Annexe DPA — Clause de sous-traitance RGPD art. 28 — infrastructure Scaleway + Supabase

Article 1 — Identité des parties

1.1. Responsable de traitement (Client final)

L'Utilisateur Nivelo, identifié au CLUF principal (article 1, « Utilisateur »), agit en qualité de responsable de traitement au sens de l'article 4.7 du RGPD pour les données métier qu'il traite via le Service Nivelo (emails, documents, contacts, agenda, enregistrements vocaux).

1.2. Sous-traitant principal (Éditeur)

Nivelo SAS, société par actions simplifiée, RCS Bayonne (ci-après « Nivelo »), dont le siège social est situé à Bassussarry (64200), Pays Basque, Nouvelle-Aquitaine, France, agit en qualité de sous-traitant au sens de l'article 4.8 du RGPD pour le compte de l'Utilisateur.

Entité contractante : les obligations sont assumées par Nivelo SAS. Les contrats conclus avant l'immatriculation sont repris de plein droit par Nivelo SAS à son immatriculation, sans modification des conditions.

Contact contact protection des données Nivelo : contact@nivelo.fr

1.3. Sous-traitants ultérieurs principaux d'infrastructure (art. 28.4 RGPD)

L'Éditeur fait appel à deux sous-traitants principaux d'infrastructure :

• Scaleway SAS (société française) — serveur de traitement (compute) hébergé en France. Document contractuel : DPA Scaleway en vigueur à la date de signature, lien public et version archivée disponibles sur demande.
• Supabase Inc. (société américaine, Delaware) — base de données PostgreSQL hébergée dans l'Union européenne (datacenter Francfort, Allemagne). Document contractuel : DPA Supabase en vigueur, lien public et version archivée disponibles sur demande. Transfert hors UE encadré par Clauses Contractuelles Types 2021/914 module 3 et Data Privacy Framework UE-USA (voir art. 2.5 et Annexe A).

Les coordonnées complètes, documents DPA, mécanismes de transfert et mesures supplémentaires de chaque sous-traitant ultérieur sont tenus à jour sur https://nivelo.fr/sous-traitants et détaillés en Annexe A du présent document (CLUF_ANNEXE_DPA_ANNEXE_A_SOUS_TRAITANTS.md).

L'autorisation de recourir à ces sous-traitants ultérieurs au sens de l'article 28.4 du RGPD est expressément consentie par l'Utilisateur via l'acceptation du présent CLUF et de son annexe. Le présent recours constitue une autorisation générale au sens de l'article 28.2 du RGPD, complétée du droit d'opposition pour motif légitime prévu à l'article 6.1 ci-après.

Article 2 — Localisation des données

2.1. Datacenter primaire

L'ensemble des Données Utilisateur est hébergé dans l'Union européenne : base de données PostgreSQL sur Supabase (région eu-central-1 Francfort, Allemagne) et serveur de traitement sur Scaleway (Paris, France). La liste opérationnelle courante des sous-traitants d'infrastructure et leurs localisations est publiée sur https://nivelo.fr/sous-traitants.

2.2. Datacenters secondaires autorisés

En cas de migration technique justifiée par des impératifs de continuité, de capacité ou de redondance, les datacenters suivants sont autorisés sans nouvelle notification individuelle :

• Régions Scaleway situées en Union européenne (Paris, Amsterdam) ;
• Régions Supabase situées en Union européenne (Francfort eu-central-1, Dublin eu-west-2).

Tous les datacenters autorisés sont situés dans l'Union européenne ou l'Espace économique européen (UE/EEE).

2.3. Interdiction de transfert hors UE/EEE

Aucun transfert de Données Utilisateur métier (corpus RAG, enregistrements vocaux, documents ingérés, métadonnées telemetry) hors UE/EEE n'est effectué via l'infrastructure principale Scaleway (compute) + Supabase (base de données, infrastructure physique Francfort UE). L'entité contractante Supabase Inc. est US ; les données opérationnelles restent physiquement en UE.

