Accord de traitement des données (DPA) d'Inkmel (version bêta)

Version 0.9 du 24 octobre 2026 · entrée en vigueur le 24 octobre 2026

Version archivée, remplacée le 26 octobre 2026 par la version 1.0. Lire la version en vigueur.

Entre le Client (l'organisation inscrite à Inkmel), responsable de traitement,
et L-Consult srl (« L-Consult »), siège social Rue Sauvenière 12, 4530 Warnant-Dreye (Belgique), numéro d'entreprise 0612.967.942, RPM Liège, division Huy, éditeur d'Inkmel, sous-traitant. Contact pour la protection des données : privacy@lconsult.be.

1. Objet, conclusion et définitions

Le présent accord fixe les conditions dans lesquelles L-Consult traite des données personnelles pour le compte du Client lorsqu'il fournit Inkmel (le « Service »). Il fait partie du contrat formé par les CGU et, après la Bêta, par les CGV d'un forfait payant. En cas de contradiction sur la protection des données, il prévaut.

Conclusion : l'accord est conclu par voie électronique. Avant l'inscription de son organisation, l'administrateur qui l'inscrit au nom du Client coche une case qui accepte la présente version ; aucune organisation n'est créée, et donc aucune donnée de l'annuaire n'est lue, sans cette acceptation. L-Consult enregistre la version acceptée, la date et l'heure, les identifiants Microsoft de la personne qui accepte et de son organisation et son rôle d'administrateur (CGU, article 4.4).

Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données personnelles » ont le sens de l'article 4 du RGPD. « Sous-traitant ultérieur » désigne un prestataire auquel L-Consult confie une partie du traitement. « Bêta » et les autres termes ont le sens des CGU.

Annexes :

• Annexe 1 : description des traitements ;
• Annexe 2 : mesures techniques et organisationnelles de sécurité ;
• Annexe 3 : sous-traitants ultérieurs (liste des sous-traitants ultérieurs).

2. Rôles des parties

• Le Client est responsable de traitement des données de son annuaire, de ses Membres, de ses champs personnalisés, de ses modèles et de ses images. Il garantit disposer d'une base légale pour ces traitements et avoir informé ses collaborateurs, en particulier pour les photos et pour le déploiement du complément.
• L-Consult est sous-traitant pour ces données. Il ne les traite que pour fournir le Service.
• L-Consult est responsable de traitement distinct pour les données de sa relation avec le Client (comptes de la console pour l'accès, preuve de l'acceptation des textes, support, sécurité du Service) : voir la politique de confidentialité. Ces traitements ne relèvent pas du présent accord.
• Données à double usage : les données des Membres de la console servent à la fois au Client (gestion de ses Membres et de leurs rôles) et à L-Consult (connexion et sécurité de l'accès) ; elles figurent donc dans l'annexe 1 et dans la politique de confidentialité. Il en va de même du journal d'audit, tenu pour le Client (annexe 1) et utile à la sécurité du Service. Une version ultérieure du présent accord pourra préciser cette répartition.

3. Description des traitements

L'objet, la durée, la nature, la finalité, les catégories de données et de personnes concernées figurent à l'annexe 1.

4. Instructions du Client

1. L-Consult traite les données uniquement sur instruction documentée du Client. Les instructions sont : le présent accord, les CGU, les réglages et actions du Client dans la console (synchronisation, modèles, règles, champs, suppressions) et les demandes écrites d'un propriétaire de l'organisation au support (par exemple une demande de résiliation).
2. L-Consult informe le Client sans délai s'il estime qu'une instruction enfreint le RGPD.
3. Si le droit de l'Union ou d'un État membre impose à L-Consult un traitement, il en informe le Client avant de le faire, sauf interdiction légale.
4. L-Consult n'utilise pas les données du Client à d'autres fins : ni publicité, ni profilage, ni vente, ni entraînement de modèles d'intelligence artificielle.

