Accord de sous-traitance des données (DPA)

Le Responsable de traitement(ci-après « le Client ») : l'entité professionnelle titulaire d'un compte IZICARD (équipe ou entreprise), qui détermine les finalités et les moyens du traitement des données de ses contacts et prospects.

Le Sous-traitant : Ghislain KORDO, auto-entrepreneur exploitant le service IZICARD (SIRET 987 525 326 00011), qui traite les données pour le compte du Client conformément à ses instructions documentées.

Objet : hébergement et traitement des données de contacts collectées par le Client via le service IZICARD (cartes de visite numériques, formulaires de capture de leads, scan de cartes papier).

Durée : le traitement dure pour toute la durée du contrat d'abonnement, jusqu'à sa résiliation et à l'exécution des obligations de restitution / suppression prévues à l'article 9.

Nature et finalité : collecte, enregistrement, structuration, conservation, consultation, export et suppression des données, aux seules fins de permettre au Client de gérer sa relation commerciale.

Catégories de personnes : contacts professionnels, prospects et clients du Client.

Catégories de données : identité (nom, prénom), coordonnées professionnelles (email, téléphone, société, fonction), messages et notes saisis, données issues du scan de cartes de visite.

IZICARD ne traite les données que sur instruction documentée du Client. L'utilisation du service (configuration du compte, paramétrage des formulaires, actions dans l'interface) constitue ces instructions. IZICARD informe le Client si une instruction constitue, selon lui, une violation du RGPD.

• Traiter les données uniquement pour les finalités décrites ci-dessus ;
• Garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter s'y engagent ;
• Prendre toutes les mesures de sécurité requises par l'article 32 du RGPD (voir article 7) ;
• Respecter les conditions de recours à un sous-traitant ultérieur (article 6) ;
• Aider le Client à répondre aux demandes d'exercice des droits des personnes concernées ;
• Aider le Client à garantir le respect de ses obligations (sécurité, notification de violation, analyses d'impact) ;
• Mettre à disposition du Client toute information nécessaire pour démontrer le respect de l'article 28.

Le Client autorise IZICARD à recourir aux sous-traitants ultérieurs listés ci-dessous. IZICARD leur impose par contrat les mêmes obligations de protection des données et reste pleinement responsable de leur exécution.

• Supabase Inc. — base de données et stockage (hébergement UE, Paris, région eu-west-3)
• Vercel Inc. — hébergement applicatif (USA, clauses contractuelles types)
• Stripe Payments Europe Ltd. — traitement des paiements (Irlande)
• Resend Inc. — envoi d'emails transactionnels (USA, clauses contractuelles types)
• Anthropic PBC — analyse IA du scan de cartes, sans conservation après traitement (USA, clauses contractuelles types)

IZICARD informe le Client de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, avec un préavis raisonnable, permettant au Client d'émettre des objections.

• Chiffrement des communications en transit (HTTPS / TLS 1.3) ;
• Chiffrement des données au repos (base de données et stockage) ;
• Mots de passe hachés (bcrypt), sessions signées et httpOnly ;
• Cloisonnement des données par compte et contrôle d'accès au strict nécessaire ;
• Sauvegardes quotidiennes et journalisation des accès ;
• Capacité de restauration et de suppression sur demande.

En cas de violation de données à caractère personnel, IZICARD notifie le Client dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, en fournissant les informations nécessaires (nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences probables, mesures prises). Il revient au Client, responsable de traitement, de procéder le cas échéant à la notification à la CNIL dans les 72 heures.

Au terme de la prestation, et selon le choix du Client :

• Restitution : le Client peut exporter l'intégralité de ses données (format JSON / CSV) à tout moment depuis son espace ;
• Suppression : IZICARD supprime les données et les copies existantes au plus tard 30 jours après la résiliation, sauf obligation légale de conservation (comptabilité).

IZICARD met à disposition du Client les informations permettant de démontrer sa conformité et permet la réalisation d'audits, y compris des inspections, par le Client ou un tiers mandaté, sous réserve d'un préavis raisonnable et de la préservation de la confidentialité et de la sécurité des autres clients.

Les données sont hébergées dans l'Union européenne (Paris, France). Certains sous-traitants ultérieurs (article 6) sont établis hors UE ; les transferts sont alors encadrés par les clauses contractuelles types (CCT/SCC) adoptées par la Commission européenne.

Chaque partie répond des dommages causés par un traitement non conforme au RGPD dans les conditions de l'article 82 du Règlement. Le présent DPA est réputé accepté dès la souscription d'un abonnement professionnel IZICARD. Une version signée peut être établie sur demande à contact@izicard.fr.