Accord de traitement des données (DPA) d'Inkmel

Version 1.0 du 26 octobre 2026 · entrée en vigueur le 26 octobre 2026

Adresse permanente de cette version : https://inkmel.app/legal/dpa/v1.0. Versions précédentes : version 0.9 du 24 octobre 2026.

Entre le Client (l'organisation inscrite à Inkmel), responsable de traitement,
et L-Consult srl (« L-Consult »), siège social Rue Sauvenière 12, 4530 Warnant-Dreye (Belgique), numéro d'entreprise 0612.967.942, RPM Liège, division Huy, éditeur d'Inkmel, sous-traitant. Contact pour la protection des données : privacy@lconsult.be.

1. Objet, conclusion et définitions

Le présent accord fixe les conditions dans lesquelles L-Consult traite des données personnelles pour le compte du Client lorsqu'il fournit Inkmel (le « Service »). Il fait partie du contrat formé par les CGU et, pour un forfait payant, par les CGV. En cas de contradiction sur la protection des données, il prévaut.

Conclusion : l'accord est conclu par voie électronique. Avant l'inscription de son organisation, l'administrateur qui l'inscrit au nom du Client coche une case qui accepte la présente version ; aucune organisation n'est créée, et donc aucune donnée de l'annuaire n'est lue, sans cette acceptation. L-Consult enregistre la version acceptée, la date et l'heure, les identifiants Microsoft de la personne qui accepte et de son organisation et son rôle d'administrateur (CGU, article 4.4).

Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens de l'article 4 du RGPD. « Sous-traitant ultérieur » désigne un prestataire auquel L-Consult confie une partie du traitement. Les autres termes ont le sens des CGU.

Annexes :

• Annexe 1 : description des traitements ;
• Annexe 2 : mesures techniques et organisationnelles de sécurité ;
• Annexe 3 : sous-traitants ultérieurs (liste des sous-traitants ultérieurs).

2. Rôles des parties

• Le Client est responsable de traitement des données de son annuaire, de ses Membres, de ses champs personnalisés, de ses modèles et de ses images. Il garantit disposer d'une base légale pour ces traitements et avoir informé ses collaborateurs, en particulier pour les photos et pour le déploiement du complément.
• L-Consult est sous-traitant pour ces données. Il ne les traite que pour fournir le Service.
• L-Consult est responsable de traitement distinct pour les données de sa relation avec le Client (comptes de la console pour l'accès, preuve de l'acceptation des textes, facturation, e-mails de service aux propriétaires, support, sécurité du Service) : voir la politique de confidentialité. Ces traitements ne relèvent pas du présent accord.
• Données à double usage : les données des Membres de la console servent à la fois au Client (gestion de ses Membres et de leurs rôles) et à L-Consult (connexion, sécurité de l'accès, e-mails de service aux propriétaires) ; elles figurent donc dans l'annexe 1 et dans la politique de confidentialité. Il en va de même du journal d'audit, tenu pour le Client (annexe 1) et utile à la sécurité du Service.

3. Description des traitements

L'objet, la durée, la nature, la finalité, les catégories de données et de personnes concernées figurent à l'annexe 1.

4. Instructions du Client

1. L-Consult traite les données uniquement sur instruction documentée du Client. Les instructions sont : le présent accord, les CGU, les réglages et actions des Membres du Client dans la console (synchronisation, modèles, règles, champs, suppressions, export, résiliation et son annulation, autorisation de l'accès du support) et les demandes écrites d'un propriétaire de l'organisation au support.
2. Un administrateur général ou un administrateur de rôle privilégié de l'organisation Microsoft 365 du Client peut à tout moment devenir propriétaire de l'organisation dans la console ; cette action vaut instruction du Client et figure dans le journal d'audit. L-Consult ne nomme jamais lui-même un propriétaire et n'accède pas aux données pour le faire.
3. L-Consult informe le Client sans délai s'il estime qu'une instruction enfreint le RGPD.
4. Si le droit de l'Union ou d'un État membre impose à L-Consult un traitement, il en informe le Client avant de le faire, sauf interdiction légale.
5. L-Consult n'utilise pas les données du Client à d'autres fins : ni publicité, ni profilage, ni vente, ni entraînement de modèles d'intelligence artificielle.