Les transferts vers des sous-traitants ultérieurs situés hors UE/EEE (Vercel Inc., ElevenLabs Inc., Anthropic PBC, Twilio Inc. pour partie, Supabase Inc. en tant qu'entité contractante) sont régis par les Clauses Contractuelles Types (CCT) 2021/914 — module 3 « sous-traitant → sous-traitant ultérieur » — et, lorsqu'applicable, le cadre Data Privacy Framework (DPF) UE-USA. La liste exhaustive des sous-traitants ultérieurs hors UE/EEE, leurs périmètres et leurs bases légales de transfert figure en Annexe A du présent DPA (docs/legal/CLUF_ANNEXE_DPA_ANNEXE_A_SOUS_TRAITANTS.md) et est également publiée sur la page https://nivelo.fr/sous-traitants.

2.4. Instruction documentée du responsable de traitement (art. 28.3.a RGPD)

L'Éditeur s'engage à ne traiter les Données Utilisateur que sur instruction documentée de l'Utilisateur, y compris en ce qui concerne les transferts de données vers un pays tiers ou à une organisation internationale, sauf obligation légale spécifique imposée par le droit de l'Union ou le droit d'un État membre auquel l'Éditeur est soumis. Dans ce dernier cas, l'Éditeur informe l'Utilisateur de cette obligation avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public.

Les instructions documentées comprennent : (i) les modalités fonctionnelles définies au CLUF principal et aux CGV, (ii) les choix de configuration effectués par l'Utilisateur dans son Compte (notamment opt-in Cloud Router, opt-in entraînement modèles), (iii) les demandes écrites adressées au contact protection des données Nivelo.

2.5. Évaluation des transferts hors UE/EEE (Transfer Impact Assessment — Schrems II)

Conformément à la jurisprudence Schrems II (CJUE 16/07/2020 affaire C-311/18) et aux recommandations 01/2020 du Comité européen de la protection des données (EDPB) sur les mesures supplémentaires aux outils de transfert, l'Éditeur a procédé à une évaluation documentée des transferts (Transfer Impact Assessment, TIA) vers les sous-traitants ultérieurs situés hors UE/EEE et listés à l'article 6 et en Annexe A du présent DPA. Cette évaluation prend en compte :

a) Le cadre juridique du pays tiers (lois de surveillance gouvernementale, accès des autorités publiques aux données, droits effectifs des personnes concernées) ; b) Les garanties contractuelles applicables (Clauses Contractuelles Types 2021/914, Data Privacy Framework si applicable, Binding Corporate Rules le cas échéant) ; c) Les mesures techniques supplémentaires mises en œuvre par l'Éditeur (chiffrement at-rest AES-256-GCM et in-transit TLS 1.2 minimum, minimisation des données transférées, pseudonymisation logique multi-tenant, anonymisation des logs à 72h).

L'évaluation est tenue à jour à chaque modification du périmètre des sous-traitants ultérieurs ou du cadre juridique applicable, et mise à disposition de l'Utilisateur sur demande écrite adressée au contact protection des données. Une matrice synthétique « vendor × mécanisme de transfert × mesures supplémentaires » figure en Annexe A du présent DPA.

Article 3 — Catégories de données traitées sur l'infrastructure principale

Les pipelines techniques opérés sur l'infrastructure principale (Scaleway pour le compute + Supabase pour la base de données) traitent les catégories de données suivantes :

Note importante sur la base RAG pgvector : la base de données vectorielle (extension pgvector PostgreSQL) est physiquement hébergée chez Supabase Inc. — datacenter Francfort EU (eu-central-1), distincte du serveur de traitement Scaleway (Paris, France). Le serveur Scaleway agit uniquement comme orchestrateur (Cloud Router, workers de traitement). La présente clause couvre l'ensemble du flux de données transitant via ou opéré depuis le serveur de traitement Scaleway et la base Supabase.

