Accord de traitement des données (DPA)

Version en date du 31/10/2026

Préambule

Le présent Accord de traitement des données (ci-après « l'Accord » ou « DPA ») fait partie intégrante des Conditions Générales de Service Hodi (ci-après les « CGS ») et du Contrat conclu entre HODI SAS, société par actions simplifiée au capital de 20 000 euros immatriculée au Registre du Commerce et des Sociétés de Saint-Denis de La Réunion sous le numéro 910 167 758, dont le siège social est situé 14 rue Pasteur, 97400 Saint-Denis, La Réunion (ci-après « Hodi » ou « le Sous-traitant »), et le client identifié dans la Commande / le Contrat de service Hodi (ci-après « le Client » ou « le Responsable de traitement »), ci-après désignés ensemble « les Parties » et individuellement « une Partie ».

Il précise les conditions dans lesquelles Hodi traite, pour le compte du Client, les données à caractère personnel contenues dans les contenus hébergés via les Services, conformément à l'article 28 du Règlement (UE) 2016/679 (ci-après le « RGPD ») , à la loi n° 78-17 du 6 janvier 1978 modifiée et à la Loi Locale telle que définie à l'article 1.

En cas de contradiction entre le présent Accord et les CGS sur le traitement des données à caractère personnel, le présent Accord prévaut.

ARTICLE 1. Définitions

Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens que leur donne l'article 4 du RGPD. Les termes commençant par une majuscule et non définis ici ont le sens que leur donnent les CGS.

Au sens du présent Accord, on entend également par :

• « Pays du Client » : le pays où est établi le Client signataire de la Commande ;
• « Pays d'Hébergement » : le pays où est situé le data-center principal hébergeant les données du Client, choisi par le Client lors de la Commande ;
• « Loi Locale » : la législation relative à la protection des données à caractère personnel du Pays du Client et, s'il est différent, celle du Pays d'Hébergement, ainsi que leurs textes d'application ;
• « Autorité de Contrôle Locale » : l'autorité chargée de la protection des données à caractère personnel dans le Pays du Client ;
• « Autorité » : toute juridiction, autorité administrative, autorité de poursuite ou autre organisme public, quel que soit son pays, habilité à exiger la communication de données ;
• « Demande » : toute injonction, réquisition, ordonnance, commission rogatoire ou demande d'accès émanant d'une Autorité et portant sur des données du Client ;
• « CEDEAO » : la Communauté économique des États de l'Afrique de l'Ouest ;
• « UEMOA » : l'Union économique et monétaire ouest-africaine.

ARTICLE 2. Objet et répartition des rôles

2.1. Conformément à l'article 20 des CGS, chaque Partie est responsable du traitement des données qu'elle traite pour ses propres finalités.

2.2. Hodi agit en qualité de responsable de traitement pour les traitements nécessaires à l'exécution du Contrat, notamment les éléments d'identification du Client et ses modalités de paiement. Ces traitements sont décrits dans la Politique de confidentialité de Hodi, accessible à l'adresse https://hodi.host/confidentialite.

2.3. Hodi agit en qualité de sous-traitant du Client pour les données à caractère personnel contenues dans les contenus que le Client héberge, stocke ou traite au travers des Services. Le présent Accord régit exclusivement ce périmètre de sous-traitance.

2.4. Cas particulier des serveurs dédiés non managés. Pour les offres de serveur (virtuel) dédié non managé, Hodi ne dispose d'aucun accès administrateur aux systèmes du Client (article 31 des CGS) et fournit uniquement l'infrastructure. Le Client assure seul l'administration, la sécurité et le traitement des données. Le périmètre de sous-traitance de Hodi s'y limite à la fourniture et au maintien en condition opérationnelle de l'infrastructure sous-jacente.

ARTICLE 3. Description du traitement

La nature, la finalité, la durée du traitement, les types de données et les catégories de personnes concernées sont décrits en Annexe 1.

ARTICLE 4. Obligations du Sous-traitant

Hodi s'engage à :

4.1. Traiter les données sur instruction documentée du Client. Hodi traite les données à caractère personnel uniquement pour la fourniture des Services et sur instruction documentée du Client, y compris en matière de transferts, telles qu'elles résultent du Contrat, des CGS, du présent Accord et de l'usage que le Client fait des Services. Si Hodi est tenu de procéder à un traitement en vertu du droit de l'Union ou d'un État membre, il en informe le Client avant le traitement, sauf interdiction légale. Lorsque ce traitement résulte d'une Demande, quel que soit le pays de l'Autorité dont elle émane, l'article 7 s'applique.

