--- title: "Conformité RGPD de Papermark en 2026 : DPA, Sous-traitants et Résidence des Données dans l'UE" lang: fr canonical_url: https://www.papermark.com/fr/blog/papermark-gdpr-compliance last_updated: 2026-04-24 published: 2025-01-27 category: [datarooms] author: "Marc Seitz" summary: "La conformité RGPD de Papermark expliquée : DPA, sous-traitants, résidence des données, droits des personnes concernées et comment nous répondons aux exigences de protection des données de l'UE pour les flux de travail VDR." --- # Conformité RGPD de Papermark en 2026 : DPA, Sous-traitants et Résidence des Données dans l'UE **Papermark est conforme au RGPD** pour l'ensemble de ses flux de travail de salle de données virtuelle, de partage de documents et d'analyse. Nous agissons en tant que sous-traitant de données (au sens du RGPD) pour les clients traitant des données de résidents de l'UE, proposons un Accord de Traitement des Données (DPA) signé, maintenons une liste publique de sous-traitants ultérieurs et prenons en charge la résidence des données dans l'UE pour les déploiements qui l'exigent. Pour la posture complète en matière de sécurité et de conformité (chiffrement, régions d'hébergement, certifications), consultez la **[page sécurité de Papermark](https://www.papermark.com/fr/security.md)**. ![Salle de données Papermark avec permissions d'accès granulaires](https://img.papermarkassets.com/upload/file_LkU4BNY6MKUKMgDucSzzFg-papermark-granular-permissions.png) Ce guide détaille précisément comment nous répondons à chaque exigence du RGPD et ce que cela signifie pour les clients qui gèrent des flux de travail réglementés par l'UE sur Papermark. ## Récapitulatif rapide - **RGPD** (Règlement UE 2016/679) régit le traitement des données personnelles des résidents de l'UE, en vigueur depuis mai 2018. - **Papermark est conforme au RGPD** en tant que sous-traitant de données, opérant dans le cadre d'un DPA signé avec les clients qui traitent des données de résidents de l'UE. - **Base juridique** du traitement : contrat (service client), intérêt légitime (sécurité, prévention de la fraude) et consentement (marketing) selon les cas. - **Droits des personnes concernées pris en charge** : accès, rectification, effacement (« droit à l'oubli »), portabilité, opposition et limitation. - **Mesures de sécurité techniques** : chiffrement AES-256 au repos, TLS 1.3 en transit, authentification multifacteur (MFA), contrôle d'accès basé sur les rôles, journalisation d'audit en ajout seul et SOC 2 Type II. - **Résidence des données dans l'UE** disponible pour les déploiements entreprise via l'option auto-hébergée ou le cloud régional UE. - **Amendes pour non-conformité** pouvant atteindre 4 % du chiffre d'affaires mondial ou 20 millions d'euros (le montant le plus élevé étant retenu). - **Sous-traitants ultérieurs** répertoriés publiquement avec les services qu'ils fournissent et les juridictions dans lesquelles ils opèrent. ## Qu'est-ce que la conformité RGPD ? > Le Règlement Général sur la Protection des Données (RGPD) est une loi européenne exhaustive sur la protection des données qui régit la manière dont les organisations collectent, traitent, stockent et protègent les données personnelles des résidents de l'UE. Il s'applique à toute organisation traitant des données de résidents de l'UE, quel que soit l'emplacement de l'organisation. Le non-respect peut entraîner des amendes pouvant atteindre 4 % du chiffre d'affaires mondial ou 20 millions d'euros, selon le montant le plus élevé. Le RGPD repose sur sept principes : traitement licite, limitation des finalités, minimisation des données, exactitude, limitation de la conservation, intégrité et confidentialité, et responsabilité. Pour une VDR traitant des documents commerciaux confidentiels contenant des données personnelles d'employés, d'investisseurs ou de contreparties, la conformité au RGPD n'est pas facultative. ## Pourquoi le RGPD est important pour les salles de données virtuelles Les salles de données virtuelles traitent régulièrement des données personnelles dans le cadre de workflows de fusions-acquisitions, de levées de fonds et d'audits : dossiers des employés lors de l'audit RH, coordonnées des investisseurs, signataires de contrats clients, données personnelles des investisseurs LP. Quatre raisons rendent la conformité RGPD essentielle pour la sélection d'une VDR. **Portée mondiale.** Le RGPD s'applique à toute organisation traitant des données de résidents de l'UE, quel que soit l'emplacement de l'organisation elle-même. Une entreprise américaine levant des fonds auprès de LP européens doit utiliser une VDR conforme au RGPD. **Exposition juridique.