Accord de traitement des données (DPA)

1. Objet et durée

Le présent DPA couvre le traitement des données personnelles par le Sous-traitant dans le cadre de la fourniture du service d'hébergement Matrix géré. La durée du traitement correspond à la durée du contrat.

2. Nature et finalité du traitement

Le Sous-traitant traite les données suivantes pour le compte du Responsable du traitement :

• Stockage et relayage des messages (chiffrés)
• Gestion des comptes utilisateurs et des appartenances aux salons
• Stockage des fichiers multimédias (chiffrés dans les salons E2EE)
• Traitement des métadonnées de connexion pour la livraison des messages

3. Catégories de personnes concernées

• Employés et membres du Responsable du traitement
• Partenaires de communication externes (via fédération)

4. Catégories de données personnelles

• Données du compte (nom, email, photo de profil)
• Contenu des communications (dans les salons E2EE : texte chiffré uniquement)
• Métadonnées (horodatages, appartenance aux salons, informations sur les appareils)
• Fichiers multimédias (images, documents — chiffrés dans les salons E2EE)

5. Mesures techniques et organisationnelles

• Chiffrement de bout en bout (Olm/Megolm) — contenus illisibles par le Sous-traitant
• Chiffrement de la base de données et du stockage multimédia au repos
• TLS 1.3 pour toutes les connexions (en transit)
• Sauvegardes chiffrées quotidiennes/horaires (selon le plan)
• Contrôle d'accès : SSH par clé uniquement, pas de connexion par mot de passe sur les serveurs
• Hébergement exclusivement en Allemagne (Nuremberg/Falkenstein)
• Mises à jour de sécurité régulières et surveillance

6. Sous-traitants

Les sous-traitants suivants sont utilisés :

• Hébergement de serveurs en Allemagne
• Revolut Payments UAB (traitement des paiements, Lituanie/UE)

7. Obligations du Sous-traitant

• Traitement uniquement sur instructions documentées du Responsable du traitement
• Obligations de confidentialité pour tous les employés
• Soutien aux droits des personnes concernées et aux évaluations d'impact sur la protection des données
• Suppression de toutes les données après la fin du contrat (dans les 30 jours)
• Notification des violations de données dans les 24 heures