Accord de traitement des données NeuroDisplay — Clients professionnels

1. Objet et champ d'application

Le DPA définit les obligations des Parties conformément à l'article 28 du RGPD. Il couvre les traitements décrits en Annexe II et prévaut, pour ces traitements, sur toute stipulation contradictoire de rang inférieur.

2. Rôles des Parties et instructions documentées

Le Client agit comme responsable du traitement pour les contenus, parcours, configurations et données qu'il décide de traiter dans NeuroDisplay. A2Display agit comme sous-traitant pour ces opérations et ne traite ces données que sur instruction documentée du Client, y compris pour les transferts, sauf obligation légale applicable.

A2Display agit séparément comme responsable du traitement pour la gestion des comptes, la sécurité, la relation commerciale, la facturation, le Support et ses obligations légales. Ces traitements sont décrits dans la Politique de confidentialité.

3. Instructions licites et responsabilité du Client

Le Client garantit la licéité de ses instructions, la pertinence des données, l'information des personnes et l'existence d'une base légale. Il n'utilise pas le Service pour traiter inutilement des données sensibles. A2Display informe le Client lorsqu'une instruction paraît enfreindre le droit applicable, sauf interdiction légale.

4. Durée

Le DPA s'applique pendant la durée du contrat et jusqu'à la suppression ou restitution des données traitées pour le Client, sous réserve des obligations légales de conservation et des cycles techniques de sauvegarde.

5. Confidentialité et personnel autorisé

A2Display limite l'accès aux personnes qui en ont besoin pour fournir, sécuriser ou supporter le Service. Ces personnes sont soumises à une obligation appropriée de confidentialité et à des règles de gestion des accès.

6. Sécurité du traitement

A2Display met en œuvre les mesures appropriées décrites en Annexe III, compte tenu de l'état de l'art, des coûts, de la nature, de la portée, du contexte et des risques. Aucune certification non obtenue par A2Display n'est revendiquée.

7. Sous-traitants ultérieurs

Le Client autorise de manière générale les sous-traitants ultérieurs listés dans la version active de la liste publique. A2Display impose des obligations de protection adaptées et reste responsable de leurs obligations de sous-traitance dans les conditions du droit applicable.

A2Display informe les Clients d'un changement matériel selon un moyen raisonnable. Le Client peut émettre une objection motivée par la protection des données ; les Parties recherchent alors une solution raisonnable.

8. Transferts internationaux

Certains fournisseurs peuvent traiter des données ou permettre un accès depuis des pays hors Espace économique européen. Selon le cas, les transferts reposent sur une décision d'adéquation, des clauses contractuelles types ou une autre garantie applicable. Aucune résidence exclusivement européenne n'est promise sans preuve liée à la configuration active.

9. Droits des personnes

Compte tenu de la nature du traitement, A2Display fournit au Client une assistance raisonnable pour répondre aux demandes d'accès, rectification, effacement, limitation, opposition et portabilité. A2Display transmet au Client toute demande portant manifestement sur des données traitées pour son compte, sauf instruction ou obligation contraire.

10. Assistance de conformité

A2Display assiste raisonnablement le Client pour la sécurité, les analyses d'impact et les consultations préalables, en tenant compte des informations disponibles et de la nature du Service. Une prestation inhabituelle ou importante peut faire l'objet de conditions raisonnables convenues à l'avance.

11. Violations de données personnelles

Lorsqu'A2Display confirme une violation affectant des données traitées pour le Client, A2Display l'en informe sans retard injustifié et fournit progressivement les informations disponibles utiles. Le Client reste responsable de ses notifications en qualité de responsable du traitement.

12. Restitution, export et suppression

Pendant le contrat, le Client utilise les fonctions d'export disponibles. Après la fin du contrat, une fenêtre d'accès ou d'export de trente jours peut être fournie. Les données des systèmes actifs sont supprimées dans les trente jours suivant cette fenêtre, sauf obligation légale ou gel justifié.

Les copies de sauvegarde expirent selon les cycles techniques du fournisseur, ne sont pas réutilisées à des fins métier et les suppressions sont réappliquées après restauration lorsque requis. Il n'est pas promis qu'une sauvegarde chiffrée soit réécrite immédiatement pour une ligne isolée.

13. Informations, audits et preuves

A2Display met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent DPA. Les audits sont planifiés, proportionnés, soumis à la confidentialité et conçus pour éviter de compromettre d'autres Clients ou la sécurité du Service. Les rapports indépendants ou preuves documentaires disponibles sont privilégiés.

