Data Processing Agreement applicable aux traitements de données à caractère personnel réalisés par JDS CONSEIL en qualité de Sous-traitant pour le compte du Client Responsable de traitement
Entrée en vigueur le 15 avril 2026
Conclu en application de l'article 28 du Règlement (UE) 2016/679 (RGPD)
JDS CONSEIL — Société par Actions Simplifiée (SAS), opérant sous la marque commerciale WakaStellar pour l'ensemble de ses produits et modules de la gamme Waka (dont WakaStart, Waka HDS, WakaSign, WakaSeal, WakaInvoice).
Capital social : 440 760 € (après réduction du 30/12/2024)
Siège social : Parc d'Activité de Tournebride, 44118 LA CHEVROLIÈRE, France
RCS : Nantes 529 773 368
SIRET : 529 773 368 00012
Code APE/NAF : 6420Z
N° TVA intracommunautaire : FR45 529 773 368
Présidente : Jannick SCHIRRA
Directeur Général : Denis SCHIRRA
Site web : www.wakastellar.com
Contact contractuel : contact@wakastellar.com
Déléguée à la Protection des Données (DPO) :
Florelle SCHIRRA, désignée auprès de la CNIL.
Adresse postale : 17, rue de la Guillauderie, 44118 LA CHEVROLIÈRE, France
Email dédié : dpo@wakastellar.com
Ci-après dénommée « JDS CONSEIL » ou le « Responsable de Traitement ». Le terme « WakaStellar » désigne la marque commerciale sous laquelle JDS CONSEIL opère ses produits ; il ne désigne aucune entité juridique distincte de JDS CONSEIL.
Le Client, tel qu'identifié dans le Devis signé avec JDS CONSEIL, agissant pour ses propres besoins et ceux de ses Utilisateurs finaux.
Ci-après dénommé le « Client » ou le « Responsable de Traitement » au sens du RGPD.
Les Parties sont ensemble dénommées les « Parties » et individuellement une « Partie ».
Les Parties sont liées par les Conditions Générales de Vente WakaStart (les « CGV ») portant sur la fourniture d'une Solution SaaS développée et hébergée par le Prestataire, selon la méthodologie définie à l'Article 7 des CGV et dans les conditions d'Hébergement, d'Infogérance et de Sécurité définies aux Articles 3 et 13 des CGV.
Le Contrat est complété par les CGU (Conditions Générales d'Utilisation) qui encadrent les règles opérationnelles d'accès et d'utilisation de la Solution SaaS par le Client et les Utilisateurs, et par la Charte de Confidentialité qui encadre les traitements réalisés par le Prestataire agissant en qualité de Responsable de Traitement pour ses propres besoins de gestion. L'articulation entre ces documents est précisée à l'Article 8.5 des CGV.
Le Prestataire développe, dans le cadre de la plateforme WakaStart, des applications SaaS pour le compte de ses Clients. Ces applications sont de nature extrêmement variable et répondent à des besoins métier spécifiques propres à chaque Client : outils de gestion, plateformes collaboratives, progiciels sectoriels, solutions de facturation, applications métier verticales, etc. En conséquence, les catégories de Données Client hébergées peuvent varier significativement d'un Contrat à l'autre, tant en nature qu'en volume et en sensibilité.
Dans le cadre de l'exécution du Contrat et de l'exploitation de la Solution SaaS :
Le Client agit en qualité de Responsable de Traitement au sens de l'article 4.7 du RGPD pour l'ensemble des Données Client hébergées et traitées dans la Solution SaaS. Il détermine seul les finalités et les moyens des traitements mis en œuvre via la Solution SaaS et assume la pleine et entière responsabilité de la licéité, de la loyauté, de la transparence, de la minimisation, de l'exactitude, de la limitation de la conservation et de la sécurité des traitements qu'il met en œuvre.
Le Prestataire agit en qualité de Sous-traitant au sens de l'article 4.8 du RGPD, traitant les Données Client pour le compte et selon les instructions documentées du Client.
Il est expressément rappelé que, parallèlement, le Prestataire agit en qualité de Responsable de Traitement pour les données à caractère personnel qu'il collecte directement auprès des interlocuteurs professionnels du Client (gestion contractuelle, facturation, support) dans les conditions définies par la Charte de Confidentialité annexée aux CGV. Le présent DPA ne couvre pas ces traitements.
