Accord de Traitement des Données (DPA)

Plateforme Attimo — attimo-gallery.com
Version 3.0 — 30 août 2026
Article 28 du Règlement (UE) 2016/679 (RGPD)

Entre les soussignés

Le Responsable de traitement (« le Client »)

Le photographe professionnel (personne physique ou morale) ayant souscrit un abonnement à la Plateforme Attimo, dont les coordonnées sont renseignées dans son espace personnel sur la Plateforme.

Ci-après dénommé « le Responsable de traitement » ou « le Client ».

Le Sous-traitant

• Dénomination : Frédéric Gras Photographe — nom commercial : Attimo
• Statut : Entrepreneur individuel (EI)
• Adresse : 38 avenue de Tournaisis, 78990 Élancourt, France
• SIRET : 453 606 253 00020
• Email général / RGPD : [email protected]
• Email support technique : [email protected]

Ci-après dénommé « le Sous-traitant » ou « Attimo ».

Le Responsable de traitement et le Sous-traitant sont ci-après désignés collectivement « les Parties » et individuellement « la Partie ».

Préambule

Les Parties ont conclu un contrat principal relatif à l'utilisation de la Plateforme Attimo (ci-après « le Contrat Principal »), matérialisé par les Conditions Générales d'Utilisation et de Vente d'Attimo.

Dans le cadre de l'exécution de ce Contrat Principal, le Sous-traitant est amené à traiter des données personnelles pour le compte du Responsable de traitement.

Conformément à l'article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), les Parties souhaitent encadrer les conditions de ce traitement par le présent Accord de Traitement des Données (ci-après « DPA »).

Le présent DPA est annexé aux Conditions Générales d'Utilisation et de Vente d'Attimo et en fait partie intégrante. Il est réputé accepté par le Client lors de son inscription à la Plateforme.

Article 1 — Objet

Le présent DPA a pour objet de définir les conditions dans lesquelles Attimo, en qualité de sous-traitant, traite pour le compte du Client, en qualité de responsable de traitement, les données personnelles nécessaires à la fourniture des services de la Plateforme Attimo.

Il précise notamment :

• La nature et la finalité des traitements.
• Les catégories de données et de personnes concernées.
• Les durées de conservation appliquées.
• Les obligations et responsabilités de chaque Partie.
• Les mesures de sécurité mises en œuvre.
• Le recours à des sous-traitants ultérieurs.
• Les modalités d'exercice des droits des personnes concernées.

Article 2 — Définitions

Les termes employés dans le présent DPA sont entendus au sens du RGPD. En particulier :

• « Données personnelles » : toute information se rapportant à une personne physique identifiée ou identifiable.
• « Traitement » : toute opération effectuée sur des données personnelles (collecte, enregistrement, conservation, modification, communication, suppression, etc.).
• « Responsable de traitement » : la personne qui détermine les finalités et moyens du traitement.
• « Sous-traitant » : la personne qui traite des données personnelles pour le compte du responsable de traitement.
• « Violation de données personnelles » : toute violation de la sécurité entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé à des données personnelles.
• « Personnes concernées » : les personnes physiques dont les données sont traitées (clients finaux des galeries, visiteurs, acheteurs, participants aux séances, personnes figurant sur les photographies).
• « Anonymisation » : l'effacement irréversible des éléments permettant d'identifier une personne, de sorte que la donnée résiduelle ne constitue plus une donnée personnelle au sens du RGPD.

Article 3 — Description des traitements

3.1 Nature et finalité des traitements

Attimo traite les données personnelles fournies par le Client ou collectées via la Plateforme pour les finalités suivantes :

