EZOUEU
RGPD · Article 28

Accord de sous-traitance de données

Ce texte peut être examiné avant la création d’un compte ou tout paiement. Il encadre les traitements réalisés par EZOU.EU pour le compte d’un client.

Version : 2026-08-21Contact : dpo@ezou.eu
Consultation et signature

La lecture de cette page ne vaut pas signature. Un client de l’offre Business peut enregistrer la signature, l’identité du signataire, la version, l’empreinte du texte et l’annexe applicable via POST /v1/workspace/dpa. GET /v1/workspace/dpa renvoie le texte public courant ; la preuve de signature reste dans le journal d’audit. Aucune donnée de workspace n’est exposée ici.

Les contrôles et leurs limites sont détaillés dans l’annexe datée Mesures techniques et organisationnelles — version 2026-08-21. Elle distingue les fonctions démontrées par le produit des pratiques d’exploitation qui demandent une preuve séparée.

Parties et portée

Le présent accord est conclu entre le client identifié lors de la signature, agissant comme responsable du traitement (« le Client »), et BoredGeekSociety SASU, 60 rue François Ier, 75008 Paris, France, SIREN 919737593, agissant comme sous-traitant (« EZOU.EU »).

Il complète les conditions applicables au service. En cas de contradiction sur la protection des données traitées pour le compte du Client, le présent DPA prévaut.

1. Objet, durée, nature et finalités

EZOU.EU traite les données uniquement afin de recevoir, stocker, scanner avant exposition, publier, contrôler l'accès, comptabiliser de manière agrégée les consultations, journaliser les opérations, envoyer les emails techniques et effacer les artefacts selon les instructions du Client.

Le traitement dure pendant l'utilisation du service et la durée de chaque publication. Les données conservées pour établir une attestation, respecter une obligation légale ou défendre un droit suivent les durées de la politique de confidentialité.

2. Données et personnes concernées

Selon les choix du Client, les catégories peuvent comprendre le contenu des fichiers statiques, des coordonnées et données professionnelles, des identifiants et métadonnées techniques, des données contenues dans des rapports, tableaux, prototypes ou documents, des adresses email utilisées pour un accès par domaine et des métadonnées de publication, scan et audit.

Les personnes concernées peuvent être les utilisateurs du Client, ses salariés, candidats, clients, prospects, fournisseurs, partenaires ou toute personne dont le Client inclut les données dans un artefact. Le Client détermine les catégories réellement confiées et évite les données non nécessaires.

3. Instructions documentées

Les réglages transmis par l'interface, l'API, le MCP ou le skill — fichiers, accès, durée, policy, finalisation, désactivation et suppression — constituent les instructions documentées du Client. EZOU.EU ne traite pas les données pour une autre finalité, sauf obligation du droit de l'Union ou d'un État membre ; dans ce cas, le Client est informé avant le traitement sauf interdiction légale.

Si une instruction paraît enfreindre le RGPD ou une autre règle applicable, EZOU.EU en informe le Client et peut suspendre son exécution le temps d'une clarification.

4. Confidentialité et habilitations

EZOU.EU limite l'accès aux personnes qui en ont besoin pour exploiter, sécuriser ou assister le service. Elles sont soumises à une obligation de confidentialité et à des habilitations adaptées à leur mission.

5. Mesures de sécurité

  • chiffrement TLS en transit et stockage sur l'infrastructure déclarée ;
  • isolation des publications par origine et non-indexation HTTP par défaut ;
  • URLs à forte entropie, secrets de mot de passe hachés et jetons signés à durée limitée ;
  • modes mot de passe et domaine email, expiration, révocation et suppression ;
  • scan avant exposition avec mode avertissement ou blocage selon l'offre et la policy ;
  • limitation de débit, journaux minimisés et IP tronquée lorsqu'elle est nécessaire à l'anti-abus ;
  • journal d'audit et attestation d'effacement signée avec Ed25519.

Le scan et l'URL non listée ne garantissent pas la confidentialité d'un contenu. Le Client choisit un niveau d'accès et une durée proportionnés, contrôle son code et maîtrise les services externes qu'il y intègre.