Le présent Accord de Traitement des Données (ci-après le « DPA ») a pour objet de définir les conditions dans lesquelles le Sous-traitant s'engage à traiter les Données Client pour le compte du Responsable de Traitement, conformément à l'article 28 du RGPD.
Le DPA fait partie intégrante du Contrat au sens de l'Article 2 des CGV et prévaut, pour toutes les questions relatives à la protection des données à caractère personnel, sur toute disposition contradictoire des CGV ou du Devis.
Les termes employés avec une majuscule initiale dans le présent DPA ont la signification qui leur est donnée à l'Article 2 des CGV WakaStart, sauf définitions spécifiques introduites ci-après.
« Données Client » ou « Données à Caractère Personnel » — Pour les besoins du présent DPA et par exception à la définition plus large figurant à l'Article 2 des CGV WakaStart, le terme désigne ici exclusivement les données à caractère personnel, au sens de l'article 4.1 du RGPD, traitées par le Sous-traitant pour le compte du Responsable de Traitement dans le cadre du Contrat, telles que décrites à l'Annexe 1. Les données non personnelles hébergées par le Client dans la Solution SaaS demeurent régies par la définition générale des CGV et ne relèvent pas du présent DPA.
« Traitement » — Toute opération ou ensemble d'opérations, au sens de l'article 4.2 du RGPD, effectuée(s) sur les Données Client, telles que décrites à l'Annexe 1.
« Personne Concernée » — Toute personne physique identifiée ou identifiable dont les Données Client font l'objet d'un Traitement.
« Sous-traitant Ultérieur » — Tout tiers auquel le Sous-traitant fait appel pour exécuter tout ou partie des Traitements, conformément à l'Article 7 du présent DPA.
« Violation de Données » — Violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données Client ou l'accès non autorisé à celles-ci, au sens de l'article 4.12 du RGPD.
Les caractéristiques des Traitements réalisés par le Sous-traitant pour le compte du Responsable de Traitement sont décrites en Annexe 1 du présent DPA :
Nature et finalité des Traitements,
Catégories de Personnes Concernées,
Catégories de Données Client,
Durée des Traitements.
Responsabilité du Client sur le contenu hébergé — Le Client reconnaît et accepte expressément que, compte tenu du caractère hautement variable des applications SaaS développées par le Prestataire, il demeure seul et pleinement responsable du contenu des Données Client hébergées dans la Solution SaaS, de leur licéité, de leur pertinence au regard des finalités déclarées, et du respect des droits des Personnes Concernées. Le Sous-traitant n'exerce aucun contrôle éditorial ou de conformité a priori sur les Données Client saisies ou téléversées par le Client ou ses Utilisateurs dans la Solution SaaS.
Toute modification substantielle de la nature des Données Client ou des finalités poursuivies par le Client, en cours de Contrat, doit être portée à la connaissance du Sous-traitant conformément à l'Article 3 ci-après et peut, si elle impacte les conditions techniques ou organisationnelles du Traitement, donner lieu à un Avenant au présent DPA.
Le Sous-traitant ne traite les Données Client que sur instruction documentée du Responsable de Traitement, y compris en ce qui concerne les transferts de Données Client vers un pays tiers ou une organisation internationale, sauf obligation légale contraire applicable au Sous-traitant.
Les instructions initiales du Responsable de Traitement résultent :
Des dispositions du Contrat (CGV, Devis, présent DPA),
Du paramétrage fonctionnel de la Solution SaaS validé lors de la Phase d'Audit & Cadrage et formalisé dans les Spécifications,
Des configurations et paramètres opérationnels définis par le Client dans la Solution SaaS (droits d'accès, règles de rétention, paramètres de notification, etc.).
Toute instruction complémentaire doit être transmise par le Responsable de Traitement au Sous-traitant par écrit, conformément aux modalités de l'Article 18 des CGV (email avec confirmation de réception).
Le Sous-traitant se réserve le droit de refuser ou de suspendre l'exécution d'une instruction qui :
Lui paraîtrait manifestement contraire au RGPD ou à toute autre disposition légale applicable à la protection des données,
Excéderait le périmètre fonctionnel du Contrat ou les capacités techniques de la Solution SaaS,
Relèverait d'une prestation supplémentaire facturable au titre de la TMA.
