Accord de traitement des données (DPA)

1. Rôles

Le client est responsable de traitement pour les données qu'il collecte via VERiXiS (preuves, utilisateurs de son organisation). VERiXiS agit comme sous-traitant au sens du RGPD pour le stockage, le scellement, la vérification et le support.

Sous-traitant : MODULO44 (marque VERiXiS), 32 rue de Paris, 92100 Boulogne-Billancourt, France.

2. Objet du traitement

• Catégories : comptes utilisateurs, médias capturés, métadonnées de session, journaux techniques, données de facturation liées au compte.
• Finalité : fournir le service de preuve de capture réelle, la bibliothèque, le scellement de dossiers et la vérification publique.
• Durée : durée du contrat, puis rétention produit de 6 ans pour les preuves et données liées (suppression anticipée possible à la demande de l'utilisateur), sous réserve des obligations légales.

3. Instructions

VERiXiS traite les données sur instruction documentée du client, sauf obligation légale. La capture destinée à une preuve se fait exclusivement à la prise de vue. Aucun fichier importé ne devient une preuve VERiXiS.

4. Sécurité

Chiffrement en transit et au repos, contrôle d'accès, journalisation, hébergement dans l'Union européenne, séparation des environnements. Mesures décrites sur la page Sécurité du site (chiffrement en transit et au repos, contrôle d’accès, hébergement UE, refus en cas de doute). Détail opérationnel Enterprise sur demande. Voir aussi /securite.

5. Sous-traitants ultérieurs

Liste des sous-traitants ultérieurs autorisés :

• SCALEWAY SAS : hébergement cloud, stockage objet, base de données, e-mail transactionnel (TEM) (Union européenne (FR / NL)).
• Stripe : paiement, abonnements et facturation (UE, avec éventuels transferts hors UE sous garanties Stripe).
• Twilio : envoi d’OTP SMS (vérification téléphone et MFA) (UE / hors UE selon configuration Twilio, sous garanties contractuelles).
• Certigna : horodatage électronique qualifié eIDAS (TSA) (Union européenne (France)).
• MaxMind : enrichissement GeoIP / classification réseau (anti-abus) (hors UE, sous garanties contractuelles appropriées).
• Google LLC : attestation d’intégrité Android (Play Integrity) (hors UE possible, limité aux jetons d’attestation device).
• Apple Inc. : attestation device iOS (App Attest / DeviceCheck) (hors UE possible, limité aux jetons d’attestation device).

Notification d'ajout ou de remplacement d'un sous-traitant : 30jours avant l'entrée en vigueur, sauf urgence de sécurité. Le client peut s'opposer pour motif légitime ; à défaut d'accord, résiliation possible selon les CGV.

6. Assistance aux droits des personnes

VERiXiS assiste le client pour répondre aux demandes d'exercice des droits. Contact DPO : contact@verixis.app.

7. Sortie et restitution

À la fin du contrat, restitution ou suppression des données selon les options produit. Délai de grâce : 30 jours après interruption de l'hébergement plateforme, sauf disposition contraire. Les dossiers scellés restent exportables ; le scellé reste vérifiable dans les limites de conservation applicables.

8. Documents liés

La présente page constitue le DPA public applicable aux abonnements. Les avenants Enterprise, le cas échéant, précisent les modalités opérationnelles. Voir aussi la politique de confidentialité.