6. Sous-traitants ultérieurs et transferts

L'annexe enregistrée lors de la signature identifie les sous-traitants directs autorisés par le Client. Confier les données d'un Workspace signataire à un nouveau sous-traitant direct exige une annexe mise à jour et une autorisation documentée conformément à l'article 28. Le registre public indique la liste actuellement déclarée.

Les prestataires directs actuellement déclarés sont établis dans l'UE ou l'EEE. Cette annexe ne suffit pas à démontrer la juridiction de tous leurs propres sous-traitants ou accès support. Si un traitement soumis au chapitre V du RGPD devient nécessaire, EZOU.EU documente le mécanisme de transfert applicable avant de lui confier les données concernées.

7. Assistance aux droits des personnes

Compte tenu de la nature du traitement, EZOU.EU aide le Client par les fonctions de recherche, export, désactivation et effacement disponibles. Une demande reçue directement au sujet du contenu d'un Client lui est transmise sans réponse de fond, sauf instruction ou obligation légale.

8. Assistance sécurité, violation et analyse d'impact

EZOU.EU aide raisonnablement le Client à satisfaire ses obligations des articles 32 à 36, compte tenu des informations disponibles et de la nature du traitement. Une violation de données personnelles affectant le périmètre du Client lui est notifiée sans délai indu après en avoir pris connaissance, avec les informations disponibles puis des compléments si nécessaire.

9. Sort des données

Le Client peut supprimer une publication avant son échéance. EZOU.EU efface alors les fichiers du stockage principal, neutralise le slug et le secret d'accès et émet une attestation signée. La signature authentifie la déclaration du service ; elle ne couvre pas les copies déjà téléchargées ou transmises à un tiers par le code du Client.

À la fin du service, le Client peut demander la suppression des données restantes, sous réserve des journaux, attestations et documents qu'EZOU.EU doit conserver pendant une durée légale ou probatoire. Ces données archivées ne sont plus utilisées pour fournir la publication.

10. Informations et audit

EZOU.EU met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent DPA : registre public, documentation des contrôles, export du registre Workspace et journal d'audit. Une demande d'audit complémentaire doit être proportionnée, préserver la sécurité des autres clients et privilégier d'abord les preuves documentaires disponibles.

11. Contact, responsabilité et droit applicable

Les demandes relatives au présent accord sont adressées au contact DPO publié par EZOU.EU. La responsabilité et le droit applicable suivent le contrat principal et les règles impératives du RGPD. Le présent DPA est soumis au droit français.

Annexe A — Description du traitement

  • Objet : publication contrôlée d'artefacts statiques.
  • Opérations : réception, stockage, analyse automatisée, mise à disposition, restriction d'accès, journalisation, transmission d'emails techniques et effacement.
  • Fréquence : selon les publications et accès déclenchés par le Client.
  • Lieu direct déclaré : infrastructure Scaleway en région parisienne ; emails transactionnels et paiements selon l'annexe des sous-traitants.
  • Durées : paramètres de publication et durées détaillées dans la politique de confidentialité.

Annexe B — Sous-traitants directs

Scaleway SAS — Scaleway

  • Pays : France · région fr-par
  • Rôle : Hébergement de l'infrastructure et des données du service
  • Données : Contenu des artefacts publiés — il peut comporter des données personnelles à l'initiative du publieur —, métadonnées du service et journaux techniques. Effacés à l'expiration ou à la suppression.
  • Depuis : 2026-08
  • Conditions ou documentation du prestataire

Sendinblue SAS — Brevo

Mollie B.V. — Mollie

  • Pays : Pays-Bas
  • Rôle : Encaissement des abonnements
  • Données : Identité de facturation et données de paiement, traitées directement par Mollie — EZOU.EU ne voit jamais de numéro de carte.
  • Depuis : 2026-08
  • Conditions ou documentation du prestataire

OVH SAS — OVH

Annexe C — Signature en ligne

La signature enregistre la société cliente, le nom et l’email du signataire, la date UTC, la version 2026-08-21, l’empreinte SHA-256 8b237cc1c260155509cba3b7ed47ac6e4632d8515a7ecd1fb3dba6baf819449b du texte canonique et les identifiants des sous-traitants de l’annexe. Le signataire déclare être habilité à engager le Client.