Avenant relatif au traitement des données personnelles de Menelier (DPA)

Date d’entrée en vigueur : 1er septembre 2026
Version: 2026-09-01-professional-legal-review

Cet Addendum sur le traitement des données (« DPA ») fait partie des Conditions d'utilisation de Menelier ou d'un autre accord (l'« Accord ») entre le client identifié dans l'Accord (« Client ») et Martin Mayer, exploitant de Menelier (« Menelier »).

1. Champ d’application et rôles

Ce DPA s'applique lorsque Menelier traite des données personnelles pour le compte du Client dans le cadre de la fourniture du service Menelier.

Le Client est le responsable du traitement et Menelier est le sous-traitant dans lequel le Client télécharge, crée, importe, publie ou soumet de toute autre manière des données personnelles concernant son personnel, ses sous-traitants, ses fournisseurs, ses invités ou d'autres personnes (« Données personnelles du client »).

Menelier reste un responsable du traitement indépendant des données qu'il traite à ses propres fins, y compris l'administration des comptes, la facturation directe, les dossiers fiscaux, la sécurité, la prévention de la fraude, les communications de service et sa propre conformité légale. Ces activités sont couvertes par la politique de confidentialité de Menelier et sont en dehors du présent DPA.

2. Instructions du client

Menelier traitera uniquement les Données Personnelles du Client :

• pour fournir, sécuriser, maintenir et prendre en charge le service en vertu du Contrat ;
• selon l'utilisation et la configuration documentées du service par le Client ;
• sur instructions documentées supplémentaires convenues par les parties ; ou
• lorsque le traitement est requis par la loi applicable, auquel cas Menelier informera le Client avant le traitement, sauf si la loi interdit la notification.

Le Contrat, le présent DPA, l'utilisation du service par le Client et les demandes d'assistance constituent des instructions documentées.

Le Client est responsable de s'assurer que ses instructions et ses Données personnelles sont conformes à la loi applicable, qu'il dispose d'une base légale pour le traitement et qu'il fournit les informations requises aux personnes concernées.

3. Détails du traitement

L'objet, la nature, la finalité et la durée du traitement, ainsi que les catégories de données et les personnes concernées, sont décrits à l'annexe 1.

4. Confidentialité

Menelier veillera à ce que les personnes autorisées à traiter les Données Personnelles du Client soient liées par des obligations de confidentialité et ne reçoivent un accès que dans la mesure nécessaire à leur travail.

5. Sécurité

Compte tenu de l'état de l'art, des coûts de mise en œuvre, du contexte et des risques du traitement, Menelier maintiendra des mesures techniques et organisationnelles appropriées destinées à protéger les Données Personnelles du Client contre la destruction, la perte, l'altération, la divulgation ou l'accès non autorisés, accidentels ou illicites.

Les mesures actuelles sont décrites en annexe 2. Menelier pourra les mettre à jour à condition que le niveau global de protection ne soit pas sensiblement réduit.

6. Sous-traitants ultérieurs

Le Client accorde à Menelier l'autorisation écrite générale d'engager les sous-traitants ultérieurs nécessaires à la fourniture du Service. Les sous-traitants autorisés à compter de la date d'entrée en vigueur sont répertoriés à l'annexe 3. Menelier informera le client par écrit au moins 30 jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur, donnant au client la possibilité de s'opposer pour des motifs raisonnables de protection des données.

Menelier :

• exiger que chaque sous-traitant ultérieur, par accord écrit, assume les mêmes obligations de protection des données imposées à Menelier par le présent DPA, dans la mesure applicable au traitement du sous-traitant ultérieur, y compris les exigences de l'article 28, paragraphe 4, du RGPD ;
• restent responsables de l'exécution par le sous-traitant de ses obligations en matière de protection des données dans la mesure requise par la loi applicable ; et
• donner un préavis raisonnable à un nouveau sous-traitant ultérieur via la liste publiée, l'e-mail ou le service.

Le client peut s'opposer à l'embauche d'un nouveau sous-traitant ultérieur pour des raisons raisonnables de protection des données dans les délais 15 jours après la notification. Les parties travailleront de bonne foi pour trouver une solution raisonnable. Si aucune solution n'est disponible, chaque partie peut mettre fin au service concerné ; tout remboursement est régi par le Contrat et la loi applicable.