• Hébergement et mise à disposition des galeries photographiques en ligne.
• Gestion des accès des clients finaux aux galeries (codes d'accès, favoris, sélections).
• Gestion des commandes, des paniers et des paiements.
• Envoi des communications transactionnelles (emails, SMS).
• Préparation des fichiers de production et expédition des commandes physiques.
• Fourniture des fonctionnalités spécifiques aux modules activés par le Client, notamment :
  • Sport : identification des participants par lecture du dossard et, le cas échéant, reconnaissance faciale (voir Addendum biométrique).
  • Scolaire et Crèche : gestion des galeries individuelles et des autorisations parentales (voir Addendum données de mineurs).
  • Studio : organisation des séances de révélation en présentiel ou à distance, composition d'œuvres, recueil de la signature électronique du bon de commande.
  • Restauration de photographies anciennes : traitement automatisé de réparation d'images confiées par le Client, sous son contrôle et après validation par lui de chaque résultat.
  • Vidéo, Transfert de fichiers, Galerie d'art, Livre photo, Cartes cadeaux : hébergement, diffusion et commercialisation des contenus correspondants.
• Traitement des demandes adressées au support technique d'Attimo.
• Sauvegarde et conservation des données pour les durées prévues à l'article 3.4.

3.2 Catégories de personnes concernées

Les traitements réalisés dans le cadre du présent DPA concernent les catégories suivantes de personnes :

• Les clients finaux des galeries photographiques du Client (acheteurs, invités).
• Les sujets des photographies, sous la responsabilité du Client.
• Les participants aux séances de révélation Studio, en présentiel ou à distance.
• Les personnes figurant sur les photographies anciennes confiées au module Restauration, y compris des personnes décédées ou des tiers non identifiables.
• Les personnes adressant une demande au support technique d'Attimo.
• Les éventuels partenaires ou fournisseurs du Client dont les coordonnées seraient enregistrées dans la Plateforme.

3.3 Catégories de données traitées

3.4 Durées de conservation

Les traitements sont effectués pendant toute la durée du Contrat Principal. Chaque catégorie de données est conservée selon la durée indiquée ci-après, à l'issue de laquelle elle est supprimée ou anonymisée par des procédures automatisées.

Article 4 — Obligations du Sous-traitant

Attimo s'engage à :

1. Traiter les données personnelles uniquement pour les finalités décrites à l'Article 3 et sur instruction documentée du Client.
2. Informer immédiatement le Client si une instruction reçue constitue, selon Attimo, une violation du RGPD ou de toute autre disposition en matière de protection des données.
3. Garantir la confidentialité des données personnelles traitées et s'assurer que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.
4. Mettre en œuvre les mesures techniques et organisationnelles appropriées détaillées à l'Article 6 pour garantir un niveau de sécurité adapté aux risques.
5. Assister le Client dans la mise en œuvre de ses obligations RGPD, notamment pour répondre aux demandes d'exercice des droits des personnes concernées.
6. Notifier au Client toute violation de données personnelles dans un délai de 48 heures maximum à compter de sa connaissance.
7. N'exploiter à aucune fin propre les photographies, fichiers et données des clients finaux hébergés pour le compte du Client, notamment à des fins de communication, de démonstration commerciale ou d'entraînement de modèles algorithmiques, sauf autorisation écrite, distincte et révocable du Client.
8. Ne pas recourir à des sous-traitants ultérieurs sans respecter les conditions prévues à l'Article 7.
9. Mettre à disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD.
10. Permettre la réalisation d'audits, y compris des inspections, par le Client ou un auditeur mandaté par celui-ci, dans les conditions prévues à l'Article 8.

Article 5 — Obligations du Responsable de traitement

Le Client s'engage à :