5. Personnel et accès de L-Consult

1. Seules les personnes de L-Consult qui en ont besoin pour l'exploitation, la sécurité ou le support accèdent aux données. Elles sont tenues à la confidentialité.
2. L-Consult n'accède aux données d'une organisation que pour répondre à une demande du Client, corriger un incident ou assurer la sécurité du Service.
3. Accès du support :
   • Qui : les personnes du support de L-Consult, chacune avec un compte individuel de l'organisation Microsoft 365 de L-Consult, habilitée par L-Consult et protégée par une authentification multifacteur. Chaque accès est rattaché à une personne identifiée. Aucun sous-traitant ultérieur n'accède aux données par cet outil.
   • Quand : uniquement avec l'autorisation préalable du Client, donnée dans la console (page « Accès du support ») par un propriétaire ou un administrateur, pour 24 heures, renouvelable et révocable à tout moment. Aucun accès sans autorisation, y compris en cas d'incident.
   • Quoi : lecture seule des données de l'organisation (organisation, facturation, entreprise, images, modèles, règles, annuaire et valeurs des utilisateurs, champs, membres, journal d'audit). Le support n'exporte, ne modifie et ne supprime jamais de données. Toute action nouvelle du support sera décrite dans une nouvelle version du présent accord avant d'exister.
   • Comment : un outil intégré au Service, par sessions de 30 minutes au plus. Chaque session, son motif, sa référence et les domaines consultés figurent dans le journal d'audit du Client et sur sa page « Accès du support ». Le retrait de l'autorisation met fin immédiatement aux sessions en cours.
   • Traces : conservées 12 mois. L'identité de la personne de L-Consult qui a ouvert une session est communiquée au Client sur demande.
4. Accès technique exceptionnel à la base de données : réservé à la maintenance, aux restaurations et aux incidents (panne, corruption, sécurité) ; il n'est jamais utilisé pour le support. Chaque accès est consigné dans un registre interne (qui, quand, pourquoi, quelle opération), conservé 3 ans. Le Client est informé si ses données ont été consultées ou modifiées à cette occasion.

6. Sécurité

L-Consult met en œuvre les mesures de l'annexe 2, adaptées au risque (article 32 du RGPD). Il peut les faire évoluer sans réduire le niveau de protection.

7. Sous-traitants ultérieurs

1. Le Client donne une autorisation générale à L-Consult de recourir à des sous-traitants ultérieurs. La liste à jour figure à l'annexe 3.
2. L-Consult informe le Client de tout ajout ou remplacement, ou de l'extension du rôle d'un prestataire à un nouveau traitement, au moins 30 jours à l'avance, par un e-mail aux propriétaires de l'organisation et par la mise à jour de la page https://inkmel.app/legal/sous-traitants.
3. Le Client peut s'y opposer, pour un motif raisonnable lié à la protection des données, avant la date annoncée. Les parties cherchent une solution. À défaut, le Client peut résilier sans frais ; la part non utilisée de la période payée d'avance lui est remboursée au prorata (CGV).
4. L-Consult impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection au moins équivalentes à celles du présent accord. Il reste responsable envers le Client de leur exécution.

8. Localisation et transferts

1. Les données du Client sont hébergées, sauvegardées et traitées dans l'Union européenne : en Belgique (serveurs et base de données) et en France (images et copies de sauvegarde chiffrées), selon l'annexe 2.
2. L-Consult ne transfère pas de données du Client hors de l'Espace économique européen, sauf si l'annexe 3 l'indique pour un sous-traitant ultérieur, avec la garantie applicable (décision d'adéquation, dont le cadre UE–États-Unis de protection des données, ou clauses contractuelles types de la décision d'exécution (UE) 2021/914).

9. Assistance au Client

1. Droits des personnes : le Service permet au Client de répondre lui-même à la plupart des demandes :
   • accès et rectification : fiche de l'utilisateur dans la console (valeurs synchronisées, valeurs locales, champs personnalisés) ; export CSV des valeurs saisies dans la console ;
   • portabilité : export complet de l'organisation (article 11) ;
   • effacement : suppression des valeurs et des photos dans la console ; un utilisateur supprimé de l'annuaire Entra ID est supprimé d'Inkmel 30 jours plus tard ;
   • opposition et limitation : remplacer ou vider localement les valeurs concernées, ou désactiver le compte dans l'annuaire Microsoft 365 du Client (un compte désactivé ne reçoit plus de signature) ; Inkmel ne propose pas d'exclusion individuelle d'un utilisateur actif de la synchronisation.
     L-Consult aide le Client pour le reste, sur demande au support. Il transmet au Client, sans y répondre lui-même, toute demande qu'il reçoit directement d'une personne concernée.
2. Analyse d'impact et consultation préalable : L-Consult fournit les informations utiles en sa possession (annexes 1 à 3).