5. Personnel et accès de L-Consult

1. Seules les personnes de L-Consult qui en ont besoin pour l'exploitation, la sécurité ou le support accèdent aux données. Elles sont tenues à la confidentialité.
2. L-Consult n'accède aux données d'une organisation que pour répondre à une demande du Client, corriger un incident ou assurer la sécurité du Service.
3. Support pendant la Bêta : L-Consult n'a pas d'accès à la console du Client et ne consulte pas ses données dans la base de données pour le support. Le support se fait :
   • par e-mail ;
   • par un partage d'écran lancé par un Membre du Client (par exemple dans Microsoft Teams), à son initiative : le Membre garde la main et choisit ce qu'il montre ; L-Consult n'enregistre jamais la session et n'en fait aucune capture ;
   • par la lecture des journaux techniques du Service, qui ne contiennent pas de donnée personnelle (annexe 1, section 4).
4. Accès exceptionnel à la base de données : L-Consult n'accède directement aux données d'une organisation dans la base qu'en cas d'incident qui l'exige (panne, corruption, sécurité) ou pour exécuter une instruction écrite du Client (par exemple enregistrer sa résiliation). Chaque accès est consigné dans un registre interne (qui, quand, pourquoi, quelle opération) et signalé au Client par e-mail, sauf pour l'exécution de sa propre instruction. Ce registre est conservé 3 ans.
5. Après la Bêta : un accès du support en lecture seule, soumis à l'autorisation préalable du Client dans la console et tracé dans son journal d'audit, remplacera le partage d'écran (fonction prévue, pas encore disponible). Il sera décrit dans une nouvelle version du présent accord, soumise à l'acceptation du Client.

6. Sécurité

L-Consult met en œuvre les mesures de l'annexe 2, adaptées au risque (article 32 du RGPD). Il peut les faire évoluer sans réduire le niveau de protection.

7. Sous-traitants ultérieurs

1. Le Client donne une autorisation générale à L-Consult de recourir à des sous-traitants ultérieurs. La liste à jour figure à l'annexe 3.
2. L-Consult informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance, par un e-mail aux propriétaires de l'organisation dans la console et par la mise à jour de la page https://inkmel.app/legal/sous-traitants.
3. Le Client peut s'y opposer, pour un motif raisonnable lié à la protection des données, avant la date annoncée. Les parties cherchent une solution. À défaut, le Client peut résilier sans frais ; après la Bêta, la part non utilisée de la période payée d'avance lui est remboursée au prorata (CGV).
4. L-Consult impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection au moins équivalentes à celles du présent accord. Il reste responsable envers le Client de leur exécution.

8. Localisation et transferts

1. Les données du Client sont hébergées, sauvegardées et traitées dans l'Union européenne : en Belgique (serveurs et base de données) et en France (images et copies de sauvegarde chiffrées), selon l'annexe 2.
2. L-Consult ne transfère pas de données du Client hors de l'Espace économique européen, sauf si l'annexe 3 l'indique pour un sous-traitant ultérieur, avec la garantie applicable (décision d'adéquation, dont le cadre UE–États-Unis de protection des données, ou clauses contractuelles types de la décision d'exécution (UE) 2021/914).

9. Assistance au Client

1. Droits des personnes : le Service permet au Client de répondre lui-même à la plupart des demandes :
   • accès et rectification : fiche de l'utilisateur dans la console (valeurs synchronisées, valeurs locales, champs personnalisés) ; export CSV des valeurs saisies dans la console ;
   • effacement : suppression des valeurs et des photos dans la console ; un utilisateur supprimé de l'annuaire Entra ID est supprimé d'Inkmel 30 jours plus tard ;
   • opposition et limitation : remplacer ou vider localement les valeurs concernées, ou désactiver le compte dans l'annuaire Microsoft 365 du Client (un compte désactivé ne reçoit plus de signature) ; Inkmel ne propose pas d'exclusion individuelle d'un utilisateur actif de la synchronisation.
     L-Consult aide le Client pour le reste, sur demande au support. Il transmet au Client, sans y répondre lui-même, toute demande qu'il reçoit directement d'une personne concernée.
2. Analyse d'impact et consultation préalable : L-Consult fournit les informations utiles en sa possession (annexes 1 à 3).

