DPA standard — synthèse.

1 · Rôles

Le client est responsable du traitement pour toute donnée personnelle soumise (typiquement : coordonnées des interlocuteurs catalogue, s'il y en a). PartSentinel est sous-traitant. Pour les données catalogue auditées — références, codes OE, fitments — aucune des parties ne les considère comme personnelles au sens RGPD ; elles sont traitées comme informations commercialement confidentielles dans le cadre du MSA.

2 · Sous-traitants

• Infrastructure cloud — Scaleway (FR), OVHcloud (FR), AWS Francfort (DE).
• Fournisseurs d'API LLM — uniquement lorsqu'un audit client cible explicitement un modèle hébergé (OpenAI, Anthropic, Google, Mistral, etc.). Pour ces appels, seul le prompt d'audit transite, jamais les fichiers catalogue bruts.
• Email et CRM — Resend (FR), Linear (US, DPA RGPD en place).
• Liste complète à jour sur /security#sub-processors, actualisée 14 jours avant tout changement.

3 · Clauses contractuelles types

Lorsqu'un sous-traitant est hors UE, les transferts sont régis par les Clauses Contractuelles Types (CCT) UE Module 3, avec mesures supplémentaires (chiffrement, contrôles d'accès, journaux d'audit).

4 · Droits du client

• Droit d'audit — audit annuel sur préavis raisonnable, sous confidentialité.
• Droit de suppression — sous 30 jours après résiliation, sauf rétention 7 ans imposée par l'AI Act (anonymisée après résiliation).
• Droit à la portabilité — export complet de l'historique d'audit en JSON + Excel sur demande.

5 · Mesures de sécurité

L'annexe 2 du DPA énumère les mesures techniques et organisationnelles (MTO). Synthèse sur /security.

Demander le DPA exécutable :