** Les amendes pour non-conformité sont proportionnelles au chiffre d'affaires mondial : jusqu'à 4 % ou 20 millions d'euros, selon le montant le plus élevé. L'utilisation d'une VDR non conforme crée une responsabilité pour le client, pas seulement pour le fournisseur. **Audit des fournisseurs.** Les clients de l'UE exigent de plus en plus une documentation RGPD (DPA, liste des sous-traitants, résidence des données) dans le cadre de l'intégration des fournisseurs. Une VDR non conforme au RGPD échoue à cette vérification. **Confiance des personnes concernées.** Les régulateurs et les tribunaux de l'UE examinent de plus en plus attentivement les transferts transfrontaliers, en particulier vers les fournisseurs de cloud américains après l'arrêt Schrems II. Une VDR disposant d'une position RGPD documentée réduit ce risque. ## Comment Papermark répond aux exigences du RGPD Papermark agit en tant que **sous-traitant** pour les clients qui sont les **responsables du traitement** des informations qu'ils téléchargent. Nous traitons les données personnelles selon les instructions du client, telles que définies dans notre accord de traitement des données (DPA). ### Traitement licite et base juridique Papermark traite les données personnelles sur la base de quatre fondements juridiques, selon le cas : - **Contrat** : traitement nécessaire pour fournir le service (gestion de compte, stockage de documents, analyses). - **Intérêt légitime** : surveillance de la sécurité, prévention de la fraude, exploitation de la plateforme. - **Consentement** : communications marketing et améliorations optionnelles des analyses. - **Obligation légale** : conformité comptable, fiscale et réglementaire. ### Droits des personnes concernées pris en charge Les personnes concernées (les personnes dont les données sont traitées) peuvent exercer les droits suivants via leur compte ou par une demande formelle : - **Droit d'accès** (Article 15) : demander une copie des données personnelles traitées. - **Droit de rectification** (Article 16) : corriger des données inexactes ou incomplètes. - **Droit à l'effacement** (Article 17, « droit à l'oubli ») : demander la suppression lorsque le fondement juridique ne s'applique plus. - **Droit à la portabilité** (Article 20) : exporter les données personnelles dans un format structuré et couramment utilisé. - **Droit d'opposition** (Article 21) : s'opposer au traitement fondé sur l'intérêt légitime ou au marketing direct. - **Droit à la limitation** (Article 18) : limiter le traitement en attendant la rectification ou l'examen de l'opposition. - **Droit de ne pas faire l'objet de décisions automatisées** (Article 22). ### Mesures de sécurité techniques ![Filigrane dynamique sur un document Papermark](https://img.papermarkassets.com/upload/file_K5YrPULdsZpdY6zaxnGHsN-Screenshot-2025-03-27-at-1.47.20-PM.png) Les contrôles techniques de Papermark soutenant la conformité au RGPD : - **Chiffrement au repos** (AES-256) pour tous les documents stockés, métadonnées et journaux d'audit. - **Chiffrement en transit** (TLS 1.3) pour toutes les communications client-serveur. - **Contrôles d'accès** avec authentification multifacteur, autorisations basées sur les rôles et jetons API à portée limitée. - **Sécurité réseau** avec pare-feu applicatif (WAF), limitation du débit et détection d'intrusion. - **Audits de sécurité réguliers** incluant un audit annuel SOC 2 Type II et des tests de pénétration. - **Journaux d'audit en mode ajout seul** pour chaque événement d'accès et de modification des données. ### Mesures de protection organisationnelles - **Protection de la vie privée dès la conception** intégrée aux spécifications produit, et non ajoutée après coup. - **Formation RGPD des employés** pour tout le personnel ayant accès aux données. - **Délégué à la protection des données** responsable de la conformité et de la coordination avec les autorités de protection des données. - **Procédures de réponse aux incidents** avec notification de violation dans les 72 heures conformément à l'article 33. - **Contrats de traitement des données (CTD)** disponibles à la signature pour tous les clients entreprise. ## CTD, sous-traitants et résidence des données Trois éléments constituent la documentation RGPD au niveau contractuel que les acheteurs européens demandent généralement lors de l'évaluation des fournisseurs. ### Contrat de traitement des données (CTD) Un **CTD** est le contrat juridique entre un responsable du traitement (client) et un sous-traitant (Papermark) qui définit les conditions de traitement, les droits des personnes concernées, les obligations de sécurité et les procédures de notification de violation conformément à l'article 28 du RGPD. Papermark fournit un CTD standard disponible