Dans ce cas, le Sous-traitant informe le Responsable de Traitement par écrit des motifs de son refus ou de sa réserve dans un délai raisonnable.
Le Sous-traitant s'engage à :
Traiter les Données Client dans le strict respect des finalités définies au présent DPA et aux instructions du Responsable de Traitement,
Garantir que les personnes autorisées à traiter les Données Client s'engagent au respect de la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité,
Limiter l'accès aux Données Client aux seules personnes dont l'intervention est strictement nécessaire à l'exécution du Contrat, selon le principe du « besoin d'en connaître » (need-to-know).
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD, dans le cadre de son SMSI certifié ISO 27001.
Les mesures techniques et organisationnelles mises en œuvre sont détaillées en Annexe 2 du présent DPA.
Dans l'hypothèse où le Contrat porte sur un périmètre HDS activé au sens de l'Article 3.2 des CGV, les dispositions de l'Annexe 4 du présent DPA (Conditions particulières HDS) s'appliquent de plein droit et prévalent, pour toute question relative aux DSCP, sur les dispositions du présent DPA.
Les logs de sécurité associés aux Traitements (logs d'accès, logs d'activité, traces techniques de connexion) sont conservés par le Sous-traitant pour une durée de douze (12) mois glissants à compter de leur enregistrement, conformément aux recommandations de la CNIL et aux exigences du référentiel ISO 27001 en matière de traçabilité.
Le Sous-traitant assiste le Responsable de Traitement, dans la mesure du possible et compte tenu de la nature des Traitements, dans :
La réponse aux demandes d'exercice de droits des Personnes Concernées (Article 6),
La notification des Violations de Données (Article 5),
La réalisation des analyses d'impact relatives à la protection des données (AIPD) le concernant, en fournissant les informations techniques pertinentes,
La consultation préalable de l'autorité de contrôle, le cas échéant.
Les prestations d'assistance excédant les diligences standard prévues au présent DPA peuvent être facturées au taux journalier de la TMA défini au Devis, sur bon de commande spécifique.
Le Sous-traitant tient à jour un registre des catégories d'activités de Traitement effectuées pour le compte du Responsable de Traitement, conformément à l'article 30.2 du RGPD. Ce registre est tenu à la disposition du Responsable de Traitement sur simple demande écrite.
Le Sous-traitant notifie au Responsable de Traitement toute Violation de Données affectant les Données Client dans un délai maximum de quarante-huit (48) heures après en avoir pris connaissance.
Par dérogation, lorsque la Violation de Données affecte des DSCP dans le cadre d'un périmètre HDS activé, le délai est ramené à vingt-quatre (24) heures, conformément aux exigences renforcées du référentiel HDS et à l'Article 6.4 de l'Annexe 4 du présent DPA.
Cette notification est adressée par email à l'adresse contractuelle du Responsable de Traitement, conformément à l'Article 18 des CGV, avec demande de confirmation de réception.
La notification doit comprendre, dans la mesure des informations disponibles au moment de l'envoi et sans préjudice de compléments ultérieurs :
La nature de la Violation de Données, incluant, dans la mesure du possible, les catégories et le nombre approximatif de Personnes Concernées et les catégories et le nombre approximatif d'enregistrements de Données Client concernés,
Le nom et les coordonnées de la Déléguée à la Protection des Données (DPO) ou d'un autre point de contact auprès duquel des informations supplémentaires peuvent être obtenues,
Les conséquences probables de la Violation de Données,
Les mesures prises ou proposées par le Sous-traitant pour remédier à la Violation de Données, y compris, le cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.
Le Sous-traitant assiste le Responsable de Traitement, dans la mesure de ses moyens, pour lui permettre de respecter ses propres obligations de notification auprès de la CNIL (dans un délai de 72 heures) et, le cas échéant, de communication aux Personnes Concernées, conformément aux articles 33 et 34 du RGPD.
Le Sous-traitant documente toute Violation de Données, ses effets et les mesures prises pour y remédier. Cette documentation est tenue à la disposition du Responsable de Traitement et de la CNIL.
Le Sous-traitant, tenant compte de la nature des Traitements, assiste le Responsable de Traitement par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour s'acquitter de son obligation de donner suite aux demandes dont les Personnes Concernées le saisissent en vue d'exercer leurs droits RGPD (accès, rectification, effacement, limitation, portabilité, opposition, directives post-mortem).
