Signez votre DPA RGPD dans le tableau de bord Deskwoot en moins d'une minute

Chaque compte Deskwoot peut désormais signer son accord de traitement des données (DPA) au titre de l'article 28 du RGPD directement dans le tableau de bord, par voie électronique, en moins d'une minute, sans échanges d'e-mails à rallonge et sans attendre de contre-signature. Chez la plupart des fournisseurs, le client doit demander le DPA par e-mail, attendre trois jours ouvrés, recevoir un PDF, le signer à la main, le scanner, le renvoyer par e-mail, puis attendre encore trois jours la contre-signature. Nous trouvions ça ridicule, alors désormais, vous le faites vous-même.

Dès aujourd'hui, chaque compte Deskwoot peut signer son DPA au titre de l'article 28 directement dans le tableau de bord. Ouvrez Paramètres, Conformité, Accord de traitement des données, remplissez trois champs, cliquez sur Accepter et recevoir le PDF et recevez aussitôt un PDF entièrement signé dans votre boîte mail. C'est tout.

Pourquoi un DPA est important

Si vous traitez des données personnelles de résidents de l'UE ou de l'EEE avec un outil tiers (et un help desk qui stocke les e-mails des clients et les transcriptions de chat en fait partie), l'article 28 du RGPD exige un contrat écrit entre vous (le responsable du traitement) et ce tiers (le sous-traitant). Sans DPA, vous agissez en dehors de la loi. Cela tourne vite mal si un client dépose une demande d'accès à ses données, si une autorité vous contrôle ou si une fuite de données survient chez un fournisseur et que votre réponse à l'incident ne repose sur rien d'écrit.

Pourquoi « électronique » ne pose aucun problème

L'article 28(9) du RGPD autorise explicitement la conclusion du DPA par voie électronique. Il n'exige pas de signature manuscrite à l'encre. Il exige en revanche une preuve vérifiable que la bonne personne, côté responsable du traitement, a accepté les conditions en connaissance de cause. C'est exactement ce que notre processus d'acceptation enregistre.

Ce que nous enregistrons au moment de la signature

À chaque acceptation, en plus des champs évidents (e-mail, nom, fonction, entreprise et pays du signataire), nous enregistrons aussi :

• L'horodatage de l'acceptation et la version du DPA
• L'adresse IP et la chaîne complète x-forwarded-for
• Le user-agent et les indicateurs Sec-CH-UA de navigateur, de plateforme et d'appareil mobile
• L'identifiant CF-Ray de Cloudflare ainsi que CF-IPCountry, la région et la ville. Cloudflare retire ces en-têtes des requêtes envoyées par les visiteurs en bordure du réseau et les redéfinit lui-même : en production, ils sont donc très difficiles à falsifier.
• La langue préférée (Accept-Language), l'indicateur DNT et l'URL de provenance (Referer)
• L'empreinte SHA-256 du PDF généré, pour pouvoir prouver que le fichier que vous avez téléchargé est identique, bit pour bit, à celui que nous avons contre-signé

Tout est enregistré en double. Une fois dans la ligne DpaAcceptance de votre compte, une fois dans votre journal d'audit sous dpa.accept. Si quelqu'un conteste un jour la signature, il faudrait falsifier les deux enregistrements en même temps pour faire croire qu'elle n'a jamais eu lieu.

Les sous-traitants ultérieurs et la chaîne de CCT

L'annexe B du DPA liste tous les sous-traitants ultérieurs que nous utilisons. Northflank pour l'hébergement, Anthropic pour l'IA, Stripe pour les paiements, Twilio pour l'e-mail, Cloudflare pour le CDN et le DNS, PostHog pour l'analyse d'audience, EasyPost pour le suivi des envois. Pour chacun, nous indiquons la catégorie de données, le mécanisme de transfert prévu par le RGPD, la politique de confidentialité et, lorsque le sous-traitant publie son propre DPA pour ses clients, un lien direct vers celui-ci. Vérifier toute votre chaîne de CCT (SCC) prend cinq clics au lieu d'un après-midi d'archéologie dans les pages juridiques.

Et en cas de mise à jour ?

Si nous ajoutons un nouveau sous-traitant ultérieur ou changeons de mécanisme de transfert, nous passons à une nouvelle version du DPA et le tableau de bord vous invite à signer de nouveau lors de votre prochaine visite. Votre ancienne acceptation reste dans votre historique. Remplacée mais pas supprimée, pour que la piste d'audit reste continue.

Disponible dès maintenant

Disponible pour chaque compte Deskwoot, quel que soit le forfait. Le PDF signé peut aussi être généré de nouveau à la demande à partir de la ligne d'acceptation, qui ne peut pas être modifiée. Ainsi, même si notre générateur de PDF change de design plus tard, vous pourrez récupérer votre copie archivée grâce à son empreinte.

Qu'est-ce qu'un accord de traitement des données RGPD, en termes simples ?

Un accord de traitement des données (DPA) au sens du RGPD est un contrat entre vous (l'entreprise qui collecte les données des clients) et tout fournisseur qui traite ces données pour votre compte (votre plateforme de support client, votre service d'e-mail, votre outil d'analyse). Le DPA précise ce que le fournisseur a le droit de faire avec les données, comment il les protège et ce qu'il fera en cas de problème.

L'article 28 du RGPD rend le DPA obligatoire par la loi, il n'est pas facultatif. Sans DPA signé entre vous (le responsable du traitement) et votre sous-traitant, chaque octet de données clients européennes qui passe par ce fournisseur est non conforme. C'est le DPA qui vous donne la piste d'audit documentée pour montrer à une autorité que votre gestion des données suit des règles claires et n'est pas laissée au hasard.

Quels sont les 7 principes du RGPD ?

Les 7 principes de l'article 5 du RGPD : licéité, loyauté et transparence (ne traitez des données que si vous avez une base légale et informez clairement les personnes) ; limitation des finalités (collectez des données pour une raison précise et ne les réutilisez pas ensuite pour autre chose) ; minimisation des données (ne collectez que ce dont vous avez vraiment besoin, pas tout ce que vous pourriez collecter) ; exactitude (tenez les données à jour et corrigez les erreurs dès que vous les trouvez) ; limitation de la conservation (supprimez les données quand vous n'en avez plus besoin) ; intégrité et confidentialité (protégez-les contre les accès non autorisés et la perte) ; et responsabilité (pouvoir démontrer votre conformité, pas seulement l'affirmer).

L'article 28 (obligations du sous-traitant) découle du 7e principe : en tant que responsable du traitement, vous devez pouvoir prouver que chaque sous-traitant traite les données selon les mêmes règles. Le DPA signé est le document qui le prouve. Le DPA de Deskwoot couvre les 7 principes dans un texte clair et peut être signé en moins d'une minute directement dans le tableau de bord.