pour consultation et signature, et accepte les modifications spécifiques au client pour les contrats entreprise. ### Liste des sous-traitants Papermark maintient une **liste publique de sous-traitants** identifiant chaque tiers qui traite les données clients dans le cadre de la prestation de services (fournisseurs d'infrastructure, livraison d'e-mails, analytique). Pour chaque sous-traitant, la liste documente le service fourni, les données traitées et la juridiction d'exploitation. Les clients sont informés à l'avance de tout changement significatif de sous-traitant. ### Options de résidence des données Pour les clients exigeant que les données restent au sein de l'UE (restrictions de transfert transfrontalier post-Schrems II, secteurs réglementés, exigences de souveraineté des données), Papermark propose : - **Déploiement cloud en région UE** sur la plateforme Papermark hébergée pour les contrats entreprise. - **Déploiement auto-hébergé** utilisant le code open source Papermark sur l'infrastructure du client dans n'importe quelle juridiction. - **Déploiements hybrides** où certaines salles de données à haute sensibilité sont auto-hébergées tandis que les flux de travail généraux utilisent la plateforme cloud. ## Articles du RGPD correspondant aux fonctionnalités de Papermark | Article RGPD | Exigence | Mise en œuvre par Papermark | | ------------ | ---------------------------------------- | --------------------------------------------------------------------------------- | | Art. 5 | Principes de traitement | Base légale documentée, finalité spécifiée, collecte de données minimisée | | Art. 6 | Base légale | Contrat, intérêt légitime, consentement, obligation légale selon le cas | | Art. 12-14 | Transparence et information | Politique de confidentialité, avis sur les cookies, registres au niveau du compte | | Art. 15-22 | Droits des personnes concernées | Contrôles intégrés au produit et processus de demande formelle | | Art. 25 | Protection des données dès la conception | Confidentialité examinée dans le cadre du développement produit | | Art. 28 | Obligations du sous-traitant | DPA signé, activités de traitement documentées | | Art. 30 | Registre des activités de traitement | ROPA interne maintenu | | Art. 32 | Sécurité du traitement | AES-256, TLS 1.3, MFA, journal d'audit, SOC 2 Type II | | Art. 33-34 | Notification de violation | Notification sous 72 heures, réponse aux incidents documentée | | Art. 35 | AIPD | Réalisée pour les activités de traitement à haut risque | | Art. 44-50 | Transferts transfrontaliers | Options de résidence UE, CCT pour les transferts internationaux | ## Ce que la conformité au RGPD signifie pour les utilisateurs de Papermark **Pour les clients basés dans l'UE.** Papermark répond aux exigences locales en matière de protection des données, soutient vos obligations de conformité et fournit la documentation DPA et sous-traitants dont votre équipe juridique a besoin pour les évaluations fournisseurs. **Pour les clients internationaux traitant des données européennes.** La conformité RGPD de Papermark vous permet de gérer des opérations de fusions-acquisitions, de levées de fonds et d'audits impliquant des résidents de l'UE sans créer de risque de conformité supplémentaire. **Pour les processus d'audit.** Les professionnels juridiques et financiers peuvent mener des audits transfrontaliers en sachant que la plateforme répond aux exigences du RGPD en matière de traitement des données personnelles. **Pour les activités de levée de fonds.** Les startups levant des fonds auprès de LPs européens peuvent démontrer leur conformité au RGPD par leur choix de VDR, ce qui devient de plus en plus une exigence d'approvisionnement pour les LPs institutionnels européens. ## Découvrez-le dans le produit Les analyses de documents page par page fournissent aux responsables du traitement la piste d'audit requise par l'Article 30 : ![Analyses page par page Papermark](https://img.papermarkassets.com/upload/file_VnvhR1hNWeJAbmwPYyMnPA-pitch-deck-analytics-Papermark-v2-.png) Pour la liste complète des certifications, régions d'hébergement, normes de chiffrement, ainsi que la DPA publique et la liste des sous-traitants, consultez la **[page sécurité de Papermark](https://www.papermark.com/fr/security.md)**. ## Sécurité et conformité Papermark en un coup d'œil | Fonctionnalité | Papermark | | ---------------------------------- | ----------------------------------- | | Conforme au RGPD | ✔️ | | DPA disponible | ✔️ | | Liste publique des sous-traitants | ✔️ | | Résidence des données dans l'UE | ✔️ (entreprise, auto-hébergé) | | SOC 2 Type II | ✔️ | | ISO 27001 | Via déploiement auto-hébergé | | HIPAA | Via auto-hébergé + BAA (entreprise) | | Chiffrement au repos | AES-256 | | Chiffrement en transit | TLS 1.3 | | Authentification multi-facteurs | ✔️ | | Journalisation des audits | Ajout seul, exportable | | Notification de violation sous 72h | ✔️ | | Option auto-hébergée | ✔️ (open-source AGPL) | ## FAQ ### Papermark est-il conforme au RGPD ? Oui. Papermark est conforme au RGPD en tant que sous-traitant de données, opérant dans le cadre d'un Accord de Traitement des Données (DPA) signé avec les clients. Nous prenons en charge tous les droits applicables des personnes concernées (accès, rectification, effacement, portabilité, opposition, limitation), appliquons un chiffrement AES-256 au repos et TLS 1.3 en transit, et maintenons une liste publique de sous-traitants. ### Papermark propose-t-il un DPA ? Oui. Papermark fournit un Accord de Traitement des Données standard disponible pour signature pour tous les clients entreprises. Les amendements au DPA pour des exigences réglementaires ou sectorielles spécifiques sont pris en charge pour les contrats entreprises. Contactez privacy@papermark.com pour initier un processus de signature de DPA. ### Papermark propose-t-il la résidence des données dans l'UE ? Oui, par deux voies : déploiement cloud en région UE sur la plateforme Papermark hébergée pour les contrats entreprises, et déploiement auto-hébergé utilisant le code open-source Papermark sur votre propre infrastructure basée dans l'UE. Les configurations hybrides sont également prises en charge. ### Qui sont les sous-traitants de Papermark ? Papermark maintient une liste publique de sous-traitants identifiant chaque tiers traitant les données clients dans le cadre de la prestation de services, avec le service fourni, les données traitées et la juridiction d'exploitation documentés pour chacun. Les clients sont informés à l'avance de tout changement important de sous-traitant. ### Comment Papermark gère-t-il les demandes des personnes concernées ? Les personnes concernées peuvent exercer leurs droits RGPD (accès, rectification, effacement, portabilité, opposition, limitation) via les contrôles intégrés au produit ou par demande formelle à privacy@papermark.com. Les demandes sont traitées dans le délai d'un mois imposé par le RGPD, avec des prolongations pour les demandes complexes comme le permet l'Article 12(3). ### Que se passe-t-il en cas de violation de données ? Papermark suit des procédures documentées de réponse aux incidents avec notification de violation sous 72 heures conformément à l'Article 33. Les clients concernés sont informés avec les détails de la violation, les catégories de données affectées, les conséquences probables et les mesures d'atténuation prises. Les violations à haut risque déclenchent une notification directe des personnes concernées en vertu de l'Article 34. ### Le RGPD s'applique-t-il aux entreprises non européennes ? Oui. Le RGPD s'applique à toute organisation traitant des données personnelles de résidents de l'UE, quel que soit le lieu d'implantation de l'organisation. Une entreprise américaine levant des capitaux auprès de LPs européens, une entreprise singapourienne effectuant une diligence sur une cible européenne, ou une société australienne recrutant en Allemagne doivent toutes se conformer au RGPD pour ce traitement. ### Puis-je auto-héberger Papermark pour une résidence des données plus stricte ? Oui. Papermark est open-source sous licence AGPL et peut être auto-hébergé sur votre propre infrastructure dans n'importe quelle juridiction. Le déploiement auto-hébergé vous donne un contrôle total sur la localisation des données, les clés de chiffrement et les politiques de rétention, ce qui est important pour les secteurs réglementés et les exigences de souveraineté des données. ## Ressources associées - [Conformité SOC 2 de Papermark](/fr/blog/papermark-soc2-compliance.md) - [Qu'est-ce qu'une salle de données virtuelle ?](/fr/blog/what-is-virtual-data-room.md) - [15 fonctionnalités essentielles d'une salle de données virtuelle](/fr/blog/virtual-data-room-features.md) - [Guide complet de la salle de données pour la diligence raisonnable](/fr/blog/best-virtual-data-rooms-for-due-diligence.md) - [Les meilleures salles de données virtuelles en 2026](/fr/blog/best-virtual-data-rooms.md) - [Salle de données virtuelle pour la biotechnologie (HIPAA)](/fr/blog/virtual-data-room-for-biotech.md) - [Page sécurité de Papermark](https://www.papermark.com/fr/security.md) --- _Markdown version of [this article](https://www.papermark.com/fr/blog/papermark-gdpr-compliance) for AI agents and LLMs._ _More Papermark content: [llms.txt](https://www.papermark.com/fr/llms.txt) · [full index (English)](https://www.papermark.com/llms-full.txt)._