RGPD et sous-traitants

Cette page s'adresse aux organismes — mairies, écoles, associations, entreprises — qui utilisent Papernib pour faire remplir leurs documents officiels en ligne. Elle décrit la répartition des rôles au sens du RGPD, nos engagements en tant que sous-traitant et la liste complète de nos sous-traitants ultérieurs. Pour les traitements dont Papernib est responsable (comptes clients, visiteurs du site), consultez la politique de confidentialité.

1. Les rôles au sens du RGPD

Lorsqu'un usager remplit en ligne un formulaire publié par un organisme (sans créer de compte), deux rôles distincts s'appliquent :

L'organisme client est responsable de traitement. C'est lui qui choisit les documents proposés, détermine les finalités du traitement, les données collectées et la durée de conservation des dossiers de ses usagers.
Papernib est sous-traitant, au sens de l'article 28 du RGPD. Le service, édité par Vincent BOURGEOIS, entrepreneur individuel (micro-entreprise), traite les données des usagers uniquement pour le compte de l'organisme et sur ses instructions.

En revanche, pour les données des comptes clients (les organismes eux-mêmes) et des visiteurs du site papernib.com, Papernib agit en qualité de responsable de traitement. Ces traitements sont décrits dans la politique de confidentialité.

2. Nos engagements de sous-traitant

Conformément à l'article 28 du RGPD, Papernib s'engage envers chaque organisme client à :

Traiter sur instructions uniquement. Les données des usagers ne sont traitées que pour fournir le service à l'organisme. Elles ne sont jamais utilisées pour notre propre compte : pas de revente, pas de publicité, pas d'exploitation des contenus des dossiers.
Garantir la confidentialité. L'accès à l'environnement de production est restreint aux seules personnes habilitées, tenues à une obligation de confidentialité.
Sécuriser les données. Connexions en HTTPS forcé avec HSTS ; données des dossiers chiffrées au repos ; isolation stricte des données par organisation ; analyse antivirus (ClamAV) de toutes les pièces jointes déposées ; adresse IP des usagers stockée uniquement sous forme hachée ; sauvegardes assurées par l'infrastructure de notre hébergeur Infomaniak.
Purger automatiquement. Les dossiers des usagers sont supprimés automatiquement à l'issue de la durée de conservation choisie par l'organisme (30 jours par défaut). Aucune intervention manuelle n'est nécessaire.
Assister l'organisme pour les demandes de droits. Nous aidons l'organisme à répondre aux demandes d'accès, de rectification, d'effacement ou aux autres droits exercés par ses usagers (voir la section 5).
Notifier les violations de données. En cas de violation de données à caractère personnel, nous en informons l'organisme dans les meilleurs délais, avec les éléments utiles pour lui permettre de remplir ses propres obligations, notamment vis-à-vis de la CNIL.
Restituer ou supprimer en fin de contrat. Au terme de la relation contractuelle, les données des usagers sont, au choix de l'organisme, restituées puis supprimées, ou directement supprimées de nos systèmes.

3. Où sont hébergées les données

L'ensemble des données du service est hébergé par Infomaniak Network SA, rue Eugène-Marziano 25, 1227 Genève, Suisse. Les données restent en Suisse, pays qui bénéficie d'une décision d'adéquation de la Commission européenne : le transfert vers la Suisse offre un niveau de protection équivalent à celui de l'Union européenne, sans formalité supplémentaire.

Infomaniak est une société de droit suisse : l'hébergement n'est pas soumis aux législations extraterritoriales américaines telles que le Cloud Act.

4. Sous-traitants ultérieurs

Papernib fait appel à un nombre volontairement réduit de sous-traitants ultérieurs. Cette liste est tenue à jour sur cette page :

Sous-traitant	Rôle	Localisation
Infomaniak Network SA	Hébergement de l'application, des données et des sauvegardes	Suisse (Genève) — décision d'adéquation UE
Resend Inc.	Envoi des emails transactionnels et de support	États-Unis — envoi depuis la région UE (Irlande)

Concernant Resend : ce prestataire n'intervient que pour l'acheminement des emails transactionnels et de support. Les emails envoyés ne contiennent jamais les documents ni les données saisies par les usagers dans les formulaires — uniquement des métadonnées (objet, destinataire) et des liens vers le service.

5. Droits des usagers

Les usagers disposent des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur leurs données.

Pour les données saisies dans un formulaire, ces droits s'exercent auprès de l'organisme concerné (la mairie, l'école, l'association ou l'entreprise qui a publié le formulaire), qui en est le responsable de traitement. Papernib assiste l'organisme dans le traitement de ces demandes ; si une demande nous parvient directement, nous la transmettons à l'organisme concerné.

Toute personne peut également introduire une réclamation auprès de la CNIL (cnil.fr).

6. DPA et contact

Un accord de traitement des données (DPA) reprenant l'ensemble de ces engagements, conforme à l'article 28 du RGPD, est disponible sur simple demande à contact@papernib.com ou via le support.

Aucun délégué à la protection des données n'est désigné à ce jour (la taille de l'activité ne l'exige pas). Pour toute question relative aux données personnelles : contact@papernib.com.