1. Fournir à Attimo les informations nécessaires à l'exécution des traitements et à s'assurer de l'exactitude, l'adéquation et la pertinence des données transmises.
2. S'assurer que les traitements réalisés respectent les principes énoncés par le RGPD (licéité, loyauté, transparence, minimisation, exactitude, limitation de conservation, intégrité et confidentialité).
3. Informer les personnes concernées par les traitements mis en œuvre, conformément aux articles 13 et 14 du RGPD, dans ses propres conditions et politiques. Cette information porte notamment sur la mesure d'audience des galeries, sur le recours à un prestataire de traitement automatisé d'images lorsque le module Restauration est utilisé, et sur la collecte de la signature électronique lorsque le module Studio est utilisé.
4. Recueillir les consentements nécessaires lorsque la base légale du traitement repose sur le consentement des personnes concernées, en particulier pour les traitements biométriques (Art. 9 RGPD) et les traitements relatifs à des mineurs (Art. 8 RGPD).
5. Garantir qu'il détient les droits et autorisations nécessaires sur l'ensemble des contenus qu'il téléverse, y compris les photographies confiées au module Restauration, les musiques diffusées lors des séances et les éléments graphiques importés.
6. Maîtriser la diffusion des liens de séance et de galerie qu'il communique, ces liens donnant accès aux contenus correspondants.
7. Documenter par écrit les instructions données à Attimo et en tenir à disposition une preuve à la demande des autorités de contrôle.
8. Vérifier, préalablement et pendant toute la durée du traitement, la conformité du Sous-traitant avec les obligations du RGPD.
9. Superviser le traitement dans le cadre d'audits et d'inspections auprès du Sous-traitant.
10. Assumer pleinement la responsabilité des traitements mis en œuvre, notamment en répondant aux demandes des personnes concernées et des autorités de contrôle.

Article 6 — Mesures de sécurité

Conformément à l'article 32 du RGPD, Attimo met en œuvre les mesures techniques et organisationnelles suivantes pour garantir un niveau de sécurité adapté aux risques :

6.1 Mesures techniques

• Chiffrement des mots de passe avec algorithme bcrypt (coût 14 — haute sécurité).
• Connexions sécurisées HTTPS/TLS avec certificats Let's Encrypt sur l'ensemble de la Plateforme.
• Isolation stricte des données entre Clients via architecture multi-tenant : filtrage systématique par identifiant de Client sur toutes les requêtes, tous les modèles et tous les chemins de stockage.
• Accès aux fichiers médias par URL temporaire à signature cryptographique (HMAC) à expiration courte. Les adresses directes vers le stockage ne sont jamais exposées, le conteneur de stockage n'étant pas public.
• Double niveau de jeton pour les séances connectées : un jeton de consultation partagé et un jeton personnel requis pour engager une commande.
• Chiffrement en base des identifiants de connexion aux services tiers configurés par le Client.
• Sauvegardes régulières et automatisées des bases de données et des fichiers applicatifs, réparties sur plusieurs infrastructures distinctes.
• Mise à jour régulière des composants logiciels (Laravel, PHP, dépendances) et du système d'exploitation.
• Protection contre les attaques courantes : jetons anti-falsification de requête sur tous les formulaires, protection contre l'injection de scripts, requêtes préparées contre les injections SQL, assainissement des contenus vectoriels diffusés.
• Limitation du nombre de tentatives de connexion et limitation de débit sur les routes sensibles (authentification, signature, paiement).
• Double authentification disponible pour les comptes des Clients.
• Mesures de dissuasion contre le téléchargement non autorisé des photographies (blocage du clic droit et du glisser-déposer) et apposition d'un filigrane sur les galeries publiques lorsque le Client a activé cette option.
• Journalisation des accès et des actions sensibles, avec purge ou anonymisation automatique aux échéances prévues à l'article 3.4.
• Environnement de pré-production strictement séparé de l'environnement de production.
• Supervision applicative continue et alerte en cas d'anomalie de fonctionnement.

6.2 Mesures organisationnelles

• Accès aux données strictement limité aux personnes habilitées dans le cadre de leurs fonctions.
• Engagement de confidentialité des personnes accédant aux données, y compris du prestataire d'infogérance.
• Procédure documentée de notification de violation de données.
• Politique de conservation des données conforme aux durées prévues à l'article 3.4, appliquée par des tâches automatisées quotidiennes.
• Isolation des journaux du module Support dans un canal dédié, afin de circonscrire le traitement des correspondances entrantes.
• Registre des activités de traitement tenu à jour conformément à l'article 30 du RGPD.

6.3 Localisation des données

Les données personnelles sont hébergées et traitées exclusivement au sein de l'Union Européenne :

• Bases de données applicatives et fichiers médias : OVH SAS, Gravelines, France.
• Traitements de reconnaissance faciale, module Sport uniquement : Amazon Web Services, région Europe — Irlande (eu-west-1).
• Traitements automatisés de restauration d'images, module Restauration uniquement : Nero AG, centre de données propre situé en Allemagne.

