Annexe de sous-traitance RGPD

1. Parties et rôles

Le professionnel est responsable du traitement des données de ses clients, prospects, salariés et fournisseurs qu’il saisit dans L’atelier. Mathieu Neypoux, entrepreneur individuel exerçant sous le nom Ygdraz Studio, est son sous-traitant pour la fourniture de l’application. Ygdraz Studio reste responsable de ses propres traitements liés aux comptes, au support et à la facturation de l’abonnement.

2. Objet, durée et catégories

Les opérations confiées comprennent l’enregistrement, l’organisation, l’affichage, le calcul, l’hébergement, la transmission nécessaire au service, la sauvegarde et l’export des données métier. Elles durent pendant l’accès au service, puis le temps nécessaire à la restitution, aux obligations légales applicables et à l’expiration des sauvegardes. Les personnes concernées peuvent être les clients et prospects du professionnel, ses contacts, ses salariés et ses fournisseurs. Les données peuvent inclure noms, coordonnées, commandes, devis, factures, paiements référencés, plannings, photos, données de traçabilité et données métier des modules activés.

3. Instructions et confidentialité

Ygdraz Studio n’utilise les données confiées que sur instruction documentée du professionnel, y compris pour les transferts, sauf obligation légale contraire. Les personnes autorisées à y accéder sont tenues à la confidentialité et leurs accès sont limités à leurs besoins. Une instruction manifestement contraire au RGPD est signalée au professionnel.

4. Sécurité et incidents

Ygdraz Studio met en œuvre des mesures adaptées au risque : authentification, habilitations, communications chiffrées, journalisation, contrôle des accès et sauvegarde séparée. Une archive quotidienne de la base et des fichiers applicatifs est actuellement copiée dans un espace Cloudflare R2 privé. La dernière archive vérifiée a pu être relue et sa base reconstruite dans un environnement isolé ; cela ne prouve pas encore une restauration complète du service hébergé. Toute violation de données personnelles portée à la connaissance de Ygdraz Studio sera signalée au professionnel dans les meilleurs délais avec les éléments disponibles, afin de l’aider à remplir ses propres obligations.

5. Prestataires et transferts

Les services utilisés sont OpenAI / ChatGPT Sites pour l’application hébergée, Cloudflare pour les sauvegardes indépendantes, Supabase pour l’identité de connexion, Stripe pour les abonnements et paiements et Resend pour les e-mails transactionnels. Leurs textes publics rattachent les accords de traitement des données à leurs contrats de service. Le DPA Sites couvre les données personnelles collectées par un Site publié sous un compte individuel Plus ou Pro ; il ne couvre pas les conversations utilisées pour construire le Site.

La région du projet Supabase utilisé est l’Irlande (eu-west-1), vérifiée le 28 septembre 2026. Cela ne signifie pas que tous les traitements et tous les prestataires restent dans l’EEE. Resend indique notamment des opérations principales aux États-Unis. Les contrats cités prévoient des garanties de transfert, notamment des clauses contractuelles types lorsque nécessaires ; les configurations et sous-traitants propres à chaque service restent à vérifier et à tenir à jour. Stripe peut agir comme responsable de traitement pour certaines obligations de paiement, de lutte contre la fraude et de conformité.

L’API OpenAI intervient si l’assistant IA est activé ; la connexion Notion est choisie par le professionnel. Le studio documente les prestataires ultérieurs et leurs changements pertinents. Le professionnel peut obtenir cette liste et les garanties applicables auprès de contact@ygdrazstudio.fr et présenter une objection motivée. Une région non vérifiée n’est pas présentée comme une résidence exclusivement européenne.

6. Assistance et droits

Compte tenu de la nature du service et des informations disponibles, Ygdraz Studio aide le professionnel à répondre aux demandes d’accès, de rectification, d’effacement et de portabilité, ainsi qu’à ses obligations de sécurité, de notification des violations et d’analyse d’impact. Une demande reçue directement concernant les données métier est transmise au professionnel, sauf instruction ou obligation légale contraire.

Les demandes concernant les traitements dont le studio est responsable reçoivent une réponse dans le délai légal d’un mois. Si une prolongation est nécessaire en raison de leur complexité ou de leur nombre, le demandeur en est informé et reçoit les motifs dans ce premier mois. Un complément d’identification n’est demandé qu’en cas de doute raisonnable.

7. Restitution, suppression et sauvegardes

L’archive en libre-service rassemble les principales données métier de l’espace, avec ses photos et pièces jointes. Elle n’inclut pas les données détenues séparément par Supabase, Stripe ou Resend et reste soumise à une limite de volume. Pour une restitution assistée avant fermeture, le professionnel peut contacter contact@ygdrazstudio.fr. La suppression des données actives doit être distinguée de celle des copies de sauvegarde : les archives quotidiennes du stockage privé sont configurées pour expirer après 30 jours et les archives mensuelles après 180 jours. Une copie antérieure peut donc encore contenir des données supprimées jusqu’à son expiration effective. Elle reste protégée et n’est pas destinée à un usage ordinaire. Aucune suppression immédiate de toutes les copies ne peut être garantie. Une éventuelle restauration doit tenir compte des comptes supprimés depuis la date de la copie.

8. Preuves, audit et fin de contrat

Ygdraz Studio met à disposition les informations raisonnablement nécessaires pour démontrer le respect de ses obligations et permettre un audit proportionné, sous réserve de la confidentialité et de la sécurité des autres utilisateurs. À la fin du service, les données sont restituées ou supprimées selon les instructions du professionnel et les obligations légales, sous réserve des limites de sauvegarde indiquées ci-dessus.

Procédure de restitution

1. Depuis Mon compte et mes données, télécharger l’archive ZIP avant de demander l’effacement. Cet espace reste accessible avec une identité de connexion valide après la fin de l’abonnement.
2. Vérifier les données JSON et l’inventaire des fichiers de l’archive. En cas de limite de volume ou de fichier manquant, écrire à contact@ygdrazstudio.fr depuis l’adresse du compte en précisant le périmètre demandé, sans transmettre de mot de passe.
3. Le studio vérifie l’identité, consigne la demande et organise une remise limitée au seul espace du professionnel. Le périmètre, le mode de transmission sécurisé et la date de remise sont communiqués au demandeur. Une sauvegarde globale contenant d’autres professionnels n’est jamais remise comme export individuel.
4. Après restitution, confirmer séparément la résiliation de l’abonnement et la demande d’effacement métier. L’effacement n’est pas une résiliation Stripe. La fermeture de l’identité Supabase doit être demandée séparément au support.
5. Le studio confirme les opérations réalisées, les éventuelles données conservées pour une obligation légale et les limites concernant les sauvegardes ou les prestataires. Une restauration doit appliquer la protection des espaces déjà effacés avant toute remise en service.

L’export individuel et l’effacement de l’espace métier ont été vérifiés sur un compte de test le 28 septembre 2026. Cette vérification ne démontre ni l’effacement immédiat de toutes les sauvegardes, ni une restitution assistée de tout volume, ni une restauration complète du service hébergé. Ces limites font l’objet du suivi opérationnel du studio.