Accord de traitement des données

Dernière mise à jour : 11 février 2026

Le présent accord de traitement des données (« DPA ») fait partie intégrante du contrat conclu entre Surface Layer Limited (Company No. 17396632), exerçant sous le nom commercial supportpages.io (le « Sous-traitant », « nous »), dont le siège social est situé 128 City Road, London, United Kingdom, EC1V 2NX, et l’entité qui accepte les présentes conditions (le « Responsable du traitement », le « Client », « vous ») pour l’utilisation des services supportpages.io.

Le présent DPA reflète les exigences du Règlement général sur la protection des données de l’UE (RGPD), et plus particulièrement de son article 28.

1. Définitions

Données personnelles désigne toute information se rapportant à une personne physique identifiée ou identifiable.

Traitement désigne toute opération effectuée sur des données personnelles, notamment la collecte, la conservation, l’utilisation, la communication et la suppression.

Responsable du traitement désigne l’entité qui détermine les finalités et les moyens du traitement des données personnelles. C’est vous.

Sous-traitant désigne l’entité qui traite des données personnelles pour le compte du responsable du traitement. C’est nous.

Sous-traitant ultérieur désigne tout tiers auquel nous faisons appel pour traiter des données personnelles pour votre compte.

Personne concernée désigne la personne physique dont les données personnelles sont traitées.

2. Champ d’application et finalité

2.1 Ce que couvre le présent accord

Le présent DPA s’applique aux données personnelles que nous traitons pour votre compte lorsque vous utilisez supportpages.io pour :
- analyser des dépôts de code ;
- générer de la documentation ;
- héberger la documentation publiée.

2.2 Rôles

Vous êtes le Responsable du traitement des données personnelles figurant dans vos dépôts et dans le contenu généré
Nous sommes le Sous-traitant agissant sur vos instructions pour fournir le service

2.3 Finalité du traitement

Nous traitons les données personnelles dans le seul but de fournir les services supportpages.io tels que décrits dans nos Conditions d’utilisation. Nous ne traitons pas vos données pour nos propres finalités.

3. Catégories de données

Nous pouvons traiter pour votre compte les catégories de données personnelles suivantes :

Catégorie	Exemples	Source
Identifiants de développeurs	Noms, adresses e-mail figurant dans le code ou les commits	Vos dépôts
Métadonnées de commit	Noms des auteurs, messages de commit	Webhooks GitHub
Contenu de la documentation	Toute donnée personnelle figurant dans la documentation générée	Générée par l’IA à partir de votre code

Remarque : Les données personnelles effectivement traitées dépendent du contenu de vos dépôts. Nous ne maîtrisons pas les données que vous placez dans votre code.

4. Instructions de traitement

4.1 Vos instructions

Nous ne traitons les données personnelles que conformément à vos instructions documentées, qui comprennent :
- les Conditions d’utilisation que vous avez acceptées ;
- les choix de configuration que vous effectuez dans le service ;
- les demandes spécifiques que vous formulez auprès de l’assistance.

4.2 Information

Si nous estimons qu’une instruction enfreint le RGPD ou d’autres lois relatives à la protection des données, nous vous en informerons avant le traitement (sauf si la loi nous l’interdit).

4.3 Aucun autre traitement

Nous ne traiterons pas vos données personnelles à d’autres fins que la fourniture du service, sauf :
- si la loi l’exige (et nous vous en informerons, si cela est permis) ;
- si vous nous donnez des instructions supplémentaires.

5. Mesures de sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données personnelles :

5.1 Mesures techniques

Chiffrement en transit : TLS 1.2+ pour toutes les connexions
Chiffrement au repos : Chiffrement de la base de données
Contrôle d’accès : Accès fondé sur les rôles, authentification obligatoire
Infrastructure : Serveurs situés dans l’UE (Hetzner, Finlande)

5.2 Mesures organisationnelles

Accès des employés : Limité aux personnes qui en ont besoin
Confidentialité : Personnel soumis à des obligations de confidentialité
Formation : Sensibilisation des membres de l’équipe à la sécurité

5.3 Traitement du code

Le code est traité dans des environnements isolés et éphémères
Les environnements sont détruits après chaque analyse
Votre code source n’est jamais stocké dans notre base de données
Seule la documentation générée est conservée

Pour plus de détails, consultez notre Présentation de la sécurité.

