Accord de traitement des données (DPA)

Le présent Accord de traitement des données (Data Processing Agreement, ci-après « DPA ») complète les Conditions Générales de Vente de Pastria et précise les engagements de Cogsonomy en sa qualité de sous-traitant au sens de l’article 28 du Règlement (UE) 2016/679 (RGPD), lorsque le client agit en qualité de responsable de traitement vis-à-vis des données qu’il dépose dans le service.

Cette qualité de sous-traitant vaut pour les seules données que vous déposez dans le service (recettes, clients, fournisseurs). Pour les données que Cogsonomy traite pour ses propres finalités (gestion du compte, facturation, mesure d’usage interne), elle agit en qualité de responsable de traitement : ces traitements relèvent de la Politique de confidentialité, et non du présent DPA.

Ce DPA s’applique automatiquement à tout client professionnel utilisant Pastria. Il n’est pas nécessaire de le signer : son acceptation est réputée acquise par l’adhésion aux CGV. Une version PDF signée peut être fournie sur demande à pastria@cogsonomy.fr.

1. Parties

Sous-traitant :

• Cogsonomy, SASU au capital de 1 500 €
• 6 rue Saint Jean, 85250 Saint-Fulgent, France
• SIRET 82538928100023, TVA intracommunautaire FR64825389281
• Contact : pastria@cogsonomy.fr

Responsable de traitement : le client professionnel souscripteur d’un abonnement Pastria, identifié au moment de la souscription (raison sociale, SIRET, adresse, email professionnel).

2. Objet et durée du traitement

Objet : fourniture du service SaaS Pastria, hébergement, stockage, sauvegarde et restitution des données saisies par le client (recettes, fiches techniques, ingrédients, fournisseurs, registres HACCP, factures, données de prod).

Durée : aussi longtemps que le contrat d’abonnement est en vigueur. Au terme du contrat, les obligations du DPA s’appliquent à la phase de restitution et de suppression des données (cf. article 9).

3. Nature et finalité du traitement

Le sous-traitant traite les données pour les seules finalités suivantes :

• Hébergement et mise à disposition de l’application
• Sauvegarde et restauration en cas d’incident
• Maintenance technique et corrective
• Support utilisateur, sur demande explicite du client
• Sécurité (détection d’incidents, journalisation)
• Facturation et gestion contractuelle

Le sous-traitant n’utilise jamais les données métier du client (recettes, formules, fichiers fournisseurs) à des fins commerciales, statistiques agrégées commercialisées, entraînement de modèles d’IA tiers, ni revente.

4. Catégories de données et de personnes concernées

Catégories de données :

• Données d’identification du compte (email, mot de passe haché, nom de l’établissement)
• Données métier saisies par le client (recettes, ingrédients, coûts, stocks, registres)
• Données de facturation (données du client lui-même, traitées via Stripe)
• Données de connexion et journalisation technique (IP, user-agent, timestamps)

Catégories de personnes concernées :

• Le client lui-même (artisan, dirigeant)
• Le cas échéant, ses fournisseurs (coordonnées professionnelles saisies par le client)

Aucune donnée sensible au sens de l’article 9 du RGPD (santé, opinions, biométrie) n’est traitée dans le cadre du service.

5. Obligations du sous-traitant

Cogsonomy s’engage à :

• Traiter les données uniquement sur instruction documentée du responsable de traitement, telle que matérialisée par les CGV et le DPA
• Garantir la confidentialité des données et n’y donner accès qu’aux personnes habilitées et soumises à une obligation de confidentialité
• Mettre en œuvre les mesures techniques et organisationnelles décrites à l’article 7
• Aider le responsable de traitement à répondre aux demandes d’exercice de droits des personnes concernées (cf. article 8)
• Notifier toute violation de données dans les meilleurs délais et au plus tard 48 h après en avoir pris connaissance
• Mettre à disposition les éléments nécessaires à la démonstration de sa conformité (cf. article 10)
• Ne pas transférer les données hors de l’Union européenne sans garantie appropriée (cf. article 6)

6. Sous-traitants ultérieurs

Le client autorise Cogsonomy à recourir aux sous-traitants ultérieurs suivants pour l’exécution du service :

Toute évolution de cette liste est notifiée au client par email et publiée sur la présente page au moins 30 jours avant son entrée en vigueur. Le client dispose d’un droit d’opposition motivé pendant ce délai. À défaut d’opposition, l’ajout est réputé accepté.

Le sous-traitant impose à chacun de ses sous-traitants ultérieurs des obligations de protection des données équivalentes à celles du présent DPA.

