reste traçable et qu'un lien déjà consulté n'apparaisse pas à tort comme inconnu. Cet enregistrement contient uniquement le type d'opération, le jeton d'accès, la date de création, la date d'expiration ainsi que, le cas échéant, les dates de la réponse et de la consultation. Il ne contient ni texte chiffré ni matériel de clé. À l'expiration du délai de latence, cet enregistrement est également supprimé ; l'attribution d'une opération à un compte utilisateur est alors automatiquement supprimée avec lui.

Données de compte et journal d'activité

Les entrées du journal d'activité sont effacées automatiquement dès qu'elles datent de plus de 90 jours ; une exécution quotidienne de suppression les retire définitivement de la base de données. Les données de compte sont conservées pendant la durée de la relation d'utilisation. Si le responsable du traitement supprime son compte utilisateur, nous supprimons immédiatement le rattachement des opérations au compte, les notes, les modèles de demande, les clés d'API, les conclusions de contrats, l'organisation avec ses adhésions, le journal d'activité, l'attribution des rôles et les paramètres du compte ; le compte lui-même est anonymisé. Les comptes utilisateurs créés lors d'une invitation de membres subsistent en tant que comptes propres de ces personnes, même s'ils n'ont jamais été activés. Les contenus non encore consultés subsistent sous forme de texte chiffré illisible pour nous jusqu'à leur expiration, puis sont supprimés lors de l'exécution nocturne de suppression. La fiche client auprès du prestataire de services de paiement et les factures sont conservées pendant la durée des obligations légales de conservation ; leur traitement est limité à l'exécution de ces obligations.

Sauvegardes

Le serveur d'application avec la base de données est sauvegardé automatiquement chaque jour ; les systèmes exploités par nos soins pour l'envoi de courriels et la mesure d'audience ne sont pas sauvegardés. Les sauvegardes des 7 derniers jours sont conservées ; les sauvegardes plus anciennes sont écrasées automatiquement. Un enregistrement supprimé disparaît ainsi de toutes les sauvegardes au plus tard 7 jours après sa suppression ; aucune suppression ciblée n'a lieu au sein des sauvegardes existantes. Les journaux de transactions de la base de données sont écrasés en continu pendant l'exploitation et ne sont pas archivés. Les contenus n'y figurant que sous forme chiffrée, y compris dans les sauvegardes, et la clé correspondante ne nous ayant jamais été connue, ils n'y sont pas lisibles.

Restitution et effacement après la fin du contrat

À la fin du contrat, au choix du responsable du traitement, nous lui remettons les données traitées pour son compte qui nous sont lisibles (notes, journal d'activité, modèles de demande et données d'organisation) dans un format courant et lisible par machine, ou nous les supprimons, au plus tard 30 jours après la fin du contrat et sauf si le droit de l'Union ou le droit d'un État membre exige leur conservation. À défaut de choix du responsable du traitement, nous supprimons les données. Si le responsable du traitement supprime lui-même son compte utilisateur, cela vaut choix de la suppression ; les données sont alors supprimées immédiatement. Nous ne pouvons pas remettre les contenus chiffrés, car ils ont soit déjà été consultés et donc supprimés, soit ne subsistent que sous forme de texte chiffré illisible pour nous ; les textes chiffrés non encore consultés subsistent jusqu'à leur expiration.

Sur demande, nous confirmons l'effacement au responsable du traitement sous forme textuelle.

Justificatifs et droits de contrôle

Nous mettons à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'art. 28 du RGPD et permettons la réalisation d'audits, y compris d'inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté (art. 28, par. 3, point h) du RGPD).

Le justificatif est apporté en priorité par la présentation de la présente documentation, de la description des mesures techniques et organisationnelles, de la liste des sous-traitants ultérieurs ainsi que des justificatifs fournis par nos prestataires.

Si, dans un cas particulier, le responsable du traitement estime que ces justificatifs sont insuffisants, nous permettons un contrôle sur place moyennant une annonce en temps utile, en règle générale au plus une fois par année civile, plus fréquemment en cas de motif concret ou à la demande d'une autorité de contrôle, pendant les heures d'ouverture habituelles, sans perturbation de l'exploitation et dans le respect de la confidentialité à l'égard des autres clients. L'auditeur mandaté ne doit pas être en concurrence avec nous.