10. Violation de données personnelles

1. L-Consult notifie au Client toute violation de données personnelles du Client dans les meilleurs délais après en avoir pris connaissance, et au plus tard 48 heures après.
2. La notification contient, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, et un contact. Les informations manquantes sont fournies dès qu'elles sont connues.
3. La notification est envoyée par e-mail aux propriétaires de l'organisation dans la console et, s'il en a désigné un, au contact que le Client a indiqué au support pour les questions de sécurité.
4. Le Client reste seul juge de la notification à l'autorité de contrôle et aux personnes concernées (articles 33 et 34 du RGPD).
5. L-Consult documente chaque violation (faits, effets, mesures prises), y compris celles qui ne sont pas notifiées (article 33, § 5).

11. Sort des données à la fin du Service

1. Pendant le contrat, les durées de conservation de l'annexe 1 (section 6) s'appliquent.
2. À la résiliation, les données du Client sont conservées 30 jours. C'est le choix du Client entre la restitution et la suppression prévu par l'article 28, § 3, g) du RGPD. Pendant la Bêta, la résiliation se demande par e-mail au support (CGU, article 18.10) ; l'export complet de l'organisation et sa réactivation ne sont pas encore disponibles : avant sa demande, le Client peut copier ses modèles et exporter en CSV les valeurs saisies dans la console.
3. À l'expiration des 30 jours, toutes les données du Client sont supprimées : d'abord les images du stockage, puis toutes les données de la base, y compris la preuve de l'acceptation des textes. La suppression est irréversible : une image supprimée ne peut pas être restaurée.
4. Une donnée supprimée subsiste dans les sauvegardes jusqu'à leur expiration, soit 30 jours au plus (annexe 2) ; une sauvegarde de production n'est jamais restaurée dans un autre environnement, et après une restauration éventuelle les suppressions s'appliquent de nouveau d'elles-mêmes.
5. Restent hors de cette suppression et hors du contrôle de L-Consult :
   • les signatures et images déjà reçues par les destinataires des mails, et les copies faites par leurs navigateurs et leurs services de messagerie (proxys d'images, caches) ;
   • les fichiers exportés par le Client.

12. Documentation, preuve et audits

1. L-Consult met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord : annexes, description des mesures, réponses à un questionnaire de sécurité raisonnable.
2. Preuve de la suppression : sur demande du Client faite dans les 30 jours qui suivent la suppression, L-Consult délivre une attestation de suppression.
3. Audit : le Client adresse d'abord un questionnaire écrit à L-Consult, qui y répond. Si les réponses ne suffisent pas, le Client peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu à la confidentialité, une fois par an au plus, avec un préavis de 30 jours, à ses frais et sans accès aux données d'autres clients. Un audit supplémentaire est possible après une violation de données ou à la demande d'une autorité de contrôle.

13. Responsabilité

La responsabilité de chaque partie suit l'article 82 du RGPD. Le plafond de responsabilité des CGU (article 12) s'applique au présent accord, dans la mesure où la loi le permet ; il n'y a pas de plafond distinct.

14. Durée

Le présent accord s'applique tant que L-Consult traite des données du Client, y compris pendant les 30 jours qui suivent la résiliation.

Annexe 1 · Description des traitements

1. Objet et finalité

Fournir le Service : calculer et insérer dans les mails et rendez-vous des Utilisateurs finaux une signature conforme aux modèles et aux règles du Client, à partir de son annuaire Microsoft 365 et des données saisies dans la console ; administrer ces modèles, règles, champs et images.

2. Nature des traitements

L'import d'une signature par e-mail n'est pas en service pendant la Bêta : aucun mail n'est reçu ni traité. Il sera ajouté au présent accord, avec son prestataire de réception des mails, avant sa mise en service.

