Data Processing Agreement (DPA)

Article 28 RGPD

GELOC SAS propose un modèle de DPA conforme à l'article 28 RGPD pour ses clients enterprise. Le DPA encadre :

· Les obligations du sous-traitant (GELOC) vis-à-vis du responsable de traitement (le client)
· La nature, la durée, la finalité et les catégories de données traitées
· Les engagements de confidentialité et de sécurité
· Le recours à des sous-traitants ultérieurs (cf. liste publique)
· Les modalités de transfert international (SCC)
· Les droits des personnes concernées (assistance pour Articles 15-22)
· La notification des violations de données (Article 33)
· La restitution / suppression des données en fin de contrat

Obtenir le DPA signable

Le DPA est fourni au format PDF signable (e-signature) sur demande. Il est revu par notre conseil juridique IT et inclut les annexes suivantes :

· Annexe 1 — Liste des sous-traitants ultérieurs
· Annexe 2 — Mesures techniques et organisationnelles (chiffrement at-rest, RLS, audit log immuable, MFA admins)
· Annexe 3 — SCC (Module 2 : controller-to-processor) pour transferts hors UE
· Annexe 4 — TIA (Transfer Impact Assessment) consolidé

Pour recevoir le DPA, écrire à dpo@geloc.eu avec le nom de l'entité juridique cliente, le nom du DPO/RSSI, et l'adresse de signature.

Synthèse non-exhaustive des mesures techniques et organisationnelles appliquées :

· Chiffrement at-rest : Supabase Pro (AES-256), Vercel KV chiffré
· Chiffrement in-transit : TLS 1.3 imposé partout (HSTS preload)
· RLS Postgres : 100% des tables `dd_*` ont Row Level Security activée + policies
· Audit log immuable : trigger PostgreSQL BEFORE UPDATE/DELETE empêche toute modification (sauf pseudonymisation Article 17)
· Cloisonnement multi-tenant : isolation par `org_id` au niveau RLS, fonctions de recherche RAG `service_role`-only (PostgREST verrouillé)
· Détection des fuites : Supabase Advisors (security + performance) monitorés
· Rate-limiting : Upstash Redis sur copilote, API publiques, signup
· Scan PII Sentry : `beforeSend` redacte IBAN/RIB/NIR avant envoi
· Anti-prompt-injection : markers `[DOC_START]/[DOC_END]` autour des contenus utilisateur dans les prompts LLM
· Disclaimer IA : tous les livrables IA portent un avertissement non-substituable à un avis juridique
· Vérification citations : tool `verify-legal-citations` cross-checke chaque article cité contre Légifrance/PISTE