Article 4 — Mesures techniques (TOM)

Conformément à l'article 32 du RGPD, l'Éditeur met en œuvre les mesures techniques suivantes sur son infrastructure principale (serveur de traitement Scaleway + base de données Supabase) :

4.1. Chiffrement at-rest

• Chiffrement disque : AES-256-GCM appliqué à l'ensemble des volumes du serveur de traitement Scaleway
• Clé serveur master : conservée hors du serveur de traitement dans un coffre dédié
• Dérivation par tenant : clé tenant générée à partir de la clé serveur via HKDF-SHA256
• Aucune clé tenant n'est stockée en clair sur le serveur de traitement

4.2. Chiffrement in-transit

• TLS 1.2 minimum pour tous les flux entrants (frontend, API, webhooks)
• TLS 1.2 minimum pour flux sortants vers sous-traitants externes (LLM, Twilio, etc.)
• Certificats Let's Encrypt renouvelés automatiquement (renouvellement 60j avant expiration)
• HSTS activé sur tous les sous-domaines exposés (*.nivelo.fr)

4.3. Isolement multi-tenant (pseudonymisation logique art. 32.1.a RGPD)

• Namespace logique par tenant dans la base pgvector (RLS PostgreSQL Supabase + RPC pgvector_set_tenant)
• Isolation des contextes voice agents par identifiant tenant
• Cloisonnement des workers IMAP par bassin dédié (mémoire plafonnée par unité de traitement, nombre d'unités simultanées limité)
• Pas de partage de cache cross-tenant

Cette isolation multi-tenant via UUID + RLS + dérivation de clé HKDF par tenant constitue une mesure de pseudonymisation logique au sens des articles 4.5 et 32.1.a du RGPD : aucun croisement nominatif n'est possible entre Données Utilisateurs distincts en dehors d'une attaque cumulant compromission de la clé serveur master et accès direct au système de stockage.

4.4. Authentification et contrôle d'accès

• Authentification utilisateur : OAuth (Google, Microsoft) + magic links email
• Authentification API : tokens rotatifs (durée de vie 24h, refresh automatique)
• Authentification worker → orchestrateur : header X-Worker-Token rotatif (corrigé J+14)
• Accès SSH au serveur de traitement : restreint au CTO Nivelo (clé ED25519, accès restreint et journalisé)

4.5. Journalisation et non-traitement de PII en clair

• Aucun log de contenu PII en clair (corps d'email, transcription vocale, document utilisateur)
• Logs applicatifs : métadonnées techniques uniquement (timestamps, codes HTTP, identifiants UUID)
• Conservation logs : 12 mois glissants puis suppression automatique
• Rotation logs : quotidienne avec compression

4.6. Sauvegardes et capacité de restauration (art. 32.1.c RGPD)

• Backup chiffrés journaliers (AES-256-GCM, clé distincte de la clé runtime)
• Stockage backup : second emplacement UE/EEE (Scaleway region secondaire ou Supabase backup EU, selon la nature des données)
• Conservation : 30 jours glissants
• Test de restauration : trimestriel sur snapshot représentatif

Engagements chiffrés de continuité :

• Recovery Point Objective (RPO) : 24 heures maximum (perte de données acceptable plafonnée à 24h, correspondant au pas de snapshot quotidien)
• Recovery Time Objective (RTO) : 4 heures ouvrées pour incident majeur (perte VPS principal nécessitant restauration intégrale) ; 24 heures ouvrées pour incident mineur (corruption partielle, restauration sélective)

Ces engagements sont à atteindre dans des conditions opérationnelles normales (hors force majeure article 9.3). Les rapports de test de restauration trimestriels sont tenus à disposition de l'Utilisateur sur demande adressée au contact protection des données.

4.7. Test de pénétration et audit de sécurité (art. 32.1.d RGPD)

Conformément à l'article 32.1.d du RGPD imposant des procédures visant à tester, analyser et évaluer régulièrement l'efficacité des mesures techniques et organisationnelles, l'Éditeur s'engage à mettre en place à compter de 2027 (post-constitution de la société Nivelo et levée de fonds) :

• Un test de pénétration externe annuel par cabinet spécialisé en cybersécurité ;
• Un rapport synthétique anonymisé tenu à disposition de l'Utilisateur sur demande adressée au contact protection des données ;
• Une revue annuelle des mesures supplémentaires Schrems II documentée vendor par vendor en Annexe A du présent DPA.

