US

Accord de traitement des données (DPA) — OG Access

Dernière mise à jour : 2026.10.07.2

Accord de traitement des données (DPA)

Article 1 — Objet et qualification

1.1. Le présent accord de traitement (l'« Accord ») est conclu en application de l'article 28 du règlement (UE) 2016/679 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée. Il a pour objet de fixer les conditions dans lesquelles le Prestataire traite, pour le compte du Client, les Données Industrielles définies au présent article.

1.2. Le Prestataire est Nelson BRITO DOS SANTOS, entrepreneur individuel, exerçant sous le nom commercial OG Access, immatriculé au RCS de Grasse sous le numéro SIREN 130 929 151, dont l'établissement est situé 24 chemin Saint-Marc, 06130 Grasse, joignable à l'adresse contact@og-access.net.
Le Client est le professionnel qui souscrit un accès à la plateforme OG Access, qu'il agisse en qualité de marque, de source de vrac, d'usine, de façonnier ou de conditionneur.

1.3. Le Prestataire fournit au Client une plateforme logicielle de traçabilité unitaire et de passeport numérique de produit, accessible en ligne, comprenant l'enregistrement des lots, l'émission et la lecture des identifiants unitaires NFC ou QR, le dépôt des pièces de conformité sous forme d'empreinte, le cahier de lot, les attestations d'opérateur et les fonctions de lecture associées au rôle souscrit.

1.4. Constituent des Données Industrielles les données à caractère personnel et les informations associées que le Client, ou une personne agissant sur son instruction documentée, confie au Prestataire aux fins exclusives de cette fourniture, notamment les identifiants de lots et d'unités, les données de procédé et de composition déclarées, les pièces de conformité, les événements de lecture rattachés au lot, les données logistiques et les données nécessaires à l'émission des passeports.

1.5. Le Client détermine les finalités et les moyens essentiels du traitement des Données Industrielles. Il en est le responsable de traitement. Le Prestataire agit exclusivement en qualité de sous-traitant. Il ne traite ces données que sur instruction documentée du Client, pour la durée de l'abonnement et des obligations de restitution ou de conservation qui lui survivent, et aux seules fins d'exécuter la plateforme.

1.6. Lorsque le Client n'est pas lui-même responsable de traitement, et qu'il intervient pour le compte d'un autre opérateur économique, notamment en exécution d'une autorisation de lot consentie par une marque, il garantit disposer d'un mandat ou d'une instruction licite de ce responsable. Le Prestataire demeure sous-traitant. Il ne devient pas responsable de traitement du fait de l'hébergement, de l'affichage ou de la transmission technique de ces données.

1.7. Demeurent hors du présent Accord, et sous la responsabilité de traitement propre du Prestataire, les traitements qu'il détermine pour son compte : comptes utilisateurs et journaux d'accès, facturation et paiement, preuves de consentement, formulaires de contact, sécurité de la plateforme, et événements de lecture publique traités à des fins de lutte contre la contrefaçon et la fraude. Ces traitements sont régis par la politique de confidentialité du Prestataire.

1.8. Le Prestataire fournit un outil d'enregistrement et de restitution. L'Accord ne lui confère aucune mission de certification, de contrôle de la réalité physique des déclarations d'atelier, ni de représentation du Client auprès d'une autorité.

Article 2 — Obligations du Prestataire

2.1. Instructions. Le Prestataire ne traite les Données Industrielles que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers. L'instruction résulte du présent Accord, du paramétrage du compte, des actions réalisées sur la plateforme par le Client ou par une personne habilitée, et de toute instruction écrite ultérieure compatible avec le service. Le Prestataire informe le Client, sans délai indu, si une instruction lui paraît contraire au RGPD ou à toute autre disposition impérative du droit de l'Union ou du droit français. Il n'est pas tenu d'exécuter cette instruction tant qu'elle n'a pas été confirmée ou modifiée. Cette information ne vaut pas conseil juridique.

