Data Processing Agreement (DPA) — voc.nc v1

Accord de sous-traitance — article 28 RGPD · Version 1.1 · En vigueur au 9 septembre 2026.

Télécharger le DPA (PDF) (dpa-voc-nc-v1.pdf · version archivable, datée)

Parties à l'accord

Accord conclu entre :

Responsable du traitement : Tenant (entreprise ayant ouvert un compte voc.nc).
Sous-traitant : RESILIENCE, SARL, RCS 1 494 970, Nouméa, Nouvelle-Calédonie.

Le présent DPA est conclu conformément à l'article 28 du Règlement Général sur la Protection des Données (UE) 2016/679 (« RGPD »). Il est annexé au contrat principal de service voc.nc et en fait partie intégrante.

1. Objet

Le présent DPA encadre le traitement par le Sous-traitant des données à caractère personnel collectées sur voc.nc dans le cadre des campagnes de mesure de satisfaction client du Responsable du traitement, conformément à l'article 28 du RGPD.

Le présent DPA est accepté par le Responsable du traitement lors de la création de son compte (CGU, article 15) ; ses évolutions suivent l'article 13 des CGU. Il constitue l'acte écrit visé à l'article 28 §9 du RGPD (forme électronique).

2. Nature et finalité du traitement

Nature du traitement :
- générer des tokens à usage unique pour la réalisation d'enquêtes de satisfaction ;
- collecter les réponses des destinataires via le formulaire web public /r/:token ;
- agréger les indicateurs CSAT / NPS / FCR et restituer les résultats dans l'interface analytique du Responsable du traitement.
Finalité : permettre au Responsable du traitement de mesurer la satisfaction de ses propres clients finaux via des enquêtes ciblées, ponctuelles ou récurrentes.
Durée du traitement : durée du contrat principal. Les réponses sont conservées tant que le formulaire existe dans le compte ; au terme de 24 mois, elles sont anonymisées — dissociées du jeton qui les a portées, leur horodatage étant réduit au jour, leurs textes libres effacés — et les jetons consommés et les journaux de diffusion sont supprimés. Un formulaire qui n'a pas encore été distribué peut être supprimé ; une fois distribué, il ne peut plus qu'être archivé et ses données suivent le sort du compte. Le Responsable du traitement peut supprimer son compte utilisateur à tout moment depuis son espace ; la suppression est immédiate. La suppression de l'ensemble des données de l'organisation (formulaires, jetons, réponses, utilisateurs) se demande à dpo@voc.nc et est exécutée sous 30 jours. Il lui appartient d'exporter ses données avant (export CSV par formulaire).

3. Catégories de données à caractère personnel

Référence client — transmise par le Responsable du traitement, restituée immédiatement dans un fichier récapitulatif téléchargeable (24 h), jamais conservée en base par voc.nc.
Token unique d'enquête — jeton opaque à usage unique, sans lien mathématique avec la référence.
Scores de satisfaction : CSAT (1-5), NPS (0-10), FCR (oui/non), commentaires libres.
Horodatages techniques : émission, réponse et expiration du lien d'enquête, rattachés au jeton et non à une personne identifiée côté voc.nc.
Formulaire anonyme — mêmes catégories, la réponse étant enregistrée sans lien avec le jeton (mesure décrite à l'article 5).

4. Catégories de personnes concernées

Clients finaux du Responsable du traitement, destinataires des enquêtes de satisfaction : particuliers ou professionnels identifiés par une référence fournie par le Responsable du traitement (import CSV), sans coordonnées.

5. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

Traiter les données uniquement sur instructions documentées du Responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale, sauf obligation légale contraire. Les instructions sont matérialisées par le paramétrage des campagnes et des formulaires dans l'interface voc.nc, et par les autorisations données à l'article 6.
Garantir la confidentialité des personnes habilitées par le Sous-traitant à traiter les données, soumises à un engagement de confidentialité écrit (salariés, prestataires).
Mettre en œuvre les mesures techniques et organisationnelles appropriées (art. 32 RGPD) : chiffrement au repos, chiffrement en transit, isolation cryptographique cross-tenant, authentification à deux facteurs (TOTP) disponible sur les comptes, sauvegarde de la base de données avant chaque déploiement en production (les dix dernières sauvegardes sont conservées), suppression des données à la suppression du formulaire, suppression des données de l'organisation sur demande (article 9), zéro cookie tiers sur les formulaires publics — la seule mesure d'audience est assurée par un outil de mesure d'audience cookieless, hébergé et exploité par le Sous-traitant sur sa propre infrastructure, en France ; elle ne conserve pas l'adresse IP mais repose sur un identifiant de visiteur pseudonymisé (haché, sel renouvelé chaque jour), et n'est donc pas anonyme ; les identifiants figurant dans les adresses des pages (liens d'enquête, rapports partagés) sont masqués avant transmission à la mesure d'audience —, filtrage des paramètres sensibles dans les journaux et dans la journalisation des erreurs — assurée par un outil open source de journalisation des erreurs hébergé et exploité par le Sous-traitant sur sa propre infrastructure, en France, sans recours à un tiers : adresse IP, cookies, corps de requête, paramètres de jobs et jetons figurant dans les URL en sont exclus par configuration, comme les chaînes de requête et les référents, et les événements sont conservés 90 jours. Aucune donnée n'est transmise à un tiers, hors l'hébergeur listé à l'article 6.
Appliquer, sur tout formulaire déclaré anonyme par le Responsable du traitement, la mesure suivante au titre de l'article 32 du RGPD : la réponse est enregistrée dissociée du jeton qui l'a portée, son horodatage étant réduit au jour ; son contenu n'est pas modifié — un commentaire libre qui identifie son auteur reste tel quel. Aucun résultat rattaché à un jeton n'est restitué au Responsable du traitement : restitution agrégée à l'écran à partir d'au moins cinq réponses par question, export d'une ligne par réponse sans jeton, sans référence ni texte libre, horodatage réduit à la semaine (CGU, article 9.1). Cette mesure n'est pas paramétrable.
Notifier toute violation de données personnelles au Responsable du traitement (DPO ou contact désigné) sans délai, et au plus tard sous 24 heures à compter du moment où le Sous-traitant en a lui-même connaissance (art. 33 §2 du RGPD).
Permettre au Responsable du traitement d'exporter ou de supprimer ses données sur simple demande, dans les délais précisés à l'article 9.
Assister le Responsable du traitement dans la réalisation de l'analyse d'impact relative à la protection des données (art. 35 RGPD) et dans la consultation préalable de l'autorité de contrôle (art. 36 RGPD), compte tenu de la nature du traitement et des informations à sa disposition (art. 28.3.f RGPD).

Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données (art. 28.3 in fine du RGPD).

6. Sous-traitance ultérieure

Le Responsable du traitement autorise le Sous-traitant à faire appel aux sous-traitants ultérieurs listés ci-dessous. Toute nouvelle sous-traitance fait l'objet d'une information préalable du Responsable du traitement, par email à l'adresse indiquée au contrat principal, qui dispose d'un droit d'opposition motivé dans un délai de 30 jours.

Sous-traitants ultérieurs voc.nc (mis à jour à chaque évolution)
Sous-traitant	Finalité	Localisation	Garanties
Hostinger	Hébergement de l'application, de la base de données et des sauvegardes	Serveur à Paris (France, UE) ; copies de sauvegarde hebdomadaires de l'hébergeur aux Pays-Bas (UE)	Data Processing Addendum de Hostinger, annexé à ses conditions de service et accepté avec elles (hostinger.com/legal/dpa, version du 18/08/2026) ; entité contractante Hostinger International Ltd (Chypre) ; sous-traitants ultérieurs de l'hébergeur listés en annexe 3 du DPA ; clauses contractuelles types de l'UE pour tout transfert hors EEE
Google Workspace (RESILIENCE)	Hébergement email	UE → US	Clauses contractuelles types Google

Les prestataires techniques de RESILIENCE n'ont pas accès aux données de production.

Le Sous-traitant impose à tout sous-traitant ultérieur les mêmes obligations de protection des données que celles du présent DPA et demeure pleinement responsable envers le Responsable du traitement de l'exécution de ces obligations (art. 28.4 du RGPD).

Transfert hors Union européenne. Le transfert vers les États-Unis qu'emporte l'hébergement email figurant au tableau ci-dessus repose sur une instruction documentée du Responsable du traitement au sens de l'article 5 : le Responsable du traitement autorise ce transfert par l'acceptation du présent DPA. Il peut demander à en être exempté pour ses données, par courrier à dpo@voc.nc ; le courriel n'est utilisé qu'en repli exceptionnel.

La liste à jour est également publiée dans le registre des traitements du Sous-traitant, disponible sur demande à dpo@voc.nc.

7. Droits des personnes concernées

Le Sous-traitant assiste le Responsable du traitement dans l'exercice des droits des personnes concernées (art. 12 à 22 RGPD) :

Droit d'opposition (art. 21) — exercé auprès du Responsable du traitement, qui cesse de diffuser des liens d'enquête à la personne concernée. Le Sous-traitant l'assiste sur demande.
Droit d'accès / rectification / portabilité (art. 15, 16, 20) — demandes à dpo@voc.nc : accusé de réception sous 72 heures ouvrées, réponse sous un mois (art. 12 RGPD).
Droit à l'effacement (art. 17) — purge sur demande formelle écrite à dpo@voc.nc, exécutée sous 30 jours.