Pour la période transitoire pré-Kbis (2026), l'Éditeur s'engage à conduire un audit interne annuel documenté selon référentiel ANSSI ou méthode équivalente, en attendant la mise en place du pen-test externe.

Article 5 — Mesures organisationnelles

5.1. Accès humain limité

L'accès aux infrastructures techniques traitant des Données Utilisateur est strictement limité à :

• Le CTO Nivelo
• Le contact protection des données Nivelo
• Les sous-traitants techniques dans la limite de leur périmètre contractuel (Scaleway pour la couche serveur de traitement, Supabase pour la couche base de données)

Aucun autre membre de l'organisation Nivelo, prestataire externe ou tiers n'a accès aux Données Utilisateur en clair.

5.1 bis. Engagement de confidentialité (art. 28.3.b RGPD)

L'Éditeur veille à ce que les personnes autorisées à traiter les Données Utilisateur, qu'il s'agisse de son personnel salarié, de prestataires ou de sous-traitants ultérieurs, s'engagent par contrat individuel à respecter la confidentialité des données ou soient soumises à une obligation légale appropriée de confidentialité. Cet engagement perdure après la fin de la relation contractuelle de la personne avec l'Éditeur, conformément notamment aux articles 226-13 et suivants du Code pénal pour les obligations de secret professionnel applicables, et au-delà pour les obligations conventionnelles individuelles.

L'Éditeur tient à disposition de l'Utilisateur, sur demande adressée au contact protection des données, la liste nominative anonymisée (fonction, périmètre d'accès) des personnes habilitées à traiter les Données Utilisateur.

5.2. Procédure d'onboarding et d'offboarding personnel

• Onboarding : signature d'un engagement de confidentialité individuel, formation RGPD, attribution de comptes nominatifs, revue d'accès trimestrielle
• Offboarding : révocation immédiate des accès SSH (sous 24h), rotation des secrets partagés, restitution des matériels, attestation de destruction des copies locales chiffrées le cas échéant

5.3. Audit interne

• Audit interne trimestriel : revue des logs d'accès, vérification de l'application des TOM, test de restauration backup
• Rapport d'audit conservé 24 mois

5.4. Pas de copie locale non chiffrée

Aucune copie des Données Utilisateur ne peut être stockée sur un poste de travail, support amovible ou cloud personnel non chiffré. Toute extraction technique (debug, support, analyse incident) doit être effectuée dans un environnement chiffré et tracée dans le registre des activités de traitement.

Article 6 — Sous-traitants ultérieurs autorisés (art. 28.4 RGPD)

L'Utilisateur autorise expressément l'Éditeur à recourir aux sous-traitants ultérieurs au sens de l'article 28.4 du RGPD listés ci-dessous pour la fourniture du Service. Cette autorisation constitue une autorisation générale au sens de l'article 28.2 du RGPD, complétée du droit d'opposition individuel défini à l'article 6.1 ci-après.

La matrice exhaustive avec finalités précises, catégories de données traitées par vendor et mécanismes de transfert hors UE est publiée en Annexe A du présent DPA (docs/legal/CLUF_ANNEXE_DPA_ANNEXE_A_SOUS_TRAITANTS.md) et sur https://nivelo.fr/sous-traitants.

Tableau synthétique des sous-traitants ultérieurs

6.1. Notification de changement de sous-traitant ultérieur

Conformément à l'article 28.2 du RGPD, l'Éditeur s'engage à notifier l'Utilisateur de tout projet de changement substantiel concernant les sous-traitants ultérieurs (ajout, retrait, changement de localisation, modification du périmètre de traitement) avec un préavis de trente jours calendaires avant la mise en œuvre effective.

La notification est adressée par double canal : (i) email à l'adresse de contact administratif déclarée par l'Utilisateur dans son Compte, et (ii) bannière d'information persistante affichée à la connexion au portail self-service.

