Data Processing Agreement (DPA)

Le présent accord encadre les obligations de Citaire en sa qualité de sous-traitant des données personnelles que vous lui confiez dans le cadre de l'utilisation du service Citaire (suivi de citations IA).

• Email et nom d'affichage des utilisateurs de votre compte
• Noms de marque, secteurs et URLs des projets que vous créez
• Requêtes textuelles que vous soumettez pour suivi
• Données techniques (logs d'accès, adresses IP) à des fins de sécurité, conservation 30 jours

Citaire utilise les sous-traitants suivants :

• Vercel Inc. (États-Unis) — hébergement applicatif. Adresse : 440 N Barranca Avenue #4133, Covina, CA 91723. Garanties : SCC (clauses contractuelles type) + DPA Vercel signé.
• Supabase Inc. (États-Unis, hébergement UE) — base de données PostgreSQL hébergée à Frankfurt (Allemagne). Garanties : SCC + DPA Supabase signé.
• OVH SAS (France) — service email transactionnel. Adresse : 2 rue Kellermann, 59100 Roubaix. Données hébergées en France.
• OpenAI Ireland Ltd.(Irlande) — API LLM pour l'analyse des citations (uniquement si vous activez les vrais moteurs). Aucune donnée n'est utilisée pour entraîner leurs modèles (option opt-out activée).

Le traitement dure tant que votre compte Citaire est actif. À la fin du contrat, les données sont supprimées dans un délai de 30 jours. Vous pouvez exporter vos données à tout moment via /app/compte/export ou supprimer votre compte via /app/compte.

• Chiffrement TLS 1.3 en transit
• Chiffrement AES-256 au repos (côté Supabase)
• Isolation par Row-Level Security PostgreSQL (chaque utilisateur n'accède qu'à ses données)
• Mots de passe stockés en bcrypt par Supabase Auth
• Optionnel : authentification 2FA TOTP disponible
• Sauvegardes quotidiennes incrémentales conservées 7 jours par Supabase

En cas de violation susceptible d'impacter vos données, Citaire vous notifie sous 72 heures à l'adresse email du propriétaire du compte, en précisant la nature, l'étendue et les mesures correctives.

Citaire vous aide à répondre aux demandes RGPD (accès, rectification, effacement, portabilité) via les outils en self-service (/app/compte/export, suppression de compte). Pour des demandes spécifiques, contactez contact@citaire.fr.

Sur demande motivée, Citaire fournit toute information nécessaire pour démontrer le respect de ses obligations RGPD. Un audit sur site peut être organisé moyennant préavis de 30 jours et frais partagés.

Ce DPA est réputé accepté dès lors que vous créez un compte Citaire et utilisez le service. Pour une signature contractuelle formelle (cachet, paraphe), demandez la version PDF signable à contact@citaire.fr.