4.2. Alerter en cas d'instruction non conforme. Hodi informe immédiatement le Client si une instruction constitue, selon lui, une violation du RGPD ou de toute autre disposition applicable en matière de protection des données.

4.3. Garantir la confidentialité. Hodi veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et bénéficient de la formation nécessaire. Hodi applique le principe de moindre privilège (article 6.3 des CGS).

4.4. Mettre en œuvre les mesures de sécurité. Hodi met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites en Annexe 2 et à l'article 6 des CGS.

4.5. Encadrer le recours à des sous-traitants ultérieurs. Les conditions figurent à l'article 5 du présent Accord.

4.6. Assister le Client au titre des droits des personnes. Compte tenu de la nature du traitement, Hodi aide le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Lorsqu'une demande est adressée directement à Hodi, celui-ci la transmet dans les meilleurs délais au Client sans y répondre lui-même, sauf instruction contraire.

4.7. Assister le Client au titre de la sécurité et de la conformité. Hodi aide le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification de violation, analyses d'impact, consultation préalable de l'autorité de contrôle), compte tenu de la nature du traitement et des informations à sa disposition.

4.8. Notifier les violations de données. Hodi notifie au Client toute violation de données à caractère personnel dans les meilleurs délais et au plus tard dans les 72 heures suivant sa détection (article 6.6 des CGS), en fournissant les informations utiles pour permettre au Client, le cas échéant, de notifier l'autorité de contrôle et les personnes concernées.

4.9. Tenir un registre. Hodi tient un registre des catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30.2 du RGPD.

4.10. Mettre à disposition les informations nécessaires et permettre les audits. Hodi met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD et permet la réalisation d'audits, y compris des inspections, dans les conditions de l'article 8 du présent Accord.

ARTICLE 5. Sous-traitants ultérieurs

5.1. Le Client autorise Hodi à recourir à des sous-traitants ultérieurs pour l'exécution des Services (article 24 des CGS). La liste des sous-traitants ultérieurs actuels figure en Annexe 3.

5.2. Hodi impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données substantiellement équivalentes à celles du présent Accord. Hodi demeure pleinement responsable, à l'égard du Client, de l'exécution par le sous-traitant ultérieur de ses obligations.

5.3. Hodi impose à chaque sous-traitant ultérieur traitant ou ayant accès aux données du Client, notamment les exploitants de data-centers partenaires, de notifier immédiatement Hodi de toute Demande, sauf interdiction légale, de ne communiquer que le strict nécessaire et de ne pas transférer les données vers un autre pays sans l'accord de Hodi.

5.4. La liste figurant en Annexe 3 indique, pour chaque sous-traitant ultérieur, son pays d'immatriculation et le pays où les données du Client sont traitées.

ARTICLE 6. Localisation et transferts des données

6.1. Les données hébergées par les clients sont stockées sur les infrastructures Hodi ou celles de partenaires d'hébergement sélectionnés, et non sur des plateformes de cloud public américaines. Elles sont localisées dans le pays ou la région choisi par le Client lors de la Commande, parmi ceux proposés pour l'offre souscrite. Leur sauvegarde est localisée selon l'offre et le data-center d'hébergement (article 21 des CGS).

Pour les offres « hébergement web et emails », « hébergement web PRA/PCA » et « Nuaz », la sauvegarde 30 jours est réalisée :

• data-center dans l'Union européenne (France, La Réunion, Martinique) : en Allemagne. Les données ne quittent pas l'Union européenne ;
• data-center en Afrique de l'Ouest (Côte d'Ivoire, Ghana, Nigeria, Sénégal, Togo) : à Lomé (Togo). Les données ne quittent pas l'espace CEDEAO, ni l'espace UEMOA pour les États qui en sont membres ;
• data-center en Afrique centrale (Cameroun) : à Lomé (Togo) ;
• data-center en Afrique de l'Est (Kenya, Tanzanie, Ouganda) : à Maurice ;
• data-center en Afrique du Sud (Le Cap) : à Johannesburg. Les données ne quittent pas l'Afrique du Sud ;
• data-center dans un autre pays (Égypte, Madagascar, Maroc, Maurice, Rwanda, Tunisie) : en Allemagne (Union européenne).