10. Violation de données personnelles

1. L-Consult notifie au Client toute violation de données personnelles du Client dans les meilleurs délais après en avoir pris connaissance, et au plus tard 48 heures après.
2. La notification contient, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un contact. Les informations manquantes sont fournies dès qu'elles sont connues.
3. La notification est envoyée par e-mail aux propriétaires de l'organisation et, s'il en a désigné un, au contact que le Client a indiqué au support pour les questions de sécurité.
4. Le Client reste seul juge de la notification à l'autorité de contrôle et aux personnes concernées (articles 33 et 34 du RGPD).
5. L-Consult documente chaque violation (faits, effets, mesures prises), y compris celles qui ne sont pas notifiées (article 33, § 5).

11. Sort des données à la fin du Service

1. Pendant le contrat, les durées de conservation de l'annexe 1 (section 6) s'appliquent.
2. Restitution : les propriétaires et les administrateurs du Client peuvent télécharger à tout moment, dans la console (page « Données et résiliation »), un export complet de l'organisation (archive ZIP) : modèles et leurs versions, règles d'attribution, champs personnalisés et valeurs saisies, données de l'entreprise, images, membres de la console et versions des textes acceptés. Les données synchronisées depuis Microsoft 365 n'y figurent pas, hormis l'adresse et le nom des utilisateurs ; le journal d'audit n'y figure pas.
3. À la résiliation (CGU, article 14), décidée par un propriétaire dans la console, les données du Client sont conservées 30 jours : l'export reste disponible pendant ce délai, et un propriétaire peut annuler la résiliation pendant 29 jours. Ce délai réalise le choix du Client entre la restitution et la suppression prévu par l'article 28, § 3, g) du RGPD.
4. À partir du 30e jour, toutes les données du Client sont supprimées : d'abord les images du stockage, puis toutes les données de la base, y compris la preuve de l'acceptation des textes. La suppression est irréversible : une image supprimée ne peut pas être restaurée.
5. Une donnée supprimée subsiste dans les sauvegardes jusqu'à leur expiration, soit 30 jours au plus (annexe 2) ; une sauvegarde de production n'est jamais restaurée dans un autre environnement, et après une restauration éventuelle les suppressions s'appliquent de nouveau d'elles-mêmes.
6. Restent hors de cette suppression et hors du contrôle de L-Consult :
   • les signatures et images déjà reçues par les destinataires des mails, et les copies faites par leurs navigateurs et leurs services de messagerie (proxys d'images, caches) ;
   • les fichiers exportés par le Client ;
   • les factures et les données de facturation conservées par Stripe (politique de confidentialité).

12. Documentation, preuve et audits

1. L-Consult met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord : annexes, description des mesures, réponses à un questionnaire de sécurité raisonnable.
2. Preuve de la suppression : sur demande du Client faite dans les 30 jours qui suivent la suppression, L-Consult délivre une attestation de suppression.
3. Audit : le Client adresse d'abord un questionnaire écrit à L-Consult, qui y répond. Si les réponses ne suffisent pas, le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu à la confidentialité, une fois par an au plus, avec un préavis de 30 jours, à ses frais et sans accès aux données d'autres clients. Un audit supplémentaire est possible après une violation de données ou à la demande d'une autorité de contrôle.

13. Responsabilité

La responsabilité de chaque partie suit l'article 82 du RGPD. Le plafond de responsabilité des CGU (article 12) s'applique au présent accord, dans la mesure où la loi le permet ; il n'y a pas de plafond distinct.

14. Durée

Le présent accord s'applique tant que L-Consult traite des données du Client, y compris pendant les 30 jours qui suivent la résiliation.

Annexe 1 · Description des traitements

1. Objet et finalité

Fournir le Service : calculer et insérer dans les nouveaux mails, les réponses et les transferts des Utilisateurs finaux une signature conforme aux modèles et aux règles du Client, à partir de son annuaire Microsoft 365 et des données saisies dans la console ; administrer ces modèles, règles, champs et images.

2. Nature des traitements

3. Catégories de personnes concernées

• Collaborateurs du Client présents dans son annuaire Microsoft 365 (Utilisateurs finaux), y compris les comptes désactivés ;
• Membres de la console (propriétaires, administrateurs, éditeurs) ;
• personnes dont les données figurent dans les modèles, les données de l'entreprise ou les images (par exemple une photo, un contact cité dans une mention).

