Article 28 du Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) · Version 1.1 du 13 mai 2026
Le présent contrat de sous-traitance (ci-après « DPA » pour Data Processing Agreement) précise les conditions dans lesquelles l'Éditeur, en sa qualité de sous-traitant, traite les données à caractère personnel pour le compte de l'Étude utilisatrice du logiciel Ma Sentinelle, en sa qualité de responsable de traitement.
Il complète et fait partie intégrante des Conditions Générales d'Utilisation (ci-après « CGU ») et de la Politique de confidentialité de Ma Sentinelle. Il est rédigé conformément à l'article 28 du RGPD et s'inspire du modèle publié par la CNIL.
Le Responsable de traitement (ci-après « le Responsable ») :
L'office notarial ayant souscrit un abonnement à Ma Sentinelle, identifié dans son compte utilisateur par sa raison sociale, son numéro de SIRET, son adresse postale et l'adresse e-mail du compte de souscription.
Le Sous-traitant (ci-après « le Sous-traitant » ou « l'Éditeur ») :
Mattéo COME, exerçant en Entreprise Individuelle
SIRET : 88414583000029
13 rue de Verville, 45800 Saint Jean de Braye
Email : contact@masentinelle.pro
Délégué à la protection des données (DPO) : dpo@masentinelle.pro
Les termes employés au sein du présent DPA, lorsqu'ils commencent par une majuscule, ont le sens qui leur est donné par le RGPD. À titre indicatif :
Le Sous-traitant est autorisé à traiter, pour le compte du Responsable, les Données nécessaires à la fourniture du Service Ma Sentinelle, et exclusivement pour les finalités suivantes :
| Catégorie | Exemples |
|---|---|
| Données d'identité des Personnes concernées par les recherches | Nom, prénom, date de naissance, nationalité, département de naissance |
| Données patrimoniales et professionnelles | Numéro SIREN, références cadastrales, fonctions exercées, mandats sociaux, bénéficiaires effectifs |
| Données issues de sources publiques | Annonces BODACC, mesures de gel d'avoirs, listes de sanctions internationales, résultats Google |
| Données du Responsable et des Utilisateurs | Nom, raison sociale, SIRET, adresse postale, e-mail professionnel, identifiants de connexion (mot de passe haché) |
| Données de facturation | Identifiant client Stripe, historique de paiement, factures |
| Données techniques | Adresse IP, journaux de connexion, navigateur, identifiant de poste autorisé |
Le Traitement est effectué pendant toute la durée du contrat de souscription au Service, telle que définie aux CGU. Les Données sont conservées dans les conditions précisées à l'article 11 du présent DPA et à la Politique de confidentialité.
Le Sous-traitant s'engage, conformément à l'article 28 du RGPD, à :
Le Sous-traitant ne traite les Données que sur instruction documentée du Responsable, y compris en ce qui concerne les transferts hors de l'Union européenne. Les CGU, la Politique de confidentialité et le présent DPA constituent les instructions documentées du Responsable.
Toute action effectuée par le Responsable depuis l'interface du Service (lancement d'une recherche, suppression d'un dossier, demande d'export, etc.) constitue également une instruction documentée.
Si le Sous-traitant estime qu'une instruction du Responsable constitue une violation du RGPD ou de toute autre disposition de droit de l'Union ou du droit d'un État membre relative à la protection des Données, il en informe immédiatement le Responsable.
Le Sous-traitant veille à ce que les personnes autorisées à traiter les Données soient soumises à une obligation de confidentialité contractuelle ou légale appropriée. Le Sous-traitant étant une Entreprise Individuelle, l'éditeur est seul à accéder aux Données pour les besoins de la maintenance du Service. En cas de recours à des prestataires (administrateur système, développeur), des engagements de confidentialité écrits sont mis en place.
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées listées à l'article 9 du présent DPA pour garantir un niveau de sécurité adapté aux risques.
Le Sous-traitant assiste le Responsable, dans la mesure du possible et compte tenu de la nature du Traitement, pour :
Cette assistance s'effectue par les fonctions natives du Service (export en un clic, demande de suppression de compte avec délai d'annulation de 30 jours) et, si nécessaire, par échange e-mail avec le Sous-traitant à dpo@masentinelle.pro. Toute demande non couverte par les fonctions natives sera traitée dans un délai maximum de 30 jours.
Le Sous-traitant met à la disposition du Responsable toutes les informations nécessaires à la démonstration de la conformité aux obligations prévues à l'article 28 du RGPD, notamment via :
Le Responsable autorise par avance et de manière générale le Sous-traitant à faire appel aux Sous-traitants ultérieurs listés à l'article 5.2 ci-dessous pour la fourniture du Service. Le Sous-traitant s'engage à conclure avec chacun de ces Sous-traitants ultérieurs un contrat imposant les mêmes obligations en matière de protection des données que celles prévues par le présent DPA, conformément à l'article 28.4 du RGPD.
