Version 1.0 Dernière mise à jour : 15 septembre 2026 Éditeur : Dexter Solutions (Marlon Pereira, entrepreneur individuel)
En bref. Cet accord fixe ce que l’Éditeur fait, et ne fait pas, des données personnelles que vous saisissez dans Dexter : il les traite sur vos instructions, les sécurise, vous aide à répondre aux personnes, vous prévient d’un incident au plus tard 48 heures après l’avoir constaté, et vous les rend ou les efface à la fin. C’est l’accord de sous-traitance exigé par l’article 28 du RGPD ; il fait partie du contrat.
Le présent accord de traitement des données (l’« Accord ») est conclu entre le Client, responsable de traitement, et Marlon Pereira, entrepreneur individuel exerçant sous le nom commercial Dexter Solutions (l’« Éditeur »), sous-traitant, dans le cadre de l’Abonnement aux logiciels Dexter régi par les conditions générales de vente. Il précise les obligations des parties au titre de l’article 28 du règlement (UE) 2016/679 (RGPD) pour les données personnelles contenues dans les Données Client. Il s’applique de plein droit à tout Abonnement, sans signature séparée ; un exemplaire signé peut être demandé à assistance@dexterdeck.com.
L’Éditeur ne traite les données que sur instruction documentée du Client. Les instructions sont constituées par les Documents contractuels, par l’usage que le Client et ses Utilisateurs font des fonctions du Service (saisir, exporter, envoyer un courriel, diffuser une annonce, brancher un service tiers), et par toute demande écrite ultérieure. L’Éditeur informe immédiatement le Client si une instruction constitue, selon lui, une violation du RGPD ou du droit français. Il ne transfère aucune donnée hors de l’Union européenne sans instruction documentée ; l’usage de l’assistant Dex et l’envoi de courriels par le prestataire par défaut valent instruction pour les transferts de l’article 7. Il ne traite les données pour son propre compte que pour la facturation, la sécurité et l’assistance, et pour établir des statistiques d’usage anonymisées.
L’Éditeur garantit que les personnes autorisées à traiter les données — lui-même et, le cas échéant, les personnes qu’il emploie ou mandate — sont soumises à une obligation de confidentialité et ne reçoivent que les accès nécessaires. L’accès de l’Éditeur aux Données Client depuis sa console est limité à l’assistance demandée par le Client, à la sécurité et aux obligations légales, et il est journalisé.
L’Éditeur met en œuvre les mesures suivantes, qu’il fait évoluer avec l’état de l’art :
Le Client, de son côté, gère les accès de ses Utilisateurs, choisit des mots de passe robustes, se déconnecte sur les postes partagés et signale sans délai toute compromission.
Le Client autorise l’Éditeur à recourir aux sous-traitants ultérieurs suivants. L’Éditeur y recourt sous les accords de traitement des données (DPA) qu’ils publient, qu’il a acceptés et dont il tient copie à la disposition du Client :
| Sous-traitant | Rôle | Lieu du traitement | Garantie |
|---|---|---|---|
| Railway Corporation (États-Unis) | Exécution de l’application, base de données PostgreSQL et sauvegardes | Centres de données de Railway | Accord de sous-traitance ; clauses contractuelles types (CCT) |
| Anthropic, PBC (États-Unis) ; à défaut Groq, Inc. (États-Unis) | Modèle de langage de l’assistant Dex | États-Unis | CCT ; données non utilisées pour l’entraînement ; uniquement sur action de l’Utilisateur |
| Stripe Payments Europe, Ltd. (Irlande) | Paiement des abonnements (données du Client, pas des Données Client) | Union européenne | Accord de sous-traitance Stripe |
| Resend, Inc. (États-Unis) | Envoi des courriels du Service lorsque le Client n’a pas branché sa propre messagerie | États-Unis / UE | CCT |
Ne sont sous-traitants que si le Client les branche lui-même, et sous ses propres conditions : Google Ireland Ltd. (Gmail), sms-gate.app et Kavkom (SMS et téléphonie), Discord Inc. (notifications), Pennylane (comptabilité), et les portails d’annonces. Les services publics consultés à la demande (HistoVec, ADEME) ne reçoivent aucune donnée de personne.
L’Éditeur informe le Client par courriel de tout ajout ou remplacement de sous-traitant ultérieur au moins trente (30) jours avant sa mise en œuvre. Le Client peut s’y opposer par écrit dans ce délai ; à défaut d’alternative raisonnable, il peut résilier l’Abonnement sans frais avant la prise d’effet. L’Éditeur reste responsable envers le Client de l’exécution par ses sous-traitants ultérieurs.
