Accord de traitement des données (DPA)

Le présent DPA est accepté par le Client lors de l'acceptation des CGU sur wearenestor.com. Une version formelle signée est disponible sur demande à contact@wearenestor.com

Version 1.1 - 19 octobre 2026

1. Parties

Le présent Accord de Traitement des Données (ci-après « DPA ») est conclu entre :

Paprwork SAS, société par actions simplifiée immatriculée au Registre du Commerce et des Sociétés sous le numéro SIRET 848 815 437 00027, dont le siège social est situé au 82 rue Winston Churchill, 59000 Lille, France (ci-après « Paprwork » ou le « Sous-traitant »),

ET

Toute personne morale ou physique utilisant les Services Nestor / Paprwork, telle qu'identifiée dans les Conditions Générales d'Utilisation (ci-après le « Client » ou le « Responsable de traitement »).

2. Objet et durée

Le présent DPA définit les conditions dans lesquelles Paprwork traite des données à caractère personnel pour le compte du Client, dans le cadre de la fourniture des Services Nestor (plateforme d'échange sécurisé de documents, signature électronique, archivage).

Le DPA entre en vigueur à la date d'acceptation des Conditions Générales d'Utilisation et prend fin à l'expiration ou résiliation du contrat de service.

3. Nature des traitements

Dans le cadre des Services, Paprwork traite les données personnelles suivantes pour le compte du Client :

• Données d'identification des interlocuteurs (destinataires) : nom, prénom, adresse email
• Données de connexion : logs d'accès, horodatage, adresse IP
• Documents transmis par le Client et ses interlocuteurs
• Données issues des formulaires configurés par le Client
• Données liées à la signature électronique (si fonctionnalité activée) : nom, email, OTP, piste d'audit

La nature, la finalité et les catégories de personnes concernées sont définies dans le Registre de traitement de Paprwork, disponible sur demande.

4. Obligations de Paprwork (Sous-traitant)

Paprwork s'engage à :

• Traiter les données personnelles uniquement sur instruction documentée du Client, sauf obligation légale contraire
• Garantir la confidentialité des données traitées et imposer cette obligation à toute personne autorisée à y accéder
• Mettre en oeuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité des données (chiffrement TLS 256 bits, hébergement en France sur une infrastructure européenne totalement souveraine, certifiée ISO 27001 et HDS par l'hébergeur, accès nominatifs journalisés)
• Ne pas recruter de sous-traitant ultérieur sans information préalable du Client, et imposer à tout sous-traitant ultérieur les mêmes obligations en matière de protection des données
• Notifier le Client dans les meilleurs délais en cas de violation de données à caractère personnel
• Aider le Client à répondre aux demandes d'exercice de droits des personnes concernées
• Mettre à disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations du présent DPA
• Supprimer ou restituer l'ensemble des données personnelles à l'issue de la prestation, au choix du Client

5. Obligations du Client (Responsable de traitement)

Le Client s'engage à :

• Fournir à Paprwork des instructions licites et documentées concernant le traitement des données
• S'assurer que les personnes concernées ont été informées de leurs droits, notamment via les CGU/CGV de Paprwork
• Obtenir les consentements nécessaires le cas échéant (notamment pour les données collectées via les formulaires)
• Ne pas transmettre à Paprwork de données sensibles (au sens de l'article 9 du RGPD) sans accord préalable écrit de Paprwork

6. Sous-traitants ultérieurs

Le Client autorise Paprwork à faire appel aux sous-traitants ultérieurs listés ci-dessous. Paprwork s'engage à informer le Client de tout changement prévu et à lui donner la possibilité de s'y opposer.

Sous-traitants actuels :

• OVHcloud - Hébergement cloud (France, ISO 27001 / HDS)
• Tipimail - Envoi d'emails (France)
• Mailjet - Envoi d'emails (UE, ISO 27001)
• Scaleway - Envoi d'emails (France, ISO 27001)
• Yousign - Signature électronique (France, eIDAS) - si fonctionnalité activée

7. Transferts hors Union Européenne

Les données personnelles sont hébergées en France, sur une infrastructure européenne totalement souveraine. En cas de transfert hors de l'Union Européenne, Paprwork s'engage à mettre en place les garanties appropriées conformément au RGPD (Clauses Contractuelles Types approuvées par la Commission européenne).

8. Sécurité

Paprwork met en oeuvre les mesures de sécurité suivantes :

• Chiffrement des données en transit (TLS 256 bits)
• Hébergement en France sur une infrastructure européenne totalement souveraine, certifiée ISO 27001 et HDS par l'hébergeur
• Accès aux données strictement limités et nominatifs, journalisés
• Authentification des Professionnels par mot de passe, lien magique, code à usage unique reçu par email ou authentification unique (SSO, SAML 2.0 ou OpenID Connect)
• Connexion des interlocuteurs par lien magique ou code reçu par email, ou avec un compte Google ou Microsoft
• Double authentification par clé d'accès, que chaque utilisateur peut activer
• Liens magiques à usage unique expirant après 30 minutes

9. Droits des personnes concernées

Paprwork aide le Client à répondre aux demandes d'exercice de droits (accès, rectification, effacement, portabilité, opposition, limitation) formulées par les personnes concernées. Le Client reste responsable de traiter ces demandes dans les délais légaux (1 mois, article 12 du RGPD).

Les personnes concernées peuvent contacter le délégué à la protection des données de Paprwork à l'adresse : dpo@wearenestor.com

10. Violations de données

En cas de violation de données à caractère personnel, Paprwork notifie le Client dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les 72 heures, afin de permettre au Client de remplir ses obligations de notification auprès de la CNIL le cas échéant.

11. Audit

Paprwork met à disposition du Client toutes les informations nécessaires pour démontrer le respect du présent DPA. Le Client peut, à ses frais et après préavis raisonnable, mandater un auditeur indépendant pour vérifier la conformité de Paprwork, dans la limite d'une fois par an.

12. Durée et fin du contrat

À l'expiration ou résiliation du contrat de service, Paprwork s'engage à supprimer ou restituer l'ensemble des données personnelles traitées pour le compte du Client, selon les instructions de ce dernier, dans un délai de 30 jours.

13. Version formelle signée

Le présent DPA est accepté par le Client lors de l'acceptation des Conditions Générales d'Utilisation sur wearenestor.com. Sur demande expresse du Client, une version formelle signée peut être établie. Pour toute demande : contact@wearenestor.com

14. Droit applicable

Le présent DPA est soumis au droit français. En cas de litige, les parties s'efforceront de trouver une solution amiable. À défaut, les tribunaux compétents de Lille seront saisis.