14. Responsabilité et ordre contractuel

La responsabilité liée au DPA est régie par les limitations licites prévues au contrat, sans réduire les droits impératifs des personnes ni les obligations qui ne peuvent être limitées. En cas de contradiction, le DPA prévaut pour la protection des données traitées pour le Client.

15. Évolution et contact

Le DPA est versionné. Une modification matérielle est notifiée et peut nécessiter une nouvelle acceptation par un Owner ou représentant habilité, sans effet rétroactif. Les demandes utilisent le formulaire NeuroDisplay, catégorie « Protection des données », ou le Support NeuroDisplay pour les Clients authentifiés. A2Display ne prétend pas avoir nommé un DPO.

16. Annexe I — Parties

Sous-traitant : A2Display, société par actions simplifiée, opérateur de NeuroDisplay, 1 rue de la Caillardière, 49070 Beaucouzé, France.

Responsable du traitement : le Client professionnel identifié dans l'Organisation, le Checkout, le devis ou le contrat. Le représentant qui accepte le DPA atteste disposer du pouvoir d'engager le Client.

17. Annexe II — Description des traitements

• Objet : hébergement, organisation, diffusion, support et sécurisation des contenus et configurations du Client.
• Durée : durée du contrat et période de suppression décrite à l'article 12.
• Nature : collecte, enregistrement, organisation, consultation, adaptation, transmission aux Players et destinataires choisis, sauvegarde et suppression.
• Finalités : affichage dynamique, parcours tactiles, administration, support, sécurité et fonctions demandées par le Client.
• Données : identité professionnelle, comptes et rôles, contenus, médias, configurations, journaux techniques, données de support et données contextuelles activées.
• Personnes : Utilisateurs du Client, personnels, visiteurs ou autres personnes dont le Client choisit de traiter les données.

18. Annexe III — Mesures techniques et organisationnelles

Les mesures établies comprennent notamment : RLS, RBAC, isolation multi-tenant, contrôles serveur, secrets conservés côté serveur, chiffrement en transit, stockage fournisseur chiffré selon ses capacités, URLs signées, journaux expurgés, request_id, séparation Test/Production, données synthétiques de test, protections cross-org, rate limiting, autorisation des commandes Player, gestion des accès, sauvegardes fournisseur et procédure d'incident.

19. Annexe IV — Sous-traitants actifs

La liste active et versionnée est publiée sur la page Sous-traitants NeuroDisplay. Elle comprend Supabase, Vercel, Resend et OpenAI lorsque les fonctions IA sont actives. Open-Meteo est temporairement désactivé tant qu'aucun abonnement commercial n'est configuré et ne reçoit alors aucune donnée de production.

Cloudflare R2 pour la future Documentothèque, GitHub, Mailosaur, les outils de développement et les fournisseurs non utilisés ne figurent pas dans la liste active.

20. Annexe V — Transferts internationaux

Les régions et mécanismes dépendent du fournisseur, du Plan et de la configuration active. Les transferts éventuels hors EEE utilisent une décision d'adéquation, des clauses contractuelles types ou une autre garantie applicable. La liste versionnée indique les régions possibles et mécanismes généraux sans révéler de configuration sensible.

21. Annexe VI — Conservation et suppression

• contenus, règles, compositions et configurations : contrat, export trente jours, suppression active dans les trente jours suivants ;
• fichiers temporaires et uploads abandonnés : vingt-quatre heures ;
• journaux applicatifs : quatre-vingt-dix jours ;
• journaux de sécurité et d'authentification : cent quatre-vingts jours ;
• état technique et heartbeat Player : quatre-vingt-dix jours ;
• analytics identifiables par Organisation : treize mois maximum ;
• tickets Support et pièces jointes : traitement puis douze mois après clôture ;
• prompts IA : non conservés dans les Analytics ni durablement, sauf enregistrement explicite ; journaux techniques expurgés : trente jours maximum ;
• preuves contractuelles et comptables : durées légales applicables.

Une conservation supérieure n'est appliquée qu'en présence d'une obligation légale, d'un litige ou d'un gel documenté.

22. Annexe VII — Assistance et incidents

A2Display maintient une procédure couvrant détection, classification, confinement, conservation des preuves, évaluation des personnes et données, analyse du risque, notification du Client sans retard injustifié, mises à jour, clôture et retour d'expérience. Les échanges utilisent un request_id et un registre expurgé.