Aucun transfert de données personnelles hors Union Européenne n'est effectué par Attimo dans le cadre de l'hébergement et du traitement des données. Les prestataires de paiement mobilisés à l'initiative du Client peuvent, pour leur part, opérer des transferts encadrés par des garanties appropriées telles que les clauses contractuelles types ou le Data Privacy Framework.

Article 7 — Recours à des sous-traitants ultérieurs

7.1 Autorisation générale

Le Client autorise Attimo à recourir aux sous-traitants ultérieurs suivants pour l'exécution des traitements :

7.2 Ajout ou remplacement

Attimo informe le Client par tout moyen approprié (email, notification dans la Plateforme, mise à jour de la présente liste) de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, dans un délai raisonnable avant sa mise en œuvre.

Le Client dispose d'un délai de 15 jours pour présenter ses objections motivées. À défaut d'objection dans ce délai, l'ajout ou le remplacement est réputé accepté.

En cas d'objection motivée, les Parties se rapprochent pour trouver une solution. À défaut d'accord, le Client peut résilier le Contrat Principal dans les conditions prévues.

7.3 Obligations d'Attimo vis-à-vis de ses propres sous-traitants ultérieurs

Attimo s'assure que chaque sous-traitant ultérieur auquel il fait appel présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Attimo conclut avec chacun de ces sous-traitants des contrats écrits imposant des obligations équivalentes à celles du présent DPA.

Attimo demeure pleinement responsable envers le Client de l'exécution par ses sous-traitants ultérieurs de leurs obligations.

7.4 Traitement automatisé des images du module Restauration

Lorsque le Client utilise le module Restauration, les images qu'il dépose sont transmises à Nero AG aux seules fins de leur traitement automatisé. Les Parties conviennent des stipulations suivantes :

1. La transmission n'a lieu qu'à l'initiative du Client, image par image, à chaque demande de traitement.
2. Le traitement est réalisé exclusivement sur l'infrastructure propre de Nero AG située en Allemagne, sans recours à un fournisseur de cloud tiers.
3. Les images transmises sont supprimées par Nero AG dans un délai de huit heures suivant le traitement.
4. Les images transmises ne sont pas utilisées pour l'entraînement de modèles algorithmiques.
5. Le résultat est rapatrié sur l'infrastructure d'Attimo dès sa production, puis soumis à la validation du Client. Aucun résultat n'est livré sans son contrôle préalable.

7.5 Transit des événements de paiement pour compte de tiers

Lorsque le Client raccorde son compte Stripe à la Plateforme pour encaisser directement ses ventes, la Plateforme reçoit de Stripe les notifications d'événements survenant sur ce compte. Les Parties conviennent des stipulations suivantes :

1. Ce raccordement est techniquement nécessaire : les paiements étant encaissés directement sur le compte du Client, les notifications correspondantes naissent sur ce compte et non sur celui d'Attimo. Sans elles, aucune commande ne pourrait être confirmée.
2. Stripe ne permet pas de filtrer ces notifications selon leur origine. Attimo reçoit donc, en transit, l'ensemble des notifications de paiement et de remboursement survenant sur le compte du Client, y compris celles issues de son activité professionnelle propre et sans lien avec la Plateforme.
3. Les données ainsi reçues se limitent au montant, à la devise, au statut de la transaction et, le cas échéant, à l'adresse email du client final et aux quatre derniers chiffres de la carte. Aucun numéro de carte complet n'est transmis.
4. Toute notification dépourvue du marqueur d'origine propre à la Plateforme est rejetée sans aucune écriture en base de données. Seule subsiste une ligne de journal technique, soumise à la purge à six mois prévue à l'article 3.4.
5. Le Client qui souhaite un cloisonnement complet de son activité peut dédier un compte Stripe distinct à son usage de la Plateforme. Il s'agit d'une recommandation et non d'une obligation.

7.6 Cas particulier des sous-traitants à compte personnel du Client

Certains sous-traitants ultérieurs ne sont activés qu'à l'initiative volontaire du Client, qui contracte alors directement avec eux pour bénéficier de leurs services. C'est notamment le cas des prestataires de paiement, du service Brevo lorsque le Client choisit ce transport pour l'envoi de ses emails, du transporteur Mondial Relay, et des outils de synchronisation comptable vers lesquels le Client exporte ses données.