Pour l'offre « CYBER+ », la sauvegarde horaire est réalisée en Allemagne, quel que soit le pays du data-center d'hébergement.

Pour les serveurs dédiés et serveurs virtuels dédiés, la sauvegarde PRA/PCA est réalisée dans le même pays que le data-center d'hébergement (hors exceptions prévues à l'article 21 des CGS). La sauvegarde Acronis, en option, est réalisée dans le pays choisi par le Client lors de la Commande, et la sauvegarde JetBackup, en option, en Allemagne.

Hodi ne modifie pas, sans l'accord du Client, la localisation ou la zone géographique retenue lors de la Commande.

Selon l'offre et les options souscrites, certaines données sont conservées ou accessibles hors du Pays d'Hébergement : sauvegardes réalisées en Allemagne, à Lomé ou à Maurice (article 21 des CGS), filtrage anti-spam (article 15 des CGS) et sous-traitants ultérieurs listés en Annexe 3. Sur demande du Client, Hodi lui communique les informations nécessaires aux formalités prévues par la Loi Locale (localisation des données et des sauvegardes, sous-traitants ultérieurs concernés, mesures de sécurité).

6.2. Lorsqu'un traitement implique un transfert de données vers un pays tiers ne bénéficiant pas d'une décision d'adéquation, Hodi met en œuvre des garanties appropriées, notamment les Clauses Contractuelles Types de la Commission européenne (article 20 des CGS), et, le cas échéant, des mesures supplémentaires.

6.3. Le Client donne mandat à Hodi pour conclure en son nom et pour son compte, en qualité d'exportateur de données, les Clauses Contractuelles Types nécessaires avec les importateurs de données concernés. Le Client déclare disposer des autorisations nécessaires à cet effet.

ARTICLE 7. Demandes d'autorités

7.1. Principe. Hodi ne communique des données du Client à une Autorité qu'en exécution d'une obligation légale impérative ou d'une décision exécutoire qui lui est applicable. Hodi ne communique jamais spontanément de données du Client.

7.2. Information du Client. Hodi informe le Client de toute Demande sans délai, au plus tard dans les quarante-huit (48) heures ouvrées suivant sa réception et, en tout état de cause, avant toute communication de données. Cette information précise l'identité et le pays de l'Autorité, la base juridique invoquée et les données visées, et est accompagnée d'une copie de la Demande. Elle s'applique également lorsque la Demande est adressée à un sous-traitant ultérieur et portée à la connaissance de Hodi.

7.3. Information du pays d'origine des données. À la demande du Client, Hodi informe également l'Autorité de Contrôle Locale de l'existence de la Demande. Lorsque la Demande émane d'une Autorité d'un pays autre que le Pays du Client et le Pays d'Hébergement, et que le Client ne s'est pas manifesté dans un délai de cinq (5) jours ouvrés, Hodi procède d'elle-même à cette information.

7.4. Interdiction d'informer. Les informations prévues aux articles 7.2 et 7.3 sont délivrées dans la mesure où la loi ne l'interdit pas. Si une interdiction s'applique, Hodi fait ses meilleurs efforts pour en obtenir la levée et procède à l'information dès qu'elle cesse.

7.5. Examen et contestation. Hodi examine la régularité de la Demande (compétence de l'Autorité, base légale, proportionnalité, étendue). Lorsqu'il existe des motifs sérieux de la contester, notamment un conflit avec la Loi Locale, Hodi la conteste ou demande à l'Autorité de la limiter, dans la mesure où cette démarche est juridiquement possible. Le Client peut, à ses frais, intervenir à la procédure.

7.6. Entraide judiciaire. Lorsque la Demande émane d'une Autorité étrangère au Pays d'Hébergement et que la communication est susceptible de contrevenir à la Loi Locale, Hodi le signale à l'Autorité et sollicite que la Demande soit présentée par la voie de l'entraide judiciaire internationale. Si Hodi reste tenue par une décision exécutoire non suspendue, elle s'y conforme dans la seule mesure requise, sans que cette exécution constitue un manquement au Contrat.

