Confidentiality & Data Protection Charter
Version of 30 September 2026
This Charter applies between Nathan de Castro Fernandes, sole proprietor (EI), SIRET 940 000
649 00019 (the “Provider”) and
the client named below (the “Client”). It supplements the
General Terms of Sale and the
accepted quote (together, the “Agreement”) and applies to every project the Provider carries out for the Client.
1. Confidential information
“Confidential Information” means any non-public information that one
party receives from the other in connection with the project,
whatever its form.
-
Of the Client: business data, customer and user
data, commercial plans, credentials and access keys, unpublished
content.
-
Of the Provider: source code, architecture,
tools, libraries, methods, know-how, quotes and prices.
Information is not confidential if it is public without breach of
this Charter, was already lawfully known to the receiving party, was
lawfully received from a third party, or was developed
independently.
2. Mutual obligations
Each party undertakes to:
- use the other party's Confidential Information only for the project;
- disclose it only to persons who need it for the project and who are bound by an equivalent duty of confidentiality;
- protect it with at least the care it applies to its own confidential information;
- inform the other party without delay of any unauthorised disclosure.
A party may disclose Confidential Information where a law or a court
requires it, after informing the other party where permitted. These
obligations apply for the duration of the Agreement and for five (5)
years after it ends. They apply without limit in time to the
Provider's source code and to personal data.
3. The Provider's source code
The source code, tools and know-how of the Provider remain its
exclusive property and are Confidential Information. If the Client
gains access to all or part of the source code, for any reason, the
Client must not copy it, disclose it, or give it to a third party,
including another developer, without the Provider's prior written
consent.
4. Accounts and credentials
The Client gives the Provider only the access needed for the
project. The Provider stores credentials securely and does not share
them outside the project. The Client is responsible for the security
of its own accounts, for the rights it grants, and for changing or
revoking access at the end of the project or of Maintenance.
5. Personal data: roles
For personal data of the App's users, the Client is the
controller: the Client decides why and how the data
is processed. The Provider acts as processor, on
behalf of the Client, within the meaning of Regulation (EU) 2016/679
(GDPR) and of the French Data Protection Act.
| Purpose of processing |
Development, hosting setup, operation and maintenance of the App. |
| Duration |
Development, then the period during which Maintenance is in force. |
| Data subjects |
Users of the App; staff and contacts of the Client. |
| Categories of data |
Identification and contact data, account data, content and usage
data created in the App.
|
The Client must tell the Provider in writing, before development,
whether the App will process sensitive data (health, biometric,
children's data, payment data or similar). Such data requires
specific measures agreed in writing.
6. The Provider's commitments as processor
- process personal data only on the Client's documented instructions, including those resulting from the Agreement;
- keep the data confidential and make sure that any person who accesses it is bound by confidentiality;
- apply the security measures described in article 8;
- help the Client, within reason, to answer requests from data subjects and to meet its own GDPR obligations;
- notify the Client without undue delay after becoming aware of a personal data breach;
- at the end of the services, delete or return the personal data it holds, at the Client's choice, unless the law requires retention;
- give the Client the information needed to demonstrate compliance with these commitments.
Assistance and audits that go beyond reasonable effort are invoiced
at the Provider's usual rate.
7. Sub-processors and transfers
The Client authorises the Provider to use sub-processors needed to
run the App, in particular Google (Firebase, Google Cloud, Google
Play), Apple (App Store), and the hosting and technical service
providers listed in the quote or in the App's documentation. The
Provider informs the Client of any new sub-processor; the Client may
object on reasonable grounds.
Where these sub-processors transfer data outside the European
Economic Area, the transfer relies on the safeguards they provide
(adequacy decision or standard contractual clauses). Where an
account is opened in the Client's name, the Client contracts
directly with that service provider.
8. Security
The Provider applies reasonable measures suited to the project, including:
- encrypted connections (HTTPS/TLS) between the App and its servers;
- access rules limiting each user to their own data;
- strong authentication on development and administration accounts;
- access to production data limited to what is needed for operation and support;
- no copy of production personal data on personal devices beyond what the work requires.
No system is perfectly secure. The Provider is bound by an
obligation of means and does not guarantee absolute security.
9. The Client's responsibilities
As controller, the Client remains responsible for:
- the lawfulness of the processing and its legal basis;
- informing users (privacy policy, legal notices) and collecting consent where required;
- answering requests from data subjects;
- keeping its record of processing and notifying the authority (CNIL) and data subjects of a breach where required;
- the content and data that it or its users put in the App.
The Provider may supply a template privacy policy. The Client is
responsible for checking that it fits its activity.
