Accord de sous-traitance (DPA)
À valider — juriste — voir documentation/conformite/A_VALIDER_JURISTE.md (item dpa-page-publique).
Le Data Processing Agreement encadre, au sens de l’article 28 du RGPD, le traitement des données personnelles que Courvia réalise pour le compte de votre cabinet. Il est signé électroniquement par le dirigeant depuis son espace conformité — la version ci-dessous est strictement identique à celle présentée à la signature.
Version 1.0.0
Objet
Le présent accord encadre le traitement de données à caractère personnel réalisé par la plateforme, agissant en qualité de sous-traitant au sens de l'article 28 du RGPD, pour le compte du cabinet, agissant en qualité de responsable de traitement pour les données de ses clients.
Durée
Le présent accord s'applique pendant toute la durée d'utilisation de la plateforme par le cabinet, et jusqu'à la suppression complète des données conformément à la politique de rétention en vigueur.
Nature et finalité du traitement
Hébergement, stockage chiffré et traitement technique des données nécessaires à la gestion des dossiers d'assurance emprunteur du cabinet : identification des clients, pièces justificatives, données de santé le cas échéant, échanges avec les assureurs partenaires.
Obligations du sous-traitant
Le sous-traitant s'engage à ne traiter les données que sur instruction documentée du responsable de traitement, à garantir la confidentialité des personnes autorisées à traiter les données, à mettre en œuvre les mesures de sécurité de l'article 32 du RGPD (chiffrement applicatif AES-256-GCM, cloisonnement des accès, journal d'audit), à assister le responsable de traitement dans l'exercice des droits des personnes concernées, et à supprimer ou restituer les données au terme de la relation.
Sous-traitance ultérieure
Le sous-traitant peut recourir à des sous-traitants ultérieurs (hébergement Scaleway, envoi d'e-mails Resend, signature électronique) sous réserve d'une obligation contractuelle équivalente et d'une information préalable du responsable de traitement.
Sécurité
Le sous-traitant met en œuvre les mesures techniques et organisationnelles décrites dans le registre des traitements et l'analyse d'impact — chiffrement, cloisonnement par cabinet, journal d'audit non falsifiable, hébergement HDS pour les données de santé.
Transferts hors UE
Aucun transfert de données hors de l'Union européenne n'est effectué par le sous-traitant dans le cadre du présent accord.
Sort des données
À la fin de la relation contractuelle, les données sont exportées et remises au cabinet puis supprimées, selon la procédure d'offboarding documentée, sauf obligation légale de conservation plus longue.
Comment l’obtenir signé
Une fois votre cabinet créé, le dirigeant retrouve cet accord dans son espace « Conformité » et peut le signer électroniquement en quelques secondes. Un exemplaire horodaté reste consultable à tout moment.