Le présent DPA fait partie intégrante des Conditions d'Utilisation de Megorix et y est incorporé par référence. Il s'applique automatiquement dès l'acceptation des Conditions d'Utilisation — aucune signature séparée n'est requise, sauf si un contrat spécifique conclu avec le client en dispose autrement.

1. Parties et Définitions

« Megorix », « nous » : MegaPC Informática e Software, Lda., NIPC 504125931, dont le siège est à Ourém, Santarém, Portugal.
« Client », « Responsable du traitement », « vous » : l'organisation disposant d'un abonnement Megorix actif.
« Législation sur la protection des données » : le Règlement général sur la protection des données de l'UE (RGPD), la loi fédérale suisse sur la protection des données (nLPD) et son ordonnance (OPDo), ainsi que toute autre législation sur la protection des données applicable au traitement effectué par le Client.
« Données à caractère personnel », « Traitement », « Personne concernée », « Sous-traitant », « Violation de données à caractère personnel » : au sens du RGPD et, le cas échéant, de la nLPD.
« Services » : la plateforme ERP Megorix et ses modules, tels que décrits dans les Conditions d'Utilisation.

2. Objet et Durée

Megorix traite des données à caractère personnel pour le compte du Client uniquement afin de fournir les Services. Le présent DPA prend effet dès que le Client commence à utiliser les Services et reste en vigueur tant que Megorix traite des données à caractère personnel pour son compte, y compris pendant toute période postérieure à la résiliation durant laquelle Megorix conserve des données au titre de la Section 11.

3. Rôles des Parties

Pour les données à caractère personnel que le Client saisit ou génère au sein des Services (ses propres clients, factures, employés, stocks et registres commerciaux similaires), le Client est le Responsable du traitement et Megorix est le Sous-traitant. Megorix ne traite ces données que sur instruction documentée du Client — donnée par l'utilisation des Services ou par écrit — sauf lorsque le droit de l'UE ou suisse l'exige, auquel cas Megorix en informera préalablement le Client, sauf interdiction légale de le faire.

Pour les données que Megorix collecte afin de gérer sa propre relation commerciale avec le Client (identité du titulaire du compte, données de facturation, utilisation de l'abonnement, communications marketing), Megorix agit en tant que Responsable du traitement indépendant — voir la Politique de Confidentialité de Megorix.

4. Catégories de Données et Personnes Concernées

Personnes concernées : les propres clients, fournisseurs, employés du Client et autres personnes dont les données sont saisies dans les Services.
Catégories de données à caractère personnel : données d'identification (noms, numéros fiscaux/TVA), données de contact (adresses, e-mails, téléphones), données financières/de facturation (lignes de facture, IBAN, références de paiement), données relatives à l'emploi (pour les utilisateurs du module RH), et toute autre donnée que le Client enregistre dans une entité ou un champ Megorix. Les champs que le Client marque comme sensibles (p. ex. numéros d'identification nationaux, IBAN) peuvent être stockés avec un chiffrement AES-256 au niveau du champ — voir Section 6.
Catégories particulières de données (art. 9 RGPD / art. 5 nLPD) : les Services ne sont pas conçus pour en nécessiter. Le Client est seul responsable de ne pas saisir de données de catégories particulières, sauf s'il a évalué de manière indépendante la base légale et configuré des protections appropriées.

5. Sous-traitants ultérieurs

Le Client autorise Megorix à recourir aux sous-traitants ultérieurs suivants :

Hostinger — hébergement de l'application et de la base de données — Paris, France (UE).
Stripe — traitement des paiements d'abonnement — UE/États-Unis, voir le DPA propre de Stripe.
Cloudflare — CDN, protection DDoS, réseau périphérique — réseau mondial.
Google (Firebase Cloud Messaging) — notifications push mobiles — UE/États-Unis, voir le DPA propre de Google.
Fournisseur d'e-mails transactionnels — envoi des e-mails système (factures, notifications) — UE.

