Accord de traitement des données (DPA)

# Firaxy — accord de traitement des données, article 28 du RGPD

> **VERSION CANDIDATE UAT.** Cette version couvre la structure de l'article 28 du RGPD. Elle ne devient contractuelle qu'après validation externe, archivage des preuves propres aux comptes fournisseurs et activation formelle par AMPLIXY.

## 1. Parties et qualité

Le présent accord est conclu entre le Client professionnel identifié dans le compte Firaxy, responsable du traitement pour les alertes destinées à ses abonnés, et AMPLIXY, EURL identifiée dans les CGV, sous-traitant pour les opérations décrites ci-dessous.

AMPLIXY demeure responsable des traitements dont elle détermine elle-même les finalités, notamment la gestion du compte, la facturation, la sécurité de la plateforme, le support, la preuve contractuelle et sa mesure d'audience. Ces traitements sont décrits dans la politique de confidentialité et ne sont pas régis comme des instructions du Client.

## 2. Objet, durée, nature et finalité

| Élément | Description |
|---|---|
| Objet | Fournir au Client un service de collecte d'abonnements, ciblage géographique et envoi d'alertes de présence |
| Durée | Durée du compte Firaxy, augmentée de la période de réversibilité et des conservations légalement requises |
| Opérations | Collecte, enregistrement, organisation, consultation, sélection par distance, transmission d'emails, mise à jour, export, désactivation, anonymisation et suppression |
| Finalités | Permettre aux personnes ayant consenti de recevoir les alertes J-7 et jour J du Client pour les présences comprises dans le rayon choisi |
| Personnes | Abonnés et candidats à l'abonnement du Client |
| Données | Email, ville, code postal, latitude/longitude dérivées de la ville choisie, rayon, identifiants et jetons techniques, statut et dates de confirmation/désabonnement, historique d'envoi et de délivrabilité ; aucune donnée sensible n'est prévue |

La version observée ne collecte ni prénom de l'abonné ni position GPS de son appareil. L'adresse sélectionnée via l'API publique Géoplateforme de l'IGN (`https://data.geopf.fr/geocodage/search`) produit une ville, un code postal et des coordonnées utilisées pour le calcul de distance.

## 3. Instructions documentées

Les CGV, la configuration du Client et ses actions dans Firaxy constituent les instructions documentées. AMPLIXY ne traite les données que pour fournir les fonctions demandées, sauf obligation légale. Dans ce dernier cas, AMPLIXY informe le Client avant le traitement sauf interdiction légale.

AMPLIXY informe immédiatement le Client lorsqu'une instruction lui paraît violer le RGPD ou le droit applicable et peut en suspendre l'exécution.

Le Client n'instruit pas AMPLIXY de collecter des données sensibles, des données pénales, ni des données de mineurs. Toute extension nécessite une analyse et un avenant préalables.

## 4. Obligations du Client

Le Client :

- définit la finalité de ses alertes et vérifie leur licéité ;
- fournit une information conforme à ses abonnés et recueille un consentement spécifique et prouvable ;
- garantit que les destinataires n'entrent dans le ciblage qu'après double opt-in ;
- traite les demandes de droits et transmet à AMPLIXY les seules instructions nécessaires ;
- tient ses coordonnées et le contenu de ses emails à jour ;
- n'utilise pas les données pour une autre prospection sans information et base légale distinctes.

## 5. Confidentialité et personnes autorisées

AMPLIXY limite l'accès aux personnes qui en ont besoin pour exploiter ou assister le Service. Ces personnes sont soumises à une obligation de confidentialité et reçoivent des instructions adaptées. Le Client protège ses propres accès et gère les personnes autorisées à utiliser son compte.

## 6. Mesures techniques et organisationnelles observées

Les mesures suivantes sont appuyées par le code ou la documentation au 19 août 2026 :

- échanges web protégés par HTTPS/TLS et en-têtes HSTS, CSP, `nosniff`, `DENY` et politique de permissions ;
- authentification Supabase, contrôles d'autorisation serveur et politiques RLS sur les tables documentées ;
- séparation des clés publiques, clés de service et secrets serveur ;
- validation des entrées, limitation de débit et protection Turnstile sur les inscriptions publiques lorsque configurée ;
- signature des webhooks Stripe ;
- double opt-in avec jeton aléatoire et expiration à 24 heures ;
- jeton de désabonnement, horodatage du retrait et purge des désabonnés après plus de 30 jours, avec anonymisation de leur email dans les journaux liés ;
- export JSON du compte et suppression réauthentifiée ;
- journalisation applicative et journaux de demandes RGPD ;
- tâche de purge protégée par un secret distinct.