6. Sous-traitants ultérieurs

6.1 Sous-traitants ultérieurs actuels

Nous faisons appel aux sous-traitants ultérieurs suivants :

Sous-traitant ultérieur	Finalité	Localisation
Anthropic	Analyse par IA	États-Unis
GitHub	Accès au code, webhooks	États-Unis
Hetzner	Infrastructure d’hébergement	Finlande (UE)
Cloudflare	DNS, domaines personnalisés	Mondiale
Rollbar	Surveillance des erreurs	États-Unis

Consultez notre Liste des sous-traitants ultérieurs pour la liste à jour.

6.2 Modification des sous-traitants ultérieurs

Avant d’ajouter ou de remplacer un sous-traitant ultérieur :
1. Nous mettrons à jour notre liste des sous-traitants ultérieurs
2. Nous vous en informerons par e-mail (si vous l’avez accepté) ou par une mise à jour de notre site web
3. Vous disposerez de 30 jours pour vous y opposer

6.3 Objections

Si vous vous opposez à un nouveau sous-traitant ultérieur :
- contactez-nous pour discuter de vos préoccupations ;
- si nous ne pouvons pas y répondre, vous pouvez résilier les services concernés ;
- une résiliation pour ce motif n’entraînera aucuns frais de résiliation anticipée.

6.4 Obligations des sous-traitants ultérieurs

Nos sous-traitants ultérieurs sont liés par des contrats qui leur imposent des obligations de protection des données équivalentes à celles du présent DPA.

7. Droits des personnes concernées

7.1 Votre responsabilité

Il vous incombe de répondre aux demandes des personnes concernées (accès, suppression, etc.) portant sur les données personnelles figurant dans vos dépôts et votre contenu.

7.2 Notre assistance

Nous vous aiderons à répondre aux demandes des personnes concernées :
- en fournissant des outils d’export et de suppression des données ;
- en traitant les demandes que vous nous transmettez ;
- en fournissant des informations sur nos traitements.

7.3 Demandes directes

Si une personne concernée nous contacte directement au sujet de ses données figurant dans votre contenu :
- nous l’orienterons vers vous (sauf obligation légale contraire) ;
- nous vous informerons de la demande ;
- nous ne répondrons pas en votre nom sans votre instruction.

8. Notification des violations

8.1 Notre engagement

Si nous prenons connaissance d’une violation de données personnelles affectant vos données, nous :
- vous en informerons dans les meilleurs délais (et dans un délai de 72 heures) ;
- vous fournirons des informations sur la nature de la violation ;
- décrirons ses conséquences probables ;
- décrirons les mesures prises ou envisagées.

8.2 Ce que nous vous communiquerons

Notre notification de violation comprendra (dans la mesure où ces éléments sont connus) :
- les catégories de données concernées ;
- le nombre approximatif d’enregistrements concernés ;
- un point de contact pour obtenir plus d’informations ;
- les mesures prises pour remédier à la violation.

8.3 Vos obligations

Il vous incombe d’informer les autorités de protection des données et les personnes concernées, conformément à la loi. Nous vous apporterons l’assistance nécessaire.

9. Audits

9.1 Vos droits

Vous pouvez auditer notre respect du présent DPA. Cela peut comprendre :
- la demande de documentation sur nos mesures de sécurité ;
- la demande des résultats d’audits ou de certifications réalisés par des tiers ;
- la réalisation de votre propre audit, directement ou par un prestataire mandaté.

9.2 Déroulement d’un audit

Pour réaliser un audit :
1. Adressez-nous un préavis écrit de 30 jours
2. Les audits se dérouleront pendant les heures ouvrables
3. Les audits ne perturberont pas de manière déraisonnable nos activités
4. Les frais d’audit sont à votre charge (sauf s’il est établi que nous ne sommes pas en conformité)
5. Les auditeurs doivent signer des accords de confidentialité

9.3 Demandes d’informations

Nous fournirons des informations raisonnables permettant de démontrer notre conformité, telles que :
- la documentation des mesures de sécurité ;
- des synthèses des résultats d’audit ;
- les certifications que nous détenons.

