Accord de Traitement des Données (DPA)

Le présent accord de traitement des données (ci-après le « DPA ») a pour objet de définir les conditions dans lesquelles Planor, en sa qualité de sous-traitant, s'engage à traiter, pour le compte de ses clients utilisateurs de la plateforme (ci-après le « Responsable de traitement »), les données à caractère personnel nécessaires à la fourniture du service SaaS Planor, conformément à l'article 28 du RGPD.

Le présent DPA constitue une annexe indissociable des Conditions Générales d'Utilisation (CGU) et des Conditions Générales de Vente (CGV) et est réputé accepté par le Responsable de traitement lors de l'acceptation des CGU par case à cocher.

• Dénomination sociale : PLANOR
• Forme juridique : Société par actions simplifiée (SASU)
• Capital social : 10 000 euros
• Président : Esteban ANTONIO-MOTA
• Adresse :
  2 B rue Roger Salengro, 77164 Ferrières-en-Brie, France
• SIRET : 100 903 780 00011
• RCS : Meaux
• Email de contact RGPD : esteban.antonio-mota@planor.fr

Aucun délégué à la protection des données (DPO) n'a été désigné. Le point de contact RGPD unique est l'adresse indiquée ci-dessus.

Le Responsable de traitement détermine seul les finalités et moyens du traitement.
Planor agit exclusivement en qualité de sous-traitant pour les traitements couverts par le présent DPA.

Le Sous-traitant s'engage à ne traiter les données personnelles que sur instruction documentée du Responsable de traitement.

En cas d'instruction manifestement illégale ou non conforme au RGPD, le Sous-traitant :

• suspend immédiatement le traitement concerné,
• informe sans délai le Responsable de traitement.

Le Responsable de traitement autorise le recours aux sous-traitants techniques suivants :

Le Sous-traitant s'engage à imposer à ses sous-processeurs des obligations de protection des données au moins équivalentes à celles prévues dans le présent DPA.

Le Responsable de traitement est informé de tout changement significatif de sous-processeur par email, avec un préavis raisonnable d'au moins trente (30) jours.

La liste à jour des sous-processeurs est disponible sur la présente page et peut être fournie sur demande.

Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées, décrites de manière générique et non exhaustive, afin de garantir un niveau de sécurité adapté au risque, incluant notamment :

• communications sécurisées (HTTPS / TLS),
• authentification par tokens JWT (accès et rafraîchissement),
• hashage des mots de passe (bcrypt),
• chiffrement des données sensibles (clés de chiffrement pour les mots de passe SMTP),
• accès réglementé aux fichiers stockés sur OVH Object Storage,
• gestion des rôles et permissions,
• cloisonnement strict des environnements clients (architecture multi-tenant avec isolation par entreprise),
• sauvegardes régulières,
• journalisation et traçabilité des accès.

En cas de violation de données à caractère personnel, le Sous-traitant notifie le Responsable de traitement dans les meilleurs délais et, dans la mesure du possible, dans un délai de soixante-douze (72) heures après en avoir pris connaissance.

La notification inclut, dans la mesure du possible :

• la nature de la violation (catégories de données et nombre de personnes concernées),
• les conséquences probables de la violation,
• les mesures prises ou proposées pour y remédier,
• les coordonnées du point de contact.

La notification peut être progressive, les informations complémentaires étant transmises dès qu'elles sont disponibles.

Le Sous-traitant assiste le Responsable de traitement, dans une limite raisonnable, pour :

• répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, opposition),
• assurer la sécurité et la conformité des traitements,
• réaliser, le cas échéant, des analyses d'impact relatives à la protection des données (AIPD),
• notifier les violations de données à l'autorité de contrôle compétente (CNIL).

Toute assistance dépassant ce cadre raisonnable pourra faire l'objet d'une facturation spécifique.

Les données personnelles sont conservées pendant toute la durée de la relation contractuelle.

À l'issue du contrat :

• le Responsable de traitement peut procéder à un export gratuit de ses données via les fonctionnalités standard de la plateforme,
• les données sont conservées pendant quatre-vingt-dix (90) jours après résiliation pour permettre l'export,
• passé ce délai, les données sont supprimées, sauf obligation légale contraire (les données de facturation sont conservées 10 ans conformément aux obligations légales).

Les données de compte (identification) sont conservées trois (3) ans après la suppression du compte, conformément aux délais de prescription applicables.

Le Responsable de traitement peut solliciter des audits documentaires relatifs au respect du présent DPA, sous réserve :

• d'un préavis raisonnable (au moins trente jours),
• d'une fréquence limitée (une fois par an maximum),
• du caractère proportionné et non abusif de la demande.

Les audits sur site sont exclus.

Le Sous-traitant se réserve le droit de refuser toute demande d'audit manifestement excessive ou disproportionnée.

La responsabilité du Sous-traitant au titre du présent DPA est strictement alignée sur celle prévue par les CGU et les CGV.

Le présent DPA est accepté automatiquement lors de l'acceptation des CGU par case à cocher.

Il est soumis au droit français.

Tout litige relatif à son interprétation ou son exécution relève de la compétence exclusive du Tribunal de commerce de Meaux.