Data Processing Agreement (DPA) — voc.nc v1

Accord de sous-traitance — article 28 RGPD · Version 1.3 · En vigueur au 15 octobre 2026.
Version archivée (PDF) · Versions antérieures

Parties à l'accord

Accord conclu entre :

• Responsable du traitement : l'Organisation (personne morale ou entrepreneur individuel au nom duquel un compte voc.nc a été créé, article 15 des CGU).
• Sous-traitant : RESILIENCE, SARL, RCS 1 494 970, Nouméa, Nouvelle-Calédonie.

Le présent DPA est conclu conformément à l'article 28 du Règlement Général sur la Protection des Données (UE) 2016/679 (« RGPD »). Il est annexé au contrat principal de service voc.nc et en fait partie intégrante.

1. Objet

Le présent DPA encadre le traitement par le Sous-traitant des données à caractère personnel collectées sur voc.nc dans le cadre des enquêtes du Responsable du traitement, conformément à l'article 28 du RGPD.

Le présent DPA est accepté par le Responsable du traitement lors de la création de son compte (CGU, article 15) ; ses évolutions suivent l'article 13 des CGU. Il constitue l'acte écrit visé à l'article 28 §9 du RGPD (forme électronique).

2. Nature et finalité du traitement

• Nature du traitement :
  • générer des liens de réponse à usage unique pour la réalisation d'enquêtes, depuis l'interface ou par l'API (CGU, article 2.1) ;
  • collecter les réponses des destinataires via le formulaire web public /r/:token ;
  • agréger les réponses, y compris sous forme d'indicateurs, et les restituer au Responsable du traitement, une à une et agrégées, depuis l'interface ou par l'API, et sous forme agrégée seulement aux personnes à qui il partage un rapport.
• Finalité : permettre au Responsable du traitement de recueillir et de mesurer l'avis des personnes sondées, par des enquêtes ciblées, ponctuelles ou récurrentes.
• Durée du traitement : durée du contrat principal, puis le délai de suppression des données prévu à l'article 9, qui fixe aussi la conservation des réponses.

3. Catégories de données à caractère personnel

• Référence du destinataire — transmise par le Responsable du traitement, restituée immédiatement dans un fichier récapitulatif téléchargeable (24 h), jamais conservée en base par voc.nc.
• Jeton du lien de réponse — jeton opaque à usage unique, sans lien mathématique avec la référence.
• Réponses aux enquêtes : valeurs choisies sur l'échelle de la question, réponses oui/non, choix parmi les options proposées, textes libres saisis par le destinataire.
• Mentions des personnes désignées : ce que le contenu d'un formulaire ou d'une réponse dit d'une personne qu'il désigne (article 4).
• Horodatages techniques : émission, réponse et expiration du lien de réponse, rattachés au jeton et non à une personne identifiée côté voc.nc.
• Formulaire anonyme — mêmes catégories, la réponse étant enregistrée sans lien avec le jeton et datée de la date de fin du formulaire (mesure décrite à l'article 5).
• Empreinte du numéro (option non ouverte à ce jour) : pour un lien envoyé par SMS, une empreinte du numéro, calculée avec une clé propre au Responsable du traitement, évite d'envoyer deux liens au même numéro la même semaine et sert aux désinscriptions. Le numéro n'est jamais enregistré en base : il ne transite, chiffré, que par un cache. L'empreinte est supprimée 24 mois après sa création, trois ans après une désinscription, et avec les données du Responsable du traitement.

4. Catégories de personnes concernées

• Personnes sondées : les personnes à qui le Responsable du traitement destine un lien de réponse et celles qui répondent par ce lien, quelle que soit leur relation avec lui (client, usager, membre de son personnel ou autre), identifiées le cas échéant par une référence que le Responsable du traitement fournit (import CSV ou API) et que voc.nc ne conserve pas.

  voc.nc n'enregistre en base aucune des coordonnées que le Responsable du traitement lui transmet pour diffuser les liens ; pour un envoi par SMS, il n'y garde qu'une empreinte du numéro (article 3).

• Personnes désignées : les personnes que désigne, directement ou non, le contenu d'un formulaire ou d'une réponse, qu'elles appartiennent ou non au personnel du Responsable du traitement (une note peut porter sur une personne qu'un formulaire désigne, un texte libre peut nommer quiconque).

