Le DPA encadre la sous-traitance des données personnelles entre Grapify et votre entreprise, conformément à l'article 28 du RGPD. Il définit notre rôle de sous-traitant, le vôtre de responsable de traitement, les durées, les sous-traitants ultérieurs et les mesures de sécurité.
1. Rôles
Le Client agit en tant que responsable de traitement. Grapify agit en tant que sous-traitant au sens de l'article 4(8) du RGPD, traitant les données personnelles uniquement sur instruction documentée du Client.
2. Objet et durée
Le traitement a pour objet la fourniture du service ERP Grapify. Il dure aussi longtemps que le contrat d'abonnement est actif, prolongé des durées de rétention décrites au point 5.
3. Catégories de données et de personnes
Données traitées : identifiants utilisateurs, contacts professionnels (clients du Client, fournisseurs), données commerciales (commandes, factures), données opérationnelles (stocks, recettes, lots), métadonnées techniques. Aucune catégorie particulière au sens de l'article 9 n'est traitée par défaut.
4. Sous-traitants ultérieurs
Le Client autorise Grapify à recourir aux sous-traitants ultérieurs listés sur /trust/subprocessors. Toute évolution matérielle est notifiée au moins 30 jours à l'avance. Le Client peut s'opposer pour motif légitime ; à défaut d'accord, le contrat peut être résilié sans pénalité.
5. Durée de conservation & réversibilité
Données conservées pendant la durée du contrat. À la résiliation, l'accès à la plateforme reste actif 30 jours pour permettre l'export complet (CSV, Excel, PDF, API selon le pack). Au terme de cette période, les données sont supprimées des systèmes de production sous 30 jours supplémentaires (rotation des sauvegardes). Le Client peut demander la suppression anticipée par écrit.
6. Mesures techniques et organisationnelles
Détaillées en annexe et sur la page Sécurité : hébergement UE, chiffrement TLS 1.3 / AES-256, Row Level Security PostgreSQL, MFA, sauvegardes PITR 7 jours + daily 30 jours, journalisation, contrôle d'accès basé sur les rôles.
7. Notification d'incident
Grapify notifie le Client dans un délai maximal de 48 heures après avoir pris connaissance d'une violation de données personnelles le concernant, conformément à l'article 33(2) du RGPD.
8. Droit applicable
Le présent DPA est régi par le droit belge. Les tribunaux de Bruxelles sont compétents en dernier ressort.
