Accord de sous-traitance (DPA)

Annexe aux conditions générales de vente — Dernière mise à jour : 21 juillet 2026

Le présent accord complète les CGV en application de l'article 28.3 du RGPD et en fait partie intégrante.

1. Objet

Kaptis traite des données à caractère personnel pour le compte du Client dans le cadre du service décrit à l'article 2 des CGV. Le présent accord ne couvre que ces traitements. Les données concernant le Client lui-même relèvent de la politique de confidentialité de Kaptis, qui en est responsable.

2. Description des traitements

Durée : celle du contrat. Aucune catégorie particulière de données (art. 9 RGPD) n'est traitée.

3. Instructions

Kaptis traite les données uniquement sur instruction documentée du Client, constituée par les CGV, le présent accord et les paramétrages effectués dans le service. Kaptis informe le Client si une instruction lui paraît constituer une violation du RGPD.

4. Confidentialité

Kaptis garantit que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.

5. Sécurité (art. 32)

Kaptis met en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des données en transit (HTTPS/TLS) et au repos, cloisonnement des données par client (Row Level Security), authentification des accès, journalisation, sauvegardes régulières, et principe du moindre privilège.

6. Sous-traitants ultérieurs (art. 28.2 et 28.4)

Le Client donne une autorisation générale. Kaptis l'informe préalablement de tout ajout ou remplacement et lui laisse un délai de 30 jours pour s'y opposer ; en cas d'opposition, le Client peut résilier (art. 8 des CGV). Kaptis demeure pleinement responsable de l'exécution des obligations de ses sous-traitants.

7. Outils tiers accédés au nom du Client (hors article 28)

Kaptis accède, en qualité de mandataire et via une délégation consentie par le Client, à la fiche Google Business et à la Google Search Console du Client. Ces services relèvent de la relation contractuelle propre du Client avec Google ; Google n'est pas un sous-traitant de Kaptis à ce titre. Le Client conserve ces comptes et leurs données à la fin du contrat.

8. Transferts hors Union européenne

Les données sont stockées et traitées dans l'Union européenne (Paris et Francfort). Les transferts vers les États-Unis se limitent à Resend (envoi des e-mails), Anthropic (génération de textes) et aux accès d'administration et de support de Vercel Inc. Ils sont encadrés par les clauses contractuelles types de la Commission européenne, complétées le cas échéant par la certification de ces prestataires au Data Privacy Framework.

9. Droits des personnes

Kaptis assiste le Client, par des mesures techniques et organisationnelles appropriées, pour répondre aux demandes d'exercice des droits (accès, rectification, effacement, opposition, portabilité). Toute demande reçue directement par Kaptis est transmise au Client sans délai.

10. Violations de données (art. 33)

Kaptis notifie au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, en lui fournissant les informations nécessaires à sa propre notification à la CNIL.

11. Assistance (art. 32 à 36)

Kaptis assiste le Client, compte tenu de la nature du traitement et des informations à sa disposition, pour la sécurité, la notification des violations et, le cas échéant, l'analyse d'impact.

12. Sort des données en fin de contrat

Au terme du contrat, Kaptis restitue au Client les données traitées pour son compte, puis les supprime de ses systèmes actifs dans un délai de 30 jours, sauf obligation légale de conservation. Les sauvegardes sont purgées selon leur cycle de rotation.

13. Audit

Kaptis met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l'article 28 et permet la réalisation d'audits, à la charge du Client et moyennant un préavis raisonnable.