Si une Personne Concernée adresse directement au Sous-traitant une demande d'exercice de droits portant sur des Données Client, le Sous-traitant :
Ne répond pas directement à la demande, sauf instruction contraire du Responsable de Traitement,
Transmet la demande au Responsable de Traitement sans délai et au plus tard dans un délai de cinq (5) Jours Ouvrés à compter de sa réception,
Accompagne cette transmission, le cas échéant, de tout élément de contexte utile à son traitement.
Le Sous-traitant met à disposition du Responsable de Traitement, dans l'interface d'administration de la Solution SaaS, les fonctionnalités techniques nécessaires pour permettre au Responsable de Traitement de traiter lui-même les demandes d'exercice de droits des Personnes Concernées (export des données, rectification, suppression, etc.), dans la mesure du périmètre fonctionnel prévu aux Spécifications.
Le Responsable de Traitement autorise de manière générale le Sous-traitant à recourir à des Sous-traitants Ultérieurs pour l'exécution de tout ou partie des Traitements, dans les conditions prévues par l'Article 16 des CGV et par le présent Article 7.
La liste des Sous-traitants Ultérieurs principaux à la date d'entrée en vigueur du présent DPA figure en Annexe 3. Cette liste inclut notamment OVH (OVHcloud) en qualité de fournisseur d'hébergement et d'infrastructure cloud.
La liste actualisée est tenue à la disposition du Responsable de Traitement sur simple demande écrite.
Le Sous-traitant informe par écrit le Responsable de Traitement de tout projet de recours à un nouveau Sous-traitant Ultérieur ou de remplacement d'un Sous-traitant Ultérieur existant, avec un préavis minimum de trente (30) jours calendaires.
Pendant ce préavis, le Responsable de Traitement peut émettre une objection motivée à ce changement, par écrit, conformément à l'Article 18 des CGV. L'objection doit être fondée sur des motifs raisonnables liés à la protection des données.
En cas d'objection :
Les Parties s'efforcent de bonne foi de trouver une solution alternative dans un délai raisonnable,
À défaut de solution, le Sous-traitant peut renoncer au recours au nouveau Sous-traitant Ultérieur, ou, à défaut, le Responsable de Traitement dispose d'un droit de résiliation anticipée du Contrat limitée à la partie des prestations impactées, sans pénalité.
Le Sous-traitant s'engage à ne recourir qu'à des Sous-traitants Ultérieurs présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, de manière à ce que les Traitements répondent aux exigences du RGPD.
À cet effet, le Sous-traitant conclut avec chaque Sous-traitant Ultérieur un contrat écrit imposant les mêmes obligations en matière de protection des données que celles figurant dans le présent DPA, conformément à l'article 28.4 du RGPD.
Le Sous-traitant demeure pleinement responsable devant le Responsable de Traitement de l'exécution, par ses Sous-traitants Ultérieurs, de leurs obligations en matière de protection des données.
Le Sous-traitant déclare et certifie que les Données Client ne font l'objet d'aucun transfert hors du territoire de l'Union Européenne, ni d'aucun Traitement en dehors du territoire de l'Union Européenne, cohérent avec le choix d'un hébergement souverain auprès d'OVHcloud en France et avec le référentiel ISO 27001 du Sous-traitant.
Toute évolution future de cette situation ferait l'objet d'une notification préalable au Responsable de Traitement conformément à l'Article 7.3 du présent DPA et d'une mise à jour du DPA, accompagnée de la mise en place des garanties appropriées prévues aux articles 45 à 49 du RGPD (décision d'adéquation, clauses contractuelles types de la Commission Européenne, règles d'entreprise contraignantes, etc.).
Le Sous-traitant met à la disposition du Responsable de Traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues par l'article 28 du RGPD.
À cet effet, le Responsable de Traitement dispose d'un droit d'audit des Traitements effectués par le Sous-traitant, dans les conditions suivantes.
Le Responsable de Traitement peut diligenter un audit au maximum une (1) fois par année civile, sauf en cas de Violation de Données avérée affectant les Données Client, auquel cas un audit supplémentaire peut être diligenté sans délai.
L'audit est programmé avec un préavis écrit minimum de trente (30) jours calendaires, adressé par le Responsable de Traitement au Sous-traitant conformément à l'Article 18 des CGV.
