Accord de traitement des données

Le présent accord de traitement des données (« DPA ») encadre les traitements de données personnelles qu'Airlock effectue pour le compte de ses clients, conformément à l'article 28 du Règlement général sur la protection des données (RGPD).

• Le Client, titulaire d'un compte Airlock qui utilise le service dans le cadre de son activité professionnelle, agit en qualité de responsable de traitement.
• Airlock (Joseph Michaut EI, 20 rue de la Grande École, 76400 Fécamp, France) agit en qualité de sous-traitant.

Ce DPA fait partie intégrante des Conditions d'utilisation et s'applique sans autre formalité dès l'utilisation du service. En cas de contradiction sur la protection des données, il prévaut sur les Conditions d'utilisation. Une version signée peut être obtenue sur demande à contact@airlck.com.

Il ne couvre pas les données qu'Airlock traite pour son propre compte, comme responsable de traitement (compte, facturation, relation client, mesure d'audience du site) : elles relèvent de la Politique de confidentialité.

• Nature et finalité : fournir le service de partage de fichiers : stockage, organisation en dossiers, aperçu et conversion des documents, filigrane, partage par liens, mesure des consultations, invitations et espaces partagés du plan Équipe.
• Durée : tant que le compte du Client existe, puis jusqu'à l'effacement prévu à l'article 10.
• Personnes concernées : les personnes dont les données figurent dans les fichiers du Client (ses clients, correspondants, salariés…), les membres de son équipe, et les destinataires de ses liens de partage.
• Données traitées : le contenu des fichiers déposés, déterminé par le seul Client, qui peut contenir des données de toute nature ; les noms et métadonnées des fichiers et dossiers ; les réglages des liens ; les adresses email des membres invités et des destinataires ; les statistiques de consultation pseudonymisées (date, durée, ville et pays approximatifs, type d'appareil, empreinte de l'adresse IP calculée avec une clé secrète, identifiant de visiteur aléatoire).

Airlock ne traite les données que sur instruction documentée du Client. Ces instructions sont constituées par les Conditions d'utilisation, le présent DPA et les réglages que le Client choisit dans le service (dépôt, partage, expiration, révocation, suppression). Airlock informe le Client si une instruction lui paraît contraire au RGPD.

Airlock n'analyse pas, n'indexe pas et n'exploite pas le contenu des fichiers : il ne s'en sert ni pour de la publicité, ni pour entraîner un modèle d'intelligence artificielle, ni pour aucune autre finalité que le service. Les traitements automatiques du contenu (aperçu, conversion en PDF, filigrane, vidéo) ont lieu uniquement pour l'afficher aux personnes autorisées.

Seules les personnes qui ont besoin d'accéder aux données pour faire fonctionner le service y ont accès, et elles sont tenues à la confidentialité. Les outils d'administration d'Airlock ne donnent pas accès au contenu des fichiers. Airlock n'ouvre un fichier qu'à la demande du Client, par exemple pour résoudre un problème qu'il signale, ou si la loi l'y oblige.

Airlock met en œuvre les mesures techniques et organisationnelles suivantes (article 32 du RGPD) :

• Chiffrement en transit (HTTPS, TLS 1.2 minimum) et au repos (AES-256) ; clés gérées par les hébergeurs.
• Fichiers sans adresse publique permanente, servis par le serveur ou par des adresses signées qui expirent après 5 minutes à 2 heures.
• Liens de partage à jeton aléatoire de 128 bits ; mot de passe, expiration, limite de visiteurs et révocation vérifiés par le serveur à chaque requête ; mots de passe stockés sous forme d'empreinte (scrypt) ; tentatives limitées.
• Filigrane : la version filigranée est la seule servie, sans jamais de repli sur l'original.
• Contrôle d'accès vérifié côté serveur pour chaque action ; détection des refus d'accès répétés et alerte immédiate.
• Back-office à rôles hiérarchisés, actions journalisées, sans accès au contenu des fichiers.
• Environnements de développement et de production séparés (stockage et base distincts).
• Serveur protégé par un pare-feu qui n'ouvre que les ports web et d'administration.

Limites, pour une évaluation exacte : Airlock n'est pas chiffré de bout en bout, le serveur peut techniquement lire les fichiers pour les afficher ; et Airlock ne conserve aucune sauvegarde des fichiers, une suppression est donc définitive. Airlock n'est pas un service d'archivage : le Client conserve ses originaux. Le détail est sur la page Sécurité.

Le Client autorise Airlock à recourir aux sous-traitants ultérieurs listés en annexe. Airlock leur impose des obligations de protection des données au moins équivalentes à celles du présent DPA et reste responsable envers le Client de leur exécution.