2.2. Confidentialité. Le Prestataire veille à ce que les personnes autorisées à traiter les Données Industrielles s'engagent à une obligation de confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. L'accès est limité aux personnes qui en ont besoin pour exécuter la plateforme, dans la limite de leur rôle.
Le Prestataire ne communique pas les Données Industrielles à un tiers, ne les réutilise pas pour son propre compte, ne les emploie pas au profit d'un autre client et ne les exploite pas pour une finalité étrangère au service. Les informations non publiques qu'elles contiennent, notamment les procédés, formules, paramètres d'atelier, volumes, pièces de conformité et données commerciales, sont protégées comme des informations confidentielles et, lorsqu'elles en remplissent les conditions, comme des secrets des affaires au sens de l'article L. 151-1 du Code de commerce.
Cette obligation s'applique pendant toute la durée de l'abonnement et survit à sa fin, aussi longtemps que les informations ne sont pas devenues publiques sans faute du Prestataire, et au minimum pendant cinq (5) ans après la cessation de l'accès. Elle ne fait pas obstacle à une communication exigée par la loi, par un règlement de l'Union ou par une autorité compétente. Dans cette dernière hypothèse, le Prestataire en informe le Client avant la communication, sauf si la loi le lui interdit.
Le passeport déjà émis et rendu consultable par le consommateur ou par un service habilité n'est pas, pour la seule partie ainsi publiée sur instruction du Client, une information confidentielle.

2.3. Sécurité. Le Prestataire met en œuvre les mesures techniques et organisationnelles appropriées exigées par l'article 32 du RGPD, compte tenu de l'état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes. Ces mesures ont pour objet d'assurer, selon une obligation de moyens, la confidentialité, l'intégrité, la disponibilité et la résilience du service.
Elles comprennent notamment :
— l'hébergement des Données Industrielles de production dans une région située dans l'Union européenne ;
— le chiffrement des communications en transit ;
— le contrôle d'accès par rôles et l'isolation des espaces clients, de sorte qu'un opérateur n'accède qu'aux lots et aux pièces correspondant à son habilitation ;
— l'authentification des comptes, la conservation des mots de passe sous forme d'empreinte, et un cookie de session inaccessible aux scripts du navigateur ;
— l'enregistrement des pièces de conformité sous forme d'empreinte, à l'exclusion de la conservation du fichier comme copie librement réutilisable ;
— la journalisation des actions sensibles, avec conservation limitée des journaux d'audit, et l'exclusion des secrets de fabrication et des données directement identifiantes des journaux techniques de diagnostic ;
— l'interdiction, pour le personnel et les prestataires habilités, d'extraire les Données Industrielles hors de la finalité du service.
Le Prestataire ne garantit aucun taux de disponibilité en l'absence d'un niveau de service distinctement accepté. Il met en œuvre, par l'intermédiaire de son hébergeur de base de données, des moyens de restauration adaptés au service.
Sur demande écrite, le Prestataire met à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect des obligations du présent article. Un audit sur place n'est dû que s'il est proportionné au risque, précédé d'un préavis, limité dans le temps et pris en charge par le Client. Ce préalable financier ne s'applique pas lorsqu'il existe des motifs sérieux de croire à un manquement du Prestataire. L'audit ne donne accès ni aux données d'un autre client, ni aux secrets d'affaires du Prestataire étrangers à l'exécution de l'Accord.
Le Prestataire répond des sous-traitants ultérieurs auxquels il recourt pour exécuter ces mesures, dans les conditions qui leur sont réservées.

2.4. Assistance. Le Prestataire aide le Client, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées. Toute demande reçue directement par le Prestataire et relative aux Données Industrielles est transmise au Client sans délai indu. Le Prestataire n'y répond au nom du Client que sur instruction écrite de celui-ci.
Le Prestataire aide également le Client, dans la limite de ce que la plateforme permet et des informations dont il dispose, à réaliser une analyse d'impact et à consulter l'autorité de contrôle avant un traitement à risque élevé.
Cette assistance est incluse dans l'abonnement lorsqu'elle peut être fournie par les fonctions existantes de la plateforme ou par une réponse documentée. Une assistance exceptionnelle, étrangère à ces fonctions, est convenue préalablement et peut être facturée au temps passé. L'assistance prévue à l'article 2.5 n'est jamais subordonnée à une rémunération supplémentaire.

2.5. Violation de données à caractère personnel. On entend par violation de données à caractère personnel toute violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données Industrielles à caractère personnel, ou l'accès non autorisé à de telles données, au sens de l'article 4, point 12, du RGPD.
Dès qu'il en a connaissance, le Prestataire la notifie au Client sans délai indu, à l'adresse électronique du compte, et au plus tard dans les quarante-huit (48) heures lorsque les premiers éléments sont disponibles. La notification indique, à mesure qu'ils sont connus :
— la nature de la violation ;
— les catégories et le nombre approximatif de personnes concernées et d'enregistrements ;
— les conséquences probables ;
— les mesures prises ou proposées pour remédier à la violation et en atténuer les effets ;
— un point de contact.
Le Prestataire complète cette notification au fur et à mesure. Il coopère avec le Client afin de lui permettre de notifier la violation à l'autorité de contrôle dans le délai de l'article 33, paragraphe 1, du RGPD, et, si le Client y est tenu, de la communiquer à la personne concernée. Le Prestataire ne procède pas lui-même à ces notifications, sauf obligation légale directe ou instruction écrite du Client.
Une erreur de saisie, une déclaration d'atelier inexacte ou un blocage de validation ne constituent pas, par eux seuls, une violation de données à caractère personnel.