L'Utilisateur dispose de la faculté de s'opposer à un nouveau sous-traitant ultérieur dans ce délai pour motif légitime documenté. Le défaut de réponse écrite vaut acceptation tacite à l'expiration du préavis. En cas d'opposition motivée, les parties s'efforcent de bonne foi de trouver une solution alternative ; à défaut d'accord, l'Utilisateur dispose d'une faculté de résiliation sans frais ni indemnité dans les conditions définies au CLUF principal.

6.2. Engagement des sous-traitants principaux (Scaleway + Supabase)

Chacun des deux sous-traitants ultérieurs principaux applique son propre DPA, dans la version en vigueur à la date de signature du présent DPA Nivelo (liens publics : voir Annexe A et https://nivelo.fr/sous-traitants). Toute modification unilatérale postérieure du DPA Scaleway ou du DPA Supabase ne pourra produire effet vis-à-vis de l'Utilisateur qu'après notification dans les conditions de l'article 6.1.

Les DPA Scaleway et Supabase sont conformes à l'article 28 du RGPD et couvrent notamment :

• Les mesures techniques et organisationnelles du datacenter ; les certifications éventuelles de chaque prestataire sont celles qu'il publie à l'adresse publique de son contrat de sous-traitance ; aucune n'est nommée dans la présente clause ;
• La procédure de notification de violation sous 72 heures à l'Éditeur, qui en relaie le contenu à l'Utilisateur selon l'article 8.5 du présent DPA ;
• Les procédures d'audit (questionnaire annuel + attestations publiques + rapport sur site sur demande motivée) ;
• L'engagement de localisation UE/EEE pour l'infrastructure physique.

Article 7 — Droits de l'Utilisateur (RGPD)

7.1. Droits exerçables via portail self-service

L'Utilisateur peut exercer à tout moment les droits suivants depuis l'interface de gestion de son Compte sur https://nivelo.fr/portail :

• Droit d'accès (art. 15 RGPD) : consultation des données stockées
• Droit de rectification (art. 16 RGPD) : modification des données erronées
• Droit à l'effacement (art. 17 RGPD) : suppression définitive (« droit à l'oubli »)
• Droit à la limitation du traitement (art. 18 RGPD) : restriction temporaire du traitement (par exemple contestation exactitude, opposition en cours d'examen)
• Droit à la portabilité (art. 20 RGPD) : export JSON et CSV des données
• Droit d'opposition (art. 21 RGPD) : opt-out marketing, entraînement IA, profilage
• Droit de ne pas faire l'objet d'une décision exclusivement automatisée (art. 22 RGPD) : applicable notamment aux classifications IA emails et au scoring automatique de prospects. L'Utilisateur peut demander à tout moment une intervention humaine via le contact protection des données Nivelo.

7.2. Délai de réponse

Pour toute demande qui ne pourrait être traitée automatiquement via le portail self-service, l'Éditeur s'engage à apporter une réponse dans un délai maximal de trente jours calendaires à compter de la réception de la demande, conformément à l'article 12.3 du RGPD. Ce délai peut être prolongé de deux mois supplémentaires en cas de complexité avérée ou de nombre important de demandes, conformément à l'article 12.3 alinéa 2 du RGPD. La notification motivée de cette prolongation est adressée à l'Utilisateur dans le mois suivant la réception de la demande initiale, précisant les raisons concrètes du report et la nouvelle date prévisionnelle de réponse.

7.3. Audit par l'Utilisateur (art. 28.3.h RGPD)

L'Utilisateur dispose du droit de procéder à un audit du présent traitement, soit directement, soit par l'intermédiaire d'un tiers mandaté. Cet audit est organisé selon les modalités suivantes :

• Demande écrite préalable à contact@nivelo.fr avec un préavis minimal de trente jours calendaires
• Audit organisé sur site ou à distance dans un délai maximal de trente jours suivant la demande
• Périmètre limité aux traitements du Service Nivelo concernant l'Utilisateur
• Frais raisonnables d'organisation pris en charge par l'Utilisateur (sauf manquement avéré de l'Éditeur révélé par l'audit)
• Confidentialité des informations recueillies garantie réciproquement

À défaut d'audit direct, l'Éditeur met à disposition de l'Utilisateur, sur simple demande, les attestations publiques de conformité RGPD et de sécurité des sous-traitants principaux (Scaleway, Supabase) dans leur version en vigueur à la date de la demande.

