Annexe de sous-traitance RGPD

L’institut détermine les finalités et les moyens essentiels des traitements concernant ses propres clients. Il agit comme responsable du traitement. Mickael Usage Vienne-Elbhar, éditeur d’Aura Consent, agit comme sous-traitant pour fournir, sécuriser, maintenir et assister le service.

La sous-traitance dure pendant l’utilisation du service et, après sa fin, pendant le temps strictement nécessaire à la restitution, à l’effacement demandé ou au respect d’une obligation légale applicable.

Aura Consent peut, sur instruction de l’institut :

• collecter, enregistrer, organiser et afficher les dossiers clients ;
• générer, stocker et rendre accessibles les consentements et PDF ;
• stocker les signatures, réglages, suivis et photos facultatives ;
• envoyer les documents et consignes demandés par l’institut ;
• assurer l’authentification, la sauvegarde, la sécurité et le support.

Aura Consent ne réutilise pas ces données pour de la prospection, du profilage publicitaire ou une finalité propre étrangère au service.

Les personnes concernées sont les clients et prospects enregistrés par l’institut, ainsi que les praticiennes lorsque leur identité est associée à une séance.

• identité, coordonnées et date de naissance facultative ;
• prestation, réponses de préparation et confirmation de lecture ;
• informations susceptibles de révéler l’état de santé, uniquement lorsque l’institut les juge pertinentes et dispose d’une exception valable au principe d’interdiction de l’article 9 du RGPD ;
• signature, horodatage, PDF et preuve d’intégrité ;
• réglages, zones traitées, produits, lots et observations de séance ;
• photos facultatives recueillies après un accord séparé.

Les CGV, la présente annexe, les réglages effectués dans l’application et les demandes écrites de l’institut constituent ses instructions documentées. Aura Consent informe l’institut si une instruction lui paraît contraire au RGPD ou au droit applicable et peut suspendre son exécution le temps d’une clarification.

• traiter les données uniquement sur instruction documentée ;
• garantir la confidentialité des personnes autorisées à intervenir ;
• maintenir des mesures de sécurité adaptées au risque ;
• aider l’institut à répondre aux demandes d’exercice des droits ;
• l’assister, compte tenu des informations disponibles, pour la sécurité, les violations de données et les analyses d’impact ;
• tenir les informations nécessaires pour démontrer ces engagements ;
• ne pas vendre, louer ou exploiter les données clients de l’institut.

• informer les personnes de façon claire au moment de la collecte ;
• déterminer et documenter chaque finalité et base légale ;
• limiter les champs et photos aux données réellement nécessaires ;
• recueillir un consentement explicite distinct lorsque cette exception est utilisée pour traiter des données sensibles ;
• définir une durée de conservation adaptée à son activité ;
• gérer les habilitations de son équipe et protéger ses accès ;
• transmettre à Aura uniquement des instructions licites.

L’institut autorise de manière générale le recours aux prestataires nécessaires au service. La liste actuelle comprend :

• Supabase : base de données, authentification et stockage privé ;
• Vercel : hébergement, réseau de diffusion et fonctions applicatives ;
• Resend : e-mails transactionnels et suivi de leur délivrance ;
• Stripe : inscription avec carte, abonnement, paiement et facturation ;
• GitHub Actions : traitement temporaire des données pour préparer les sauvegardes et contrôler leur restauration ;
• Backblaze B2 : stockage privé des sauvegardes chiffrées avant envoi, dans la région EU Central ;
• Discord : alertes administratives facultatives, sans PDF, signature, photo ni réponse de préparation.

Un changement important est signalé par un moyen approprié afin de permettre à l’institut d’émettre une objection motivée relative à la protection des données. Les mêmes obligations de protection sont imposées aux prestataires qui agissent comme sous-traitants.

Lorsqu’un prestataire traite des données hors de l’Espace économique européen, Aura Consent s’appuie sur un mécanisme prévu par le RGPD, tel qu’une décision d’adéquation ou des clauses contractuelles types, et tient les informations correspondantes à disposition de l’institut.

Le stockage des copies Backblaze en Europe ne garantit pas une exécution exclusivement européenne : GitHub Actions traite temporairement les données en clair pour préparer et vérifier les sauvegardes. Les fichiers de travail sont supprimés en fin d’exécution.

• authentification individuelle et contrôle des rôles ;
• cloisonnement par institut et politiques de sécurité en base ;
• stockages privés et liens temporaires pour les documents ;
• chiffrement des communications et mesures des hébergeurs au repos ;
• consentements signés immuables, snapshots et hash d’intégrité ;
• journalisation limitée des opérations sensibles et reprises contrôlées.

L’institut reste le point de contact principal de ses clients. Lorsqu’Aura Consent reçoit directement une demande concernant leurs données, elle la transmet à l’institut sans répondre à sa place, sauf instruction écrite. Aura fournit l’assistance technique raisonnablement nécessaire pour l’accès, la rectification, l’export, la limitation ou l’effacement.

Aura Consent informe l’institut dans les meilleurs délais après avoir pris connaissance d’une violation affectant les données traitées pour son compte. La notification comprend les informations disponibles sur la nature de l’incident, ses conséquences probables et les mesures prises. L’institut demeure responsable de la décision de notifier la CNIL et les personnes concernées.

La première information n’attend pas la fin de l’enquête technique. Les éléments encore inconnus sont signalés et complétés progressivement.

Sur instruction documentée de l’institut, Aura Consent restitue les données disponibles dans un format exploitable ou les efface, sauf obligation légale de conservation. Les copies résiduelles de sauvegarde restent isolées des usages courants. Leur suppression n’est pas automatique à ce jour : le périmètre, les délais et les limites éventuelles de leur effacement doivent être précisés lors du traitement de l’instruction. Une restauration doit tenir compte des effacements déjà exécutés avant toute remise à disposition des données.

L’institut doit anticiper sa demande d’export avant la fin de son accès. Une demande peut être adressée à contact@aura-consent.fr.

Aura Consent met à disposition les informations raisonnablement nécessaires pour démontrer le respect de la présente annexe. Un audit peut être demandé avec un préavis raisonnable, dans le respect de la confidentialité, de la sécurité des autres clients et sans perturber excessivement le service.

Consultez également la politique de confidentialité.