5. Obligations du Sous-traitant

Le Sous-traitant s'engage à :

• Traiter les données uniquement sur instructions documentées du Responsable du traitement (article 28.3.a RGPD), y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou une organisation internationale, sauf obligation légale contraire ; dans ce cas, le Sous-traitant informe le Responsable du traitement de cette obligation avant le traitement, sauf si la loi l'interdit pour des motifs importants d'intérêt public.

  Les instructions sont matérialisées par le paramétrage des campagnes et des formulaires dans l'interface voc.nc, par les appels à l'API effectués avec les clés d'API du Responsable du traitement (CGU, article 2.1), et par les autorisations données à l'article 6 et aux alinéas « Contenus illicites » et « Examen d'un contenu signalé » du présent article.

• Garantir la confidentialité des personnes habilitées par le Sous-traitant à traiter les données, soumises à un engagement de confidentialité écrit (salariés, prestataires).
• Mettre en œuvre les mesures techniques et organisationnelles appropriées (art. 32 RGPD) :
  • chiffrement au repos,
  • chiffrement en transit,
  • cloisonnement des données entre les Responsables du traitement — chaque enregistrement est rattaché à son Responsable du traitement —,
  • authentification à deux facteurs (TOTP) — disponible sur tous les comptes, obligatoire pour les administrateurs avant tout geste qui engage des données (publier un formulaire, créer une clé d'API) et dès la connexion quand le Responsable du traitement détient des données (un formulaire publié ou archivé, une clé d'API ou plus d'un utilisateur) ; une fois activée, elle est demandée à chaque connexion — sauf, pendant 30 jours au plus, sur un navigateur que l'utilisateur a déclaré de confiance, le mot de passe restant exigé, l'appareil étant enregistré avec le système et le navigateur qui le désignent (politique de confidentialité, fiche T-01) — comme à la réinitialisation du mot de passe (appareil perdu : un code à usage unique envoyé par e-mail la remplace à la connexion et la réinitialise ; jusqu'à sa reconfiguration, chaque connexion exige un tel code et la réinitialisation du mot de passe est refusée) —,
  • accès par l'API authentifié par une clé propre au Responsable du traitement — à portée de lecture ou de lecture et écriture, conservée sous forme d'empreinte, révocable à tout moment avec effet immédiat, soumise à des limites de débit et de volume et à un plafond de taille des requêtes —,
  • sauvegarde de la base de données avant chaque déploiement en production (les dix dernières sauvegardes sont conservées),
  • suppression de l'ensemble des données du Responsable du traitement sur demande et à la fin du contrat principal (article 9),
  • zéro cookie tiers sur les formulaires publics — la seule mesure d'audience est assurée par un outil de mesure d'audience cookieless, hébergé et exploité par le Sous-traitant sur sa propre infrastructure, en France ; elle ne conserve pas l'adresse IP mais repose sur un identifiant de visiteur pseudonymisé (haché, sel renouvelé chaque jour), et n'est donc pas anonyme ; les identifiants figurant dans les adresses des pages (liens de réponse, rapports partagés) sont masqués avant transmission à la mesure d'audience —,
  • filtrage des paramètres sensibles dans les journaux (clés d'API, références et libellés transmis par l'API compris) et dans la journalisation des erreurs — assurée par un outil open source de journalisation des erreurs hébergé et exploité par le Sous-traitant sur sa propre infrastructure, en France, sans recours à un tiers : adresse IP, cookies, corps de requête, paramètres de jobs et jetons figurant dans les URL en sont exclus par configuration, comme les chaînes de requête et les référents, et les événements sont conservés 90 jours.

  Le Sous-traitant ne transmet aucune donnée à un tiers, hors les sous-traitants ultérieurs listés à l'article 6, les personnes à qui le Responsable du traitement partage lui-même un rapport, et les destinataires que désignent la loi ou l'alinéa « Examen d'un contenu signalé ».

• Appliquer à tout formulaire déclaré anonyme par le Responsable du traitement les mesures suivantes, au titre de l'article 32 du RGPD, qu'il ne peut ni désactiver ni régler :
  • la réponse est enregistrée dissociée du jeton qui l'a portée ; elle porte la date de fin du formulaire, jamais le jour où elle a été donnée ; son contenu n'est pas modifié — un commentaire libre qui identifie son auteur reste tel quel ;
  • le Responsable du traitement sait si un lien a servi, jamais ce qui a été répondu ;
  • rien du formulaire n'est restitué avant sa date de fin, ni ensuite s'il a reçu moins de cinq réponses au total ; à partir de ce seuil, tout est restitué, réponses une à une comprises, dans un ordre qui ne suit pas celui des réponses (CGU, article 9.1) ;
  • sous le seuil, les réponses sont supprimées trois (3) mois après la date de fin, sauf pendant l'examen du formulaire (alinéa « Examen d'un contenu signalé »).
• Notifier toute violation de données personnelles au Responsable du traitement (DPO ou contact désigné) sans délai, et au plus tard sous 24 heures à compter du moment où le Sous-traitant en a lui-même connaissance (art. 33 §2 du RGPD).
• Permettre au Responsable du traitement d'exporter ou de supprimer ses données sur simple demande, dans les délais précisés à l'article 9.
• Assister le Responsable du traitement dans la réalisation de l'analyse d'impact relative à la protection des données (art. 35 RGPD) et dans la consultation préalable de l'autorité de contrôle (art. 36 RGPD), compte tenu de la nature du traitement et des informations à sa disposition (art. 28.3.f RGPD).