L'audit peut prendre la forme, au choix du Responsable de Traitement :
Audit documentaire : transmission par le Sous-traitant de ses rapports de conformité ISO 27001, certificats, politiques de sécurité, registres, et autres documents pertinents,
Audit sur site : visite des locaux du Sous-traitant par le Responsable de Traitement ou un auditeur tiers mandaté par lui, pendant les heures ouvrées et dans le respect des règles de sécurité du site.
L'auditeur tiers éventuellement mandaté par le Responsable de Traitement doit être indépendant du Sous-traitant et de ses concurrents directs, et signer préalablement un accord de confidentialité avec le Sous-traitant.
Les coûts de l'audit sont à la charge du Responsable de Traitement, sauf si l'audit révèle un manquement significatif du Sous-traitant à ses obligations contractuelles, auquel cas les coûts raisonnables et justifiés de l'audit sont pris en charge par le Sous-traitant.
Les prestations d'accompagnement du Sous-traitant lors de l'audit (mobilisation d'équipes, ouverture d'environnements, analyse conjointe) sont facturées au taux journalier de la TMA défini au Devis, sur bon de commande spécifique, à l'exception des prestations documentaires standard qui demeurent gratuites.
Au terme de l'audit, le Responsable de Traitement remet au Sous-traitant une copie du rapport d'audit dans un délai raisonnable, afin de permettre la mise en œuvre des éventuelles mesures correctives.
Le présent DPA entre en vigueur à la date de signature du Contrat et s'applique pendant toute la durée de celui-ci.
Au terme du Contrat, pour quelque cause que ce soit (expiration normale, résiliation anticipée, etc.), le Sous-traitant cesse tout Traitement des Données Client, sous réserve des opérations nécessaires à la restitution ou à la destruction des données conformément au présent Article 10.
Conformément à l'article 28.3.g du RGPD et au principe défini à l'Article 11 des CGV WakaStart (Réversibilité), les Données Client font, par défaut, l'objet d'une restitution au Responsable de Traitement, selon les modalités suivantes :
Activation de la Réversibilité — Sous réserve du paiement intégral des sommes dues et de la fin de la période d'engagement initiale, conformément à l'Article 11 des CGV, le Sous-traitant met à disposition du Responsable de Traitement l'ensemble des Données Client sous un format structuré et couramment utilisé (export base de données, fichiers standard), téléchargeable via Internet.
Période de disponibilité — Les Données Client restent disponibles à la restitution pendant une période de trente (30) jours calendaires à compter de la fin effective du Contrat.
Destruction à l'issue de la période de restitution — À l'expiration de ce délai de trente (30) jours, le Sous-traitant procède à la destruction sécurisée et irréversible de l'ensemble des Données Client, ainsi que de leurs copies, conformément aux bonnes pratiques de son SMSI ISO 27001.
Le Responsable de Traitement peut, par demande écrite expresse adressée au Sous-traitant avant la fin du Contrat, renoncer à la restitution et demander la destruction immédiate des Données Client à la date de fin du Contrat. Cette demande est irrévocable.
Le Sous-traitant délivre au Responsable de Traitement, sur simple demande écrite, une attestation de destruction des Données Client dans un délai de trente (30) jours ouvrés suivant la destruction effective.
Par exception aux dispositions qui précèdent, le Sous-traitant est autorisé à conserver certaines Données Client au-delà des délais fixés ci-dessus lorsque la loi applicable l'y oblige (obligations comptables, réquisitions judiciaires, etc.). Dans ce cas, le Sous-traitant garantit la confidentialité des Données Client ainsi conservées et s'interdit tout Traitement ultérieur à des fins autres que celles requises par la loi.
La responsabilité des Parties au titre du présent DPA est régie par les dispositions de l'Article 9 des CGV WakaStart, sous réserve des précisions ci-après.
Conformément à l'Article 9.4 des CGV, les plafonds de responsabilité ne s'appliquent pas aux dommages résultant d'une violation des obligations du Sous-traitant en matière de protection des données à caractère personnel, sans préjudice des dispositions de l'article 82 du RGPD qui fixent le régime autonome de responsabilité en matière de protection des données.
Le Responsable de Traitement demeure seul responsable de la licéité, de la loyauté et de la transparence des Traitements qu'il met en œuvre via la Solution SaaS, de la pertinence et de la qualité des Données Client, de l'information et de la collecte du consentement éventuel des Personnes Concernées, du respect de la durée de conservation définie pour ses propres traitements, et de la licéité du contenu hébergé.