4. Catégories de données

Aucune catégorie particulière de données (article 9 du RGPD) n'est demandée. Le Client s'abstient d'en saisir dans les champs, les modèles ou les images. Une photo n'est pas traitée par un dispositif d'identification biométrique.

Journaux techniques : identifiants techniques, codes et compteurs seulement, sans nom, adresse, adresse IP ni contenu. Le point d'entrée des serveurs (proxy), le relais des images https://cdn.inkmel.app et le site public https://inkmel.app ne tiennent aucun journal d'accès : ils n'enregistrent pas les adresses IP des visiteurs, des destinataires qui affichent les images, ni des appels du Service.

Limitation de débit : pour protéger le Service contre les abus, l'API compte les requêtes de chaque appelant sur une fenêtre fixe d'1 ou 10 minutes selon le type de requête. La clé du compteur est l'identifiant Microsoft de l'utilisateur ou de l'organisation, ou l'adresse IP de l'appelant pour les routes publiques et les échecs d'authentification. Ces compteurs sont conservés en mémoire de chaque instance de l'API, quelques minutes, et ne sont jamais écrits dans un journal, sur disque ni en base ; ils disparaissent au plus tard au redémarrage de l'instance.

5. Durée du traitement

La durée du contrat, plus 30 jours après la résiliation (article 11).

6. Durées de conservation

À la mise en service, la purge quotidienne peut fonctionner quelques jours en mode simulation (elle calcule ce qu'elle supprimerait sans rien supprimer), le temps de vérifier son résultat sur des données réelles ; elle passe en mode réel au plus tard 14 jours après l'ouverture des inscriptions. Aucune donnée n'atteint une durée de 30 jours avant cette date.

Annexe 2 · Mesures techniques et organisationnelles

Isolation entre organisations

• Chaque donnée est rattachée à une organisation ; chaque requête est filtrée par organisation, et la base de données refuse en plus tout accès d'une organisation à une autre (sécurité au niveau des lignes).
• L'organisation est toujours déduite du jeton Microsoft vérifié, jamais d'un paramètre fourni par l'appelant.
• Tests automatiques d'isolation sur toutes les tables et toutes les routes de l'API.

Authentification et droits

• Connexion des Membres et des Utilisateurs finaux par leur compte Microsoft 365 ; aucun mot de passe géré par Inkmel.
• Jetons vérifiés à chaque requête (signature, émetteur, audience, expiration, organisation inscrite).
• Rôles (propriétaire, administrateur, éditeur) contrôlés par l'API à chaque requête ; au moins un propriétaire par organisation ; chaque changement est tracé.
• Inscription réservée aux administrateurs d'annuaire de l'organisation.
• Accès du support : application Microsoft distincte propre à L-Consult, comptes individuels, authentification multifacteur contrôlée par l'API, autorisation préalable du Client, lecture seule imposée par la base de données, sessions de 30 minutes, traces dans le journal d'audit du Client (article 5.3).
• Accès à l'annuaire du Client en lecture seule, par un certificat propre à la production (pas de secret partagé), valable 2 ans ; sa clé privée n'existe que dans un secret du cluster de production, jamais dans le code.
• L'application d'accès à la base n'a pas de privilège d'administration et ne peut pas contourner la sécurité au niveau des lignes.

Minimisation

• Seuls les attributs de l'annuaire nécessaires aux signatures sont lus.
• Aucun contenu de mail n'est lu, sauf le mail qu'un Membre envoie lui-même à son adresse d'import, dont seuls la partie HTML et les images sont gardées, le temps de l'import.
• Journaux techniques sans donnée personnelle.
• Aucune donnée de l'annuaire n'est transmise au prestataire de paiement.