7. Assistance au Client

Compte tenu de la nature du traitement et des informations dont dispose Menelier, Menelier fournira au Client une assistance raisonnable à :

• répondre aux demandes des personnes concernées ;
• obligations en matière de sécurité et de violation des données personnelles ;
• évaluations d'impact sur la protection des données ; et
• consultation préalable d'une autorité de contrôle si nécessaire.

Si Menelier reçoit une demande directement d'une personne concernée concernant les données personnelles du client, Menelier redirigera le demandeur vers le client lorsque cela est raisonnablement possible et ne répondra pas de manière indépendante à la demande à moins que le client ne le demande ou que la loi ne l'exige.

Le Client remboursera les frais raisonnables pour une assistance inhabituellement étendue non causée par la violation de Menelier, si convenu à l'avance.

8. Violations de données à caractère personnel

Menelier informera le Client dans les plus brefs délais après avoir pris connaissance d'une violation de données personnelles affectant les Données Personnelles du Client. L'avis comprendra les informations disponibles raisonnablement nécessaires aux obligations légales du client, qui pourront être fournies par étapes au fur et à mesure du développement de l'enquête.

La notification de Menelier ne constitue pas un aveu de faute ou de responsabilité.

Contact de sécurité : info@menelier.com

9. Suppression et retour

Pendant la durée du service, le Client peut utiliser les fonctions d'exportation et de suppression disponibles.

Après la résiliation ou l'expiration du service, Menelier, au choix du Client, supprimera ou restituera les Données personnelles du Client, sauf si le droit de l'Union ou d'un État membre exige leur conservation. Les données contenues dans les sauvegardes protégées sont supprimées selon le cycle normal de sauvegarde et restent soumises au présent DPA tant qu'elles sont conservées.

Période de suppression opérationnelle : La suppression en libre-service d’un utilisateur comprend un délai de 14 jours pendant lequel la demande peut être annulée. Les instructions vérifiées de suppression d’un compte complet sont traitées sans retard injustifié et normalement dans un délai de 30 jours, sous réserve de la vérification des droits sur le compte, des obligations légales de conservation et des dépendances techniques.
Durée de conservation des sauvegardes : 35 days

Menelier peut conserver les données du responsable du traitement, telles que les factures, les enregistrements de sécurité du compte et la preuve d'acceptation légale, conformément à la politique de confidentialité et à la loi applicable.

10. Audits et informations

Menelier mettra à disposition les informations raisonnablement nécessaires pour démontrer le respect de l'article 28 du RGPD. Le client peut demander une documentation de sécurité pertinente ou des rapports indépendants lorsqu'ils sont disponibles.

Si ces informations sont insuffisantes, le Client ne peut procéder à un audit qu'une fois par an au maximum, sauf après un incident important ou lorsqu'une autorité de contrôle en exige autrement. Les audits doivent :

• être organisé avec un préavis raisonnable ;
• surviennent pendant les heures normales de bureau ;
• éviter toute interruption et tout accès aux données d'autres clients ;
• être réalisés par le Client ou par un auditeur indépendant qualifié mandaté par le Client, dans les deux cas sous réserve d’obligations de confidentialité appropriées ; et
• respecter les exigences raisonnables de sécurité de Menelier.

Le Client supporte ses frais d'audit à moins que l'audit n'identifie un manquement substantiel de la part de Menelier.

11. Transferts internationaux

Menelier ne transférera pas les données personnelles du client en dehors de l'Espace économique européen ou d'une autre région d'origine en violation des règles de transfert applicables.

Le cas échéant, les parties s'appuieront sur une décision d'adéquation, sur les clauses contractuelles types de la Commission européenne, sur les accords UE-États-Unis. Cadre de confidentialité des données pour un destinataire éligible, ou autre garantie valide. Les modules de transfert applicables et les mesures supplémentaires seront incorporés par référence ou mis à disposition sur demande.

Région d'hébergement principale : République tchèque
Détails du mécanisme de transfert : L’hébergement principal et les sauvegardes chiffrées sont situés dans l’Union européenne. Le traitement facultatif par IA peut impliquer des transferts vers OpenAI et ses sous-traitants ultérieurs. Lorsqu’un transfert hors EEE nécessite une garantie appropriée, Menelier s’appuie sur les mécanismes prévus par les conditions de traitement des données applicables d’OpenAI, notamment, selon le cas, les clauses contractuelles types ou un mécanisme d’adéquation applicable.