Les données des comptes utilisateurs sur lesquelles reposent les mesures d'authentification ci-dessus (identifiants, second facteur, appareils de confiance, codes à usage unique) sont traitées par RESILIENCE pour son propre compte, en qualité de responsable de traitement et non de Sous-traitant, dans les conditions de la fiche T-01 de la politique de confidentialité ; elles n'entrent pas dans l'objet du présent DPA (articles 3 et 4).

Le Sous-traitant informe immédiatement le Responsable du traitement si, selon lui, une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données (art. 28.3 in fine du RGPD).

Contenus illicites. Le Responsable du traitement autorise le Sous-traitant à retirer ou à restreindre, sans autre instruction, un contenu qui lui est signalé, que vise une injonction d'une autorité ou dont il constate lui-même le caractère illicite, dans les conditions de l'article 6.1 des CGU. Cette autorisation vaut instruction documentée. Le Sous-traitant l'en informe ensuite, sauf si la loi l'interdit.

Examen d'un contenu signalé. Le Responsable du traitement autorise de même le Sous-traitant à mettre en examen, dans les conditions de l'article 6.1 des CGU, un formulaire signalé, visé par une injonction ou dont le contenu pourrait être illicite. Pendant l'examen seulement, les suppressions automatiques de ce formulaire sont suspendues, et sa suppression, celle de ses campagnes qui ont émis des liens et celle des données du Responsable du traitement sont refusées. Cette autorisation vaut instruction documentée.

L'examen ne fait aucune copie. Le Sous-traitant tient la trace de l'examen (origine, dates, décision, consultations) pour son propre compte. Il en informe le Responsable du traitement à la levée, sauf si la loi ou l'autorité l'interdit.

Il ne remet les données du formulaire, telles qu'elles existent à ce moment-là, qu'aux autorités qui les requièrent ou que la loi lui impose d'informer, et garde une copie de ce qui est remis, à accès restreint, hors du service, jusqu'à la clôture de la procédure. Il ne les produit en justice que dans la mesure nécessaire à la défense de ses droits.

6. Sous-traitance ultérieure

Le Responsable du traitement autorise le Sous-traitant à faire appel aux sous-traitants ultérieurs listés ci-dessous. Toute nouvelle sous-traitance fait l'objet d'une information préalable du Responsable du traitement, par email, dans les conditions de l'article 14 des CGU, qui dispose d'un droit d'opposition motivé dans un délai de 30 jours.

Les prestataires techniques de RESILIENCE n'ont pas accès aux données de production.

Le Sous-traitant impose à tout sous-traitant ultérieur les mêmes obligations de protection des données que celles du présent DPA et demeure pleinement responsable envers le Responsable du traitement de l'exécution de ces obligations (art. 28.4 du RGPD).

Transfert hors Union européenne. Le transfert vers les États-Unis qu'emporte l'hébergement email figurant au tableau ci-dessus repose sur une instruction documentée du Responsable du traitement au sens de l'article 5 : le Responsable du traitement autorise ce transfert par l'acceptation du présent DPA. Il peut demander à en être exempté pour ses données, par courrier à dpo@voc.nc ; le courriel n'est utilisé qu'en repli exceptionnel.

La liste à jour est également publiée dans le registre des traitements du Sous-traitant, disponible sur demande à dpo@voc.nc.

7. Droits des personnes concernées

Le Responsable du traitement informe les personnes concernées, personnes désignées comprises, dans les conditions des articles 13 et 14 du RGPD ; la page de réponse affiche la mention d'information qu'il retient.

