Le présent Accord de Traitement des Données (« DPA ») complète les CGV conclues entre Myrmia SAS (« Sous-traitant ») et le Client (« Responsable de traitement »), conformément à l'article 28 du RGPD.
1. Objet et durée
Le Sous-traitant est autorisé à traiter pour le compte du Responsable de traitement les données personnelles nécessaires à la fourniture des services Myrmia, pour la durée de l'abonnement.
2. Nature et finalité du traitement
- Fourniture des services d'agents IA
- Stockage, traitement et analyse des emails synchronisés
- Génération de brouillons et exécution d'actions selon les règles définies par le Client
3. Catégories de personnes concernées
- Utilisateurs du Client (collaborateurs)
- Contacts professionnels du Client (clients, prospects, fournisseurs)
4. Catégories de données traitées
- Données d'identification (nom, email, téléphone)
- Données professionnelles (entreprise, fonction)
- Contenu des correspondances (emails, brouillons)
5. Obligations du Sous-traitant
- Traiter les données conformément aux instructions documentées du Responsable
- Garantir la confidentialité (engagements du personnel)
- Mettre en œuvre les mesures de sécurité décrites à l'article 7
- Assister le Responsable dans la réponse aux demandes d'exercice des droits
- Notifier toute violation de données sous 72 heures
- Restituer ou supprimer les données à la fin de la prestation
- Tenir un registre des traitements et permettre les audits
6. Sous-traitants ultérieurs
Le Sous-traitant est autorisé à recourir aux sous-traitants ultérieurs listés sur la page Sous-traitants. Toute évolution est notifiée au Client au moins 30 jours avant sa mise en œuvre.
7. Mesures de sécurité
- Chiffrement en transit (TLS 1.3) et au repos (AES-256-GCM pour les tokens OAuth)
- Authentification forte, contrôle d'accès basé sur les rôles (RBAC)
- Row-Level Security (RLS) au niveau base de données
- Journalisation des accès et audit trail
- Sauvegardes quotidiennes
- Hébergement européen (Francfort)
8. Transferts hors UE
Lorsque des transferts hors UE sont nécessaires (sous-traitants américains), ils sont encadrés par les Clauses Contractuelles Types de la Commission européenne (Décision 2021/914) et le Data Privacy Framework lorsque applicable.
9. Audit
Le Responsable peut, sous préavis raisonnable et à ses frais, demander un audit annuel. Les rapports d'audit des certifications du Sous-traitant peuvent être fournis en réponse.
10. Fin de la prestation
À la fin du contrat, le Sous-traitant supprime ou restitue toutes les données personnelles, dans un délai maximal de 30 jours, sauf obligation légale de conservation.
Pour signer un DPA dédié, contactez-nous à rgpd@myrmia.fr.