10. When Maintenance is not in force
If Maintenance is not subscribed, or once it has ended, the Provider
no longer monitors the App, applies security updates, or acts as
processor. The Client alone is then responsible for the security of
the App and of the data. At the Client's request, the Provider
removes its own access to the Client's accounts.
11. The Client's own contact data
The Provider processes, as controller, the contact and billing data
of the Client and of its staff, to manage the contract, invoicing
and the business relationship. This data is kept for the duration of
the relationship, then for the legal retention periods (ten years
for accounting records). The persons concerned may exercise their
rights of access, rectification, erasure and objection by writing to
contact@coldsnap.fr, and may lodge a complaint with the CNIL.
12. Liability and governing law
The liability limits, the governing law and the jurisdiction set out
in the Agreement apply to this Charter. If the English and French
versions differ, the French version prevails.
Signatures
Signed at
on , in two originals.
The Provider
Nathan de Castro Fernandes, EI
The Client
Name, title, “read and approved”
Charte de confidentialité et de protection des données
Version du 30 septembre 2026
La présente Charte s'applique entre Nathan de Castro Fernandes, Entrepreneur individuel (EI), SIRET
940 000 649 00019 (le « Prestataire ») et le client désigné ci-dessous (le « Client »).
Elle complète les
Conditions générales de vente
et le devis accepté (ensemble, le « Contrat ») et s'applique à tout
projet réalisé par le Prestataire pour le Client.
| Client |
|
| Application / projet |
|
1. Informations confidentielles
Les « Informations confidentielles » désignent toute information
non publique qu'une partie reçoit de l'autre dans le cadre du
projet, quelle qu'en soit la forme.
-
Du Client : données d'activité, données de
clients et d'utilisateurs, projets commerciaux, identifiants et
clés d'accès, contenus non publiés.
-
Du Prestataire : code source, architecture,
outils, bibliothèques, méthodes, savoir-faire, devis et tarifs.
Une information n'est pas confidentielle si elle est publique sans
violation de la présente Charte, si elle était déjà légitimement
connue de la partie qui la reçoit, si elle a été légitimement reçue
d'un tiers, ou si elle a été développée de manière indépendante.
2. Obligations réciproques
Chaque partie s'engage à :
- n'utiliser les Informations confidentielles de l'autre partie que pour le projet ;
- ne les communiquer qu'aux personnes qui en ont besoin pour le projet et qui sont tenues d'une obligation de confidentialité équivalente ;
- les protéger avec au moins le même soin que ses propres informations confidentielles ;
- informer sans délai l'autre partie de toute divulgation non autorisée.
Une partie peut communiquer des Informations confidentielles
lorsqu'une loi ou une juridiction l'exige, après en avoir informé
l'autre partie lorsque cela est permis. Ces obligations s'appliquent
pendant la durée du Contrat et pendant cinq (5) ans après sa fin.
Elles s'appliquent sans limitation de durée au code source du
Prestataire et aux données personnelles.
3. Code source du Prestataire
Le code source, les outils et le savoir-faire du Prestataire
restent sa propriété exclusive et constituent des Informations
confidentielles. Si le Client accède à tout ou partie du code
source, pour quelque raison que ce soit, il s'interdit de le
copier, de le divulguer ou de le remettre à un tiers, y compris à
un autre développeur, sans l'accord écrit préalable du Prestataire.
4. Comptes et identifiants
Le Client ne donne au Prestataire que les accès nécessaires au
projet. Le Prestataire conserve les identifiants de manière
sécurisée et ne les partage pas en dehors du projet. Le Client est
responsable de la sécurité de ses propres comptes, des droits qu'il
accorde, et de la modification ou de la révocation des accès à la
fin du projet ou de la Maintenance.
5. Données personnelles : rôles
Pour les données personnelles des utilisateurs de l'Application, le
Client est responsable de traitement : il décide
des finalités et des moyens du traitement. Le Prestataire agit en
qualité de sous-traitant, pour le compte du
Client, au sens du Règlement (UE) 2016/679 (RGPD) et de la loi
Informatique et Libertés.
| Finalité du traitement |
Développement, mise en place de l'hébergement, exploitation et maintenance de l'Application. |
| Durée |
Le Développement, puis la période pendant laquelle la Maintenance est en vigueur. |
| Personnes concernées |
Utilisateurs de l'Application ; personnel et contacts du Client. |
| Catégories de données |
Données d'identification et de contact, données de compte,
contenus et données d'usage créés dans l'Application.
|
Le Client doit indiquer par écrit au Prestataire, avant le
développement, si l'Application traitera des données sensibles
(santé, biométrie, données de mineurs, données de paiement ou
similaires). Ces données nécessitent des mesures spécifiques
convenues par écrit.