3. Catégories de personnes concernées

• Collaborateurs du Client présents dans son annuaire Microsoft 365 (Utilisateurs finaux), y compris les comptes désactivés ;
• Membres de la console (propriétaires, administrateurs, éditeurs) ;
• personnes dont les données figurent dans les modèles, les données de l'entreprise ou les images (par exemple une photo, un contact cité dans une mention).

4. Catégories de données

Aucune catégorie particulière de données (article 9 du RGPD) n'est demandée. Le Client s'abstient d'en saisir dans les champs, les modèles ou les images. Une photo n'est pas traitée par un dispositif d'identification biométrique.

Journaux techniques : identifiants techniques, codes et compteurs seulement, sans nom, adresse, adresse IP ni contenu. Le point d'entrée des serveurs (proxy) et le site public https://inkmel.app ne tiennent aucun journal d'accès : ils n'enregistrent pas les adresses IP des visiteurs ni des appels du Service.

Limitation de débit : pour protéger le Service contre les abus, l'API compte les requêtes de chaque appelant sur une fenêtre fixe d'1 ou 10 minutes selon le type de requête. La clé du compteur est l'identifiant Microsoft de l'utilisateur ou de l'organisation, ou l'adresse IP de l'appelant pour les routes publiques et les échecs d'authentification. Ces compteurs sont conservés en mémoire de chaque instance de l'API, quelques minutes, et ne sont jamais écrits dans un journal, sur disque ni en base ; ils disparaissent au plus tard au redémarrage de l'instance.

5. Durée du traitement

La durée du contrat, plus 30 jours après la résiliation (article 11).

6. Durées de conservation

Pendant les premiers jours de la Bêta, la purge quotidienne fonctionne en mode simulation (elle calcule ce qu'elle supprimerait sans rien supprimer), le temps de vérifier son résultat sur des données réelles ; elle passe en mode réel au plus tard le 2026-11-07. Aucune donnée n'atteint une durée de 30 jours avant cette date.

Annexe 2 · Mesures techniques et organisationnelles

Mesures en service à l'ouverture de la Bêta, sauf mention contraire.

Isolation entre organisations

• Chaque donnée est rattachée à une organisation ; chaque requête est filtrée par organisation, et la base de données refuse en plus tout accès d'une organisation à une autre (sécurité au niveau des lignes).
• L'organisation est toujours déduite du jeton Microsoft vérifié, jamais d'un paramètre fourni par l'appelant.
• Tests automatiques d'isolation sur toutes les tables et toutes les routes de l'API.

Authentification et droits

• Connexion des Membres et des Utilisateurs finaux par leur compte Microsoft 365 ; aucun mot de passe géré par Inkmel.
• Jetons vérifiés à chaque requête (signature, émetteur, audience, expiration, organisation inscrite).
• Rôles (propriétaire, administrateur, éditeur) contrôlés par l'API à chaque requête ; au moins un propriétaire par organisation ; chaque changement est tracé.
• Inscription réservée aux administrateurs d'annuaire de l'organisation et, pendant la Bêta, aux seules organisations invitées.
• Accès à l'annuaire du Client en lecture seule, par un certificat propre à la production (pas de secret partagé), valable 2 ans ; sa clé privée n'existe que dans un secret du cluster de production, jamais dans le code.
• L'application d'accès à la base n'a pas de privilège d'administration et ne peut pas contourner la sécurité au niveau des lignes.

Minimisation

• Seuls les attributs de l'annuaire nécessaires aux signatures sont lus.
• Aucun contenu de mail n'est lu.
• Journaux techniques sans donnée personnelle.