Article 8 — Notification de violation de données

8.1. Délai de notification (art. 33 RGPD)

En cas de violation de données à caractère personnel ayant un impact sur les Données Utilisateur, l'Éditeur s'engage à notifier l'Utilisateur dans un délai maximal de soixante-douze (72) heures à compter de la prise de connaissance effective de la violation.

8.2. Canal de notification

• Canal primaire : email à l'adresse de contact DPO ou administrateur déclarée par l'Utilisateur dans son Compte
• Canal de confirmation : lettre recommandée avec accusé de réception postée dans un délai de 7 jours

8.3. Contenu de la notification (5 éléments art. 33.3 RGPD)

Conformément à l'article 33.3 du RGPD, la notification précise les cinq éléments suivants de manière distincte :

a) La nature de la violation (catégories de données à caractère personnel concernées, catégories de personnes concernées, nombre approximatif de personnes concernées et nombre approximatif d'enregistrements concernés) ; b) Le nom et les coordonnées du contact protection des données Nivelo ou de tout autre point de contact permettant d'obtenir davantage d'informations ; c) Les conséquences probables de la violation à caractère personnel pour les personnes concernées ; d) Les mesures prises ou proposées par l'Éditeur pour remédier à la violation à caractère personnel ; e) Les mesures d'atténuation déjà mises en œuvre, le cas échéant, concernant les éventuels effets négatifs pour les personnes concernées.

8.4. Coopération avec la CNIL

L'Éditeur assiste l'Utilisateur dans l'accomplissement de ses obligations de notification à la CNIL et, le cas échéant, aux personnes concernées (art. 33 et 34 RGPD), en lui fournissant toute information utile dans les délais légaux.

L'autorité de contrôle compétente pour Nivelo est la CNIL (Commission nationale de l'informatique et des libertés, France). En cas de violation transfrontalière faisant intervenir un sous-traitant établi dans un autre État membre de l'UE/EEE, l'Éditeur active la procédure de coopération guichet unique (article 56 RGPD) et tient l'Utilisateur informé des échanges substantiels entre autorités, dans la mesure où le secret professionnel et les exigences de confidentialité de l'enquête le permettent.

8.5. Violation chez un sous-traitant ultérieur (cascade)

En cas de violation à caractère personnel imputable à un sous-traitant ultérieur (notamment Scaleway pour l'infrastructure serveur de traitement, Supabase pour la base pgvector, Twilio pour la téléphonie, ElevenLabs pour les transcriptions vocales, ou tout autre vendor listé à l'article 6 et en Annexe A), l'Éditeur s'engage à :

a) Notifier l'Utilisateur dans un délai maximal de 24 heures suivant sa propre prise de connaissance par le sous-traitant ultérieur, sans attendre la consolidation finale du périmètre exact (notification interim avec faits avérés à la date) ; b) Compléter la notification dans les 72 heures au total conformément à l'article 8.1 ci-dessus, dès consolidation des éléments factuels disponibles ; c) Documenter la chaîne de responsabilités entre l'Éditeur et le sous-traitant ultérieur dans la notification, pour permettre à l'Utilisateur d'identifier le maillon défaillant et exercer ses droits le cas échéant à l'encontre du sous-traitant ultérieur directement, sous réserve du contrat tripartite ; d) Coopérer activement avec le sous-traitant ultérieur, l'Utilisateur et les autorités de contrôle dans l'investigation et la remédiation.

Article 9 — Durée et résiliation

9.1. Durée

La présente annexe entre en vigueur à la même date que le CLUF principal et reste en vigueur pour toute la durée d'exécution de l'Abonnement.

