Accord de sous-traitance des données personnelles (DPA) — Bulléo

Dernière mise à jour : 2 juillet 2026 Version : 1.0

---

Entre les parties

Le Responsable de traitement (ci-après « le Responsable » ou « la Crèche ») : [À COMPLÉTER À LA SIGNATURE : dénomination de la crèche / structure cliente, forme juridique, SIREN, siège, représentant légal]

Le Sous-traitant (ci-après « Bulléo ») : Julien HENRY — Entrepreneur Individuel (EI), SIREN 905 045 316, siège : 2Q Route de Villemoisan, 49370 Bécon-les-Granits, France, représenté par Julien Henry, en sa qualité d'entrepreneur individuel.

Ci-après désignées ensemble « les Parties ».

Préambule

Le présent Accord (Data Processing Agreement, ci-après « DPA ») complète le contrat de fourniture du service Bulléo (ci-après « le Contrat principal ») et définit les conditions dans lesquelles Bulléo traite des données à caractère personnel pour le compte du Responsable, conformément à l'article 28 du RGPD.

En cas de contradiction entre le présent DPA et le Contrat principal s'agissant de la protection des données, le DPA prévaut.

Il est rappelé que Bulléo agit :

• en qualité de sous-traitant pour les traitements décrits ci-après (données traitées pour le compte de la Crèche) ;
• en qualité de responsable de traitement pour ses traitements propres (comptes des utilisateurs pro, prospects, facturation de l'abonnement, logs techniques), qui ne relèvent pas du présent DPA mais de la Politique de confidentialité.

Article 1 — Objet et durée

1.1 Le présent DPA a pour objet d'encadrer le traitement des données personnelles réalisé par Bulléo pour le compte du Responsable dans le cadre de la fourniture du Service.

1.2 Le DPA s'applique pour toute la durée du Contrat principal et, s'agissant des obligations de restitution / suppression, jusqu'à leur complète exécution.

Article 2 — Nature et finalités du traitement

Le traitement consiste à héberger, stocker, organiser, structurer, consulter, modifier et supprimer les données saisies dans le Service, aux seules fins de fournir les fonctionnalités de gestion de crèche souscrites par le Responsable :

• gestion administrative des enfants, familles et parents ;
• suivi sanitaire et journal de bord des enfants ;
• planning et pointages des enfants et du personnel ;
• messagerie parents↔équipe ;
• gestion des médias, documents et modèles ;
• pré-inscriptions en ligne ;
• facturation des familles (comptes clients, mandats SEPA, encaissements) ;
• accès mobile parents et personnel, notifications.

Bulléo ne traite ces données que sur instruction documentée du Responsable, l'utilisation même du Service et le paramétrage réalisé par le Responsable valant instructions.

Article 3 — Catégories de personnes et de données concernées

3.1 Catégories de personnes concernées

• Enfants accueillis (mineurs) ;
• Parents et titulaires de l'autorité parentale ;
• Personnel de la crèche ;
• Le cas échéant, contacts et personnes autorisées à récupérer un enfant.

3.2 Catégories de données

Le traitement porte sur des données sensibles (santé) relatives à des mineurs : des mesures renforcées s'appliquent (voir art. 6).

Article 4 — Obligations générales de Bulléo (sous-traitant)

Bulléo s'engage à :

1. traiter les données uniquement pour les finalités décrites et sur instruction documentée du Responsable, y compris pour les transferts hors UE (sauf obligation légale, auquel cas Bulléo en informe le Responsable, sauf interdiction légale) ;
2. informer immédiatement le Responsable si une instruction constitue, selon lui, une violation du RGPD ;
3. garantir la confidentialité des données (voir art. 5) ;
4. mettre en œuvre les mesures de sécurité de l'article 32 du RGPD (voir art. 6) ;
5. respecter les conditions de recours à des sous-traitants ultérieurs (voir art. 7) ;
6. aider le Responsable à répondre aux demandes d'exercice des droits (voir art. 8) et à respecter ses obligations (sécurité, notification de violation, analyses d'impact / AIPD, consultation préalable), compte tenu de la nature du traitement et des informations disponibles ;
7. notifier au Responsable toute violation de données (voir art. 9) ;
8. à la fin des prestations, restituer ou supprimer les données (voir art. 10) ;
9. mettre à disposition du Responsable les informations nécessaires pour démontrer sa conformité et se soumettre à des audits (voir art. 11) ;
10. tenir un registre des catégories de traitements effectués pour le compte du Responsable (art. 30.2 RGPD).

Article 5 — Confidentialité

Bulléo veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité (engagement contractuel ou obligation légale appropriée) et reçoivent la formation nécessaire. L'accès aux données est restreint aux seules personnes ayant besoin d'en connaître pour l'exécution du Contrat.