10. Suppression des données

10.1 Pendant la durée du service

Vous pouvez supprimer des données depuis l’interface du service :
- supprimer des articles individuels ;
- supprimer des projets ;
- supprimer votre compte.

10.2 À la fin du service

Lorsque vous mettez fin au service :
- nous supprimerons vos données personnelles dans un délai de 30 jours ;
- certaines données peuvent subsister dans des sauvegardes pendant 30 jours supplémentaires au maximum ;
- nous fournirons, sur demande, un export des données avant leur suppression.

10.3 Exceptions

Nous pouvons conserver des données :
- si la loi l’exige ;
- si cela est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice ;
- si elles sont anonymisées à des fins de statistiques agrégées.

11. Transferts internationaux

11.1 Stockage principal

Vos données sont stockées dans l’UE (Finlande).

11.2 Transferts vers les sous-traitants ultérieurs

Lorsque des données sont transférées à des sous-traitants ultérieurs situés hors de l’UE :
- nous veillons à la mise en place de garanties appropriées (clauses contractuelles types) ;
- nous avons conclu des accords de traitement des données avec tous les sous-traitants ultérieurs ;
- voir la section 6 pour la localisation des sous-traitants ultérieurs.

11.3 Mécanismes de transfert

Pour les sous-traitants ultérieurs établis aux États-Unis, nous nous appuyons sur :
- les clauses contractuelles types (CCT) de l’UE ;
- le cadre de protection des données UE-États-Unis (Data Privacy Framework), pour les entités certifiées.

12. Responsabilité

12.1 Notre responsabilité

Nous sommes responsables des dommages causés par un traitement qui enfreint :
- le présent DPA ;
- les obligations du sous-traitant prévues par le RGPD ;
- vos instructions licites.

12.2 Limitations

La responsabilité est limitée dans les conditions prévues par nos Conditions d’utilisation, sauf :
- lorsque la loi l’interdit ;
- en cas de négligence grave ou de faute intentionnelle.

13. Durée et résiliation

13.1 Durée

Le présent DPA prend effet lorsque vous commencez à utiliser supportpages.io et reste en vigueur jusqu’à ce que vous cessiez de l’utiliser.

13.2 Survie

Les dispositions qui ont vocation à survivre à la résiliation (comme les obligations de suppression des données et la responsabilité) restent en vigueur.

14. Modifications

Nous pouvons mettre à jour le présent DPA pour tenir compte :
- de l’évolution de la législation ou de la réglementation ;
- de l’évolution de nos activités de traitement ;
- de l’amélioration des mesures de sécurité.

Nous vous informerons de toute modification substantielle et vous accorderons 30 jours pour vous y opposer avant son entrée en vigueur.

15. Contact

Pour toute question relative au DPA :

E-mail : dpa@supportpages.io

Annexe A : Mesures techniques et organisationnelles

A.1 Contrôle d’accès

Authentification obligatoire pour tout accès
Autorisations fondées sur les rôles
Gestion des sessions au moyen de jetons sécurisés

A.2 Chiffrement

TLS 1.2+ pour les données en transit
Chiffrement de la base de données pour les données au repos
Sauvegardes chiffrées

A.3 Sécurité de l’infrastructure

Hébergement dans l’UE (Hetzner, Finlande)
Protection par pare-feu
Mises à jour de sécurité régulières

A.4 Minimisation des données

Diffs de code traités temporairement
Code brut non conservé à long terme
Conservation des seules données nécessaires

A.5 Réponse aux incidents

Surveillance des événements de sécurité
Procédures définies de réponse aux incidents
Processus de notification des violations

Le présent DPA formalise nos engagements en tant que sous-traitant de vos données. Si vous avez des questions ou avez besoin d’un exemplaire signé pour vos archives, contactez-nous.