Au-delà des justificatifs contractuels, le code de programme déterminant pour le chiffrement peut être consulté et vérifié de manière indépendante en tant que code en source ouverte. Nous considérons cela comme un élément essentiel de la démonstration de conformité.

Nous soulignons expressément que nous ne pouvons présenter actuellement aucune certification ni aucun rapport d'audit externe qui remplacerait un contrôle par le responsable du traitement.

Relation avec les conditions générales de vente

Le présent DPA régit de manière exhaustive le traitement de données à caractère personnel pour le compte du responsable du traitement. Toutes les autres questions relatives à l'utilisation sont régies par les conditions générales de vente du service (ci-après les « CGV ») dans la version acceptée par le responsable du traitement. En cas de contradiction, le présent DPA prévaut dans la mesure où il concerne le traitement de données à caractère personnel pour le compte du responsable du traitement ; pour le reste, les CGV prévalent. Pour les dommages autres que ceux résultant du traitement de données à caractère personnel pour le compte du responsable du traitement, les dispositions des CGV relatives à la responsabilité s'appliquent. Si le responsable du traitement n'a pas accepté les CGV, les stipulations du présent DPA relatives à la responsabilité, à la durée, au droit applicable et à la juridiction compétente s'appliquent également à la relation d'utilisation.

Responsabilité et dispositions finales

La responsabilité envers les personnes concernées est régie par l'art. 82 du RGPD. Pour les dommages résultant du traitement de données à caractère personnel pour le compte du responsable du traitement, nous répondons sans limitation, dans les relations entre les parties, de la faute intentionnelle et de la faute lourde, des dommages résultant d'une atteinte à la vie, à l'intégrité corporelle ou à la santé, en cas de dol, dans la mesure où nous avons accordé une garantie, ainsi qu'en vertu de dispositions légales impératives. En cas de négligence simple, nous ne répondons que de la violation d'une obligation contractuelle essentielle, dont l'exécution conditionne la bonne exécution du contrat et au respect de laquelle le responsable du traitement peut légitimement se fier, dans la limite du dommage typique et prévisible au regard du contrat et des sommes payées par le responsable du traitement au cours des douze mois précédant l'événement dommageable, cette limite ne pouvant être inférieure à 500 euros. Si nous-mêmes ou le responsable du traitement sommes mis en cause par une personne concernée au titre de l'art. 82 du RGPD, chaque partie supporte, dans les rapports internes, la part de la réparation correspondant à sa part de responsabilité dans le dommage (art. 82, par. 5 du RGPD) ; les limitations qui précèdent ne s'appliquent pas à ce recours. Les amendes administratives sont supportées par la partie à laquelle elles sont infligées.

Le responsable du traitement est seul responsable de la licéité du traitement, de la licéité des contenus qu'il transmet ainsi que de la transmission sécurisée des liens d'accès et des éventuels mots de passe aux destinataires prévus. Si un lien d'accès est divulgué à des personnes non autorisées par le responsable du traitement, ses utilisatrices et utilisateurs ou les destinataires, nous n'en répondons pas.

La relation d'utilisation au sens du présent DPA est l'utilisation du service au moyen du compte utilisateur du responsable du traitement conformément aux conditions générales de vente dans la version acceptée par le responsable du traitement ; s'il n'en a accepté aucune, elle prend fin avec la suppression du compte utilisateur ou par résiliation de l'une des parties, sous forme textuelle, moyennant un préavis de 30 jours. Le présent DPA s'applique pendant la durée de la relation d'utilisation et prend fin avec celle-ci. Les stipulations relatives à la confidentialité et à l'effacement continuent de s'appliquer au-delà.

Nous pouvons actualiser la description des mesures techniques et organisationnelles, pour autant que le niveau de protection n'en soit pas abaissé ; pour les sous-traitants ultérieurs, la procédure prévue à la section « Sous-traitants ultérieurs » s'applique. Toute autre nouvelle version du présent DPA ne prend effet que lorsque le responsable du traitement la conclut ; jusque-là, la version conclue reste applicable.