2.6. Sort des données à la fin de l'abonnement. À la cessation de l'abonnement, pour quelque cause que ce soit, le Prestataire cesse tout traitement des Données Industrielles, sous les seules réserves du présent article. La licence d'utilisation de la plateforme prend fin.
Le Client dispose de trente (30) jours à compter de la date d'effet de la cessation pour demander, par écrit, la restitution des Données Industrielles dans un format structuré et couramment utilisé, alors disponible sur la plateforme. À l'expiration de ce délai, ou dès la restitution si elle intervient avant, le Prestataire supprime les Données Industrielles, y compris les copies dont la suppression est sous son contrôle.
Les copies de sauvegarde détenues par l'hébergeur de la base sont détruites selon le cycle de rotation de cet hébergeur, et au plus tard dans les quatre-vingt-dix (90) jours, sous les mêmes réserves. Sur demande, le Prestataire confirme par écrit la suppression intervenue.
Demeurent conservées, pendant la durée strictement nécessaire et sous le régime juridique qui les fonde :
— les données dont la conservation est imposée par la loi, notamment les pièces comptables ;
— les données indispensables à la constatation, à l'exercice ou à la défense d'un droit en justice ;
— les preuves de consentement et les journaux d'audit, dans leurs durées propres ;
— les passeports déjà émis et actifs, qui demeurent consultables dans leur état publié. Les données à caractère personnel qu'ils contiennent en sont retirées ou anonymisées lorsque cette consultation peut être maintenue sans elles.
Les données de compte, de facturation et de sécurité du Prestataire suivent la politique de confidentialité. Elles ne sont pas restituées comme Données Industrielles.
La confidentialité prévue à l'article 2.2 survit à la suppression.

Article 3 — Sous-traitants ultérieurs

3.1. Autorisation. Le Client autorise, de manière générale et par écrit, le Prestataire à recruter les sous-traitants ultérieurs énumérés à l'article 3.2, aux seules fins d'exécuter la plateforme et dans la stricte limite de leur rôle. Cette autorisation ne couvre aucun autre destinataire.

3.2. Liste. Les sous-traitants ultérieurs autorisés sont les suivants.
— Vercel Inc., 440 N Barranca Avenue n° 4133, Covina, CA 91723, États-Unis. Objet : hébergement des applications web et exécution de l'interface de programmation. Lieu du traitement des Données Industrielles : région de Francfort, dans l'Union européenne. Données concernées : celles qui transitent par l'application aux fins du service.
— Neon, LLC, groupe Databricks, Inc., 160 Spear Street, Suite 1300, San Francisco, CA 94105, États-Unis. Objet : hébergement de la base de données. Lieu du traitement : région de l'Union européenne dans laquelle la base de production est exploitée, actuellement la région de Francfort. Données concernées : les Données Industrielles enregistrées dans cette base.
— OVH SAS, 2 rue Kellermann, 59100 Roubaix, France. Objet : acheminement de la messagerie transactionnelle strictement nécessaire au service. Lieu du traitement : France. Données concernées : les seules données à caractère personnel figurant dans le message émis.

3.3. Conditions de recours. Le Prestataire ne confie des Données Industrielles à un sous-traitant ultérieur qu'aux conditions suivantes :
— un contrat écrit impose au sous-traitant ultérieur les mêmes obligations de protection des données que celles du présent Accord, en particulier les instructions documentées, la confidentialité, la sécurité et l'effacement ou la restitution en fin de prestation ;
— le sous-traitant ultérieur ne traite les données que pour le rôle défini à l'article 3.2 ;
— les Données Industrielles qu'il héberge ou exécute le sont dans l'Union européenne, conformément à l'article 4 ;
— le sous-traitant ultérieur ne recrute pas lui-même un autre sous-traitant pour ces données sans que ce recrutement soit soumis au régime du présent article ;
— le Prestataire demeure pleinement responsable, devant le Client, de l'exécution par le sous-traitant ultérieur de ses obligations.