Megorix informera le Client au moins 30 jours à l'avance (par e-mail ou notification dans l'application) avant d'ajouter ou de remplacer un sous-traitant ayant accès à des données à caractère personnel, et le Client pourra s'y opposer pour des motifs raisonnables liés à la protection des données dans ce délai. Megorix demeure responsable du respect, par chaque sous-traitant, d'obligations équivalentes à celles du présent DPA.

6. Mesures Techniques et Organisationnelles de Sécurité

Isolation par tenant assurée au niveau de la base de données via la Row-Level Security de PostgreSQL — les requêtes d'un tenant ne peuvent pas lire les lignes d'un autre tenant.
Chiffrement au niveau du champ (AES-256-GCM) disponible pour les champs sensibles, configurable champ par champ par le Client.
Contrôles d'immuabilité et d'intégrité pour les registres de facturation suisses : une fois émise, la facture est verrouillée contre toute modification et suppression, et chaque changement est consigné dans un journal d'audit conservé 10 ans, conformément à l'art. 958f CO / OReg.
Chiffrement en transit (TLS) pour toutes les connexions aux Services.
Journalisation des accès et pistes d'audit pour les modifications de registres.
Contrôle d'accès basé sur les rôles et permissions, configuré par le Client.
Sauvegardes régulières et procédures de reprise après sinistre.

Megorix ne réduira pas de manière substantielle son niveau global de sécurité pendant la durée du présent DPA.

7. Assistance pour les Demandes des Personnes Concernées

Megorix apportera une assistance raisonnable au Client, via les fonctionnalités propres des Services ou sur demande écrite, pour répondre aux Personnes concernées exerçant leurs droits (accès, rectification, effacement, limitation, portabilité, opposition) au titre de la législation applicable sur la protection des données. Megorix peut facturer des frais raisonnables pour toute assistance nécessitant un travail sensiblement supérieur aux fonctionnalités déjà existantes des Services.

8. Notification des Violations de Données à Caractère Personnel

Megorix informera le Client sans retard injustifié, et en tout état de cause dans les 48 heures suivant sa prise de connaissance, de toute violation de données à caractère personnel affectant les données du Client, comprenant (dans la mesure connue) : sa nature, les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés, les conséquences probables, ainsi que les mesures prises ou proposées.

9. Audits

Sur demande écrite raisonnable, au maximum une fois par année civile (sauf exigence d'une autorité de contrôle ou à la suite d'une violation de données à caractère personnel), Megorix mettra à disposition les informations raisonnablement nécessaires pour démontrer sa conformité au présent DPA, y compris la documentation de sécurité pertinente et, sous réserve de confidentialité, les réponses à un questionnaire de sécurité écrit.

10. Transferts Internationaux de Données

L'infrastructure principale de Megorix est hébergée au sein de l'Union européenne (Paris, France). Lorsqu'un sous-traitant transfère des données à caractère personnel hors de l'UE/EEE ou de Suisse, le mécanisme de transfert propre à ce sous-traitant (telles que les Clauses Contractuelles Types de l'UE ou une décision d'adéquation) s'applique, tel que décrit dans le DPA propre de ce sous-traitant.

11. Durée, Résiliation, Restitution et Suppression des Données

À la résiliation, Megorix, au choix du Client communiqué dans les 30 jours, mettra les données à caractère personnel du Client à disposition pour export dans un format structuré, ou les supprimera — sauf dans la mesure où Megorix est légalement tenue (y compris par les règles suisses de conservation commerciale, telles que l'art. 958f CO pour les registres de facturation) de les conserver plus longtemps, auquel cas Megorix isolera ces données de tout traitement ultérieur.

12. Responsabilité

La responsabilité de chaque partie découlant du présent DPA ou en lien avec celui-ci est soumise aux limitations de responsabilité prévues dans les Conditions d'Utilisation de Megorix.

13. Droit Applicable

Le présent DPA est régi par le même droit applicable que les Conditions d'Utilisation de Megorix. Rien dans le présent DPA ne réduit les droits ou obligations de l'une ou l'autre partie au titre des dispositions impératives de la législation sur la protection des données applicable au traitement propre du Client.

Accord de Traitement des Données (DPA)