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| OVH SAS | Hébergement de l'infrastructure (VPS, base de données, fichiers utilisateurs, sauvegardes) | France (Roubaix / Strasbourg) | Hébergeur de Données de Santé (HDS) — ISO 27001 — DPA OVH disponible publiquement |
| Stripe Payments Europe Ltd | Traitement des paiements et stockage des données de facturation | UE (Irlande), avec transferts éventuels US (Data Privacy Framework) | Certifié PCI DSS Level 1 — Standard Contractual Clauses (SCC) UE |
| Google Ireland Ltd (Google Custom Search API) | Recherche web associée aux noms de Personnes concernées (uniquement nom + prénom transmis ; aucune autre Donnée) | UE (Irlande), avec transferts éventuels US (Data Privacy Framework) | Standard Contractual Clauses (SCC) UE — Conditions Google Cloud DPA |
Le Sous-traitant informe le Responsable, par notification e-mail à l'adresse du compte de souscription et par mise à jour de la présente page, de tout projet de changement concernant l'ajout ou le remplacement d'un Sous-traitant ultérieur, en respectant un préavis minimum de trente (30) jours.
Le Responsable dispose alors de ce délai pour s'opposer à ces changements ; cette opposition doit être motivée par des raisons sérieuses et documentées liées à la protection des Données. En cas d'opposition légitime persistante, le Sous-traitant pourra ne pas mettre en œuvre le changement, ou bien, s'il s'avère indispensable à la fourniture du Service, le Responsable disposera de la faculté de résilier son abonnement sans pénalité.
Le Sous-traitant assiste le Responsable, par les outils mis à disposition au sein du Service et par échange e-mail avec le DPO du Sous-traitant, pour répondre aux demandes des Personnes concernées exerçant leurs droits prévus aux articles 15 à 22 du RGPD :
Le Sous-traitant transmet sans délai au Responsable toute demande qui lui serait adressée directement par une Personne concernée et qui relèverait du Responsable.
Le Sous-traitant notifie au Responsable toute Violation de Données dans un délai maximum de 72 heures après en avoir pris connaissance, par e-mail à l'adresse du compte de souscription. La notification comprend :
Si toutes ces informations ne peuvent être communiquées en même temps, elles peuvent l'être de manière échelonnée sans retard injustifié.
À la résiliation du contrat de souscription, et au choix du Responsable :
Une attestation de suppression peut être fournie sur demande du Responsable.
Cas particulier — Archivage LCB-FT (article L.561-12 du Code monétaire et financier). Les rapports de vigilance LCB-FT générés via le Service (PDF horodatés relatifs aux personnes physiques, sociétés et bénéficiaires effectifs) constituent des éléments de la diligence LCB-FT propre au Responsable. À ce titre, le Responsable est tenu de les conserver pendant cinq (5) ans à compter de la fin de la relation d'affaires avec la personne ou la société objet de la recherche, conformément à l'article L.561-12 du CMF. Le Sous-traitant n'a pas la qualité de dépositaire de ces archives : il appartient au Responsable de télécharger et d'archiver les rapports dans son propre système de gestion documentaire dès leur génération. Le Sous-traitant met à disposition, depuis l'interface du Service, des fonctions d'export individuel (PDF) et global (ZIP) pour faciliter cet archivage.
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes pour assurer un niveau de sécurité adapté aux risques :
Le Responsable peut, à ses frais et après préavis raisonnable d'au moins trente (30) jours, demander la communication d'éléments documentaires permettant de vérifier le respect par le Sous-traitant de ses obligations au titre du présent DPA. Cette demande s'effectue par écrit auprès du DPO du Sous-traitant.
Le Sous-traitant met à disposition les informations requises dans un délai raisonnable. Les informations communiquées au titre de l'audit sont strictement confidentielles et ne peuvent être utilisées qu'aux seules fins de vérification de la conformité.
Toute mission d'audit sur site doit être proportionnée, justifiée par un manquement présumé documenté, et son périmètre doit être préalablement convenu entre les Parties.
Le présent DPA prend effet à la date de son acceptation par le Responsable (case à cocher dédiée au moment de la souscription) et demeure en vigueur pendant toute la durée du contrat de souscription tel que défini aux CGU.
Les obligations relatives à la confidentialité, à la sécurité et au sort des Données en fin de contrat survivent à la résiliation du DPA pour la durée nécessaire à leur exécution.
Le Sous-traitant peut être amené à modifier le présent DPA pour tenir compte d'évolutions légales ou réglementaires, ou pour préciser ses engagements opérationnels. Toute modification substantielle sera notifiée au Responsable au moins trente (30) jours avant son entrée en vigueur, par e-mail à l'adresse du compte de souscription. Le Responsable est invité à accepter la nouvelle version pour continuer à utiliser le Service. À défaut, l'abonnement peut être résilié sans pénalité.
En cas de contradiction entre le présent DPA et les CGU ou la Politique de confidentialité, les stipulations du DPA prévalent pour les questions relatives à la protection des Données.
Le présent DPA est soumis au droit français. Tout litige relatif à son interprétation ou à son exécution relève de la compétence des tribunaux d'Orléans, sous réserve des dispositions impératives contraires en matière de consommation et de protection des données.
L'acceptation du présent DPA s'effectue par case à cocher dédiée au moment de la souscription au Service. La date, l'heure et la version du DPA acceptée sont enregistrées dans la base de données du Service à des fins de preuve.
Pour les comptes existants à la date de mise en service de la version 1.0, l'acceptation est sollicitée à la prochaine connexion via une interface dédiée.