Le Sous-traitant assiste le Responsable du traitement dans l'exercice des droits des personnes concernées (art. 12 à 22 RGPD) :

• Droit d'opposition (art. 21) — exercé auprès du Responsable du traitement, qui y donne suite (pour une personne sondée, en cessant de lui diffuser des liens de réponse). Le Sous-traitant l'assiste sur demande.
• Droit d'accès / rectification / portabilité (art. 15, 16, 20) — point de contact dpo@voc.nc : accusé de réception automatique pour une demande faite par le formulaire de la page « Exercer vos droits », dans la limite de trois par jour pour une même adresse, première réponse sous 72 heures ouvrées, réponse sous un mois (art. 12 RGPD).
• Droit à l'effacement (art. 17) — purge sur demande formelle écrite à dpo@voc.nc, exécutée sous 30 jours.
• Personne désignée — sur instruction écrite du Responsable du traitement à dpo@voc.nc, le Sous-traitant efface, sous 30 jours, la mention qui désigne une personne dans un formulaire ou une réponse, y compris sur un formulaire anonyme ou déjà distribué, par exception à l'article 5.

Limite structurelle. Le Sous-traitant ne conservant pas la référence qui relie un lien de réponse à une personne, une demande d'accès émanant directement d'une personne sondée, non relayée par le Responsable du traitement, ne peut aboutir techniquement. Elle est redirigée vers le Responsable du traitement, comme toute demande d'une personne désignée. Cette limite est explicitée dans la politique de confidentialité voc.nc.

Sur un formulaire anonyme, cette limite vaut aussi pour le Responsable du traitement : il sait si un lien a servi, mais aucune réponse ne peut être rattachée à un jeton, ni par lui, ni par le Sous-traitant, sauf éléments complémentaires fournis par la personne concernée (art. 11 §2 du RGPD).

8. Notification de violation de données

Toute violation de données personnelles détectée par le Sous-traitant est notifiée au DPO du Responsable du traitement sans délai, et au plus tard sous 24 heures (art. 33 §2 du RGPD), avec :

• la description de la violation (nature, date, vecteur) ;
• les catégories et le volume approximatif de données et de personnes concernées ;
• les conséquences probables pour les personnes concernées ;
• les mesures prises par le Sous-traitant et celles recommandées au Responsable du traitement ;
• le point de contact technique chez le Sous-traitant : dpo@voc.nc.

Le Sous-traitant maintient un registre interne des violations, y compris celles qui ne sont pas notifiables à la CNIL (accès restreint à l'équipe).

Ce délai de 24 heures court à compter du moment où le Sous-traitant a lui-même connaissance de la violation. Il constitue un plafond : la notification est faite sans délai dès que le Sous-traitant en a connaissance.

9. Retour ou destruction des données en fin de contrat

Le contrat principal prend fin dans les cas prévus à l'article 8 des CGU. À sa fin, quelle qu'en soit la cause, le Sous-traitant supprime l'ensemble des données du Responsable du traitement sous 30 jours ; pendant ce délai, le Responsable du traitement peut en demander l'export à dpo@voc.nc. Il peut aussi demander à tout moment la suppression de l'ensemble de ses données : elle met fin au contrat principal et est exécutée sous 30 jours.

Pendant l'examen d'un formulaire (article 5, alinéa « Examen d'un contenu signalé »), les données du Responsable du traitement ne sont pas supprimées.

Export. L'export se fait formulaire par formulaire, en CSV : il n'existe pas d'export global du compte. Tant que le contrat principal court, le Responsable du traitement l'obtient depuis l'interface, ou lit les résultats par l'API ; après sa fin, il le demande à dpo@voc.nc.

Chaque utilisateur peut supprimer son propre compte à tout moment depuis son espace ; son accès est supprimé immédiatement, et la suppression ne porte pas sur les données du Responsable du traitement. Quand le Responsable du traitement n'a plus d'utilisateur, ses clés d'API sont révoquées et il en est informé à son adresse email de contact.

Jusqu'à la fin du contrat principal, ses formulaires continuent alors de recevoir des réponses par les liens déjà émis et ses rapports partagés restent consultables jusqu'à leur date d'expiration, s'ils en ont une.

Conservation des réponses. Les réponses sont conservées jusqu'à la suppression de l'ensemble des données du Responsable du traitement. Un lien de réponse est valable trois (3) mois à compter de son émission, ou jusqu'à la date de fin du formulaire si elle est plus proche.

24 mois après l'échéance du lien qui les a portées, les réponses en sont dissociées — leur horodatage réduit au jour, leurs textes libres effacés — sans être supprimées, et les liens, qu'ils aient servi ou non, sont supprimés. Les journaux de diffusion sont supprimés 24 mois après leur création.

