Data Processing Addendum (DPA) — AmmoSuite Register

Dernière mise à jour : 30 octobre 2026

Ce Data Processing Addendum (« DPA ») décrit comment AmmoSuite Register traite les données à caractère personnel pour le compte du client, dans le cadre de la fourniture du service AmmoSuite Register (le « Service »). Ce DPA constitue l'Annexe 1 (Accord de sous-traitance) des Conditions générales. Voir aussi la Déclaration de confidentialité.

1. Parties et rôles

Client : l'organisation qui utilise le Service et détermine quelles données à caractère personnel sont traitées (responsable du traitement).
AmmoSuite, nom commercial de Davy Bammens (entreprise individuelle), Zonhovenstraat 39, 3500 Hasselt, Belgique, numéro d'entreprise 0699.928.640 : fournit le Service AmmoSuite Register (ci-après dans ce DPA également « AmmoSuite Register ») et traite les données à caractère personnel uniquement sur instruction du client (sous-traitant).

2. Objet, nature et finalité du traitement

AmmoSuite Register traite des données à caractère personnel pour fournir, maintenir et sécuriser le Service, notamment : gestion des comptes, authentification, journalisation/audit, sauvegardes, restauration en cas d'incident et support. AmmoSuite Register ne traite pas de données pour ses propres finalités indépendantes (par ex. profilage publicitaire).

3. Catégories de données à caractère personnel

Selon l'utilisation, les données suivantes peuvent (entre autres) être traitées :

Données utilisateur : nom, e-mail, rôle/permissions, (facultatif) téléphone.
Données techniques et de sécurité : adresse IP, identifiants de session, données de journalisation, informations sur l'appareil/le navigateur.
Contenu du client : données saisies dans le registre par le client et ses utilisateurs (contenu et métadonnées).

4. Catégories de personnes concernées

Utilisateurs du Service (collaborateurs, administrateurs, auditeurs avec accès en lecture seule).
Personnes dont les données sont saisies dans le Service par le client (« Contenu du client »).

5. Durée du traitement

Le traitement se poursuit pendant la durée de l'abonnement et/ou tant que l'environnement de test est actif. Après la fin du contrat, le client peut exporter ses données pendant 30 jours. AmmoSuite supprime ensuite les données ; elles disparaissent des sauvegardes dans les 30 jours, sauf obligation légale de conservation. Sur demande, AmmoSuite confirme la suppression par écrit. Un client légalement tenu de conserver ses registres plus longtemps est lui-même responsable de la conservation de cet export.

6. Instructions et confidentialité

AmmoSuite traite les données à caractère personnel uniquement sur instructions écrites du client. Le présent accord et les paramètres choisis par le client dans le Service valent instructions. Si AmmoSuite estime qu'une instruction est illicite, AmmoSuite en informe le client. AmmoSuite ne traite pas les données pour ses propres finalités, à l'exception de statistiques d'utilisation anonymisées et agrégées dans lesquelles aucun client ni aucune personne n'est identifiable.

Toute personne travaillant pour AmmoSuite et ayant accès aux données à caractère personnel est tenue à la confidentialité. Cet accès n'est utilisé que lorsqu'il est nécessaire pour le support, la maintenance ou la sécurité.

7. Mesures de sécurité

AmmoSuite Register prend des mesures techniques et organisationnelles appropriées pour sécuriser les données à caractère personnel, notamment :

Connexions chiffrées (TLS) entre les utilisateurs et la plateforme.
Mots de passe stockés sous forme hachée ; blocage temporaire du compte après plusieurs tentatives de connexion échouées.
Authentification à deux facteurs optionnelle via une application d'authentification, avec codes de récupération ; recommandée pour les administrateurs.
Une base de données distincte par client.
Droits d'accès basés sur les rôles, gérés par le client.
Un journal d'activité.
Documents privés téléchargeables uniquement après connexion.
Sauvegardes quotidiennes, conservées 30 jours.
Hébergement dans un centre de données sécurisé dans l'UE, avec chiffrement de la base de données et contrôle d'accès physique chez le partenaire d'hébergement.
Base de données non accessible publiquement : l'application s'y connecte via un réseau privé isolé. Administration des serveurs uniquement via SSH avec clés.

AmmoSuite peut modifier ces mesures, à condition que le niveau de protection ne diminue pas.

8. Sous-traitants

Le client donne à AmmoSuite une autorisation générale de faire appel aux sous-traitants suivants :

DigitalOcean, LLC (États-Unis) : hébergement des serveurs, bases de données, fichiers et sauvegardes. Les données sont stockées dans le centre de données d'Amsterdam (Pays-Bas). Base du transfert : le EU-US Data Privacy Framework, avec les clauses contractuelles types comme solution de repli (DPA de DigitalOcean).
SMTP2GO (Sand Dune Mail Ltd, Nouvelle-Zélande) : envoi des e-mails depuis le Service, hébergé dans l'UE. Tout accès depuis la Nouvelle-Zélande est couvert par la décision d'adéquation de la Commission européenne.

Les sous-traitants n'ont accès aux données à caractère personnel que dans la mesure nécessaire et sous des garanties contractuelles appropriées. Nous annonçons tout nouveau sous-traitant ou tout remplacement au moins 30 jours à l'avance ; le client peut s'y opposer de manière motivée pendant ce délai.

9. Assistance pour les droits des personnes concernées

Le Service comprend des fonctionnalités intégrées permettant au client de consulter, rectifier, exporter et supprimer les données. Si AmmoSuite reçoit elle-même une demande d'une personne concernée, AmmoSuite la transmet au client dans les 5 jours ouvrables et n'y répond pas elle-même. AmmoSuite apporte une assistance raisonnable pour une analyse d'impact relative à la protection des données (AIPD) ou pour une question de l'autorité de protection des données. L'assistance allant au-delà de la plateforme standard peut être facturée au tarif horaire habituel.

10. Violation de données / incident de sécurité

En cas de violation de données à caractère personnel, AmmoSuite informe le client sans délai excessif et au plus tard 48 heures après sa découverte. AmmoSuite indique, dans la mesure où ces éléments sont connus :

ce qui s'est passé ;
les données concernées et le nombre de personnes concernées ;
les conséquences probables ;
les mesures prises ou proposées.

Les informations manquantes suivent dès que possible. Le client décide s'il notifie la violation à l'autorité de protection des données et aux personnes concernées ; AmmoSuite ne le fait pas au nom du client.

11. Audit et information

Sur demande, et au maximum une fois par an, AmmoSuite fournit au client les informations nécessaires pour démontrer le respect de ce DPA, y compris les rapports d'audit disponibles du partenaire d'hébergement, dans la mesure où ce partenaire le permet. Si ces informations sont insuffisantes, le client peut faire réaliser un audit par un expert indépendant tenu à la confidentialité, moyennant un préavis d'au moins 30 jours et à ses propres frais.

12. Responsabilité

La responsabilité au titre de ce DPA est régie par l'article 13 des Conditions générales, sans préjudice de l'article 82 du RGPD.

13. Contact

Des questions sur ce DPA ? Contactez contact@ammosuite.com.
Numéro d'entreprise : 0699.928.640.

Cette traduction française est fournie à titre informatif. En cas de divergence, la version néerlandaise prévaut.