Article 6 — Sécurité (article 32 RGPD)

Compte tenu de l'état de l'art, des coûts, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques — renforcés en raison de la présence de données de santé et de mineurs — Bulléo met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement en transit (TLS) des communications ;
• Chiffrement au repos des données (assuré par l'infrastructure d'hébergement) ;
• Cloisonnement des données par structure au niveau de la base de données (politiques de sécurité par ligne — Row Level Security), empêchant une crèche d'accéder aux données d'une autre ;
• Gestion fine des habilitations par rôle et par permission (principe de moindre privilège), avec refus par défaut ;
• Mots de passe stockés sous forme hachée ; jamais en clair ;
• Stockage privé des fichiers sensibles (documents, médias) avec accès par URL signée à durée limitée ;
• Journalisation des accès et opérations sensibles, supervision et détection d'incidents ;
• Sauvegardes régulières et procédures de restauration ;
• Minimisation et limitation des durées de conservation (voir Politique de conservation) ;
• Contrôle des sous-traitants ultérieurs et des transferts.

Mesures additionnelles mises en œuvre : politique de mot de passe (longueur minimale et exigences de complexité), hébergement des données dans l'Union européenne (AWS Francfort), révocation des accès en fin de relation. D'autres mesures (authentification à plusieurs facteurs, tests d'intrusion, pseudonymisation) pourront être introduites selon l'évolution du Service.

Article 7 — Sous-traitants ultérieurs

7.1 Le Responsable autorise Bulléo à recourir aux sous-traitants ultérieurs listés ci-dessous. Bulléo conclut avec chacun un contrat imposant des obligations de protection équivalentes à celles du présent DPA, et demeure pleinement responsable de l'exécution par ces sous-traitants de leurs obligations.

7.2 Bulléo informe le Responsable de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, avec un préavis raisonnable de 30 jours, laissant au Responsable la possibilité d'émettre des objections motivées. En cas d'objection non résolue, le Responsable peut résilier la partie concernée du Contrat.

Article 8 — Assistance à l'exercice des droits des personnes

Le Responsable est en charge de répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition). Bulléo, dans la mesure du possible et compte tenu de la nature du traitement, assiste le Responsable par des mesures techniques et organisationnelles appropriées (fonctionnalités d'export, de rectification, de suppression, ou assistance dédiée). La procédure est décrite dans la Procédure d'exercice des droits.

Si une demande est adressée directement à Bulléo, celui-ci la transmet au Responsable dans les meilleurs délais et n'y répond pas de sa propre initiative, sauf instruction.

Article 9 — Notification des violations de données

9.1 Bulléo notifie au Responsable toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous 72 heures, afin de permettre au Responsable de respecter, le cas échéant, son obligation de notification à la CNIL (art. 33 RGPD) et aux personnes concernées (art. 34 RGPD).

9.2 La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées.

9.3 Canal de notification : contact@bulleo.app (objet : « Incident de sécurité »).

Article 10 — Sort des données en fin de contrat

Au terme de la prestation, et au choix du Responsable :

• Bulléo restitue au Responsable l'ensemble des données dans un format exploitable, puis les supprime ; ou
• Bulléo supprime les données et les copies existantes.

Cette opération intervient dans un délai de 30 jours à compter de la fin du Contrat, sous réserve des obligations légales de conservation (ex. données comptables). Bulléo atteste par écrit de la suppression sur demande.

Article 11 — Audit

Bulléo met à la disposition du Responsable toutes les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et permet la réalisation d'audits (y compris des inspections), par le Responsable ou un auditeur mandaté, sous réserve d'un préavis raisonnable, d'un engagement de confidentialité, et sans compromettre la sécurité des autres clients. Bulléo peut satisfaire à cette obligation en fournissant des rapports d'audit ou certifications existants (les siens ou ceux de ses sous-traitants ultérieurs).

Article 12 — Transferts hors Union européenne

Les données sont hébergées dans l'Union européenne. Tout transfert hors UE (du fait d'un sous-traitant ultérieur ayant une entité hors UE) est encadré par un mécanisme de transfert conforme au chapitre V du RGPD (clauses contractuelles types de la Commission européenne, décision d'adéquation, ou EU-U.S. Data Privacy Framework), complété si nécessaire de mesures supplémentaires.

Article 13 — Responsabilité

Chaque Partie répond des dommages causés par le traitement lorsqu'elle a manqué aux obligations du RGPD qui lui incombent spécifiquement, conformément à l'article 82 du RGPD, et dans les limites prévues au Contrat principal.

Article 14 — Coordonnées des points de contact « données personnelles »

• Pour le Responsable (Crèche) : [À COMPLÉTER À LA SIGNATURE : nom, fonction, e-mail]
• Pour Bulléo : Julien Henry, entrepreneur individuel — contact@bulleo.app

---

Fait le [à compléter à la signature], en deux exemplaires.