Limite structurelle. Le Sous-traitant ne détenant aucune donnée d'identification directe, une demande d'accès émanant directement d'un client final ne peut aboutir techniquement et sera redirigée vers le Responsable du traitement. Sur un formulaire anonyme, cette limite vaut aussi pour le Responsable du traitement : aucune réponse ne peut être rattachée à un jeton, ni par lui, ni par le Sous-traitant, sauf éléments complémentaires fournis par la personne concernée (art. 11 §2 du RGPD).

8. Notification de violation de données

Toute violation de données personnelles détectée par le Sous-traitant est notifiée au DPO du Responsable du traitement sans délai, et au plus tard sous 24 heures (art. 33 §2 du RGPD), avec :

la description de la violation (nature, date, vecteur) ;
les catégories et le volume approximatif de données et de personnes concernées ;
les conséquences probables pour les personnes concernées ;
les mesures prises par le Sous-traitant et celles recommandées au Responsable du traitement ;
le point de contact technique chez le Sous-traitant : dpo@voc.nc.

Le Sous-traitant maintient un registre interne des violations, y compris celles qui ne sont pas notifiables à la CNIL (accès restreint à l'équipe).

Ce délai de 24 heures court à compter du moment où le Sous-traitant a lui-même connaissance de la violation. Il constitue un plafond : la notification est faite sans délai dès que le Sous-traitant en a connaissance.

9. Retour ou destruction des données en fin de contrat

À la fin du contrat principal, le Responsable du traitement peut demander à dpo@voc.nc :

Export — export CSV par formulaire depuis l'interface. Il n'existe pas d'export global du compte : l'export se fait formulaire par formulaire.
Destruction intégrale — purge des réponses, jetons, journaux de diffusion, campagnes, formulaires, jetons API et utilisateurs associés au compte, exécutée sous 30 jours.

Les réponses sont conservées tant que le formulaire existe dans le compte ; au terme de 24 mois, elles sont anonymisées — dissociées du jeton qui les a portées, leur horodatage étant réduit au jour, leurs textes libres effacés — et les jetons consommés et les journaux de diffusion sont supprimés. Un formulaire qui n'a pas encore été distribué peut être supprimé ; une fois distribué, il ne peut plus qu'être archivé et ses données suivent le sort du compte. Le Responsable du traitement peut supprimer son compte utilisateur à tout moment depuis son espace ; la suppression est immédiate. La suppression de l'ensemble des données de l'organisation (formulaires, jetons, réponses, utilisateurs) se demande à dpo@voc.nc et est exécutée sous 30 jours ; il lui appartient d'exporter ses données avant (export CSV par formulaire).

Le droit à l'effacement sur demande (article 7, traité sous 30 jours) et l'export sur demande ci-dessus restent ouverts : ce sont des obligations des articles 17 et 28 du RGPD, et non une durée de conservation.

10. Audit

Le Responsable du traitement peut demander un audit sur pièces, une fois par an au plus, moyennant un préavis écrit de 30 jours à dpo@voc.nc (article 28.3.h du RGPD). Les frais de l'audit sont à la charge du demandeur, sauf non-conformité constatée. Un audit sur site n'a lieu que sur accord des parties.

11. Durée et résiliation du DPA

Ce DPA prend effet à la date de souscription au contrat principal de service voc.nc et reste en vigueur pour toute la durée du contrat principal. Date de prise d'effet de la présente version : 9 septembre 2026.

Il s'éteint automatiquement :

À la résiliation du contrat principal, majorée de 30 jours pour le traitement d'une demande d'export ou d'effacement (article 9). Cette période ne proroge aucune durée de conservation.
À la suppression des données de l'organisation : demandée à dpo@voc.nc et exécutée sous 30 jours, elle porte sur l'ensemble des données du Responsable du traitement (formulaires, jetons, réponses, utilisateurs). La suppression du seul compte utilisateur, immédiate depuis son espace, n'éteint pas le présent DPA.

12. Droit applicable et juridiction

Le présent DPA est régi par le droit applicable en Nouvelle-Calédonie. En matière de protection des données personnelles s'appliquent le RGPD (UE) 2016/679 et la loi Informatique et Libertés du 6 janvier 1978 modifiée, rendus applicables en Nouvelle-Calédonie et en Polynésie française par les articles 125 et 126 de cette loi. Tout litige relève de la compétence exclusive des tribunaux de Nouméa.

Le Responsable du traitement conserve le droit de saisir l'autorité de contrôle compétente (CNIL) au titre de l'art. 77 RGPD.

Version archivable, datée : dpa-voc-nc-v1.pdf.