Le Sous-traitant est responsable de la sécurité et de la confidentialité des Traitements qu'il met en œuvre pour le compte du Responsable de Traitement, du respect de ses instructions documentées, et des obligations spécifiques mises à sa charge par l'article 28 du RGPD et par le présent DPA.
Le présent DPA peut être modifié à tout moment par voie d'Avenant signé des deux Parties, notamment pour tenir compte :
De l'évolution de la réglementation applicable à la protection des données,
De l'activation du périmètre HDS en cours de Contrat (donnant lieu à une annexe HDS spécifique),
De l'évolution substantielle des Traitements, des catégories de Données Client ou des finalités,
De l'évolution des Sous-traitants Ultérieurs.
Les modifications mineures ou rédactionnelles n'affectant pas les droits substantiels des Parties peuvent être notifiées par le Sous-traitant au Responsable de Traitement, avec un préavis raisonnable, conformément à l'Article 18 des CGV, sans qu'il soit nécessaire de procéder par voie d'Avenant.
La langue originale et faisant foi du présent DPA est la langue française.
Le présent DPA est régi par le droit français. En cas de litige, les dispositions de l'Article 12 des CGV relatives à la loi applicable et à la juridiction compétente s'appliquent.
Le Sous-traitant effectue, pour le compte du Responsable de Traitement, les opérations de Traitement suivantes :
Hébergement des Données Client sur son infrastructure cloud sous-traitée auprès d'OVH,
Stockage, sauvegarde et restauration des Données Client conformément aux niveaux de service définis à l'Article 13 des CGV,
Mise à disposition et consultation des Données Client par les Utilisateurs autorisés par le Responsable de Traitement, via l'interface de la Solution SaaS,
Transmission des Données Client entre les composants techniques de la Solution SaaS et, le cas échéant, avec des systèmes tiers connectés selon les Spécifications,
Support technique et opérations de maintenance (corrective, évolutive, adaptative) de la Solution SaaS,
Enregistrement des logs d'accès, d'activité et de sécurité aux fins de traçabilité.
Finalité principale — Permettre au Responsable de Traitement l'exploitation de la Solution SaaS développée et hébergée pour son compte, dans les conditions prévues au Contrat.
Compte tenu de la nature hautement variable des applications SaaS développées par le Sous-traitant, les catégories de Personnes Concernées dépendent de l'usage métier spécifique du Responsable de Traitement. Elles peuvent notamment inclure, selon les cas :
Les Utilisateurs finaux de la Solution SaaS (employés, collaborateurs, prestataires du Responsable de Traitement),
Les clients et prospects du Responsable de Traitement,
Les partenaires commerciaux du Responsable de Traitement,
Toute autre catégorie de personnes physiques concernée par l'activité métier du Responsable de Traitement.
Le Responsable de Traitement assume la pleine responsabilité de l'identification précise des catégories de Personnes Concernées au titre de son propre registre des traitements.
Les catégories de Données Client hébergées varient selon la nature fonctionnelle de la Solution SaaS commandée et peuvent notamment inclure :
Données d'identification : nom, prénom, civilité, identifiants,
Données de contact : email, téléphone, adresse postale,
Données professionnelles : fonction, organisation d'appartenance, secteur d'activité,
Données de connexion et de navigation : adresse IP, identifiants de session, horodatage, logs d'accès et d'activité,
Données métier spécifiques saisies ou téléversées par le Responsable de Traitement et ses Utilisateurs dans la Solution SaaS selon l'usage fonctionnel prévu aux Spécifications,
Données financières le cas échéant (identifiants bancaires, factures), hors données de paiement sensibles qui ne sont pas hébergées dans la Solution SaaS.
Données sensibles — Le Sous-traitant ne procède pas, par défaut, au Traitement de données sensibles au sens de l'article 9 du RGPD. Le Traitement de Données de Santé est strictement conditionné à l'activation du périmètre HDS prévue à l'Article 3.2 des CGV.
Les Traitements sont effectués pendant toute la durée du Contrat, puis cessent conformément à l'Article 10 du présent DPA.
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes, dans le cadre de son SMSI certifié ISO 27001, pour garantir la sécurité des Traitements au sens de l'article 32 du RGPD.