6. Engagements du Prestataire en qualité de sous-traitant
- ne traiter les données personnelles que sur instruction documentée du Client, y compris celles résultant du Contrat ;
- préserver la confidentialité des données et veiller à ce que toute personne y accédant soit tenue à la confidentialité ;
- appliquer les mesures de sécurité décrites à l'article 8 ;
- aider le Client, dans une mesure raisonnable, à répondre aux demandes des personnes concernées et à respecter ses propres obligations au titre du RGPD ;
- notifier au Client toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance ;
- au terme des prestations, supprimer ou restituer les données personnelles qu'il détient, au choix du Client, sauf obligation légale de conservation ;
- mettre à la disposition du Client les informations nécessaires pour démontrer le respect de ces engagements.
L'assistance et les audits qui dépassent un effort raisonnable sont
facturés au tarif habituel du Prestataire.
7. Sous-traitants ultérieurs et transferts
Le Client autorise le Prestataire à recourir aux sous-traitants
ultérieurs nécessaires au fonctionnement de l'Application, notamment
Google (Firebase, Google Cloud, Google Play), Apple (App Store),
ainsi que les hébergeurs et prestataires techniques indiqués dans
le devis ou la documentation de l'Application. Le Prestataire
informe le Client de tout nouveau sous-traitant ultérieur ; le
Client peut s'y opposer pour un motif raisonnable.
Lorsque ces sous-traitants transfèrent des données hors de l'Espace
économique européen, le transfert repose sur les garanties qu'ils
fournissent (décision d'adéquation ou clauses contractuelles
types). Lorsqu'un compte est ouvert au nom du Client, celui-ci
contracte directement avec le prestataire concerné.
8. Sécurité
Le Prestataire met en œuvre des mesures raisonnables adaptées au projet, notamment :
- des connexions chiffrées (HTTPS/TLS) entre l'Application et ses serveurs ;
- des règles d'accès limitant chaque utilisateur à ses propres données ;
- une authentification forte sur les comptes de développement et d'administration ;
- un accès aux données de production limité à ce qui est nécessaire à l'exploitation et au support ;
- aucune copie de données personnelles de production sur des appareils personnels au-delà de ce que le travail exige.
Aucun système n'est parfaitement sûr. Le Prestataire est tenu d'une
obligation de moyens et ne garantit pas une sécurité absolue.
9. Responsabilités du Client
En qualité de responsable de traitement, le Client reste responsable :
- de la licéité du traitement et de sa base légale ;
- de l'information des utilisateurs (politique de confidentialité, mentions légales) et du recueil du consentement lorsqu'il est requis ;
- de la réponse aux demandes des personnes concernées ;
- de la tenue de son registre des traitements et de la notification d'une violation à l'autorité (CNIL) et aux personnes concernées lorsqu'elle est requise ;
- des contenus et données que lui-même ou ses utilisateurs placent dans l'Application.
Le Prestataire peut fournir un modèle de politique de
confidentialité. Il appartient au Client de vérifier qu'il est
adapté à son activité.
10. En l'absence de Maintenance
Si la Maintenance n'est pas souscrite, ou une fois qu'elle a pris
fin, le Prestataire ne surveille plus l'Application, n'applique
plus les mises à jour de sécurité et n'agit plus en qualité de
sous-traitant. Le Client est alors seul responsable de la sécurité
de l'Application et des données. À la demande du Client, le
Prestataire supprime ses propres accès aux comptes du Client.
11. Données de contact du Client
Le Prestataire traite, en qualité de responsable de traitement, les
données de contact et de facturation du Client et de son personnel,
pour la gestion du contrat, la facturation et la relation
commerciale. Ces données sont conservées pendant la durée de la
relation, puis pendant les durées légales de conservation (dix ans
pour les pièces comptables). Les personnes concernées peuvent
exercer leurs droits d'accès, de rectification, d'effacement et
d'opposition en écrivant à contact@coldsnap.fr, et peuvent
introduire une réclamation auprès de la CNIL.
12. Responsabilité et droit applicable
Les limitations de responsabilité, le droit applicable et la
juridiction prévus au Contrat s'appliquent à la présente Charte. En
cas de divergence entre les versions française et anglaise, la
version française prévaut.
Signatures
Fait à ,
le , en deux exemplaires originaux.
Le Prestataire
Nathan de Castro Fernandes, EI
Le Client
Nom, qualité, mention « lu et approuvé »