Data Processing Agreement (DPA)

Modèle à faire relire par un juriste avant publication commerciale. Ce texte n'est pas un conseil juridique et n'a pas été validé par un avocat — ne pas s'y fier pour une conformité réelle tant qu'il n'a pas été revu.

Ce document décrit, à titre de modèle, les engagements de celyn en tant que sous-traitant lorsqu'un client lui confie le traitement de données à caractère personnel (par exemple via la verticale directory).

1. Objet et durée

Le présent DPA couvre les données à caractère personnel que le client confie à celyn dans le cadre de son usage de l'API, notamment via la verticale directory (données ENT/écoles/communes, scope dédié — voir P6). Il prend effet à la date de création de la clé API du client concernée et s'applique pendant toute la durée d'utilisation de cette clé.

2. Instructions documentées

celyn traite les données strictement sur instruction documentée du client, dans les limites de son usage de l'API et des scopes accordés à ses clés.

3. Sous-traitants ultérieurs

Hébergement et base de données : Scaleway SAS (France/UE). Envoi d'e-mails transactionnels (vérification de compte, récupération de passkey) : Resend. Supervision des erreurs applicatives : Sentry. Le client est informé de tout changement de sous-traitant ultérieur affectant le traitement.

4. Sécurité

Authentification par clé API, quotas et rate limiting par clé, scopes de capacité limitant l'accès aux seules données autorisées (P6), chiffrement en transit (TLS). Sauvegardes régulières de la base de données, avec vérification périodique que la restauration fonctionne réellement (pas seulement que la sauvegarde existe). [À compléter par un juriste/DPO avant tout engagement contractuel : mesures organisationnelles formalisées, chiffrement au repos — non confirmé au niveau infrastructure à ce jour, à vérifier avant de l'annoncer.]

5. Notification de violation

En cas de violation de données affectant les données du client, celyn s'engage à le notifier dans les meilleurs délais et au plus tard 72 heures après en avoir eu connaissance, par e-mail à l'adresse de contact du compte développeur, avec les informations disponibles à ce stade (nature de la violation, données concernées, mesures prises). [Délai aligné sur l'art. 33 RGPD — à faire valider par un juriste, aucune procédure de notification n'a encore été testée en conditions réelles.]

6. Assistance et audit

celyn met à disposition du client les informations raisonnablement nécessaires pour démontrer le respect de ses obligations de sous-traitant, sur demande écrite à julien@celyn.io. [À compléter : modalités précises d'un audit (préavis, périmètre, fréquence) — à définir avec un juriste avant tout engagement contractuel formel.]

7. Sort des données en fin de contrat

À la révocation de la clé API du client ou à la fin de la relation contractuelle, les données associées sont supprimées ou anonymisées selon les durées de conservation décrites dans la politique de confidentialité, sauf obligation légale de conservation plus longue. [À compléter : délai précis et modalités de restitution sur demande, si nécessaire pour un client donné.]