7. Mesures techniques et organisationnelles

Cogsonomy met en œuvre les mesures suivantes :

7.1 Chiffrement et authentification

• HTTPS/TLS 1.2+ pour tous les échanges réseau
• Mots de passe stockés via Bcrypt (hachage à coût élevé), jamais en clair
• Politique de mot de passe forte (minimum 12 caractères, contrôle Have I Been Pwned)
• Authentification à deux facteurs (TOTP) disponible et recommandée
• Secrets 2FA chiffrés en base
• Sauvegardes chiffrées au repos sur stockage S3 OVH

7.2 Cloisonnement et accès

• Cloisonnement strict des données entre clients (multi-tenant logique)
• Accès administratif limité au strict nécessaire et journalisé
• Politique de moindre privilège appliquée aux infrastructures

7.3 Disponibilité et résilience

• Sauvegardes quotidiennes automatisées et chiffrées, à cycle de rotation programmé
• Procédure de restauration testée régulièrement
• Supervision applicative (health-check) et alertes en cas d’indisponibilité

7.4 Mesures organisationnelles

• Engagement de confidentialité du personnel ayant accès aux données
• Mise à jour régulière des dépendances et correctifs de sécurité
• Revue de code des modifications avant mise en production

8. Droits des personnes concernées

Le sous-traitant met à disposition du responsable de traitement des fonctionnalités lui permettant de répondre directement aux demandes d’exercice de droits :

• Accès et portabilité : export complet des données au format structuré (ZIP) depuis l’interface utilisateur
• Rectification : modification directe des données dans l’application
• Effacement : suppression du compte et des données associées depuis le profil utilisateur, effective 30 jours après la demande (cf. article 9)
• Limitation et opposition : traitées sur demande adressée à l’éditeur

Pour toute demande dépassant les fonctionnalités en libre-service, Cogsonomy assiste le responsable de traitement dans un délai raisonnable, sans frais supplémentaires sauf demandes manifestement infondées ou excessives.

9. Fin du contrat, restitution et suppression

Lorsque le client demande la suppression de son compte, depuis son profil ou par l’intermédiaire de Cogsonomy :

• Le renouvellement de l’abonnement est coupé ; la période en cours n’est pas remboursée
• Le client dispose de 30 jours pour récupérer l’ensemble de ses données : export de portabilité, factures et avoirs en PDF et Factur-X, devis, pièces jointes, factures reçues, factures d’abonnement. Pendant ce délai, les autres fonctionnalités sont désactivées et la demande peut être annulée
• Au terme de ce délai, le compte, les données et tous les fichiers associés sont effacés, pièces comptables comprises : aucun archivage n’est conservé par Cogsonomy pour le compte du client
• Les sauvegardes chiffrées sont purgées au fil de leur cycle de rotation ; elles ne sont consultées qu’en cas de restauration du service après incident

L’obligation de conserver les pièces comptables 10 ans (art. L123-22 Code de commerce) incombe au client, responsable de traitement : les documents lui sont restitués pendant le délai de 30 jours. Les factures d’abonnement émises par Cogsonomy au client sont archivées par Stripe, prestataire de paiement, pour les obligations comptables propres de Cogsonomy.

10. Audit et démonstration de conformité

Le sous-traitant met à disposition du responsable de traitement, sur demande écrite raisonnable, les informations nécessaires à la démonstration du respect du présent DPA, notamment :

• Description des mesures techniques et organisationnelles en place
• Liste à jour des sous-traitants ultérieurs
• Politique de gestion des incidents et plan de continuité

Compte tenu de la nature mutualisée du service SaaS, les audits sur site ne sont pas réalisables individuellement. Cogsonomy s’engage à fournir tout élément documentaire raisonnable permettant au client de remplir ses obligations vis-à-vis de la CNIL.

11. Notification de violation

En cas de violation de données à caractère personnel, Cogsonomy notifie le responsable de traitement par email à l’adresse de contact du compte, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance. La notification précise la nature de la violation, les catégories de données et de personnes concernées, les conséquences probables, les mesures prises et les recommandations à destination du responsable de traitement.

12. Contact

Toute demande relative au présent DPA est adressée à pastria@cogsonomy.fr. Une réponse est apportée dans un délai de 30 jours maximum.

13. Droit applicable et juridiction

Le présent DPA est soumis au droit français et au RGPD. Tout litige relève des juridictions du ressort du siège social de Cogsonomy, après tentative préalable de règlement amiable.