Politique de sécurité de l'information formalisée et révisée périodiquement,
Désignation d'un Responsable de la Sécurité des Systèmes d'Information (RSSI) et d'une Déléguée à la Protection des Données (DPO),
Sensibilisation et formation régulières du personnel aux enjeux de sécurité et de protection des données,
Engagements de confidentialité signés par l'ensemble des collaborateurs ayant accès aux Données Client,
Politique de gestion des droits d'accès selon le principe du besoin d'en connaître (need-to-know),
Procédures de gestion des incidents de sécurité et des Violations de Données, documentées et testées.
Chiffrement des Données Client au repos et en transit (protocoles TLS en vigueur, chiffrement de la base de données),
Authentification forte des comptes d'administration et des accès privilégiés,
Cloisonnement logique des environnements entre Clients dans l'architecture mutualisée SaaS,
Supervision et détection d'intrusion sur les infrastructures hébergeant les Données Client,
Sauvegardes quotidiennes avec rétention minimale de 30 jours glissants, conformément à l'Article 13.4 des CGV,
Plan de continuité et de reprise d'activité (PCA/PRA) testé périodiquement,
Tests d'intrusion (Pentests) réalisés conformément à l'Article 7.3 des CGV.
Dans l'hypothèse où le périmètre HDS est activé au sens de l'Article 3.2 des CGV, les mesures ci-dessus sont complétées par les exigences spécifiques du référentiel HDS en vigueur, notamment :
Hébergement chez un hébergeur certifié HDS,
Mesures renforcées de traçabilité et d'auditabilité,
Procédures spécifiques de gestion des incidents impliquant des Données de Santé,
Formation spécifique des personnels amenés à intervenir sur les Données de Santé.
Le détail des mesures HDS applicables est formalisé dans un avenant HDS au présent DPA, signé concomitamment à l'activation du périmètre HDS.
Le détail complet et actualisé des mesures techniques et organisationnelles mises en œuvre par le Sous-traitant est consigné dans son SMSI ISO 27001 et est tenu à la disposition du Responsable de Traitement dans le cadre du droit d'audit prévu à l'Article 9 du présent DPA.
| Sous-traitant Ultérieur | Rôle | Localisation | Garanties |
|---|---|---|---|
| OVH (OVHcloud) | Fournisseur d'hébergement et d'infrastructure cloud | France / Union Européenne | ISO 27001, ISO 27017, ISO 27018, HDS (selon offre), contrat DPA OVH conforme à l'article 28 RGPD |
Les partenaires et prestataires directs de JDS CONSEIL intervenant ponctuellement sur l'exécution de prestations techniques (développement, support, maintenance, surveillance de sécurité) sont tous liés par un contrat sécurisé intégrant :
Des engagements de confidentialité,
Des obligations conformes à l'article 28 du RGPD,
Des engagements de sécurité de l'information alignés sur le référentiel ISO 27001 de JDS CONSEIL.
La liste actualisée et nominative des Sous-traitants Ultérieurs est tenue à la disposition du Responsable de Traitement sur simple demande écrite adressée à dpo@wakastellar.com.
L'Annexe 4 — Conditions particulières HDS s'applique de plein droit lorsque le périmètre HDS est expressément activé au Devis conformément à l'Article 3.2 des CGV WakaStart.
Cette annexe précise notamment :
Les engagements de l'Hébergeur au titre de la Certification HDS de JDS CONSEIL,
Les mesures de protection et de sécurisation renforcées des DSCP,
Le délai de notification des Violations de Données renforcé à vingt-quatre (24) heures pour les DSCP,
Les Sous-Traitants Ultérieurs certifiés HDS (dont OVH Gravelines et Strasbourg),
Les modalités spécifiques de réversibilité et de destruction (dont le crypto-shredding),
Les SLO HDS (disponibilité 99,9 %, RTO/RPO PCA/PRA spécifiques),
Le plafond de responsabilité spécifique au périmètre HDS.
En cas de contradiction entre les dispositions générales du présent DPA et l'Annexe 4 pour toute question portant sur les DSCP, les dispositions de l'Annexe 4 prévalent.
L'Annexe 4 fait l'objet d'un document séparé (Annexe-HDS-WakaStart.md), joint au Contrat lors de l'activation du périmètre HDS et tenu à disposition sur simple demande écrite.
Document contractuel — JDS CONSEIL