Les modifications et compléments au présent DPA requièrent la forme textuelle. Cela vaut également pour la suppression de cette exigence de forme.

Si certaines stipulations du présent DPA devaient être ou devenir nulles, la validité des autres stipulations n'en serait pas affectée. Les parties remplaceront la stipulation nulle par une règle valable se rapprochant le plus de sa finalité économique et de protection des données.

Le présent contrat est régi par le droit de la République de Chypre, à l'exclusion de la Convention des Nations unies sur les contrats de vente internationale de marchandises ; les dispositions impératives du RGPD ne sont pas affectées. Pour tout litige découlant du présent DPA, le tribunal exclusivement compétent est Larnaca, Chypre, dès lors que le responsable du traitement est un professionnel, une personne morale de droit public ou un patrimoine spécial de droit public. La compétence des autorités de contrôle en matière de protection des données n'est pas affectée.

Le présent contrat est disponible en allemand, anglais et français. En cas de divergence entre les versions linguistiques, la version allemande fait foi.

Annexe : sous-traitants ultérieurs et systèmes exploités par nos soins

Version de la liste : 26 septembre 2026

La liste recense tous les sous-traitants ultérieurs et systèmes exploités par nos soins auxquels nous recourons pour les services fournis au titre du présent DPA. Les entrées portant la mention « Uniquement pour ... » concernent exclusivement les applications qui y sont nommées. L'autorisation prévue à la section « Sous-traitants ultérieurs » ne s'étend qu'aux sous-traitants ultérieurs qui interviennent effectivement pour le service du responsable du traitement ; pour un service qui ne comprend pas une application, nous ne faisons pas appel aux sous-traitants ultérieurs indiqués pour celle-ci et ne leur transmettons aucune donnée du responsable du traitement.

Sous-traitants ultérieurs auxquels il est fait appel

Hetzner Online GmbH: Exploitation des serveurs et de la base de données, stockage des contenus chiffrés et des métadonnées associées, ainsi que résolution du nom de domaine (DNS). Centre de données de Falkenstein, Allemagne (UE). Informations relatives à la protection des données Contrat de sous-traitance
Stripe Payments Europe, Ltd.: Traitement des paiements et des abonnements pour les formules payantes. Pour les données de paiement, Stripe est responsable du traitement à titre propre et non sous-traitant ultérieur ; nous mentionnons Stripe ici par souci d'exhaustivité. Aucun accès aux données des opérations ni aux contenus transmis. Irlande (UE). Un éventuel traitement aux États-Unis repose sur le cadre de protection des données UE-États-Unis (Data Privacy Framework) et, à titre subsidiaire, sur les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914). Informations relatives à la protection des données

Systèmes que nous exploitons nous-mêmes (absence de sous-traitance ultérieure)

Stalwart Mail Server: Envoi de notifications transactionnelles par e-mail, par exemple l'information qu'une demande a reçu une réponse. Les notifications ne contiennent aucun contenu. Instance exploitée par nos soins sur une infrastructure louée en Allemagne (UE) ; aucun prestataire de messagerie externe. Informations relatives à la protection des données
Matomo Analytics: Mesure d'audience sans cookies des pages publiques et de l'espace connecté avec une adresse IP tronquée ; les données brutes sont supprimées au bout de 180 jours. Utilisé exclusivement sur l'environnement de production et ne traite aucun contenu ni aucune donnée d'opération. Instance exploitée par nos soins sur une infrastructure louée en Allemagne (UE) ; aucune transmission à des tiers. Informations relatives à la protection des données
GitLab: Enregistrement des messages d'erreur techniques aux fins de la résolution des incidents. Sont enregistrés le texte de l'erreur, le chemin d'appel et les données techniques d'environnement ; aucun contenu utilisateur déchiffré n'est transmis. Instance exploitée par nos soins sur une infrastructure louée en Allemagne (UE) ; aucun prestataire externe. Informations relatives à la protection des données