Accord de traitement des données (DPA)

ATLAS Studio Pro — Annexe « sous-traitance » au titre de l'article 28 du RGPD · Version 1.0 · 18 juin 2026

Préambule

Le présent Accord de traitement des données (« DPA ») fait partie intégrante des Conditions générales conclues entre le Client (« Responsable du traitement ») et DELIGNY R&D — ATLAS Studio Pro, SASU, SIREN 107 503 807, 231 Rue Saint-Honoré, 75001 Paris (« ATLAS », « Sous-traitant »). Il encadre les traitements de données à caractère personnel réalisés par ATLAS pour le compte et sur instruction du Client, conformément à l'article 28 du RGPD. En cas de contradiction, le présent DPA prévaut sur les Conditions générales pour ce qui concerne la protection des données.

1. Objet, durée, nature et finalité

Objet : la fourniture par ATLAS d'un logiciel de gestion (devis, factures, clients, stock, e-facturation, agents d'assistance) impliquant le traitement de données personnelles.
Durée : la durée du contrat d'abonnement, augmentée des durées de conservation légales et de restitution/suppression prévues à l'article 9.
Nature et finalité : hébergement, stockage, organisation, consultation, mise à disposition, édition de documents et automatisations, à la seule fin de fournir le service au Client.

2. Catégories de personnes et de données

Personnes concernées	Catégories de données
Clients du Client (particuliers ou contacts d'entreprises)	Identité, coordonnées, adresses, données de facturation et de commande
Fournisseurs / partenaires du Client	Coordonnées professionnelles, données contractuelles
Salariés / collaborateurs du Client	Identité, coordonnées, données de planning/pointage le cas échéant
Correspondants du Client (expéditeurs des e-mails reçus sur l'adresse dédiée de sa société)	Contenu des e-mails et pièces jointes reçus et envoyés via la messagerie intégrée

ATLAS ne traite pas de catégories particulières de données (art. 9 RGPD) ; le Client s'engage à ne pas en saisir hors d'un cadre licite et documenté.

3. Obligations du Sous-traitant (ATLAS)

Ne traiter les données que sur instruction documentée du Client (le contrat et l'usage du service valant instructions), y compris pour les transferts hors UE ; informer le Client si une instruction lui paraît contraire au RGPD.
Garantir la confidentialité : seules les personnes habilitées, soumises à une obligation de confidentialité, accèdent aux données.
Mettre en œuvre les mesures de sécurité de l'Annexe 2 (art. 32 RGPD).
Respecter les conditions de recours à des sous-traitants ultérieurs (article 4).
Assister le Client pour répondre aux demandes d'exercice des droits des personnes (article 5).
Aider le Client à respecter ses obligations de sécurité, de notification de violation et d'analyse d'impact (art. 32 à 36 RGPD).
Notifier au Client toute violation de données dans les meilleurs délais après en avoir pris connaissance, avec les éléments utiles.
À la fin des prestations, restituer ou supprimer les données selon le choix du Client (article 9).
Mettre à disposition les informations nécessaires pour démontrer la conformité et permettre des audits (article 8).

4. Sous-traitants ultérieurs

Le Client autorise ATLAS à recourir aux sous-traitants ultérieurs listés en Annexe 1. ATLAS leur impose par contrat les mêmes obligations de protection que celles du présent DPA. En cas d'ajout ou de remplacement, ATLAS en informe le Client, qui peut s'y opposer pour un motif légitime ; à défaut de solution, le Client peut résilier la partie concernée du service.

5. Droits des personnes concernées

ATLAS met à disposition du Client les fonctionnalités lui permettant d'accéder, rectifier, exporter (portabilité) et supprimer les données. Si une personne concernée s'adresse directement à ATLAS, ATLAS transmet la demande au Client sans y répondre lui-même, sauf instruction contraire.

6. Obligations du Responsable du traitement (le Client)

Le Client garantit disposer d'une base légale pour les traitements qu'il opère via ATLAS, informer ses propres personnes concernées, ne transmettre que des données pertinentes, et documenter ses instructions. Le Client est responsable de la licéité des données qu'il importe ou saisit.

7. Transferts hors UE

Les données sont hébergées et traitées au sein de l'Union européenne (voir Annexe 1). Le seul transfert résiduel possible concerne l'assistant « Concierge » (OpenAI, États-Unis), encadré par les Clauses Contractuelles Types (art. 46 RGPD) ; le Client peut l'exclure en désactivant les fonctions IA. Aucun autre transfert hors UE n'est réalisé sans garantie appropriée et information du Client.

8. Audit

ATLAS fournit, sur demande raisonnable et confidentielle, la documentation permettant de vérifier le respect de l'article 28. Des audits sur site peuvent être réalisés moyennant préavis raisonnable, dans le respect de la sécurité et de la confidentialité des autres clients.

9. Fin du contrat — restitution et suppression

Au terme des prestations, le Client peut exporter ses données depuis l'application. Sur sa demande, ATLAS restitue puis supprime les données (et les copies), sous réserve des obligations légales de conservation (notamment 10 ans pour les pièces comptables), dans un délai raisonnable.

Annexe 1 — Sous-traitants ultérieurs autorisés

Sous-traitant	Traitement confié	Localisation
OVH SAS	Hébergement serveurs / base de données	France (UE)
Mistral AI	Fonctions d'IA principales — traitement dans l'UE, sans transfert hors-UE	France (UE)
OpenAI, L.L.C.	Assistant « Concierge » uniquement — désactivable	États-Unis (CCT)
Brevo (Sendinblue SAS)	Acheminement des e-mails	France (UE)
IOPOLE	Plateforme de dématérialisation (e-facturation)	France (UE)
Payplug (si paiement en ligne activé)	Paiements	France (UE)

Annexe 2 — Mesures techniques et organisationnelles (art. 32)

Chiffrement des flux (HTTPS/TLS) ; mots de passe hachés (algorithme à sel).
Chiffrement au repos des données bancaires (IBAN, tokens de paiement enregistrés).
Cloisonnement strict multi-locataire (isolation des données par société).
Contrôle d'accès au moindre privilège ; authentification ; protection anti-CSRF.
Journalisation des actions sensibles (piste d'audit).
Sauvegardes chiffrées quotidiennes ; rétention 30 jours côté serveur, copie supplémentaire chiffrée conservée par l'exploitant ; supervision ; correctifs de sécurité.
Procédure de gestion des violations de données et de notification.
Hébergement au sein de l'UE.

Acceptation

Le présent DPA est accepté par le Client lors de l'adhésion aux Conditions générales d'ATLAS (acceptation horodatée et conservée comme preuve). Il peut également être signé séparément à la demande du Client.

ATLAS Studio Pro — DPA v1.0 (18/06/2026). Voir aussi la Politique de confidentialité et les offres.