Limites à ne pas transformer en promesses :

- le module de chiffrement de champs existe mais n'est pas appelé lors des écritures observées ; le chiffrement de toutes les données au repos n'est donc pas démontré ;
- une archive chiffrée des schémas applicatifs de production a été conservée hors du VPS et restaurée avec succès dans une base isolée le 19 août 2026 ; la périodicité, la rétention et la restauration récurrente ne sont pas encore prouvées en exploitation ;
- aucun dispositif de détection d'intrusion n'est démontré ;
- les durées des journaux d'infrastructure et des sauvegardes restent à documenter.

L'annexe sécurité doit être révisée lorsque l'exploitation change.

## 7. Sous-traitants ultérieurs

Le Client donne une autorisation générale au recours aux sous-traitants listés en annexe. AMPLIXY notifie tout ajout ou remplacement au moins trente jours calendaires avant le changement, en précisant le service, le lieu et les garanties applicables. Le Client dispose de quinze jours calendaires à compter de la notification pour former une objection documentée portant sur la protection des données.

Les parties recherchent de bonne foi une solution raisonnable, notamment un autre prestataire ou une mesure complémentaire. Si aucune solution n'est trouvée avant la prise d'effet du changement, le Client peut résilier sans frais la partie affectée du Service avant cette date. Une objection ne peut imposer à AMPLIXY de maintenir un prestataire devenu indisponible ou non conforme.

AMPLIXY impose contractuellement à chaque sous-traitant ultérieur les obligations applicables et demeure responsable de leur exécution dans les conditions de l'article 28.

## 8. Transferts hors EEE

AMPLIXY n'effectue ni n'autorise un transfert hors de l'Espace économique européen pour le compte du Client sans instruction documentée et sans mécanisme valide. Avant publication, chaque fournisseur doit être documenté avec ses entités contractantes, lieux de traitement, sous-traitants et garanties effectives.

Aucune mention générique du « Privacy Shield » n'est admise. L'absence actuelle de preuve conduit à marquer les transferts comme inconnus, pas comme inexistants.

## 9. Assistance

Compte tenu de la nature du traitement, AMPLIXY aide le Client à :

- répondre aux demandes d'accès, rectification, effacement, limitation, opposition et portabilité ;
- documenter la sécurité et les violations ;
- réaliser, si nécessaire, une analyse d'impact et une consultation préalable ;
- fournir les données et informations disponibles sans divulguer les secrets ou données d'autres clients.

Les demandes sont adressées à contact@firaxy.com. L'assistance raisonnablement nécessaire au respect des obligations de l'article 28 est incluse dans le Service. Une demande exceptionnelle résultant d'instructions particulières du Client, manifestement excessive par son volume ou sa répétition, peut faire l'objet d'un devis préalable fondé sur les coûts réellement supportés. Aucun coût supplémentaire n'est facturé lorsque l'assistance résulte d'un manquement d'AMPLIXY, d'une violation imputable à AMPLIXY ou d'une demande d'une autorité compétente.

## 10. Violations de données

AMPLIXY notifie le Client dans les meilleurs délais après avoir pris connaissance d'une violation affectant ses données. La notification fournit progressivement, selon disponibilité, la nature de l'incident, les catégories et volumes estimés, les conséquences probables, les mesures prises et un point de contact.

Le délai de 72 heures concerne la notification du responsable à l'autorité lorsque requise ; AMPLIXY, sous-traitant, ne doit pas attendre cette échéance pour informer le Client.

## 11. Sort des données et réversibilité

Pendant le compte, le Client dispose d'un export JSON. À la fin du service, AMPLIXY permet la récupération selon l'annexe Data Act puis, au choix documenté du Client, restitue ou supprime les données traitées pour son compte, sauf obligation légale. Les données de la base active sont supprimées à la date convenue. Les sauvegardes chiffrées de production, lorsqu'elles existent, sont supprimées par rotation au plus tard trente jours calendaires après cette date et restent isolées de tout usage courant. Cette durée ne peut être activée contractuellement qu'après preuve du calendrier de sauvegarde et d'un test de restauration ; à défaut, l'ouverture commerciale demeure bloquée.

La suppression immédiate du compte ne doit pas priver le Client de la période de récupération prévue si celui-ci déclenche un changement de fournisseur. Le produit doit distinguer « demander la réversibilité » et « supprimer immédiatement ».

## 12. Information, audit et registre

AMPLIXY tient un registre des catégories d'activités effectuées pour ses clients et met à disposition les informations nécessaires. Les audits commencent par les documents et preuves disponibles. Hors incident, suspicion documentée de non-conformité ou demande d'une autorité, une inspection sur site est limitée à une fois par période de douze mois, avec un préavis d'au moins trente jours calendaires, pendant les heures ouvrées et sous engagement de confidentialité. Le Client choisit un auditeur indépendant non concurrent et supporte ses coûts ; AMPLIXY supporte ses propres coûts et rembourse les coûts raisonnables de l'audit si celui-ci révèle un manquement matériel qui lui est imputable. Ces modalités ne restreignent ni les pouvoirs d'une autorité ni les droits impératifs du Client.

