DPA Majordome

Accord-cadre régissant le traitement de données personnelles entre vous (le Responsable de traitement) et YL Publishing Limited (le Sous-traitant), opérant Majordome.

Article 1 — Définitions

Les termes utilisés dans ce DPA ont le sens qui leur est donné dans le Règlement Général sur la Protection des Données (RGPD, Règlement UE 2016/679). En particulier :

• Responsable de traitement (le Client) : la personne physique ou morale qui détermine les finalités et les moyens du traitement des Données Personnelles.
• Sous-traitant (Majordome) : YL Publishing Limited, opérant le service Majordome.
• Données Personnelles : toute information se rapportant à une personne physique identifiée ou identifiable traitée par Majordome au nom du Client.
• Sous-traitant ultérieur : tout tiers engagé par Majordome pour traiter des Données Personnelles (liste sur /subprocessors).
• Personne concernée : la personne physique à laquelle se rapportent les Données Personnelles.

Article 2 — Objet, durée et nature du traitement

Article 3 — Obligations du Sous-traitant

Majordome s'engage à :

1. Traiter les Données Personnelles uniquement sur instructions documentées du Client (la souscription au service constituant l'instruction documentée).
2. Garantir que les personnes autorisées à traiter les Données Personnelles sont engagées par une obligation de confidentialité.
3. Mettre en œuvre les mesures techniques et organisationnelles appropriées (article 32 RGPD), détaillées à l'article 5 ci-dessous.
4. Respecter les conditions visées à l'article 4 pour le recours à des Sous-traitants ultérieurs.
5. Aider le Client à donner suite aux demandes des Personnes concernées (article 8).
6. Aider le Client à respecter les obligations 32 à 36 du RGPD (sécurité, notification de violation, analyses d'impact).
7. Au choix du Client, supprimer ou retourner les Données Personnelles à la fin du contrat (article 9).
8. Mettre à disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations du présent article et permettre les audits (article 10).

Article 4 — Sous-traitants ultérieurs

Le Client autorise Majordome à recourir aux Sous-traitants ultérieurs listés sur /subprocessors.

Toute modification de cette liste fait l'objet d'un préavis de 30 jours par email au Client. Le Client peut s'opposer à un nouveau Sous-traitant ultérieur par écrit dans ce délai; en cas d'opposition, Majordome propose une alternative ou, à défaut, le Client peut résilier le contrat sans frais.

Majordome demeure pleinement responsable du respect par les Sous-traitants ultérieurs des obligations du présent DPA.

Article 5 — Mesures de sécurité

Majordome met en œuvre les mesures techniques et organisationnelles suivantes (article 32 RGPD) :

Mesures techniques

• Chiffrement au repos : LUKS AES-256 sur disque entier + SQLCipher AES-256 sur la base de données applicative
• Chiffrement en transit : TLS 1.3 obligatoire pour toutes les communications externes; mTLS pour les communications inter-serveurs
• Gestion des clés : HashiCorp Vault sur infrastructure séparée, accès uniquement via VPN privé
• Audit logs immutables : Backblaze B2 Object Lock mode Compliance, rétention 90 jours minimum
• Pare-feu : UFW deny-all par défaut, accès SSH uniquement via Tailscale VPN
• Authentification : clés SSH ed25519, MFA obligatoire sur les comptes admin
• Sauvegardes : nightly chiffrées avec clé client, rétention 30 jours
• Mises à jour : automatiques pour les patches de sécurité critiques

Mesures organisationnelles

• Politique d'accès basée sur le principe du moindre privilège
• Sessions admin tracées (qui, quand, depuis où, quelles commandes)
• Plan de réponse à incident documenté avec délai de notification 72h
• Politique de gestion des sous-traitants avec vérification annuelle
• Formation sécurité du personnel

Le détail technique complet est publié sur trymajordome.com/security.

Article 6 — Conservation des Données

Article 7 — Notification de violation

En cas de violation des Données Personnelles, Majordome notifie le Client sans retard injustifié, et au plus tard 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD.

La notification précise :

• La nature de la violation
• Les catégories et le nombre approximatif de Personnes concernées et d'enregistrements affectés
• Les conséquences probables
• Les mesures prises ou proposées pour remédier à la violation

Majordome assiste le Client dans toute notification aux autorités de contrôle ou aux Personnes concernées.

Article 8 — Droits des Personnes concernées

Majordome aide le Client à répondre aux demandes d'exercice des droits des Personnes concernées (accès, rectification, effacement, portabilité, opposition, limitation) dans les délais légaux.

Si Majordome reçoit directement une demande d'une Personne concernée, il transmet sans délai cette demande au Client et n'y répond pas sans instruction écrite préalable du Client.

Article 9 — Suppression ou restitution en fin de contrat

À la fin du contrat principal, le Client choisit entre :

1. Suppression complète : Majordome supprime toutes les Données Personnelles dans les 30 jours suivant la résiliation, et fournit une attestation de suppression.
2. Restitution : Majordome fournit les Données Personnelles dans un format structuré et lisible par machine (JSON, CSV) dans les 30 jours, puis procède à la suppression.

Les audit logs sécurité (Backblaze Object Lock) sont conservés jusqu'à expiration de leur durée légale de rétention, conformément à nos obligations de tenue de registre.

Article 10 — Audit

Le Client peut procéder à un audit des mesures de sécurité de Majordome :

• Audit documentaire : Majordome fournit, sur demande, le rapport SOC 2 (à venir 2026), le Register of Processing Activities, la liste des sous-traitants à jour, et les politiques de sécurité.
• Audit technique sur site : sur préavis raisonnable (30 jours minimum), à la charge financière du Client, avec un cabinet d'audit indépendant accepté par les deux parties.
• Audit en continu : pour les formules Intendance et au-delà, le Client a un accès lecture aux audit logs Backblaze (token dédié) et peut vérifier en temps réel chaque accès admin à son tenant.

Article 11 — Transferts internationaux

Le traitement principal des Données Personnelles est effectué au sein de l'UE (sauf choix explicite du Client pour un autre datacenter Hostinger).

Certains Sous-traitants ultérieurs étant établis en dehors de l'UE (USA principalement), les transferts sont encadrés par les Clauses Contractuelles Types de la Commission européenne (décision 2021/914) et complétés par des mesures techniques (chiffrement systématique, accords zéro-rétention avec les fournisseurs IA).

Article 12 — Assurance et responsabilité

Majordome s'engage à souscrire une assurance Responsabilité Civile Professionnelle couvrant les violations de données personnelles, à compter de la deuxième année d'opération du service ou plus tôt.

La responsabilité de Majordome au titre du présent DPA est plafonnée selon les conditions du contrat principal.

Article 13 — Droit applicable et juridiction

Le présent DPA est régi par le droit français lorsque le Client est résident UE. Pour les Clients hors UE, le droit applicable est celui du contrat principal (Hong Kong par défaut).

Tout litige relatif à l'interprétation ou à l'exécution du présent DPA relève de la compétence exclusive des tribunaux du domicile du Client (UE) ou de Hong Kong (hors UE), à choix du Client.