Les Données Client sont hébergées et sauvegardées par Railway Corporation. Ce prestataire étant une société américaine, un accès à distance depuis les États-Unis, pour l’exploitation ou sur injonction d’une autorité, constitue un transfert encadré par les clauses contractuelles types (module 3) de leur accord de traitement. Un transfert direct vers les États-Unis n’a lieu que dans deux cas : l’appel à l’assistant Dex, déclenché par l’Utilisateur, pour le seul texte de sa demande ; et l’envoi de courriels par le prestataire par défaut lorsque le Client n’a pas branché sa propre messagerie. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914) intégrées aux contrats des prestataires, complétées, pour les prestataires qui y sont certifiés, par le cadre de protection des données UE–États-Unis, et par des mesures supplémentaires (minimisation, chiffrement en transit). Le Client peut demander la désactivation de l’assistant Dex pour son espace.
8.1 Droits des personnes. Lorsqu’une personne exerce un droit (accès, rectification, effacement, limitation, portabilité, opposition) auprès du Client, celui-ci y répond avec les fonctions du Service (recherche, modification, export, suppression). Si une demande parvient directement à l’Éditeur, il la transmet au Client dans les cinq (5) jours ouvrés sans y répondre lui-même, sauf instruction contraire. L’Éditeur fournit, sur demande, l’assistance technique nécessaire.
8.2 Registre et données légales. Certaines données ne peuvent être effacées à la demande d’une personne parce qu’une obligation légale impose leur conservation (registre des véhicules d’occasion, pièces comptables) ; le Service refuse alors la suppression et le signale.
8.3 Analyse d’impact et autorités. L’Éditeur fournit au Client les informations utiles pour une analyse d’impact (article 35) ou une consultation de l’autorité de contrôle (article 36), et coopère avec la CNIL sur demande. Les fonctions de suivi de l’activité de l’équipe (présence, journal des gestes, temps) peuvent exiger une analyse d’impact de la part du Client (article 35 ; liste CNIL du 11 octobre 2018) ; l’Éditeur fournit une description du traitement et des mesures, prête à y intégrer.
L’Éditeur notifie au Client toute violation de données personnelles affectant les Données Client sans délai injustifié et au plus tard quarante-huit (48) heures après le moment où il en a connaissance, par courriel à l’adresse du compte administrateur, en précisant la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables, et les mesures prises ou proposées. Il complète cette information au fur et à mesure et documente toute violation (article 33.5). Le Client demeure responsable des notifications à la CNIL (72 heures, article 33) et aux personnes (article 34) ; l’Éditeur l’y aide.
À la fin de l’Abonnement, le Client exporte ses données pendant trente (30) jours (article 10 des CGV). Passé ce délai, l’Éditeur supprime les Données Client dans les soixante (60) jours, et les sauvegardes au plus tard trente (30) jours après, puis adresse sur demande une attestation datée, une fois la suppression effectuée. Sont conservées au-delà, pour la seule durée légale, les données que la loi impose de garder (factures et pièces comptables : dix ans ; journaux de sécurité : six mois ; chaîne d’empreintes du registre : cinq ans) ; elles ne sont plus traitées à d’autres fins.
L’Éditeur tient le registre des activités de traitement de l’article 30.2 du RGPD et en communique l’extrait relatif au Client sur demande. Il tient à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord : description des mesures de sécurité, liste des sous-traitants ultérieurs, registre des traitements pour ce qui concerne le Client, journal des accès à son espace. Le Client peut, une fois par an au plus, et moyennant un préavis de trente (30) jours, faire réaliser un audit par un tiers indépendant tenu au secret, à ses frais, pendant les heures ouvrées, sans perturber le Service ni accéder aux données d’autres clients. L’Éditeur peut d’abord répondre par un questionnaire écrit ; l’audit sur site n’a lieu qu’en cas de réponse insuffisante ou d’incident.
Chaque partie répond des dommages causés par un traitement qui ne respecte pas le RGPD dans les conditions de l’article 82 : l’Éditeur pour les obligations qui lui incombent spécifiquement en tant que sous-traitant ou pour un traitement hors des instructions licites du Client ; le Client pour la licéité du traitement, l’information des personnes et ses instructions. Les limites de responsabilité des CGV s’appliquent entre les parties, sans préjudice des droits des personnes concernées.
L’Accord s’applique pendant toute la durée de l’Abonnement et jusqu’à la suppression des Données Client. L’Éditeur peut le mettre à jour pour tenir compte de l’évolution de la loi, des recommandations de la CNIL ou de ses prestataires ; la version en vigueur est datée et publiée sur dexterdeck.com/sous-traitance, et toute modification substantielle est notifiée au Client trente (30) jours à l’avance.
Pour toute question relative au présent Accord, une demande d’exemplaire signé, ou un signalement de sécurité : assistance@dexterdeck.com. Les demandes des personnes concernées relatives aux données du Client lui-même relèvent de la politique de confidentialité.