Hébergement et sécurité physique

• Serveurs : le Service tourne sur un cluster exploité par L-Consult, installé dans un rack loué par L-Consult au centre de données de Wallonie Data Center, Rue de la Métallurgie 17, 4530 Villers-le-Bouillet (Belgique ; contrat de location référencé S00151). La production est séparée de l'environnement de test : espace distinct dans le cluster, filtrage réseau entre les deux, secrets, base, stockage d'images et application Microsoft propres à la production. L-Consult administre seul les serveurs ; le centre de données fournit le local, l'énergie, la climatisation, la connectivité et la sécurité physique.
• Selon les informations publiées sur son site, Wallonie Data Center est « certifié TIER III, ISO 9001 & ISO 27001 ».
• Base de données : base PostgreSQL propre à la production, installée dans le même cluster, dans l'espace de la production, et administrée par L-Consult : même hébergement que l'application (rack de L-Consult chez Wallonie Data Center, Belgique). Ses fichiers sont enregistrés sur le stockage en réseau du cluster (NFS), dont le serveur appartient à L-Consult et se trouve dans son rack chez Wallonie Data Center ; aucun autre prestataire n'y intervient. La base n'est joignable depuis aucune adresse extérieure au cluster ; seuls l'application, la mise à jour de la base et la sauvegarde de la production y accèdent.
• Images : stockées chez Scaleway (Object Storage, région Paris, France), dans un espace de stockage propre à la production, et diffusées aux destinataires des mails par https://cdn.inkmel.app, un relais installé dans le cluster de L-Consult qui les lit dans cet espace de stockage. Un éventuel changement de prestataire pour cette diffusion suivra l'article 7.
• Réception des mails d'import : passerelle de messagerie de L-Consult, installée sur le matériel de L-Consult dans son rack chez Wallonie Data Center, puis récepteur dans le cluster d'Inkmel, qui n'accepte que les mails transmis par cette passerelle ; aucun autre prestataire n'y intervient.

Chiffrement

• Échanges chiffrés en HTTPS (TLS) ; images servies en HTTPS uniquement.
• Le stockage du cluster qui contient la base de données et les copies de sauvegarde gardées dans le cluster est chiffré au repos.
• Copies de sauvegarde envoyées hors du cluster chiffrées avant leur envoi ; la clé de chiffrement est gardée par L-Consult, hors ligne, et n'est jamais transmise à Scaleway.

Disponibilité et résilience

• Limitation de débit contre les abus.
• Le complément ne bloque jamais la rédaction en cas de panne : le mail part sans la signature d'Inkmel.
• Deux instances de l'API.
• Sauvegardes : copie complète de la base deux fois par jour (perte de données de 12 heures au plus en cas de sinistre) ; copies gardées 7 jours dans le cluster et, après chiffrement, envoyées dans un espace de stockage privé chez Scaleway (région Paris), séparé de celui des images, où elles sont supprimées automatiquement après 30 jours.
• Restauration testée à partir d'une copie hors du cluster avant l'ouverture des inscriptions, puis chaque mois ; procédure écrite de restauration.
• Objectifs de reprise, sans engagement : en cas de perte ou de corruption de la base de données ou de son stockage, remise en service visée en 4 heures. En cas de perte du cluster entier, aucun délai n'est garanti (l'hébergement doit être reconstruit) ; les données restent restaurables depuis la copie hors du cluster, avec la même perte de 12 heures au plus.
• Supervision : sondes externes toutes les 5 minutes sur les adresses publiques du Service, alerte de L-Consult par e-mail et sur mobile ; alerte si une sauvegarde manque ; lecture quotidienne des journaux techniques. Une supervision plus complète est prévue.

Développement et exploitation

• Toute modification du code passe par une revue et une intégration continue (tests, analyse statique, recherche de secrets, audit des dépendances).
• Dépendances surveillées et mises à jour (Dependabot).
• Secrets jamais dans le dépôt de code ; chaque mise en production est faite à la main, avec la même version déjà vérifiée en environnement de test, et confirmée par le gérant de L-Consult.
• Aucune copie des données de production vers l'environnement de test.

Organisation

• Accès des personnes de L-Consult limité au besoin ; accès du support seulement avec l'autorisation du Client ; accès technique exceptionnel à la base consigné (article 5).
• Purge automatique quotidienne des données expirées (annexe 1, section 6).
• Violations de données : notification et documentation selon l'article 10.

Annexe 3 · Sous-traitants ultérieurs

Voir la liste des sous-traitants ultérieurs, publiée à https://inkmel.app/legal/sous-traitants, qui fait partie du présent accord. En résumé :

La réception des mails d'import ne fait appel à aucun sous-traitant ultérieur : elle se fait dans l'infrastructure de L-Consult (annexe 2).

Stripe (paiement) n'est pas un sous-traitant ultérieur pour les Données du Client : il ne reçoit aucune donnée de l'annuaire ni des signatures. Il traite les données de facturation de la relation entre L-Consult et le Client (politique de confidentialité, et la liste des sous-traitants pour la transparence).