Hébergement et sécurité physique

• Serveurs : le Service tourne sur un cluster exploité par L-Consult, installé dans un rack loué par L-Consult au centre de données de Wallonie Data Center, Rue de la Métallurgie 17, 4530 Villers-le-Bouillet (Belgique ; contrat de location référencé S00151). La production est séparée de l'environnement de test : espace distinct dans le cluster, filtrage réseau entre les deux, secrets, base, stockage d'images et application Microsoft propres à la production. L-Consult administre seul les serveurs ; le centre de données fournit le local, l'énergie, la climatisation, la connectivité et la sécurité physique.
• Selon les informations publiées sur son site, Wallonie Data Center est « certifié TIER III, ISO 9001 & ISO 27001 ».
• Base de données : base PostgreSQL propre à la production, installée dans le même cluster, dans l'espace de la production, et administrée par L-Consult : même hébergement que l'application (rack de L-Consult chez Wallonie Data Center, Belgique). Ses fichiers sont enregistrés sur le stockage en réseau du cluster (NFS), dont le serveur appartient à L-Consult et se trouve dans son rack chez Wallonie Data Center ; aucun autre prestataire n'y intervient. La base n'est joignable depuis aucune adresse extérieure au cluster ; seuls l'application, la mise à jour de la base et la sauvegarde de la production y accèdent.
• Images : stockées chez Scaleway (Object Storage, région Paris, France), dans un espace de stockage propre à la production, et diffusées aux destinataires des mails par https://cdn.inkmel.app, un relais installé dans le cluster de L-Consult qui les lit dans cet espace de stockage. Un éventuel changement de prestataire pour cette diffusion suivra l'article 7.

Chiffrement

• Échanges chiffrés en HTTPS (TLS) ; images servies en HTTPS uniquement.
• Le stockage du cluster qui contient la base de données et les copies de sauvegarde gardées dans le cluster est chiffré au repos.
• Copies de sauvegarde envoyées hors du cluster chiffrées avant leur envoi ; la clé de chiffrement est gardée par L-Consult, hors ligne, et n'est jamais transmise à Scaleway.

Disponibilité et résilience

• Limitation de débit contre les abus.
• Le complément ne bloque jamais la rédaction en cas de panne : le mail part sans la signature d'Inkmel.
• Deux instances de l'API.
• Sauvegardes : copie complète de la base deux fois par jour (perte de données de 12 heures au plus en cas de sinistre) ; copies gardées 7 jours dans le cluster et, après chiffrement, envoyées dans un espace de stockage privé chez Scaleway (région Paris), séparé de celui des images, où elles sont supprimées automatiquement après 30 jours.
• Restauration testée à partir d'une copie hors du cluster avant l'arrivée de toute donnée de client, puis chaque mois pendant la Bêta ; procédure écrite de restauration.
• Objectifs de reprise, sans engagement : en cas de perte ou de corruption de la base de données ou de son stockage, remise en service visée en 4 heures. En cas de perte du cluster entier pendant la Bêta, aucun délai n'est garanti (l'hébergement doit être reconstruit) ; les données restent restaurables depuis la copie hors du cluster, avec la même perte de 12 heures au plus.
• Supervision : sondes externes toutes les 5 minutes sur les adresses publiques du Service, alerte de L-Consult par e-mail et sur mobile ; alerte si une sauvegarde manque ; lecture quotidienne des journaux techniques. Une supervision plus complète est prévue.

Développement et exploitation

• Toute modification du code passe par une revue et une intégration continue (tests, analyse statique, recherche de secrets, audit des dépendances).
• Dépendances surveillées et mises à jour (Dependabot).
• Secrets jamais dans le dépôt de code ; chaque mise en production est faite à la main, avec la même version déjà vérifiée en environnement de test, et confirmée par le gérant de L-Consult.
• Aucune copie des données de production vers l'environnement de test.

Organisation

• Accès des personnes de L-Consult limité au besoin ; pendant la Bêta, support par e-mail et partage d'écran à l'initiative du Client, accès exceptionnel à la base consigné et signalé (article 5).
• Purge automatique quotidienne des données expirées (annexe 1, section 6).
• Violations de données : notification et documentation selon l'article 10.

Annexe 3 · Sous-traitants ultérieurs

Voir la liste des sous-traitants ultérieurs, publiée à https://inkmel.app/legal/sous-traitants, qui fait partie du présent accord.