Accord de Traitement de Données (DPA) — Atalios

Data Processing Agreement — Version 1.0 — En vigueur à compter du 29 avril 2026

Préambule

Le présent Accord de Traitement de Données (ci-après le « DPA ») complète les Conditions Générales de Vente et d'Utilisation Atalios (ci-après les « CGV ») et précise les obligations respectives des Parties au regard du Règlement (UE) 2016/679 du 27 avril 2016 (ci-après le « RGPD »).

Le présent DPA est conclu entre :

• Atalios — SASU, nom commercial « Atalios Consulting », siège social 12 rue de la Part-Dieu, 69003 Lyon, France, SIREN 109 570 358 — agissant en qualité de Sous-Traitant au sens de l'article 4.8 du RGPD,

et

• le Client signataire des CGV, agissant en qualité de Responsable de Traitement au sens de l'article 4.7 du RGPD.

L'acceptation des CGV emporte acceptation pleine et entière du présent DPA.

Article 1 — Objet

Le présent DPA a pour objet de définir les conditions dans lesquelles Atalios traite, pour le compte du Client, les données à caractère personnel (ci-après les « Données ») nécessaires à l'exécution des Services SaaS souscrits.

Article 2 — Description du traitement

Article 3 — Obligations d'Atalios (Sous-Traitant)

Atalios s'engage à :

3.1 — Traiter les Données sur instructions documentées du Client

Atalios traite les Données uniquement pour les finalités décrites au présent DPA et selon les instructions du Client telles que matérialisées par les CGV, le tunnel de souscription, et toute instruction complémentaire écrite. Atalios informe immédiatement le Client si une instruction lui paraît contrevenir au RGPD.

3.2 — Garantir la confidentialité

Atalios garantit que les personnes autorisées à traiter les Données sont :

• soumises à une obligation contractuelle ou légale de confidentialité ;
• formées à la protection des données ;
• habilitées strictement selon le principe du moindre privilège.

3.3 — Mettre en œuvre des mesures de sécurité appropriées

Conformément à l'article 32 du RGPD, Atalios met en œuvre les mesures techniques et organisationnelles suivantes :

Mesures techniques

• chiffrement en transit (TLS 1.2 minimum) ;
• chiffrement au repos des sauvegardes ;
• isolation des Instances multi-tenant ;
• contrôles d'accès basés sur les rôles (RBAC) ;
• authentification forte (MFA) sur les accès administrateurs ;
• pseudonymisation lorsque pertinent ;
• journalisation et supervision continue ;
• gestion des correctifs de sécurité (patches) ;
• pare-feu et politiques de sécurité réseau ;
• sauvegardes quotidiennes chiffrées avec rotation.

Mesures organisationnelles

• politique de sécurité interne formalisée ;
• procédures de gestion des incidents et d'astreinte ;
• registre des activités de traitement (art. 30 RGPD) ;
• revues régulières des accès ;
• gestion des départs (révocation des accès) ;
• sensibilisation du personnel.

3.4 — Recourir à des Sous-Traitants ultérieurs

Le Client autorise Atalios à recourir aux Sous-Traitants ultérieurs listés à l'Annexe 1 du présent DPA. Atalios :

• s'assure que chaque Sous-Traitant ultérieur souscrit à des engagements équivalents en matière de protection des données ;
• informe le Client de tout ajout ou remplacement de Sous-Traitant avec un préavis raisonnable ;
• demeure pleinement responsable vis-à-vis du Client de l'exécution par ses Sous-Traitants de leurs obligations.

Le Client peut s'opposer à l'ajout d'un Sous-Traitant ultérieur dans un délai de 30 jours après notification, par email motivé à [email protected]. À défaut d'accord, chacune des Parties peut résilier le contrat sans indemnité.

3.5 — Assister le Client dans le respect de ses obligations

Atalios assiste raisonnablement le Client pour :

• répondre aux demandes d'exercice des droits des personnes concernées (art. 15 à 22 RGPD) ;
• réaliser des analyses d'impact relatives à la protection des données (DPIA — art. 35 RGPD) ;
• consulter l'autorité de contrôle compétente (art. 36 RGPD) ;
• garantir la sécurité des traitements (art. 32 RGPD) ;
• notifier les violations de données (art. 33 et 34 RGPD).

L'assistance d'Atalios est gracieuse pour les demandes proportionnées ; toute prestation excédentaire pourra faire l'objet d'une facturation au tarif horaire en vigueur.

3.6 — Notifier les violations de Données

Atalios notifie au Client toute violation de Données dans un délai maximum de soixante-douze (72) heures après en avoir pris connaissance, par email à l'adresse enregistrée dans le Compte du Client. La notification précise :

• la nature de la violation ;
• les catégories et le nombre approximatif de personnes concernées ;
• les catégories et le nombre approximatif d'enregistrements concernés ;
• les conséquences probables ;
• les mesures prises ou envisagées pour atténuer les conséquences.