9.2. Sort des données en fin de contrat (art. 28.3.g RGPD — choix du responsable de traitement)

Conformément à l'article 28.3.g du RGPD, l'Utilisateur dispose, à sa convenance, de l'une des deux options suivantes à compter de la résiliation effective de l'Abonnement :

Option A — Suppression définitive (option par défaut applicable à défaut d'exercice de l'Option B) : si l'Utilisateur n'exerce pas l'Option B dans le délai imparti, les Données Utilisateur sont supprimées des systèmes de production (serveur de traitement Scaleway, base Supabase) à l'expiration d'un délai de trente jours calendaires post-résiliation, période durant laquelle l'Utilisateur conserve l'accès self-service pour export aux formats interopérables JSON et CSV conformément à l'article 6.3 du CLUF principal et à l'article 20 RGPD (portabilité).

Les copies de sauvegarde chiffrées de la base de données contenant des Données Utilisateur, déposées sur le bucket d'hébergement Scaleway via le script scripts/backup_supabase_scaleway.py, sont purgées sous 30 jours par une règle d'expiration automatique (RETENTION_DAYS = 30, suppression effective des objets d'âge > 30 jours à chaque passage du script, vérifiable dans le journal d'exécution).

Coffre externe inviolable (nivelo-coffre-inviolable, bucket Scaleway Object Lock, verrouillage par objet de 30 jours en mode compliance) : ce coffre reçoit des copies supplémentaires des sauvegardes afin de protéger contre l'effacement anticipé (verrou irrévocable même par l'Éditeur pendant 30 jours). Le verrou garantit que les copies ne peuvent pas être effacées avant 30 jours ; il ne constitue pas, par lui-même, une règle d'expiration au-delà de 30 jours. Une règle d'expiration automatique du coffre sera ajoutée par un chantier dédié ; dans l'attente, les copies déposées dans ce coffre peuvent y rester au-delà de 30 jours. Pour la clause de suppression des Données Utilisateur en fin de contrat, seules sont prises en compte les sauvegardes du bucket d'hébergement principal (purgées sous 30 jours) ; le coffre externe est un dispositif de sécurité anti-effacement sans vocation de rétention commerciale et ne contient aucune donnée que l'Utilisateur n'ait déjà consentie dans le présent DPA.

La suppression effective complète des sauvegardes contenant des Données Utilisateur (côté production + bucket d'hébergement) intervient au plus tard à J+30 post-résiliation, dès lors que la purge sauvegardes est engagée simultanément à la purge production.

Une attestation de suppression au format PDF horodaté, signée électroniquement (signature électronique avancée eIDAS), est émise et adressée à l'Utilisateur par email dans un délai de quinze jours suivant la suppression effective complète, soit au plus tard à J+45 post-résiliation. L'attestation est archivée par l'Éditeur pendant 5 ans (prescription civile B2B, article 2224 du Code civil) à titre de preuve de bonne exécution.

Option B — Retour des données au responsable de traitement : sur demande écrite adressée au contact protection des données Nivelo (contact@nivelo.fr) dans les trente jours calendaires post-résiliation, l'Utilisateur peut obtenir la remise intégrale de ses Données Utilisateur sur support informatique chiffré au choix : (i) clé USB chiffrée AES-256 transmise par envoi recommandé avec accusé de réception, ou (ii) archive S3 EU avec clé de déchiffrement transmise par canal distinct (SMS au numéro de contact administratif). Les formats fournis sont conformes à l'article 20 RGPD (interopérables : JSON pour métadonnées, CSV pour tables, format vectoriel numpy .npy ou parquet pour embeddings RAG, schéma PostgreSQL dump documenté pour la base structurée). Après confirmation écrite de bonne réception par l'Utilisateur, les Données sont supprimées définitivement selon les modalités de l'Option A. Les frais raisonnables d'organisation matériels et logistiques peuvent être facturés à l'Utilisateur sur la base d'un devis préalable transparent.

Les logs audit applicatifs (12 mois glissants, art. 4.5 et 3 du présent DPA) sont conservés conformément à leur durée de rétention propre, fondée sur l'intérêt légitime de sécurité et de traçabilité opérationnelle. Ils ne contiennent par construction aucune PII en clair (uniquement identifiants UUID, timestamps, codes HTTP) et ne sont pas concernés par l'option de retour ou suppression Données Utilisateur.