12. Instructions contraires au droit applicable

Menelier informera rapidement le Client si, à son avis raisonnable, une instruction enfreint la loi applicable en matière de protection des données. Menelier peut suspendre le traitement concerné jusqu'à ce que les parties résolvent le problème.

13. Responsabilité et ordre de préséance

La responsabilité en vertu du présent DPA est soumise aux dispositions de responsabilité de l'Accord, sauf lorsque la loi applicable exige le contraire.

Si ce DPA entre en conflit avec l'accord sur le traitement des données personnelles du client, le présent DPA prévaut. Si les clauses contractuelles types applicables entrent en conflit avec le présent DPA, ces clauses régissent le transfert concerné.

14. Durée

Ce DPA reste en vigueur pendant que Menelier traite les données personnelles du client au nom du client.

Annexe 1 - Description du traitement

Annexe 2 - Mesures techniques et organisationnelles

• chiffrement du transport via HTTPS/TLS ;
• hachage de mot de passe en utilisant le hachage de mot de passe PHP actuel ;
• accès basé sur les rôles et séparation de l'espace de travail client ;
• accès restreint aux super-administrateurs et à la production ;
• Protection CSRF, gestion sécurisée des sessions et vérification des e-mails ;
• webhooks Stripe signés et validation des événements de paiement ;
• limitation du débit, prévention des abus et journalisation d'audit/sécurité ;
• stockage privé pour les téléchargements non publics et la publication publique contrôlée ;
• restrictions d'accès aux bases de données, aux fichiers et aux sauvegardes ;
• processus de maintenance des vulnérabilités et des dépendances : Les vulnérabilités rendues publiques affectant des composants utilisés par Menelier sont évaluées selon leur gravité et leur pertinence. Les correctifs de sécurité et mises à jour de dépendances sont appliqués dans le cadre de la maintenance continue, les problèmes de sécurité importants étant traités en priorité. ;
• fréquence de sauvegarde et tests de restauration : Menelier crée chaque jour une sauvegarde chiffrée de l’application couvrant la base de données et les fichiers privés téléversés, conserve une copie chiffrée distante sur WEDOS Disk, surveille l’actualité des sauvegardes et conserve les sauvegardes applicatives pendant 35 jours. La procédure de validation de restauration a permis de déchiffrer et d’inspecter avec succès une archive de sauvegarde de production ; un exercice complet et périodique de reprise après sinistre n’est actuellement pas garanti. ;
• réponse et escalade des incidents : Les incidents de sécurité sont traités par l’Exploitant au cas par cas, notamment par des mesures de confinement, d’évaluation de l’impact, de remédiation et de documentation. Les clients concernés et les autorités compétentes sont informés lorsque la loi applicable ou le contrat l’exige. ;
• examen de l'accès du personnel/sous-traitant et exclusion : L’accès administratif est limité à l’Exploitant et aux prestataires expressément autorisés, selon le principe du besoin d’en connaître. Les droits d’accès sont réexaminés lorsque les fonctions ou relations contractuelles changent et sont révoqués sans retard injustifié lorsqu’ils ne sont plus nécessaires. ;
• contrôles de suppression et de conservation des données : Les Données Personnelles du Client sont supprimées ou anonymisées à la suite d’une demande de suppression valable ou à la fin du Service, sauf si leur conservation est imposée par la loi applicable ou nécessaire à la constatation, à l’exercice ou à la défense de droits en justice. La suppression en libre-service d’un utilisateur comprend un délai d’annulation de 14 jours. Les données supprimées peuvent subsister dans des sauvegardes chiffrées pendant 35 jours au maximum. ;
• objectifs de continuité et de reprise des activités : La reprise du Service repose sur l’hébergement WEDOS, des sauvegardes applicatives chiffrées quotidiennes et une copie chiffrée distincte sur WEDOS Disk. Menelier ne garantit actuellement ni objectif précis de délai de reprise (RTO) ni objectif précis de point de reprise (RPO) ; la restauration est effectuée dans le cadre d’une obligation de moyens raisonnables.

Annexe 3 – Sous-traitants ultérieurs initiaux

Annexe 4 - Parties

Client / responsable du traitement

Le client identifié dans le Contrat ou dans le compte Menelier.

Menelier / sous-traitant

• Nom légal : Martin Mayer
• Adresse : Holubice 366, 68351 Holubice
• N° d’identification (IČO) : 73507351
• Numéro fiscal (DIČ) : CZ8003301680
• Contact : info@menelier.com
• Téléphone : +420 724 548 554