Cette traduction est fournie à titre informatif ; en cas de divergence d'interprétation, la version anglaise fait foi. Le présent DPA régit la manière dont Greenmango (le sous-traitant) traite les données personnelles pour votre compte (le responsable du traitement) lorsque vous utilisez Bridgekit.
Dernière mise à jour : mai 2026
Le présent accord de traitement des données (DPA) est conclu entre vous (le responsable du traitement) et Greenmango (le sous-traitant). En tant que responsable du traitement, vous chargez Greenmango de traiter des données personnelles pour votre compte lors de l'utilisation du service Bridgekit. Les deux parties s'engagent à respecter leurs obligations respectives au titre du RGPD (règlement UE 2016/679) et des lois nationales applicables en matière de protection des données.
Le sous-traitant traite les données personnelles uniquement pour fournir le service Bridgekit décrit dans les conditions d'utilisation, et à aucune autre fin. Le traitement se poursuit pendant la durée de l'abonnement actif ainsi que pendant une fenêtre de conservation de 90 jours après sa fin. Passé ce délai, toutes les données personnelles sont supprimées ou restituées sur demande.
Le sous-traitant traite les données personnelles uniquement sur instructions documentées du responsable du traitement. L'utilisation de la plateforme Bridgekit constitue des instructions documentées ; toute instruction complémentaire doit être adressée à privacy@bridgekit.eu. Si le sous-traitant estime qu'une instruction enfreint le RGPD, il en informe le responsable du traitement avant de procéder au traitement.
Le sous-traitant veille à ce que toutes les personnes autorisées à traiter des données personnelles soient tenues à une obligation de confidentialité. Le sous-traitant met en œuvre des mesures de sécurité techniques et organisationnelles appropriées. Le sous-traitant assiste le responsable du traitement dans le traitement des demandes d'exercice des droits des personnes concernées, des AIPD et des obligations de consultation préalable, dans la mesure raisonnablement possible.
Le responsable du traitement autorise le recours aux sous-traitants ultérieurs suivants : Hetzner Online GmbH (Allemagne) pour l'hébergement du calcul et de la base de données principale ; Scaleway SAS (France) pour les sauvegardes hors site et l'e-mail transactionnel ; Mollie BV (Pays-Bas) pour le traitement des paiements. Tous les sous-traitants ultérieurs sont liés par des accords conformes au RGPD. Greenmango informera le responsable du traitement de toute modification de la liste des sous-traitants ultérieurs moyennant un préavis raisonnable.
Le sous-traitant maintient : un chiffrement authentifié AES-256-GCM de tous les secrets ; des volumes de base de données chiffrés au repos ; TLS 1.2 ou supérieur pour toutes les données en transit ; des contrôles d'accès fondés sur les rôles qui limitent l'accès interne ; l'application automatisée des correctifs de sécurité ; et des sauvegardes hors site régulières au sein de la juridiction de l'UE.
Le sous-traitant informera sans délai le responsable du traitement de toute demande d'exercice des droits des personnes concernées qu'il reçoit et qui porte sur les données du responsable du traitement, et l'assistera pour y répondre dans les délais légaux. Le responsable du traitement reste chargé de communiquer avec les personnes concernées et de statuer en dernier ressort sur chaque demande.
En cas de violation de données personnelles affectant les données du responsable du traitement, le sous-traitant en informera le responsable du traitement sans retard injustifié et dans les 72 heures suivant sa prise de connaissance, en indiquant : une description de la violation, les catégories et le nombre approximatif de personnes concernées et d'enregistrements en cause, les conséquences probables et les mesures prises ou proposées.
À la fin de l'abonnement, le sous-traitant accorde une fenêtre de 30 jours pour exporter les données via l'API Bridgekit. Passé ce délai, les données personnelles sont supprimées de manière sécurisée des systèmes de production et des sauvegardes dans un délai de 90 jours, sauf si une durée de conservation plus longue est imposée par la loi. Une confirmation écrite de la suppression est fournie sur demande.
Le responsable du traitement peut, moyennant un préavis écrit de 30 jours et au maximum une fois par an, commander un audit indépendant de la conformité du sous-traitant au présent DPA. Il peut également demander un rapport de conformité synthétique. Les coûts de l'audit sont à la charge du responsable du traitement, sauf si un manquement est constaté.
Le présent DPA est régi par le droit néerlandais et complète les conditions d'utilisation. En cas de conflit, le DPA prévaut pour les questions relatives au traitement des données personnelles. Pour demander un exemplaire contresigné à conserver dans vos dossiers, écrivez à privacy@bridgekit.eu.
Email us at privacy@bridgekit.eu and we'll return a signed copy within two business days.
Contact us