7.7. Minimisation et registre. Hodi limite toute communication aux seules données précisément visées par la Demande et n'accorde à aucune Autorité un accès global ou permanent aux systèmes ou aux données du Client. Hodi tient un registre des Demandes reçues et le met à disposition du Client concerné sur demande, dans la mesure où la loi le permet.

ARTICLE 8. Audits

8.1. Hodi met à disposition du Client, sur demande, les informations et documents permettant de démontrer sa conformité, notamment son Plan d'Assurance Sécurité (article 6.8 des CGS) et, sous réserve de la signature d'un accord de confidentialité, les rapports d'audit disponibles.

8.2. Le Client peut réaliser, à ses frais, un audit au maximum une fois par an, moyennant un préavis raisonnable, pendant les heures ouvrées et sans perturber les Services ni compromettre la sécurité des autres clients. Des audits supplémentaires peuvent être réalisés en cas de violation avérée ou d'exigence d'une autorité de contrôle.

ARTICLE 9. Obligations du Responsable de traitement

Le Client garantit disposer d'une base légale pour les traitements qu'il met en œuvre au travers des Services, fournir des instructions licites, informer les personnes concernées, ne pas héberger de données pour des finalités illicites, respecter le RGPD et la Loi Locale (articles 11 et 20 des CGS), et accomplir les formalités prévues par la Loi Locale auprès de l'Autorité de Contrôle Locale. Le Client demeure responsable de la licéité des données qu'il traite et des instructions qu'il donne.

ARTICLE 10. Sort des données en fin de contrat

10.1. Au terme de la fourniture des Services, Hodi supprime les données à caractère personnel ou les restitue au Client selon le choix de ce dernier, dans les conditions de réversibilité prévues à l'article 31 des CGS, et détruit les copies existantes sauf obligation légale de conservation.

10.2. Par mesure de sécurité, Hodi conserve des sauvegardes après la résiliation, supprimées automatiquement 30 jours après la résiliation pour les offres « hébergement web et emails », « hébergement web PRA/PCA » et « Nuaz », et 7 jours pour les autres Services fournis par Hodi (article 25.3 des CGS).

10.3. Il appartient au Client de récupérer et d'exporter ses données à caractère personnel avant le terme des Services, dans les conditions de réversibilité prévues à l'article 31 des CGS. Le Client est informé que la résiliation ou l'expiration des Services entraîne la suppression des données, y compris des sauvegardes, dans les délais indiqués ci-dessus.

ARTICLE 11. Responsabilité

Hodi n'est responsable des dommages causés par un traitement que lorsque (i) il n'a pas respecté les obligations du RGPD qui incombent spécifiquement aux sous-traitants, ou (ii) il a agi en dehors des instructions licites du Client ou contrairement à celles-ci. Dans les autres cas, le Client demeure responsable du traitement qu'il met en œuvre au travers des Services.

Les limitations et plafonds de responsabilité prévus par les CGS et le Contrat s'appliquent au présent Accord.

ARTICLE 12. Durée

Le présent Accord entre en vigueur à la date d'acceptation du Contrat et demeure applicable pendant toute la durée du traitement des données à caractère personnel par Hodi pour le compte du Client. Les obligations de confidentialité subsistent pendant douze (12) mois après le terme (article 19 des CGS).

ARTICLE 13. Droit applicable et juridiction

Le présent Accord est soumis au droit français, sans préjudice de l'application des dispositions impératives de la Loi Locale. Tout différend est soumis à la procédure prévue à l'article 34 des CGS : tentative de résolution amiable par la négociation optimisée en ligne Néo-Justice, puis arbitrage selon le Règlement de Négociation et d'Arbitrage de Néo-Justice, et, à défaut d'arbitrage applicable, compétence des Tribunaux de Saint-Denis de La Réunion.

ARTICLE 14. Contact

Pour toute question relative au présent Accord ou au traitement des données à caractère personnel, notamment pour notifier un incident de sécurité, le Client peut contacter Hodi :

• par email à l'adresse securite@hodi.host ;
• en ouvrant une demande depuis son espace client ;
• par courrier postal à l'adresse : HODI SAS, 14 rue Pasteur, 97400 Saint-Denis, La Réunion.