3.7 — Restituer ou supprimer les Données à la fin du contrat

À l'expiration ou la résiliation du contrat, Atalios :

• met à disposition du Client, pendant 30 jours, un export complet des Données (formats standards : SQL, CSV, JSON, archives ZIP) ;
• procède ensuite à la suppression définitive et irréversible des Données de ses systèmes de production ;
• procède à la purge des sauvegardes selon les cycles de rotation, dans un délai maximum de 90 jours.

Sur demande du Client, Atalios fournit une attestation de suppression.

3.8 — Tenue d'un registre

Atalios tient un registre des traitements effectués pour le compte du Client conformément à l'article 30.2 du RGPD.

3.9 — Audit

Le Client peut demander, une fois par an et avec un préavis raisonnable de 30 jours, à effectuer un audit (sur pièces, sur questionnaire ou via un tiers indépendant soumis au secret) des mesures mises en œuvre par Atalios pour exécuter le présent DPA. Les audits ne doivent pas perturber l'exécution des Services et leurs frais sont à la charge du Client, sauf en cas de manquement grave avéré.

Article 4 — Obligations du Client (Responsable de Traitement)

Le Client s'engage à :

• documenter par écrit toute instruction complémentaire adressée à Atalios ;
• veiller au respect des obligations prévues par le RGPD avant et pendant la durée du traitement (notamment en matière de licéité, d'information des personnes concernées, de recueil du consentement le cas échéant) ;
• ne pas charger dans les Instances de catégories particulières de données (art. 9 RGPD) ou de données pénales (art. 10 RGPD) sans avoir préalablement mis en œuvre les mesures de sécurité renforcées appropriées ;
• s'assurer que ses Utilisateurs sont formés et habilités à traiter les Données ;
• répondre directement aux demandes des personnes concernées dont il est responsable de traitement.

Article 5 — Transferts hors Union européenne

Les Données sont stockées par défaut dans l'Union européenne (datacenters OVHcloud France).

Certains Sous-Traitants ultérieurs (cf. Annexe 1) peuvent être amenés à traiter les Données hors UE. Pour encadrer ces transferts, Atalios met en œuvre :

• les Clauses Contractuelles Types de la Commission européenne (décision (UE) 2021/914) ;
• les mesures supplémentaires recommandées par le CEPD lorsque pertinent (chiffrement, pseudonymisation, limitation d'accès) ;
• une analyse d'impact des transferts (TIA) lorsque cela s'avère nécessaire.

Article 6 — Responsabilité

La responsabilité d'Atalios au titre du présent DPA est limitée dans les conditions et plafonds prévus à l'Article 11 des CGV.

En cas de partage de responsabilité avec le Client (notamment en cas d'amende administrative imposée par une autorité de contrôle), chaque Partie supporte la part de l'amende correspondant à sa propre responsabilité, conformément à l'article 82.5 du RGPD.

Article 7 — Durée et résiliation

Le présent DPA prend effet à la date d'acceptation des CGV et demeure en vigueur pendant toute la durée du contrat principal. Les obligations relatives à la confidentialité, à la suppression des Données et à l'assistance du Client survivent à la résiliation pour la durée nécessaire à leur exécution.

Article 8 — Litige

Tout différend relatif au présent DPA est régi par le droit français et soumis à la juridiction définie à l'Article 18 des CGV.

Annexe 1 — Liste des Sous-Traitants ultérieurs

La liste à jour est disponible sur demande à [email protected]. Toute modification substantielle est notifiée par email avec un préavis de 30 jours.

Annexe 2 — Mesures de sécurité techniques et organisationnelles

(Synthèse — détails complets disponibles sur demande sous engagement de confidentialité.)

Sécurité physique

• Datacenters certifiés ISO 27001 (OVHcloud)
• Contrôle d'accès biométrique
• Surveillance 24/7
• Redondance électrique et climatisation

Sécurité réseau

• Pare-feu périmétrique
• Segmentation réseau (VLAN, NetworkPolicies Kubernetes)
• VPN pour les accès administrateurs
• Protection anti-DDoS (Cloudflare)

Sécurité applicative

• HTTPS / TLS 1.2+ obligatoire
• Headers de sécurité (HSTS, CSP, etc.)
• Validation des entrées, prévention OWASP Top 10
• Tests de sécurité réguliers
• Gestion centralisée des secrets (Vault)

Sécurité opérationnelle

• Sauvegardes quotidiennes chiffrées
• Plan de continuité et de reprise d'activité
• Procédure de gestion des incidents documentée
• Formation continue des équipes
• Revue annuelle des habilitations

Gouvernance

• Registre des activités de traitement
• Politique de sécurité formalisée
• Charte informatique pour le personnel
• Audits internes réguliers

© 2026 Atalios. Document à valeur contractuelle. Tous droits réservés.