Dans ce cas particulier, les Parties conviennent expressément des stipulations suivantes :

1. Le compte chez le sous-traitant à compte personnel est ouvert, détenu et payé directement par le Client.
2. Le contrat principal liant le Client à ce sous-traitant (conditions générales d'utilisation, politique de confidentialité, accord de traitement des données propre au sous-traitant) relève de la seule responsabilité du Client. Le Client reconnaît avoir pris connaissance et accepté ces documents lors de l'ouverture de son compte.
3. Le rôle d'Attimo se limite à celui d'une passerelle technique transmettant les identifiants de connexion saisis volontairement par le Client. Ces identifiants sont conservés chiffrés en base de données, conformément aux mesures techniques décrites à l'Article 6.
4. Le Client peut interrompre à tout moment l'utilisation de ce sous-traitant en modifiant la configuration correspondante dans ses paramètres. Cette opération suspend immédiatement toute transmission de données vers le sous-traitant concerné.
5. Les exports de données déclenchés par le Client vers un outil tiers relèvent de sa seule initiative et de sa seule responsabilité. Attimo ne maîtrise pas le traitement réalisé en aval par le destinataire.
6. Attimo ne saurait être tenu responsable du traitement des données effectué directement par ce sous-traitant en exécution du contrat conclu entre celui-ci et le Client, ni d'éventuels manquements du sous-traitant à ses propres obligations RGPD.

Article 8 — Audits et contrôles

Le Client peut réaliser ou faire réaliser des audits portant sur le respect par Attimo des obligations du présent DPA, dans les conditions suivantes :

1. L'audit est annoncé par écrit au moins 30 jours avant sa réalisation.
2. L'audit est réalisé pendant les heures ouvrables et ne doit pas perturber le fonctionnement normal de la Plateforme.
3. Les frais d'audit sont à la charge du Client, sauf si l'audit révèle un manquement significatif d'Attimo.
4. L'auditeur est soumis à une obligation de confidentialité équivalente à celle des Parties.
5. Attimo peut s'opposer à la désignation d'un auditeur concurrent.

En lieu et place d'un audit sur site, Attimo peut mettre à disposition du Client des certifications, rapports d'audit ou documents attestant de sa conformité.

Article 9 — Violation de données personnelles

9.1 Notification

En cas de violation de données personnelles (accès non autorisé, perte de données, fuite, etc.), Attimo notifie le Client dans un délai maximum de 48 heures à compter de sa connaissance. Cette notification contient au minimum :

• La description de la nature de la violation (catégories et volume approximatif des données et personnes concernées).
• Les conséquences probables de la violation.
• Les mesures prises ou proposées pour remédier à la violation et en atténuer les effets.
• Le point de contact pour obtenir des informations complémentaires.

9.2 Coopération avec la CNIL

Attimo coopère pleinement avec le Client pour lui permettre, le cas échéant :

• De notifier la violation à la CNIL dans un délai de 72 heures (article 33 RGPD).
• D'informer les personnes concernées lorsque la violation présente un risque élevé pour leurs droits et libertés (article 34 RGPD).

9.3 Documentation des incidents

Attimo tient un registre interne documentant toute violation de données personnelles conformément à l'article 33.5 du RGPD. Ce registre mentionne la description des faits, les effets constatés et les mesures correctives prises.

Ce registre est mis à disposition de la CNIL en cas de contrôle.

Article 10 — Droits des personnes concernées

Attimo met à disposition du Client les outils techniques nécessaires pour permettre l'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition).

Si une personne concernée adresse directement à Attimo une demande d'exercice de ses droits, Attimo la transmet au Client dans un délai de 5 jours ouvrés, sauf si la demande porte exclusivement sur les traitements réalisés par Attimo en qualité de responsable de traitement distinct (voir Politique de Confidentialité).

Le Client demeure seul responsable de la réponse à apporter aux demandes des personnes concernées relatives à ses propres traitements, dans le respect des délais légaux.

