Cet accord (DPA) encadre le traitement des données personnelles que nous effectuons pour le compte de nos clients, au sens de l'article 28 du RGPD. Il fait partie intégrante de nos contrats. Version v1.0 · Applicable à compter du 22/10/2026.
En une phrase — Vos données restent les vôtres. Nous ne les utilisons que pour exécuter votre prestation, jamais pour autre chose, et vous pouvez les récupérer ou les faire supprimer à tout moment.
Le présent accord est conclu entre le Client, qui détermine les finalités et les moyens du traitement et agit en qualité de responsable de traitement, et MATHIEU RIVIERE CONSEIL, exerçant sous le nom commercial Cadence Tech, qui traite les données pour son compte en qualité de sous-traitant.
MATHIEU RIVIERE CONSEIL — SARL, 59 rue de la Garonne, 47520 Le Passage — SIREN 951 685 080. Contact pour toute question relative aux données : rgpd@cadence-tech.fr.
Cet accord définit les conditions dans lesquelles le sous-traitant traite les données personnelles nécessaires à l'exécution des prestations décrites au contrat principal : développement, intégration, hébergement applicatif, maintenance, support, migration de données, traitements data et intelligence artificielle.
Le sous-traitant traite les données uniquement pour les finalités suivantes, et sur instruction documentée du Client :
Le sous-traitant s'interdit tout autre usage, en particulier à des fins commerciales, statistiques ou d'entraînement de modèles, sauf instruction écrite du Client.
Selon la prestation, les traitements peuvent porter sur :
Les personnes concernées sont les salariés, clients, prospects et partenaires du Client.
Le sous-traitant ne traite aucune donnée sensible au sens de l'article 9 du RGPD, sauf accord écrit préalable définissant les garanties renforcées applicables.
Le traitement s'effectue pendant toute la durée du contrat principal, augmentée de la période de réversibilité prévue à l'article 10.
Le sous-traitant s'engage à :
Le Client garantit disposer d'une base légale pour les traitements confiés, avoir informé les personnes concernées, et transmettre des instructions licites. Il est responsable de l'exactitude des données transmises et de la gestion des habilitations de ses propres utilisateurs.
Le sous-traitant met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment :
Les données de production ne sont pas utilisées en environnement de test sans anonymisation préalable, sauf nécessité technique documentée et accord du Client.
Le Client autorise le sous-traitant à recourir aux sous-traitants ultérieurs suivants :
Les intervenants techniques accèdent aux données du Client uniquement lorsque la prestation l'exige, sous la responsabilité pleine et entière du sous-traitant, et sont tenus aux mêmes obligations de confidentialité et de sécurité que celles décrites aux articles 6 et 8.
Toute évolution de cette liste est notifiée au Client au moins trente (30) jours avant sa prise d'effet. Le Client peut s'y opposer pour un motif légitime ; à défaut d'accord, il peut résilier la prestation concernée sans indemnité.
Les sous-traitants ultérieurs sont soumis par contrat à des obligations équivalentes aux présentes.
Les données sont hébergées en France ou en Suisse. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne.
Aucun transfert hors de l'Espace économique européen n'est effectué sans information préalable du Client et sans garanties appropriées au sens du chapitre V du RGPD. Lorsque la prestation recourt à des modèles d'intelligence artificielle, le sous-traitant précise au Client où ces traitements sont réalisés et quelles données leur sont transmises.
En cas de violation de données personnelles, le sous-traitant en informe le Client dans les meilleurs délais et au plus tard sous quarante-huit (48) heures après en avoir pris connaissance.
La notification décrit la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises ou proposées. Le sous-traitant assiste le Client dans sa notification éventuelle à la CNIL et aux personnes concernées.
Les demandes d'exercice de droits (accès, rectification, effacement, limitation, portabilité, opposition) sont traitées par le Client, responsable de traitement.
Si une demande parvient directement au sous-traitant, il la transmet au Client sans délai et sans y répondre lui-même. Il apporte au Client l'assistance technique nécessaire pour y donner suite dans les délais légaux.
Le Client peut vérifier le respect des présentes, une fois par an, moyennant un préavis de trente (30) jours, pendant les heures ouvrées et sans perturber l'activité du sous-traitant. L'audit peut prendre la forme d'un questionnaire documenté ou d'un entretien. Les frais sont à la charge du Client, sauf si l'audit révèle un manquement substantiel.
À la fin du contrat, et au choix du Client exprimé par écrit, le sous-traitant restitue les données dans un format structuré et couramment utilisé, ou les supprime.
À défaut d'instruction dans les trente (30) jours suivant la fin du contrat, le sous-traitant procède à la suppression sécurisée des données, à l'exception de celles qu'une obligation légale impose de conserver. Les sauvegardes résiduelles sont effacées selon leur cycle de rotation, au plus tard dans les six (6) mois.
Chaque Partie assume les conséquences de ses propres manquements au RGPD. Les plafonds de responsabilité prévus au contrat principal s'appliquent, sans pouvoir faire obstacle aux droits des personnes concernées ni aux pouvoirs de l'autorité de contrôle.
Le sous-traitant tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients, conformément à l'article 30.2 du RGPD, et le met à disposition de l'autorité de contrôle sur demande.
Le présent accord est régi par le droit français et par le Règlement (UE) 2016/679. En cas de contradiction avec le contrat principal sur le traitement des données personnelles, les présentes prévalent.
Documents liés — Cet accord complète nos Conditions Générales de Vente et, pour la solution SaaS, les CGV Migratron. Pour toute question : rgpd@cadence-tech.fr
Version v1.0 · Applicable à compter du 22 octobre 2026.