Annexe 1 : Description du traitement

• Nature et finalité : hébergement, stockage, sauvegarde et mise à disposition des contenus du Client au travers des Services souscrits (hébergement web et emails, PRA/PCA, CYBER+, Nuaz, VPS, serveur virtuel dédié managé ou non managé, Odoo Cloud, et services associés).
• Durée : durée du Contrat, augmentée des durées de conservation des sauvegardes (article 10).
• Catégories de personnes concernées : déterminées par le Client (ex. : ses clients, prospects, salariés, utilisateurs de ses sites et applications).
• Catégories de données : déterminées par le Client, correspondant aux contenus qu'il héberge. Le Client s'interdit d'héberger des catégories particulières de données (article 20 des CGS) sans mesures appropriées et instruction spécifique.
• Opérations réalisées : stockage, hébergement, sauvegarde, réplication, restauration, et opérations techniques nécessaires à la fourniture et à la sécurité des Services.

Annexe 2 : Mesures techniques et organisationnelles de sécurité

Synthèse des mesures prévues à l'article 6 des CGS :

• Sécurité physique des data-centers : compartiments coupe-feu, alimentation de secours, détection incendie précoce, extinction par réduction d'oxygène, climatisation redondante, accès physique restreint et tracé.
• Haute disponibilité : architecture redondante, réplication temps réel sur deux data-centers du même territoire pour les offres concernées, pare-feu par composant.
• Segmentation réseau : séparation des flux d'administration et des flux courants ; isolation forte entre clients sur les hébergements mutualisés, segmentation dédiée en option sur les serveurs dédiés.
• Sécurité des accès : accès logique via lien dédié sécurisé et ZTNA, interfaces d'administration non exposées à Internet, authentification multifacteur des équipes, principe de moindre privilège, politique de mots de passe conforme au guide ANSSI-PG-078, journalisation des accès administrateurs, revues régulières des droits et des comptes à privilèges, chiffrement des postes, supports et terminaux.
• Protection applicative : antivirus/antimalware, pare-feu applicatif (WAF), protection DDoS niveaux 3/4.
• Gestion des vulnérabilités : application régulière des correctifs de sécurité, avec mise à jour du noyau sans redémarrage pour les vulnérabilités critiques.
• Sauvegardes : procédure quotidienne automatisée et supervisée, sauvegardes chiffrées et techniquement inaccessibles depuis l'infrastructure de production ; rétentions et localisations selon l'offre (article 21 des CGS).
• Continuité et reprise d'activité (PRA/PCA) : plan de continuité et de reprise couvrant notamment le risque cyclonique et les attaques de type cryptolocker (sauvegardes inaccessibles à Hodi), testé au moins une fois par an.
• Supervision : supervision en temps réel 24h/24 et 7j/7, avec remontée d'alertes redondante.
• Gestion des incidents : notification des violations dans un délai maximal de 72 heures.
• Documentation : Plan d'Assurance Sécurité communiqué sur demande.
• Amélioration continue (ISO/IEC 27001) : Hodi a engagé une démarche de certification ISO/IEC 27001 afin de renforcer en continu son système de management de la sécurité de l'information.

Annexe 3 : Liste des sous-traitants ultérieurs

Sont listés les sous-traitants susceptibles de traiter les données à caractère personnel hébergées par le Client. Les sous-traitants effectivement mobilisés dépendent de l'offre souscrite et de la localisation choisie par le Client. La liste indique, pour chaque sous-traitant ultérieur, le pays où les données du Client sont traitées, les pays ou zones de clients concernés par famille d'offres, ainsi que son pays d'immatriculation. Les transferts hors UE/EEE sont encadrés par des garanties appropriées (clauses contractuelles types).

La Suisse et le Royaume-Uni bénéficient d'une décision d'adéquation de la Commission européenne. Les transferts vers tout pays hors Union européenne ne bénéficiant pas d'une décision d'adéquation (voir la colonne « Pays » ci-dessus) sont encadrés par des clauses contractuelles types. Liste tenue à jour ; elle n'inclut pas les sous-traitants des produits « marketplace » définis dans les CGS.

Note : les prestataires de paiement et de facturation (Stripe, pawaPay, WHMCS) traitent les données d'identité et de paiement pour lesquelles Hodi agit en tant que responsable de traitement (article 20 des CGS) ; ils relèvent de la Politique de confidentialité de Hodi et non du présent DPA.