Contrat de Traitement de Données (DPA)

CentaurusCyber

Version : 1.0
Date d’effet : 13 mai 2026

---

Préambule

Le présent Contrat de Traitement de Données (ci-après le « DPA ») est conclu entre :

• CentaurusCyber, agissant en qualité de Responsable de Traitement (ci-après le « Responsable »), et
• l’utilisateur agissant en qualité d’utilisateur

Contexte :
Le Responsable utilise les services pour le traitement de données personnelles dans le cadre de son activité de vérification d’emails et de données dans des bases de fuites. Ce DPA définit les obligations des parties en matière de protection des données, conformément au Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le « RGPD ») et à la loi française n°78-17 du 6 janvier 1978 modifiée (ci-après la « Loi Informatique et Libertés »).

---

1. Objet du DPA

Le présent DPA a pour objet de :

1. Définir les modalités de traitement des données personnelles par le Sous-Traitant pour le compte du Responsable.
2. Garantir la conformité au RGPD et à la Loi Informatique et Libertés.
3. Encadrer les droits et obligations des parties en matière de protection des données.

---

2. Définitions

Les termes utilisés dans le présent DPA ont la même signification que celle qui leur est attribuée dans le RGPD, notamment :

• « Données Personnelles » : Toute information se rapportant à une personne physique identifiée ou identifiable.
• « Traitement » : Toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés, appliquées à des données personnelles.
• «Traitant » : La personne physique ou morale qui traite des données personnelles pour le compte du Responsable.
• « Responsable de Traitement » : La personne physique ou morale qui détermine les finalités et les moyens du traitement.

---

3. Description du Traitement

3.1. Finalités du Traitement

Le Sous-Traitant traite les Données Personnelles uniquement pour les finalités suivantes, telles que définies par le Responsable :

• Vérification de la présence d’emails ou de données dans des bases de fuites (data breaches).
• Fourniture de recommandations de sécurité personnalisées aux Utilisateurs.
• Gestion des comptes utilisateurs et des paiements (le cas échéant).
• Amélioration du Service (statistiques anonymisées).

3.2. Nature des Données Personnelles

Les catégories de Données Personnelles traitées sont les suivantes :

Catégorie	Exemples	Sensibilité
Données d’identification	Adresse email, pseudos, numéros de téléphone	Non sensible
Données de connexion	Adresse IP, logs d’accès, cookies	Non sensible
Données de paiement	Nom, prénom, informations bancaires (traitées par un prestataire certifié)	Sensible (chiffrées)
Données de questionnaire	Réponses aux questions de sécurité (ex : mots de passe hachés)	Sensible (chiffrées)

3.3. Durée du Traitement

• Les Données Personnelles sont traitées pendant la durée de l’abonnement de l’Utilisateur.
• Elles sont supprimées sous 30 jours après la fin du contrat, sauf obligation légale de conservation (ex : données de paiement conservées 10 ans pour les factures).

3.4. Personnes Concernées

Les Données Personnelles concernent :

• Les Utilisateurs du Service (particuliers ou professionnels).
• Les clients de CentaurusCyber (si le Service est utilisé en B2B).

---

4. Obligations du Responsable

Le Responsable s’engage à :

1. Déterminer les finalités du traitement et en informer le Sous-Traitant.
2. Fournir au Sous-Traitant les instructions nécessaires pour le traitement des Données Personnelles.
3. Garantir que le traitement des Données Personnelles est conforme au RGPD et à la Loi Informatique et Libertés.
4. Informer les personnes concernées de l’existence du traitement et de leurs droits (via la Politique de Confidentialité).
5. Superviser le respect des obligations du Sous-Traitant en matière de protection des données.
6. Notifier sans délai au Sous-Traitant toute demande d’exercice des droits des personnes concernées (accès, rectification, effacement, etc.).

---

5. Obligations du Sous-Traitant

Le Sous-Traitant s’engage à :

5.1. Traitement des Données

• Traiter les Données Personnelles uniquement sur instruction écrite du Responsable.
• Ne pas utiliser les Données Personnelles pour ses propres besoins.
• Ne pas communiquer les Données Personnelles à un tiers sans l’autorisation écrite du Responsable.

5.2. Sécurité des Données

• Mettre en œuvre des mesures techniques et organisationnelles pour garantir la sécurité des Données Personnelles, notamment :
  • Chiffrement des données (TLS 1.3 pour les transferts, chiffrement au repos).
  • Accès restreint aux données (principe du moindre privilège).
  • Sauvegardes régulières et tests de restauration.
  • Audits de sécurité annuels (ou certification ISO 27001, SOC 2, etc.).
• Notifier le Responsable sans délai (sous 72h) en cas de violation de données (data breach), conformément à l’Article 33 du RGPD.