## 13. Responsabilité et hiérarchie

Le DPA prévaut sur les CGV en cas de contradiction relative aux traitements pour compte. Les limitations de responsabilité relatives au RGPD doivent être validées par avocat et ne peuvent neutraliser les droits des personnes ou pouvoirs des autorités.

## Annexe A — prestataires et sous-traitants ultérieurs

| Fournisseur ou composant | Fonction observée | Entité contractante | Lieu de traitement | Transfert/garantie | DPA/preuve | Statut publication |
|---|---|---|---|---|---|---|
| Hostinger | VPS/hébergement de l'application et de la base self-hosted | HOSTINGER INTERNATIONAL LIMITED, Chypre | VPS `72.61.101.241`, Paris, France ; opérations et sous-traitants ultérieurs possibles hors de France | UE pour le stockage principal ; CCT 2021/914 prévues pour les transferts ultérieurs | [DPA](https://www.hostinger.com/fr/legal/dpa), conditions et preuve RIPE, vérifiés le 19 août 2026 | DPA et localisation vérifiés ; preuve de compte AMPLIXY à archiver |
| Resend | Envoi des confirmations et alertes email | Plus Five Five, Inc., États-Unis | Stockage et opérations principales aux États-Unis ; sous-traitants publiés majoritairement américains | EU-US DPF annoncé et CCT intégrées au DPA | [DPA](https://resend.com/legal/dpa), [localisation](https://resend.com/security/gdpr), [liste](https://resend.com/legal/subprocessors) | Vérifié ; preuve de compte AMPLIXY à archiver |
| Stripe | Paiement, abonnement, facturation | Stripe Payments Europe, Limited, Irlande | Irlande, États-Unis et pays des affiliés/prestataires publiés ; aucune résidence exclusivement UE | EU-US DPF et CCT modules 1, 2 et 3 | [DPA](https://stripe.com/legal/dpa), [transferts](https://stripe.com/legal/dta), [liste](https://stripe.com/legal/service-providers) | Vérifié ; compte Live AMPLIXY contrôlé |
| Cloudflare Turnstile | Protection anti-abus des formulaires | Cloudflare, Inc., États-Unis | Réseau mondial, sans cantonnement géographique dans l'offre gratuite | EU-US DPF et CCT modules 2/3 | [DPA](https://www.cloudflare.com/cloudflare-customer-dpa/), [avis Turnstile](https://www.cloudflare.com/turnstile-privacy-policy/), [liste](https://www.cloudflare.com/gdpr/subprocessors/) | Vérifié ; preuve de compte AMPLIXY à archiver |
| Google OAuth | Authentification optionnelle du commerçant | Google Ireland Limited pour l'EEE | Infrastructure mondiale Google | Politique Google ; Google agit comme responsable distinct pour ce service OAuth | [Politique](https://policies.google.com/privacy) et [entité EEE](https://policies.google.com/faq) | Traitement propre qualifié ; pas de DPA fournisseur à revendiquer |
| Supabase | Technologie d'authentification/base self-hosted | Sans objet : composant logiciel auto-hébergé | VPS Hostinger à Paris | Aucun transfert à Supabase ; la version self-hosted ne remonte pas de télémétrie | [Documentation self-hosted](https://supabase.com/docs/guides/self-hosting) et preuve Coolify | Qualifié, pas un sous-traitant cloud |
| IGN — Géoplateforme/BAN | Recherche d'adresse publique | Institut national de l'information géographique et forestière, France | France selon la fiche de service ; la requête transmet la saisie et l'IP de l'appelant | Aucun transfert hors EEE établi | [Fiche officielle](https://www.data.gouv.fr/dataservices/api-adresse-base-adresse-nationale-ban) | URL Géoplateforme déployée et parcours UAT vérifié le 19 août 2026 |

Umami/trafic.amplixy.cloud est exploité pour la mesure d'audience propre d'AMPLIXY, pas pour l'envoi des alertes du Client ; il relève de la politique de confidentialité. Son hébergement et ses éventuels sous-traitants restent à documenter.

## Annexe B — instructions initiales

Le Client instruit AMPLIXY de :

1. collecter les champs affichés sur sa page publique ;
2. envoyer un email de confirmation ;
3. activer l'abonné uniquement après confirmation ;
4. sélectionner les présences comprises dans le rayon choisi ;
5. envoyer les alertes J-7 et jour J ;
6. permettre le désabonnement et purger à J+30 ;
7. fournir l'export et l'assistance aux droits.

## Sources officielles

- [RGPD, article 28 et articles 32 à 36](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4)
- [CNIL — clauses responsable/sous-traitant](https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant)
- [Registre de preuves fournisseurs du 19 août 2026](../../../documentation/remediation-juridique/08-registre-sous-traitants-et-transferts.md)