Accord de traitement des données (DPA)

Lampion agit en qualité de sous-traitant au sens de l'article 4(8) du RGPD. Le Client reste le responsable de traitement pour l'ensemble des données qu'il stocke dans ses instances PostgreSQL. Lampion ne détermine ni les finalités ni les moyens du traitement des données du Client.

Le présent DPA a pour objet de définir les conditions dans lesquelles Lampion, en sa qualité de sous-traitant, s'engage à traiter les données personnelles pour le compte du Client dans le cadre de la fourniture du service de base de données PostgreSQL managées.

Le traitement est strictement limité à ce qui est nécessaire pour :

• L'hébergement et le stockage des bases de données PostgreSQL du Client
• La sauvegarde et la restauration des données
• La supervision et le monitoring des instances
• Le support technique

Le présent accord prend effet à la date d'inscription du Client au service Lampion et reste en vigueur pendant toute la durée d'utilisation du service. Il prend fin automatiquement à la clôture du compte du Client, sous réserve des obligations de suppression définies à la section 8.

Dans le cadre du service PostgreSQL managé, Lampion réalise les opérations de traitement suivantes :

Lampion n'accède pas au contenu des données stockées dans les bases du Client, sauf en cas de demande explicite de support technique nécessitant un diagnostic.

Les catégories de données traitées dépendent exclusivement de ce que le Client choisit de stocker dans ses bases PostgreSQL. Lampion n'impose aucune restriction sur les types de données, mais distingue deux niveaux :

Le Client autorise Lampion à faire appel aux sous-traitants ultérieurs suivants. Toute modification de cette liste sera notifiée au Client avec un préavis de 30 jours, conformément à l'article 28(2) du RGPD.

Transferts hors UE. Aucun contenu des bases du Client ne quitte l'UE. Les transferts vers les États-Unis réalisés par Grafana Labs, Resend et Stripe ne portent que sur des données de compte et des données techniques, et reposent sur deux mécanismes : le DPF (EU-U.S. Data Privacy Framework), décision d'adéquation de la Commission européenne du 10 juillet 2023, auquel ces trois sociétés déclarent publiquement être certifiées ; les CCT (clauses contractuelles types de la Commission européenne, décision d'exécution (UE) 2021/914), intégrées à leurs accords de traitement des données.

En cas d'opposition du Client à un nouveau sous-traitant, le Client pourra résilier le service sans pénalité dans les 30 jours suivant la notification.

L'ensemble des données des bases PostgreSQL (données actives, sauvegardes WAL, snapshots S3) est exclusivement stocké en France, dans le datacenter DC2 de Scaleway (région fr-par-1, Vitry-sur-Seine). La région fr-gra-1 (OVH Cloud, Gravelines) ouvre au premier trimestre 2027.

Aucun contenu des bases de données du Client ne quitte l'UE (Union européenne). Les données de compte (adresses e-mail, identité de facturation) et les données techniques (journaux d'infrastructure) peuvent être traitées hors de l'UE par les sous-traitants ultérieurs listés à la section 5, dans le cadre des mécanismes de transfert qui y sont indiqués (DPF, CCT).

Pour un rapport détaillé de localisation par projet, consultez l'endpoint /v1/projects/{id}/residency.

Lampion met en œuvre les mesures techniques et organisationnelles suivantes pour assurer la sécurité des données :

Conformément à l'article 28(3)(e) du RGPD, Lampion assiste le Client dans l'exécution de son obligation de répondre aux demandes d'exercice des droits des personnes concernées :

Droit d'accès

Le Client peut interroger ses bases PostgreSQL pour extraire les données d'une personne concernée

Droit de rectification

Le Client peut modifier directement les données dans ses bases

Droit à l'effacement

Le Client peut supprimer les données via SQL. Lampion s'assure que les sauvegardes ne sont pas conservées au-delà de la période de rétention

Droit à la portabilité

Le Client peut exporter ses données via pg_dump ou en CSV (disponible via l'API), ou obtenir un export complet d'un endpoint : une archive .tar.gz contenant un manifeste avec l'empreinte SHA-256 de chaque fichier, les rôles (sans mots de passe) et un fichier pg_dump au format custom par base, via l'API (GET /v1/projects/{project_id}/endpoints/{endpoint_id}/export) ou la CLI (lampion export)

Droit à la limitation

Lampion peut suspendre un compute sur demande du Client pour limiter le traitement

Si Lampion reçoit directement une demande d'exercice de droits d'une personne concernée, il en informera le Client dans les meilleurs délais sans y répondre directement, sauf obligation légale.

La notification contiendra au minimum :

• La nature de la violation (type, vecteur d'attaque le cas échéant)
• Les catégories et le nombre approximatif de personnes et d'enregistrements concernés
• Les conséquences probables de la violation
• Les mesures prises ou proposées pour remédier à la violation et en atténuer les effets
• Le point de contact chez Lampion pour obtenir des informations supplémentaires

Lampion coopérera pleinement avec le Client pour lui permettre de satisfaire ses propres obligations de notification auprès de l'autorité de contrôle (CNIL) et des personnes concernées.

Conformément à l'article 28(3)(h) du RGPD, Lampion met à disposition du Client toutes les informations nécessaires pour démontrer le respect de ses obligations et contribue aux audits.

Les audits sont limités à un par année civile, sauf en cas de violation de données ou de demande d'une autorité de contrôle. Lampion s'engage à coopérer de bonne foi et à fournir un accès raisonnable aux informations et systèmes pertinents.

Les coûts d'audit sont à la charge du Client, sauf si l'audit révèle un manquement de Lampion à ses obligations au titre du présent DPA.