9.3. Cas de force majeure et plan de continuité

En cas d'événement de force majeure affectant les sous-traitants ultérieurs (faillite de Scaleway, sanctions UE/USA bloquant l'accès à un fournisseur, défaillance majeure de Supabase, vendor lock-in technique sur format propriétaire pgvector ou autre), l'Éditeur s'engage à :

a) Notifier l'Utilisateur dans un délai de 72 heures à compter de la prise de connaissance de l'événement de force majeure ; b) Mettre en œuvre le plan de continuité d'activité (basculement vers un sous-traitant de substitution équivalent UE/EEE) dans un délai maximal de trente jours calendaires suivant la prise de connaissance de l'événement de force majeure. Pour les composants vendor lock-in technique (notamment embeddings pgvector format Supabase), l'Éditeur s'engage à fournir un export aux formats standards interopérables (numpy .npy ou Apache Parquet pour les vecteurs, dump SQL standard PostgreSQL pour le schéma relationnel) ; c) En cas d'impossibilité de continuité dans le délai de 30 jours, l'Utilisateur dispose d'une faculté de résiliation sans frais ni indemnité, avec remboursement prorata temporis des sommes prépayées non consommées et organisation de l'export et de la suppression des données conformément à l'article 9.2.

Article 10 — Annexe technique

10.1. Schéma de l'architecture serveur de traitement + base de données

Le serveur de traitement Scaleway nivelo-hq-01 (datacenter Paris, zone fr-par-1, France) héberge les composants suivants :

┌─────────────────────────────────────────────────────────────────┐ │ Scaleway nivelo-hq-01 │ │ (fr-par-1 Paris, France, UE) │ │ │ │ ┌──────────────────┐ ┌──────────────────┐ ┌───────────────┐ │ │ │ Cloud Router │ │ IMAP Pipeline │ │ n8n Engine │ │ │ │ (port 11437) │ │ workers (2x) │ │ workflows │ │ │ │ routing LLM │ │ RAM cap 512MB │ │ resumable │ │ │ └────────┬─────────┘ └────────┬─────────┘ └───────┬───────┘ │ │ │ │ │ │ │ │ ┌────────────────────────────────────┐ │ │ │ │ │ Clé AES-256-GCM serveur master │ │ │ │ │ │ (HKDF dérivation tenant) │ │ │ │ │ └────────────────────────────────────┘ │ │ │ │ │ │ │ ▼ ▼ │ │ ┌────────────────────────────────────────────────────┐ │ │ │ Voice agents orchestration (Twilio routing) │ │ │ │ (12 agents ElevenLabs externes) │ │ │ └────────────────────────────────────────────────────┘ │ └──────────────────┬──────────────────────┬───────────────────────┘ │ │ ▼ ▼ ┌─────────────────────┐ ┌─────────────────────────┐ │ Supabase Francfort │ │ Sous-traitants externes│ │ (UE eu-central-1) │ │ (LLM, Twilio, voice) │ │ - pgvector RAG │ │ - voir art. 6 ci-dessus│ │ - Auth + Storage │ │ │ └─────────────────────┘ └─────────────────────────┘

10.2. Flux des données (synthèse)

[Client navigateur] ──TLS 1.3──▶ [Vercel Edge] ──▶ [Cloud Router Scaleway] ──▶ [LLM cascade] │ ▼ [Supabase pgvector EU] │ ▼ [Stockage chiffré AES-256-GCM] │ ┌───────────┴────────────┐ ▼ ▼ [Backup chiffrés J+30] [Export self-service] │ ▼ [Suppression définitive] [+ attestation client]

10.3. Endpoints exposés au client

L'IP brute du serveur de traitement Scaleway n'est jamais exposée publiquement comme endpoint d'API client. Tous les flux passent par les sous-domaines TLS terminés (router.nivelo.fr, n8n.nivelo.fr, workers.nivelo.fr).

10.4. Schéma de durées de rétention (synthèse)