Par exception, les réponses d'un formulaire anonyme clos sous le seuil sont supprimées trois (3) mois après sa date de fin (article 5). Pendant l'examen d'un formulaire (article 5, alinéa « Examen d'un contenu signalé »), ni cette suppression, ni la dissociation des réponses, ni la suppression des liens à 24 mois n'ont lieu ; les journaux de diffusion sont supprimés à leur date.

Un formulaire qui n'a pas encore été distribué peut être supprimé ; une fois distribué, il ne peut plus qu'être archivé, ce qui ne supprime aucune réponse.

Le droit à l'effacement sur demande (article 7, traité sous 30 jours) et l'export sur demande ci-dessus restent ouverts : ce sont des obligations des articles 17 et 28 du RGPD, et non une durée de conservation.

La trace de l'acceptation des CGU et du présent DPA, et celle des notifications de leurs nouvelles versions, n'entrent pas dans l'objet du présent DPA : RESILIENCE les conserve pour son propre compte, en qualité de responsable de traitement, pendant la durée du contrat principal et cinq ans après sa fin, y compris après la suppression du compte qui les a produites et celle des données du Responsable du traitement (politique de confidentialité, fiche T-01).

Le journal des opérations des comptes n'entre pas non plus dans l'objet du présent DPA : RESILIENCE le tient pour son propre compte, en qualité de responsable de traitement (politique de confidentialité, fiche T-05). Aucune réponse ni aucune empreinte de numéro (article 3) ne survit à la suppression des données du Responsable du traitement, hors ce qui a été remis à une autorité (article 5, alinéa « Examen d'un contenu signalé »).

10. Audit

Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD. Il permet la réalisation d'audits, y compris des inspections, par le Responsable du traitement ou un auditeur qu'il mandate, tenu à la confidentialité, et y contribue (article 28.3.h du RGPD).

Les inspections ont lieu à intervalles raisonnables ou en présence d'indices d'un manquement, avec un préavis raisonnable adressé à dpo@voc.nc, sans accès aux données des autres Responsables du traitement ni aux clés et mots de passe du service.

Documentation. Le Sous-traitant communique sur demande, à dpo@voc.nc, la description de ses mesures de sécurité, la liste de ses sous-traitants ultérieurs et l'extrait de son registre des traitements qui concerne le Responsable du traitement.

Frais. Le temps que le Sous-traitant consacre à chaque audit ou demande d'informations, au-delà de cette documentation, est facturé au tarif horaire fixé à l'article 4 des CGU à la date de la demande, toute heure commencée sur le temps total de l'audit ou de la demande étant due. Le Sous-traitant en communique une estimation avant toute intervention facturée.

Ce temps n'est pas facturé si l'audit ou la demande révèle un manquement du Sous-traitant à ses obligations. Le paiement n'est une condition ni de la mise à disposition des informations ni de l'audit.

11. Durée et résiliation du DPA

Ce DPA prend effet à la date de souscription au contrat principal de service voc.nc et reste en vigueur pour toute la durée du contrat principal. Date de prise d'effet de la présente version : 15 octobre 2026.

Il s'éteint automatiquement à la fin du contrat principal, quelle qu'en soit la cause (CGU, article 8), majorée de 30 jours pour la suppression des données et, sur demande, leur export (article 9). Cette période ne proroge aucune durée de conservation. Si un formulaire est en examen (article 5, alinéa « Examen d'un contenu signalé »), le présent DPA dure jusqu'à la suppression des données qui suit la levée de l'examen.

La suppression d'un seul compte utilisateur, demandée depuis l'espace de cet utilisateur, n'éteint pas le présent DPA, même s'il s'agissait du dernier.

12. Droit applicable et juridiction

Le présent DPA est régi par le droit applicable en Nouvelle-Calédonie. En matière de protection des données personnelles s'appliquent le RGPD (UE) 2016/679 et la loi Informatique et Libertés du 6 janvier 1978 modifiée, rendus applicables en Nouvelle-Calédonie et en Polynésie française par les articles 125 et 126 de cette loi.

Juridiction compétente : tribunaux de Nouméa, dans les conditions de l'article 12 des CGU.

Le Responsable du traitement conserve le droit de saisir l'autorité de contrôle compétente — la Commission nationale de l'informatique et des libertés (CNIL), compétente pour la Nouvelle-Calédonie et la Polynésie française comme pour la France métropolitaine —, sans préjudice du droit des personnes concernées d'introduire une réclamation (art. 77 RGPD).