3.4. Modification de la liste. Le Prestataire informe le Client, par écrit et au moins trente (30) jours à l'avance, de tout ajout ou remplacement d'un sous-traitant ultérieur traitant des Données Industrielles. L'information indique l'identité, le lieu d'établissement, le lieu du traitement, le rôle et les catégories de données.
Le Client peut s'y opposer par écrit, pour un motif légitime tenant à la protection des données, avant l'expiration de ce délai. Le Prestataire ne recrute pas le sous-traitant contesté. Il propose une solution de remplacement conforme au présent Accord ou, à défaut, le Client peut résilier l'abonnement relatif au traitement concerné, sans pénalité, à effet du recrutement envisagé.
L'absence d'opposition dans le délai vaut acceptation du seul sous-traitant ainsi notifié.

3.5. Exclusion de la liste. Stripe Payments Europe, Ltd traite les données de paiement et de facturation pour le compte propre du Prestataire. Ce traitement ne porte pas sur les Données Industrielles et ne relève pas du présent article.
L'inscription d'une empreinte sur un réseau public de notarisation, lorsqu'elle ne contient aucune donnée à caractère personnel, aucun identifiant de compte et aucune donnée directement identifiante, ne constitue pas un recours à un sous-traitant ultérieur au sens de l'article 28 du RGPD.

Article 4 — Localisation et transfert des données

4.1. Localisation. Les Données Industrielles sont hébergées et traitées dans l'Union européenne. Leur enregistrement persistant est situé dans la base de données de production exploitée dans l'Union européenne. Leur traitement applicatif est exécuté dans la région de Francfort.

4.2. Maintien dans l'Union. Le Prestataire ne déplace pas, et n'autorise aucun sous-traitant ultérieur à déplacer, le lieu d'hébergement des Données Industrielles hors de l'Union européenne. Tout changement de région demeure intérieur à l'Union et fait l'objet d'une information préalable du Client. Un hébergement hors de l'Union ne peut résulter que d'une instruction écrite, spéciale et préalable du Client, que celui-ci est libre de refuser.

4.3. Qualification d'un transfert. Le fait qu'un sous-traitant ultérieur soit établi hors de l'Union européenne ne transfère pas, à lui seul, les Données Industrielles hors de l'Union, dès lors qu'elles demeurent hébergées et traitées dans l'Union. Constitue en revanche un transfert, soumis au chapitre V du RGPD, tout accès à ces données, toute consultation ou toute copie effectuée depuis un pays tiers ou une organisation internationale, y compris un accès de support ou de sécurité.

4.4. Régime du transfert. Le Prestataire n'opère un tel transfert que s'il est strictement nécessaire à l'exécution du service, limité aux données indispensables, et encadré par l'un des instruments suivants :
— une décision d'adéquation de la Commission européenne visant le destinataire ;
— à défaut, les clauses contractuelles types adoptées par la Commission européenne, complétées, lorsque le niveau de protection l'exige, de mesures supplémentaires ;
— le cadre de protection des données Union européenne–États-Unis, uniquement lorsque le destinataire y est certifié au moment du transfert.
Le Prestataire tient à la disposition du Client l'instrument applicable et l'indication du pays concerné. Il n'utilise pas un transfert vers un pays tiers pour contourner l'obligation d'hébergement prévue à l'article 4.1.

4.5. Messagerie. Les messages transactionnels nécessaires au service sont acheminés depuis la France, par le sous-traitant ultérieur désigné à cet effet. Leur contenu est limité à l'objet de l'envoi.

4.6. Interdiction. Il est interdit d'héberger, de répliquer ou de sauvegarder les Données Industrielles dans un pays tiers. Les copies de sauvegarde de la base de production sont soumises à la même obligation de localisation que la base elle-même.

Article 5 — Responsabilités

5.1. Régime légal. La responsabilité du Prestataire du fait d'un traitement de Données Industrielles est régie par l'article 82 du RGPD. Le Prestataire n'est responsable du dommage causé par un tel traitement que dans l'une des deux hypothèses suivantes :
— il n'a pas respecté les obligations du RGPD qui incombent spécifiquement aux sous-traitants ;
— il a agi en dehors des instructions licites du Client, ou contrairement à celles-ci.

5.2. Instructions licites. Le Prestataire n'encourt pas cette responsabilité lorsqu'il s'est conformé à une instruction licite du Client. S'il a informé le Client, conformément à l'article 2.1, du caractère éventuellement illicite d'une instruction, et si le Client l'a maintenue par écrit, le dommage qui résulte de cette seule instruction demeure à la charge du Client.

