Data Processing Agreement (DPA).
Annexe contractuelle décrivant le traitement des données personnelles entre Billow (sous-traitant) et le client (responsable de traitement).
Version 1.0 · Provisoire · À valider avec votre conseil avant signature.
1. Objet
Le présent DPA encadre les obligations de Billow en tant que sous-traitant au sens de l'article 28 du RGPD pour les services souscrits par le client.
2. Nature et finalités du traitement
Hébergement et exécution de la plateforme de sensibilisation cyber. Mise à disposition des contenus, gestion des utilisateurs, mesure d'engagement, support.
3. Catégories de données
Identité professionnelle, équipes, métriques d'engagement, journaux techniques. Aucune donnée sensible au sens de l'article 9.
4. Sous-traitants ultérieurs
Hébergement assuré par Microsoft Azure (régions de l'Union européenne). Liste à jour des autres sous-traitants disponible sur demande à dpo@billow.tech. Notification du client en cas d'ajout ou changement.
5. Mesures de sécurité
Chiffrement en transit et au repos, isolation multi-tenant par RLS, contrôles d'accès basés sur rôles, audits annuels, plan de continuité documenté.
6. Notification de violation
Information du client sans délai injustifié, et au plus tard sous 48 heures à compter de la prise de connaissance d'une violation de données personnelles.
7. Restitution & suppression
À la fin du contrat, restitution puis suppression des données dans un délai contractuel, hors obligations légales de conservation.