Article 11 — Sort des données en fin de contrat

Conformément aux Conditions Générales d'Utilisation et de Vente d'Attimo, à l'issue du Contrat Principal, quel qu'en soit le motif, Attimo procède selon les modalités suivantes :

1. L'accès à la Plateforme est immédiatement et définitivement coupé.
2. L'ensemble des données du Client hébergées sur la Plateforme est définitivement supprimé des systèmes d'Attimo, y compris des sauvegardes, dans un délai maximum de 30 jours à compter de la date d'effet de la résiliation.
3. Attimo peut fournir au Client, sur demande écrite expresse de ce dernier, une attestation de suppression effective des données.

Par exception, certaines données peuvent être conservées au-delà de cette période lorsque leur conservation est imposée par une obligation légale, notamment les données comptables liées à la facturation d'abonnement, conservées 10 ans, et les preuves d'acceptation des documents légaux, conservées 5 ans.

Article 12 — Engagement de sobriété numérique

La suppression définitive des données personnelles à l'issue de la relation contractuelle, prévue à l'Article 11 du présent DPA, répond simultanément à deux exigences complémentaires.

D'une part, le principe de minimisation de la durée de conservation posé par l'article 5.1 du RGPD, qui impose de ne conserver les données personnelles que le temps strictement nécessaire à la réalisation des finalités pour lesquelles elles sont traitées.

D'autre part, un engagement volontaire d'Attimo en matière de sobriété numérique. La conservation prolongée de données personnelles, de fichiers photographiques et de sauvegardes induit une consommation continue de ressources énergétiques et matérielles. Attimo considère que la suppression effective des données à l'issue de leur utilité légitime constitue une bonne pratique environnementale complémentaire aux obligations réglementaires.

À cet effet, Attimo a fait le choix d'une infrastructure hébergée en France (OVH Gravelines) privilégiant l'efficacité énergétique, et met en œuvre des procédures automatisées de suppression permettant de libérer effectivement les ressources de stockage à l'expiration des durées de conservation.

Cette démarche s'inscrit dans l'esprit du référentiel général de l'écoconception des services numériques (RGESN) publié par l'Arcep et la Direction interministérielle du numérique (DINUM).

Article 13 — Responsabilité

Chaque Partie répond des dommages résultant de la violation de ses propres obligations au titre du RGPD et du présent DPA.

En cas de responsabilité solidaire vis-à-vis d'une personne concernée ou d'une autorité de contrôle, la Partie ayant pris en charge l'indemnisation peut exercer un recours contre l'autre Partie à hauteur de sa part de responsabilité.

La responsabilité d'Attimo au titre du présent DPA est plafonnée dans les conditions prévues par les CGU/CGV, sauf en cas de faute intentionnelle ou lourde.

Article 14 — Durée et modifications

Le présent DPA entre en vigueur à la date d'acceptation par le Client (lors de son inscription à la Plateforme ou lors de l'acceptation d'une nouvelle version) et demeure en vigueur pendant toute la durée du Contrat Principal.

Attimo peut modifier le présent DPA pour se conformer aux évolutions législatives, réglementaires ou jurisprudentielles en matière de protection des données, ainsi que pour refléter l'évolution des fonctionnalités de la Plateforme. Toute modification substantielle est notifiée au Client avec un préavis minimum de 30 jours avant son entrée en vigueur.

En cas de refus des modifications, le Client peut résilier le Contrat Principal sans pénalité avant la date d'entrée en vigueur des modifications.

Article 15 — Droit applicable et juridiction

Le présent DPA est régi par le droit français et le Règlement (UE) 2016/679 (RGPD).

Tout litige relatif à l'interprétation ou à l'exécution du présent DPA sera soumis aux juridictions compétentes dans les conditions prévues par les CGU/CGV d'Attimo.

Article 16 — Acceptation

Le présent DPA est accepté par le Client lors de son inscription à la Plateforme Attimo par le biais d'une case à cocher distincte de l'acceptation des CGU/CGV.

L'acceptation électronique vaut signature du présent DPA et engage pleinement les Parties.