Accord de traitement des données (DPA)

Dernière mise à jour : 16 octobre 2026.

Le présent Data Processing Agreement (« DPA ») complète les Conditions Générales d'Utilisation (CGU) entre Forge Network, éditeur et exploitant du service (« Capibara », sous-traitant au sens de l'article 28 du RGPD), et le client (« Tenant », responsable de traitement). Il définit les conditions dans lesquelles Capibara traite des données à caractère personnel pour le compte du Tenant.

1. Objet et durée

Capibara traite les données à caractère personnel uniquement pour exécuter la prestation de service souscrite par le Tenant et pour la durée de cette souscription. À la résiliation, les données sont retournées au Tenant (export RGPD) puis supprimées dans les 30 jours.

2. Nature et finalités du traitement

• Hébergement et exécution du service SaaS souscrit par le Tenant.
• Sauvegarde, restauration et conservation des données du Tenant.
• Sécurité, prévention de la fraude, conformité réglementaire.
• Support client à la demande du Tenant.

Dans l’app Support client, les images lourdes que les clients du Tenant joignent à un ticket sont réduites avant l’envoi. Un ticket terminé (résolu ou fermé) depuis le délai choisi par le Tenant (3 mois par défaut, 6 ou 12 mois) est archivé : il reste lisible, ses images sont fortement allégées et ses autres pièces jointes supprimées, le texte des échanges restant. Le Tenant télécharge avant ce délai une pièce qu’il veut conserver.

3. Catégories de personnes concernées

Utilisateurs internes du Tenant (employés, collaborateurs, sous-traitants), contacts métier (clients du Tenant, prospects, fournisseurs), visiteurs des sites publics opérés par le Tenant.

4. Catégories de données traitées

Données d'identification, coordonnées professionnelles, métadonnées d'usage, contenus saisis par le Tenant. Capibara ne traite pas de données sensibles au sens de l'article 9 du RGPD sauf instruction explicite et écrite du Tenant.

5. Localisation et transferts

Les données sont hébergées en Union européenne (datacenters situés en France). Leurs copies de sauvegarde, chiffrées avant de quitter le serveur, sont conservées en France (OVHcloud) et en Allemagne (Hetzner), dans l’Union européenne. Aucun transfert hors UE n'est effectué sans clauses contractuelles types ou décision d'adéquation au sens du RGPD. La liste des sous-traitants ultérieurs est publiée et tenue à jour (Sous-traitants).

6. Mesures de sécurité

• Chiffrement des données au repos (AES-256) et en transit (TLS 1.2+).
• Isolation multi-tenant : un schéma PostgreSQL par tenant, accès cloisonnés.
• Authentification 2FA disponible, RBAC fin, journalisation d'audit.
• Sauvegardes hors de l'hébergeur, en deux copies chez deux prestataires distincts, chiffrées sur le serveur avant leur envoi (illisibles par ces prestataires) : base de données, messagerie et réglages chaque nuit, fichiers toutes les 6 heures. La copie principale est verrouillée contre l'effacement pendant 30 jours. Chaque semaine, l'intégrité des copies est contrôlée et la dernière copie de la base est relue en entier. Procédure de reprise documentée.
• Revue de sécurité continue, mises à jour critiques sous 72 h.

7. Sous-traitants ultérieurs

Capibara recourt à des sous-traitants pour l'hébergement (Ikoula), la conservation des copies de sauvegarde chiffrées (OVH, Hetzner), le paiement (Stripe), la facturation électronique (Super PDP, Plateforme Agréée immatriculée — lorsque le raccordement officiel est actif), la connexion bancaire (Bridge, prestataire agréé d'information sur les comptes — uniquement lorsqu'une organisation relie un compte) et l'IA générative activée à la demande (Google Gemini). La liste nominative à jour est publiée ici. Capibara notifie le Tenant avant tout changement substantiel.

8. Droits des personnes concernées

Le Tenant gère les demandes d'exercice des droits (accès, rectification, effacement, portabilité, opposition). Capibara met à disposition les outils techniques : export complet des données et purge sur demande.

9. Violation de données

En cas de violation de données concernant le Tenant, Capibara notifie le Tenant sans délai injustifié et au plus tard sous 72 h après en avoir eu connaissance, avec les éléments permettant au Tenant de remplir ses propres obligations vis-à-vis de l'autorité de contrôle.

10. Audit et coopération

Capibara tient à disposition du Tenant la documentation nécessaire pour démontrer le respect des obligations RGPD. Un audit annuel sur pièces est possible sur demande raisonnable. Les audits sur site sont réservés aux situations exceptionnelles (incident grave) et encadrés par un préavis.

11. Restitution et suppression à la fin du contrat

À la résiliation, le Tenant dispose de 30 jours pour exporter ses données. Au-delà, Capibara supprime définitivement les données du service, sauf obligation légale de conservation (factures comptables, par exemple).

Les copies de sauvegarde qui contiennent encore ces données s'effacent par rotation : elles sont conservées 90 jours, et effacées physiquement au plus tard 130 jours après la suppression (verrou contre l'effacement et contrôles hebdomadaires compris). Elles ne servent qu'à rétablir le service après un incident, jamais à réutiliser des données supprimées.

Les preuves de signature électronique font exception, sous une forme anonymisée : l'identifiant de preuve, les empreintes de la preuve et du fichier signé, la date, la nature du document et le nom de l'organisation. Le nom du signataire (réduit à ses initiales), son adresse e-mail, son adresse IP, son appareil et l'exemplaire signé sont effacés. Ces éléments permettent à qui détient l'exemplaire d'en vérifier l'authenticité ; ils sont supprimés 5 ans après l'anonymisation. La même anonymisation suit la suppression d'un salarié par le Tenant. L'export des données et l'archive des exemplaires signés restent à télécharger avant la fin du contrat.

12. Acceptation

La souscription à un abonnement Pro ou Business vaut acceptation du présent DPA. Une version PDF signable est disponible sur demande pour les clients Business ayant des contraintes particulières (dpo@capibara.fr).

Document établi par Forge Network. Version 1.2 — 16 octobre 2026.