5.3. Sous-Traitance en Cascade

• Le Sous-Traitant ne peut pas sous-traiter tout ou partie du traitement sans l’autorisation écrite du Responsable.
• En cas de sous-traitance autorisée, le Sous-Traitant doit :
  • Choisir un sous-traitant offrant des garanties suffisantes en matière de protection des données.
  • Imposer au sous-traitant en cascade les mêmes obligations que celles prévues dans le présent DPA.
  • Informer le Responsable de tout changement concernant l’ajout ou le remplacement d’un sous-traitant.

5.4. Confidentialité

• Le Sous-Traitant s’engage à ne pas divulguer les Données Personnelles à des tiers non autorisés.
• Les employés du Sous-Traitant ayant accès aux Données Personnelles sont tenus à la confidentialité (via des clauses contractuelles ou des accords de confidentialité).

5.5. Collaboration avec le Responsable

• Faciliter l’exercice des droits des personnes concernées (ex : droit d’accès, droit à l’effacement).
• Fournir au Responsable toute information nécessaire pour démontrer la conformité au RGPD (ex : registres des activités de traitement, audits).
• Supprimer ou restituer les Données Personnelles à la fin du contrat, selon les instructions du Responsable.

---

6. Droits des Personnes Concernées

Le Sous-Traitant s’engage à :

• Aider le Responsable à répondre aux demandes d’exercice des droits des personnes concernées (ex : accès, rectification, effacement, portabilité, opposition).
• Ne pas répondre directement aux demandes des personnes concernées sans l’autorisation du Responsable.

---

7. Violation de Données (Data Breach)

7.1. Notification

En cas de violation de données (ex : fuite, accès non autorisé), le Sous-Traitant doit :

1. Identifier la nature de la violation (données concernées, nombre de personnes impactées, etc.).
2. Notifier le Responsable sans délai (sous 72h maximum) via :
3. Fournir au Responsable toutes les informations nécessaires pour permettre à ce dernier de notifier la violation à la CNIL (si nécessaire) et aux personnes concernées.

7.2. Mesures Correctives

Le Sous-Traitant doit :

• Prendre des mesures immédiates pour limiter l’impact de la violation (ex : isolation des systèmes, correction des vulnérabilités).
• Documenter la violation et les actions prises pour y remédier.
• Collaborer avec le Responsable pour éviter une récidive.

---

8. Transfert de Données Hors UE

• Les Données Personnelles ne sont pas transférées en dehors de l’Union Européenne ou de l’Espace Économique Européen (EEE), sauf :
  • Si le pays destinataire bénéficie d’une décision d’adéquation de la Commission européenne (ex : Royaume-Uni, Canada).
  • Si des garanties appropriées sont mises en place (ex : Clauses Contractuelles Types de la Commission européenne, Binding Corporate Rules, etc.).
• En cas de transfert, le Sous-Traitant doit informer le Responsable et obtenir son accord écrit.

---

9. Audit et Contrôle

• Le Responsable peut auditer le Sous-Traitant pour vérifier le respect des obligations du présent DPA.
• Les audits peuvent être réalisés :
  • Sur site (avec un préavis de 15 jours).
  • À distance (via des questionnaires ou des rapports d’audit).
• Le Sous-Traitant doit coopérer pleinement avec le Responsable et fournir toute documentation nécessaire.

---

10. Durée et Résiliation

10.1. Durée

Le présent DPA entre en vigueur à la date de signature et reste valable pour la durée du contrat principal entre les parties.

10.2. Résiliation

• Le Responsable peut résilier le DPA en cas de manquement grave du Sous-Traitant à ses obligations (ex : violation de données, non-respect du RGPD).
• Le Sous-Traitant peut résilier le DPA en cas de manquement du Responsable à ses obligations (ex : non-paiement, instructions illégales).
• En cas de résiliation, le Sous-Traitant doit :
  • Cesser tout traitement des Données Personnelles.
  • Supprimer ou restituer les Données Personnelles au Responsable, selon ses instructions.

---

11. Loi Applicable et Litiges

• Le présent DPA est régi par le droit français.
• Tout litige relatif à l’interprétation ou à l’exécution du DPA sera soumis à la compétence exclusive des tribunaux de Paris.

---

12. Annexes

Annexe 1 : Liste des Sous-Traitants Autorisés

Nom du Sous-Traitant	Service Fournis	Localisation	Certifications
OVH	Hébergement web	France	ISO 27001, SOC 2
Stripe	Paiements en ligne	Irlande	PCI DSS
AWS France	Stockage cloud	France	ISO 27001, SOC 2

Annexe 2 : Mesures de Sécurité

• Chiffrement : TLS 1.3 pour les transferts, AES-256 pour le stockage.
• Accès : Authentification multi-facteurs (MFA), principe du moindre privilège.
• Sauvegardes : Sauvegardes quotidiennes, tests de restauration mensuels.
• Surveillance : Détection des intrusions (IDS), logs centralisés.

---

13. Signatures

Le Responsable de Traitement :
CentaurusCyber