Version de référence du 8 août 2026. Cette page présente la trame contractuelle : seule une annexe complétée, validée et acceptée avec l’association cliente fait partie du contrat.
1. Parties et rôles
L’association cliente agit comme responsable du traitement pour les données qu’elle gère dans Komuni. Alexandre ALLARD, Entrepreneur individuel — EI, 10 rue Cesaria Evora, 93300 Aubervilliers, France, SIREN 980 955 256, agit comme sous-traitant.
2. Traitement confié
- Objet : fournir, héberger, maintenir, sécuriser et assister le service Komuni.
- Durée : durée de l’abonnement et période convenue pour traiter les demandes de fin de contrat.
- Opérations : collecte sur instruction, enregistrement, organisation, consultation, modification, transmission nécessaire, export selon le périmètre convenu, archivage et suppression selon les capacités validées dans l’annexe signée.
- Personnes : membres, bénévoles, dirigeants, salariés, candidats, participants, donateurs, contacts, représentants et utilisateurs de l’association.
- Données : identité, coordonnées, vie associative, activités, finances, formulaires, réponses, documents, comptes, permissions, sessions et traces d’audit.
Les catégories particulières de données et les données pénales ne sont pas requises par défaut. Leur traitement relève d’une instruction et d’une analyse documentées de l’association.
3. Instructions de l’association
Les instructions sont constituées par le contrat, les paramétrages, les actions des utilisateurs habilités et les demandes écrites de l’association. Komuni traite les données uniquement pour exécuter ces instructions et les obligations légales applicables.
Komuni informe l’association lorsqu’une instruction paraît enfreindre le droit applicable, sauf interdiction légale de le faire.
4. Confidentialité et accès
Les personnes autorisées à intervenir pour Komuni sont soumises à une obligation de confidentialité et accèdent uniquement aux informations nécessaires à l’exploitation, au support ou à la sécurité.
5. Mesures de sécurité
Komuni met notamment en œuvre :
- une isolation logique et des contrôles d’accès par association ;
- des rôles, permissions et sessions révocables ;
- la validation des entrées et des limites de requête ;
- TLS et des cookies httpOnly et Secure en production ;
- le hachage des mots de passe et des jetons sensibles ;
- des liens temporaires pour les documents et une analyse antivirus des fichiers ;
- une journalisation avec occultation des secrets connus ;
- des tests d’isolation, contrôles de dépendances et gates de release ;
6. Sous-traitants ultérieurs
L’association autorise le recours aux catégories et prestataires nécessaires suivants :
- Hetzner Online GmbH — calcul, réseau et infrastructure principale — Allemagne ;
- Backblaze, Inc. — Backblaze B2 Cloud Storage — stockage objet des documents — région EU Central, Amsterdam, Pays-Bas ;
- Plus Five Five, Inc. — Resend — e-mails transactionnels acheminés depuis la région européenne sélectionnée ; données de compte, métadonnées, journaux et enregistrements d’API stockés aux États-Unis ;
- Functional Software, Inc. — Sentry — erreurs techniques minimisées — projet stocké dans la région européenne située en Allemagne ;
Backblaze, Inc. est établie aux États-Unis. Son addendum de protection des données intègre les clauses contractuelles types applicables aux relations responsable–sous-traitant. Les fichiers sont conservés dans la région EU Central sélectionnée pour le compte, sauf instruction expresse de réplication vers une autre région.
Komuni impose à ces prestataires des obligations de protection adaptées à leur intervention et reste responsable de leur respect dans les conditions de l’article 28 du RGPD.
Komuni informe l’association d’un ajout ou remplacement significatif au moins quatorze jours avant sa prise d’effet lorsque cela est possible. L’association peut formuler une objection motivée relative à la protection des données.
7. Transferts internationaux
Lorsqu’un transfert hors de l’Espace économique européen est nécessaire, il repose sur une décision d’adéquation, le cadre UE–États-Unis lorsque le prestataire est certifié, les clauses contractuelles types de la Commission européenne ou une autre garantie valable.
8. Droits des personnes
Komuni transmet à l’association toute demande reçue qui concerne ses traitements et l’assiste, dans la mesure du possible, pour rechercher, rectifier, limiter, rendre disponibles ou supprimer les données. L’association reste responsable de la décision et de la réponse à la personne.
9. Violations de données
Komuni informe l’association sans délai injustifié après avoir pris connaissance d’une violation affectant les données confiées. Les informations disponibles portent sur la nature de l’incident, les données et personnes concernées, les conséquences probables, les mesures prises et le contact de suivi.
L’association décide des notifications à la CNIL et aux personnes concernées. Komuni fournit l’assistance raisonnablement nécessaire.
10. Information et audit
Komuni met à disposition les informations nécessaires pour démontrer le respect de la présente annexe. Un audit raisonnable peut être organisé avec un préavis suffisant, dans des conditions protégeant la sécurité, la confidentialité des autres clients et les secrets d’affaires.
11. Fin du contrat
L’exemplaire signé doit fixer le choix de l’association entre restitution et suppression, le format, le canal sécurisé, le délai de mise à disposition, le calendrier de suppression et les obligations légales empêchant une suppression immédiate.
La procédure opérateur qualifiée restitue une archive technique des lignes SQL rattachées à l’association, des données indirectement liées à ses utilisateurs et de toutes les versions de son préfixe de stockage. Le manifeste, les empreintes SHA-256 et le reçu permettent d’en vérifier l’intégrité. Après restitution et instruction confirmée, la suppression retire ce périmètre de la base et du stockage actifs et produit un certificat après contrôle de zéro résidu. Une modification postérieure à l’export bloque la suppression et impose une nouvelle restitution.
Cette capacité n’est pas une fonction en libre-service ni l’application automatique des durées métier. Les contrats, factures, support, copie de restitution et données soumises à une obligation propre de conservation restent hors du périmètre actif supprimé et doivent être identifiés avec leur durée dans l’exemplaire signé.
12. Contact
Protection des données et incidents : Alexandre ALLARD — formulaire de contact Komuni.
Le représentant et le contact RGPD de l’association sont indiqués dans le devis, le bon de commande ou la version signée de cette annexe.