5.3. Faits imputables au Client. Le Prestataire ne répond pas du dommage qui trouve son origine exclusive dans un fait du Client ou d'une personne agissant pour son compte. Il en est ainsi, notamment, de l'illicéité des finalités déterminées par le Client, de l'absence de base légale, du défaut d'information des personnes concernées, de l'inexactitude des déclarations saisies sur la plateforme, et de l'habilitation irrégulière d'un opérateur, d'une usine ou d'un fournisseur.

5.4. Exonération. Le Prestataire est exonéré s'il prouve que le fait qui a engendré le dommage ne lui est nullement imputable, conformément à l'article 82, paragraphe 3, du RGPD.

5.5. Pluralité d'intervenants. Lorsque le Client et le Prestataire sont tous deux impliqués dans le même traitement et responsables d'un dommage, ils sont tenus solidairement à l'égard de la personne concernée, dans les conditions de l'article 82, paragraphe 4, du RGPD. Celui qui a réparé l'intégralité du dommage dispose d'un recours contre l'autre pour la part correspondant à sa responsabilité dans le dommage, conformément à l'article 82, paragraphe 5.

5.6. Droits des personnes. Le présent article répartit la charge du dommage entre le Client et le Prestataire. Il ne limite pas le droit d'une personne concernée d'agir sur le fondement des articles 79 et 82 du RGPD, ni le droit de saisir l'autorité de contrôle. Aucun plafond stipulé dans un autre document ne s'applique au préjudice résultant d'une atteinte aux données à caractère personnel.

5.7. Survie. La présente répartition demeure applicable aux traitements accomplis pendant la durée de l'abonnement et aux obligations qui lui survivent, notamment celles des articles 2.2, 2.5 et 2.6.

Article 6 — Dispositions finales

6.1. Primauté. Le présent Accord constitue l'intégralité de la convention des parties relative au traitement des Données Industrielles et aux obligations du Prestataire en qualité de sous-traitant. En cas de contradiction avec les conditions générales d'utilisation, les conditions générales de vente, un bon de commande, la politique de confidentialité ou tout autre document, ses stipulations prévalent pour tout ce qui concerne ce traitement.
La politique de confidentialité demeure seule applicable aux traitements dont le Prestataire est responsable de traitement au sens de l'article 1.7. Les stipulations commerciales qui ne contredisent pas l'Accord, notamment le prix, la durée de l'abonnement et la résiliation, continuent de s'appliquer.

6.2. Entrée en vigueur et durée. L'Accord entre en vigueur à la date de son acceptation par le Client. Il produit effet pendant toute la durée de l'abonnement. Les articles 2.2, 2.5, 2.6, 5 et 6 lui survivent jusqu'au terme de leurs effets propres.

6.3. Modification. Toute modification de l'Accord est conclue par écrit. Le Prestataire peut mettre à jour l'Accord pour le conformer à une règle impérative. Il en informe le Client avant l'entrée en vigueur de la modification. La modification qui réduit les obligations du Prestataire ou étend le traitement au-delà de l'article 1 ne s'applique qu'avec l'acceptation du Client.

6.4. Nullité partielle. Si une stipulation est déclarée nulle, illicite ou inapplicable, les autres stipulations demeurent en vigueur. La stipulation atteinte est remplacée par la règle impérative dont elle s'écarte, ou, à défaut, par une stipulation valide qui s'approche le plus de l'effet économique et juridique recherché.

6.5. Non-renonciation. Le fait pour une partie de ne pas se prévaloir d'un manquement ne vaut pas renonciation à s'en prévaloir ultérieurement.

6.6. Notifications. Les notifications prévues par l'Accord sont adressées par écrit à l'adresse électronique du compte du Client et, pour le Prestataire, à contact@og-access.net. Chaque partie informe l'autre de tout changement de cette adresse.

6.7. Langue. L'Accord est rédigé en français. Cette version prévaut sur toute traduction.

6.8. Droit applicable. L'Accord est soumis à la loi française, sous réserve des dispositions impératives du RGPD et de toute autre règle du droit de l'Union directement applicable.

6.9. Juridiction. Sous les mêmes réserves, tout litige relatif à la formation, à l'interprétation, à l'exécution ou à la cessation de l'Accord est soumis à la compétence exclusive du Tribunal de commerce de Grasse. Cette attribution ne fait pas obstacle au droit d'une personne concernée de saisir les juridictions que l'article 79 du RGPD lui ouvre, ni à la compétence de la Commission nationale de l'informatique et des libertés.

Documents de Nelson BRITO DOS SANTOS, entrepreneur individuel (EI), exerçant sous le nom commercial OG Access, RCS Grasse 130 929 151 (n° de gestion 2026A00905). Ils ne se substituent pas à l'avis d'un avocat pour une situation particulière.