Accord de traitement des données (DPA)

Ceci est une traduction fournie pour plus de commodité. En cas de divergence, la version anglaise prévaut.

Version du 2026-10-20.

1. Parties et objet

Le présent accord est conclu entre le client de l’hébergement (le responsable du traitement) et Casapu Cristian-Costinel Întreprindere Individuală, exerçant sous le nom MediaLab Works, n° au registre du commerce F16/641/2020, identifiant fiscal (CUI) 43060600, dont le siège est situé à Ciupercenii Vechi, mun. Calafat, jud. Dolj, Roumanie (le sous-traitant, « nous »). Il s’applique aux données personnelles que le client, ou les visiteurs et utilisateurs des services du client, stockent ou traitent dans un compte d’hébergement : sites web, applications, bases de données, boîtes mail, fichiers et sauvegardes (les « données hébergées »). Il fait partie des Conditions générales et est accepté lors de la commande de l’hébergement.

Les données que nous traitons en tant que responsable du traitement pour nos propres finalités (votre compte client, la facturation, le support, la sécurité de nos systèmes) sont décrites dans la Politique de confidentialité, et non ici.

2. Description du traitement

• Objet et nature : stockage, hébergement, mise à disposition sur Internet, transmission (web et e-mail), sauvegarde et restauration des données hébergées, ainsi que les opérations techniques nécessaires (journaux, supervision, sécurité).
• Finalité : la fourniture du service d’hébergement commandé par le client.
• Durée : tant que le compte d’hébergement existe, plus les délais de suppression de la section 9.
• Catégories de personnes concernées : selon le choix du client, généralement les visiteurs, utilisateurs, clients, employés et correspondants des sites et boîtes mail du client.
• Catégories de données personnelles : selon le choix du client, généralement des données d’identification et de contact, des données de compte, le contenu des messages et des fichiers, et des données techniques (adresses IP et détails des requêtes dans les journaux du serveur web). Les catégories particulières de données (art. 9 du RGPD) et les données relatives aux condamnations pénales ne sont traitées que si le client choisit de les stocker ; le client est responsable de disposer d’une base légale et des éventuelles garanties supplémentaires.

3. Instructions

Nous traitons les données hébergées uniquement sur instruction documentée du client, à savoir : les Conditions générales, le présent accord et les actions que le client effectue dans son compte et dans les logiciels hébergés. Nous n’accédons pas au contenu des données hébergées, sauf lorsque cela est nécessaire pour fournir le service, pour un support demandé par le client, pour restaurer une sauvegarde à la demande du client, pour protéger la sécurité du serveur, ou pour respecter la loi ou une injonction d’une autorité (dans ce cas, nous en informons le client, sauf si la loi l’interdit). Nous n’utilisons pas les données hébergées pour nos propres finalités, ne les vendons pas et ne les analysons pas à des fins publicitaires. Si nous estimons qu’une instruction enfreint le RGPD, nous en informons le client.

4. Confidentialité

Seules les personnes qui exploitent le service ont accès au serveur, et elles sont tenues à la confidentialité. MediaLab Works est une entreprise individuelle : aujourd’hui, cette personne est son propriétaire.

5. Mesures de sécurité (art. 32 du RGPD)

• Localisation : les données hébergées, leurs sauvegardes et les boîtes mail sont stockées sur nos propres serveurs en Roumanie, dans l’UE.
• Isolation : un utilisateur Linux par client, avec des limites de ressources ; sites dans des conteneurs sans privilèges root, sans accès aux autres comptes ni au réseau local ; bases de données avec un utilisateur distinct par client, inaccessibles depuis Internet.
• Accès : authentification à deux facteurs pour notre panneau d’administration, agent root du serveur limité à une liste fixe d’opérations ; accès du client par SFTP / SSH (clés à partir de la formule Standard).
• Chiffrement en transit : HTTPS avec certificats gratuits pour chaque site, SFTP / SSH, et TLS pour l’e-mail.
• Sauvegardes : quotidiennes, chiffrées (restic), sur un disque séparé du même serveur, conservées selon la formule. Elles ne sont pas stockées dans un second emplacement.
• Supervision et mises à jour : supervision de la disponibilité, mises à jour du système d’exploitation et des images de conteneur, journaux des opérations d’administration sans secrets ; les journaux du serveur web sont conservés 14 jours.
• Mots de passe affichés une seule fois au client et conservés par nous uniquement sous forme hachée, ou pas du tout.

Le client est responsable de la sécurité de ce qu’il installe et configure (applications, extensions, mots de passe, accès donnés à d’autres personnes).

6. Sous-traitants ultérieurs

Le client donne une autorisation générale pour les sous-traitants ultérieurs ci-dessous. Nous informons le client par e-mail au moins 30 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur ; le client peut s’y opposer pour un motif raisonnable et, si nous ne pouvons pas répondre à l’objection, il peut résilier l’hébergement avec remboursement de la période prépayée non utilisée.

Stripe (Stripe Payments Europe, Ltd.) traite les paiements de l’hébergement en tant que responsable du traitement distinct pour les données de paiement ; il ne reçoit pas les données hébergées. Voir la Politique de confidentialité.

7. Assistance au client

Compte tenu de la nature du traitement, nous aidons le client à :

• répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité …) : le client peut lui-même retrouver, exporter, modifier ou supprimer les données hébergées, depuis le compte, par SFTP / SSH et dans les bases de données ; si une personne concernée nous écrit directement, nous transmettons la demande au client dans les meilleurs délais ;
• respecter ses obligations en matière de sécurité, de notification des violations, d’analyses d’impact relatives à la protection des données et de consultation préalable (art. 32 à 36 du RGPD), avec les informations dont nous disposons.

8. Violations de données personnelles

Nous informons le client dans les meilleurs délais, et en tout cas dans les 72 heures après avoir pris connaissance d’une violation de données personnelles affectant les données hébergées, par e-mail à l’adresse du compte. La notification décrit, dans la mesure où ils sont connus : la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements, les conséquences probables, les mesures prises ou proposées, ainsi qu’un point de contact. Les informations dont nous ne disposons pas encore sont envoyées dès que nous les avons. Le client, en tant que responsable du traitement, décide de la notification à l’autorité de contrôle et aux personnes concernées.

9. Restitution et suppression à la fin

• Tant que le compte est actif, le client peut télécharger toutes les données hébergées à tout moment (SFTP / SSH, exports de bases de données, IMAP pour les boîtes mail).
• Après la fin de l’abonnement, le compte est suspendu puis supprimé 30 jours plus tard, avec les sites, bases de données, boîtes mail et zones DNS. La sauvegarde finale est conservée pendant ces 30 jours, puis supprimée. Les sauvegardes quotidiennes plus anciennes sont supprimées avec le compte.
• Après un remboursement ou une résiliation pour manquement, les mêmes délais s’appliquent, sauf si le client demande une suppression plus rapide.
• Nous ne conservons une copie que lorsque la loi l’exige.

10. Informations et audits

Nous mettons à la disposition du client les informations nécessaires pour démontrer le respect de l’art. 28 du RGPD (le présent accord, la description des mesures, les réponses aux questions raisonnables). Les audits, y compris les inspections, par le client ou par un auditeur tenu à la confidentialité sont autorisés une fois par an ou après une violation, avec un préavis d’au moins 30 jours, pendant les heures ouvrables, sans accès aux données des autres clients et aux frais du client.

11. Responsabilité et priorité

La responsabilité est régie par les Conditions générales et par l’art. 82 du RGPD. En cas de contradiction concernant le traitement des données hébergées, le présent accord prévaut sur les Conditions générales. Le droit roumain s’applique.