DONNÉES PROFESSIONNELLES
Annexe de sous-traitance RGPD
Cette annexe décrit les traitements réalisés par Ygdraz Studio pour le compte d’un professionnel utilisant L’atelier. Elle doit être lue avec les CGV et la politique de confidentialité. La procédure complète de restitution et les garanties contractuelles des prestataires restent à finaliser avant de présenter le dispositif comme entièrement validé.
1. Parties et rôles
Le professionnel est responsable du traitement des données de ses clients, prospects, salariés et fournisseurs qu’il saisit dans L’atelier. Mathieu Neypoux, entrepreneur individuel exerçant sous le nom Ygdraz Studio, est son sous-traitant pour la fourniture de l’application. Ygdraz Studio reste responsable de ses propres traitements liés aux comptes, au support et à la facturation de l’abonnement.
2. Objet, durée et catégories
Les opérations confiées comprennent l’enregistrement, l’organisation, l’affichage, le calcul, l’hébergement, la transmission nécessaire au service, la sauvegarde et l’export des données métier. Elles durent pendant l’accès au service, puis le temps nécessaire à la restitution, aux obligations légales applicables et à l’expiration des sauvegardes. Les personnes concernées peuvent être les clients et prospects du professionnel, ses contacts, ses salariés et ses fournisseurs. Les données peuvent inclure noms, coordonnées, commandes, devis, factures, paiements référencés, plannings, photos, données de traçabilité et données métier des modules activés.
3. Instructions et confidentialité
Ygdraz Studio n’utilise les données confiées que sur instruction documentée du professionnel, y compris pour les transferts, sauf obligation légale contraire. Les personnes autorisées à y accéder sont tenues à la confidentialité et leurs accès sont limités à leurs besoins. Une instruction manifestement contraire au RGPD est signalée au professionnel.
4. Sécurité et incidents
Ygdraz Studio met en œuvre des mesures adaptées au risque : authentification, habilitations, communications chiffrées, journalisation, contrôle des accès et sauvegarde séparée. Une archive quotidienne de la base et des fichiers applicatifs est actuellement copiée dans un espace Cloudflare R2 privé. La dernière archive vérifiée a pu être relue et sa base reconstruite dans un environnement isolé ; cela ne prouve pas encore une restauration complète du service hébergé. Toute violation de données personnelles portée à la connaissance de Ygdraz Studio sera signalée au professionnel dans les meilleurs délais avec les éléments disponibles, afin de l’aider à remplir ses propres obligations.
5. Prestataires et transferts
Les services actuellement utilisés comprennent OpenAI / ChatGPT Sites pour l’hébergement de l’application, Cloudflare pour la copie indépendante des sauvegardes, Supabase pour l’identité de connexion, Stripe pour les abonnements et paiements, et Resend pour les e-mails transactionnels. L’API OpenAI est utilisée si l’assistant IA est activé ; l’intégration Notion dépend du choix du professionnel. Ces liens renvoient aux textes publics des prestataires, sans établir à eux seuls leur applicabilité au compte du studio. La région, les garanties et les sous-traitants ultérieurs propres à chaque compte sont en cours de vérification. Le professionnel sera informé des changements pertinents et pourra présenter une objection motivée. Les éventuels transferts hors EEE doivent reposer sur un mécanisme conforme au RGPD.
6. Assistance et droits
Compte tenu de la nature du service et des informations disponibles, Ygdraz Studio aide le professionnel à répondre aux demandes d’accès, de rectification, d’effacement et de portabilité, ainsi qu’à ses obligations de sécurité, de notification des violations et d’analyse d’impact. Une demande reçue directement concernant les données métier est transmise au professionnel, sauf instruction ou obligation légale contraire.
7. Restitution, suppression et sauvegardes
L’archive en libre-service rassemble les principales données métier de l’espace, avec ses photos et pièces jointes. Elle n’inclut pas les données détenues séparément par Supabase, Stripe ou Resend et reste soumise à une limite de volume. Pour une restitution assistée avant fermeture, le professionnel peut contacter contact@ygdrazstudio.fr. La suppression des données actives doit être distinguée de celle des copies de sauvegarde : les archives quotidiennes du stockage privé sont configurées pour expirer après 30 jours et les archives mensuelles après 180 jours. Une copie antérieure peut donc encore contenir des données supprimées jusqu’à son expiration effective. Elle reste protégée et n’est pas destinée à un usage ordinaire. Aucune suppression immédiate de toutes les copies ne peut être garantie. Une éventuelle restauration doit tenir compte des comptes supprimés depuis la date de la copie.
8. Preuves, audit et fin de contrat
Ygdraz Studio met à disposition les informations raisonnablement nécessaires pour démontrer le respect de ses obligations et permettre un audit proportionné, sous réserve de la confidentialité et de la sécurité des autres utilisateurs. À la fin du service, les données sont restituées ou supprimées selon les instructions du professionnel et les obligations légales, sous réserve des limites de sauvegarde indiquées ci-dessus. Les modalités opérationnelles et délais définitifs devront être complétés dans le contrat applicable.
Mise à jour : 25 septembre 2026. Les vérifications des prestataires et les modalités de restitution restent à finaliser avant une présentation de conformité complète.
← Retour à L’atelier