Avant tout ajout ou remplacement d'un sous-traitant ultérieur, Airlock met à jour l'annexe et prévient par email les titulaires des comptes payants au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif légitime lié à la protection des données en écrivant à contact@airlck.com ; si aucune solution n'est trouvée, il peut résilier son abonnement sans frais avant l'entrée en vigueur du changement.

Les fichiers sont stockés et traités en France, à Paris. Les métadonnées sont stockées en Europe, chez une société américaine, et certains sous-traitants ultérieurs sont établis aux États-Unis (voir l'annexe). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et/ou la certification au Data Privacy Framework. Les sociétés américaines restent soumises au droit américain, notamment au Cloud Act.

Le service permet au Client de répondre lui-même aux demandes des personnes concernées : consulter, télécharger, renommer et supprimer ses fichiers, révoquer un lien, retirer un membre. Si Airlock reçoit directement une demande portant sur des données du Client, il la transmet au Client sans y répondre lui-même.

Airlock fournit au Client les informations dont il dispose pour l'aider à réaliser une analyse d'impact ou à répondre à une autorité de contrôle.

Airlock notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou envisagées. Les informations qui ne sont pas encore disponibles sont transmises dès qu'elles le sont.

Le Client peut à tout moment télécharger ses fichiers depuis le service, notamment avant de supprimer son compte.

À la suppression du compte, Airlock efface les fichiers, leurs versions dérivées, les dossiers, les liens et les statistiques de consultation, sans délai et au plus tard sous 30 jours. Aucune copie ne subsiste dans une sauvegarde. Un fichier ou un dossier supprimé par le Client est effacé de la même façon ; un dossier placé dans la corbeille reste restaurable jusqu'à son effacement définitif, qui intervient au plus tôt 30 jours plus tard.

Seules sont conservées, pour le propre compte d'Airlock, les données imposées par la loi (facturation) et les alertes de sécurité, effacées automatiquement après 90 jours.

Airlock met à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA : cette page, la page Sécurité et ses réponses écrites aux questionnaires de sécurité. Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, à ses frais, une fois par an au plus, avec un préavis de 30 jours, par un auditeur tenu à la confidentialité et sans accès aux données des autres clients.

Le présent DPA s'applique aussi longtemps qu'Airlock traite des données pour le compte du Client. La responsabilité des parties est régie par les Conditions d'utilisation, dans les limites prévues par l'article 82 du RGPD. Le DPA est soumis au droit français. Airlock peut le modifier pour suivre l'évolution du service ou de la réglementation ; un changement qui réduit la protection des données est annoncé aux titulaires des comptes payants au moins 30 jours à l'avance.

Liste à jour au 13 octobre 2026

• Scaleway

  Hébergement et stockage des fichiers

  Contenu des fichiers et versions dérivées (filigranes, aperçus, vidéos) ; traitement par le serveur applicatif de toutes les données du service.

  Paris, France · société française · certifié ISO 27001 · Confidentialité

• Google Firestore

  Base de données (métadonnées)

  Noms et organisation des fichiers, réglages des liens, emails des membres et destinataires invités, statistiques de consultation pseudonymisées.

  Europe · société américaine · Confidentialité

• Clerk

  Authentification

  Identité des utilisateurs du compte (email, nom) et sessions de connexion.

  États-Unis · SOC 2 Type II · Confidentialité

• Resend

  Envoi des emails

  Adresses email des destinataires et contenu des emails envoyés par le service (invitations, notifications).

  Société américaine · Confidentialité

• Mapbox

  Carte du suivi en direct

  Coordonnées de la ville des visiteurs (jamais leur position précise ni leur adresse IP) et adresse IP de l'utilisateur qui affiche la carte.

  Société américaine · Confidentialité

Autres prestataires d'Airlock

Ces prestataires ne traitent pas les fichiers ni les données des liens du Client. Ils servent à Airlock pour son propre compte et relèvent de la Politique de confidentialité ; ils sont listés ici par transparence.

• Stripe

  Paiements

  Facturation de l'abonnement : identité du payeur et moyen de paiement, saisis directement chez Stripe.

  Irlande / États-Unis · société américaine · Confidentialité

• HubSpot

  Relation client

  Identité des titulaires de compte (email, nom, téléphone), choix de consentement et compteurs d'usage agrégés.

  Société américaine · Confidentialité

• Telegram

  Alertes internes

  Email des nouveaux inscrits, nom et société des personnes qui réservent une démonstration, adresses IP en cause dans une alerte de sécurité.

  Pays-Bas · société hors Union européenne · Confidentialité