Accord de sous-traitance (DPA)
Le présent document constitue l’accord de sous-traitance au sens de l’article 28 du RGPD entre le client (responsable de traitement) et l’éditeur (sous-traitant) pour les traitements réalisés via La facture . Il complète les CGU et la politique de confidentialité.
1. Parties et rôles
Responsable de traitement : le client titulaire d’un espace La facture , pour les données de facturation et de relation commerciale qu’il saisit ou génère dans son espace (parties, documents, règlements, archives).
Sous-traitant : EI Closier Rudy (), SIRET 98496180500020, La Maison du Bien-être, 18 avenue Foch, 76460 Saint-Valery-en-Caux, pour l’hébergement et l’exécution technique du logiciel.
L’éditeur peut également agir en qualité de responsable de traitement pour ses propres finalités (gestion des comptes, sécurité de la plateforme, facturation de l’abonnement) : ces traitements sont décrits dans la politique de confidentialité et ne relèvent pas du présent DPA.
2. Objet et durée
Le sous-traitant traite les données personnelles pour le compte du client afin de fournir le service SaaS de facturation : création, stockage, consultation, export, archivage et, le cas échéant, transmission réglementaire des documents.
La durée du traitement correspond à la durée d’utilisation de l’espace, augmentée du délai de restitution par l’export qui suit sa clôture, puis de la suppression.
3. Nature et finalité du traitement
- hébergement et exécution du logiciel de facturation ;
- émission, archivage et suivi des documents de facturation ;
- gestion des utilisateurs de l’espace et des accès (y compris accès comptable) ;
- transmission à SuperPDP lorsque le raccordement est activé pour l’espace ;
- sécurité, journaux techniques et prévention des abus ;
- export et assistance à la portabilité / suppression sur instruction du client.
4. Types de données et personnes concernées
Catégories de données (selon l’usage du client) :
- identité et coordonnées des parties (clients, fournisseurs) ;
- données d’identification de l’entité facturante ;
- données économiques et fiscales des documents (montants, TVA, numéros, dates) ;
- archives documentaires et métadonnées techniques associées ;
- données de compte des utilisateurs de l’espace.
Personnes concernées : le client, ses collaborateurs, ses clients et fournisseurs, et toute personne dont les données figurent dans les documents.
Le client s’engage à ne pas faire traiter via la plateforme de données sensibles non nécessaires à la facturation.
5. Instructions du responsable de traitement
Le sous-traitant ne traite les données que sur instruction documentée du client, résultant notamment de l’usage de l’interface, des API et des paramètres de l’espace, ainsi que des présentes CGU / DPA.
Le sous-traitant informe sans délai le client si une instruction lui paraît contraire au RGPD ou au droit de l’Union / français applicable.
Aucune revente, aucun tracking publicitaire, aucun entraînement de modèles d’IA sur les données du client.
6. Confidentialité et personnel
Le sous-traitant veille à ce que les personnes autorisées à traiter les données soient tenues à une obligation de confidentialité et formées aux exigences de protection des données.
7. Sécurité (article 32 RGPD)
Mesures mises en œuvre notamment :
- isolation logique par espace ;
- authentification, contrôle d’accès et journal d’audit ;
- secrets hors dépôt, chiffrement des secrets SuperPDP en base ;
- CSP stricte, protection CSRF, rate-limiting ;
- journaux sans adresse IP en clair (hachage) ;
- hébergement en France.
8. Sous-traitants ultérieurs
Le client autorise de manière générale le recours aux sous-traitants ultérieurs strictement nécessaires au service. Le client est informé des changements substantiels et peut s’y opposer pour motif légitime lié à la protection des données, ce qui peut entraîner la résiliation de l’espace si le service ne peut plus être fourni.
Sous-traitants ultérieurs prévus :
- Hébergeur : o2switch (Chemin des Pardiaux, 63000 Clermont-Ferrand, France) ;
- Envoi d’emails transactionnels : infrastructure SMTP de l’éditeur / prestataire mail configuré, sans tracking publicitaire ;
- Plateforme Agréée : SuperPDP ;
- Hub Shield : signalement et coordination de sécurité.
9. Transferts hors UE
Les données métier sont hébergées en France / Union européenne. Tout transfert hors UE éventuel lié à un sous-traitant ultérieur ferait l’objet de garanties appropriées (clauses contractuelles types ou mécanisme équivalent) et d’une information du client.
10. Assistance aux droits des personnes
Le sous-traitant assiste le client, dans la mesure du possible et via les fonctionnalités du service (export, paramètres), pour répondre aux demandes d’exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition).
Les demandes reçues directement par l’éditeur et relevant clairement d’un espace client sont réorientées vers le client lorsque cela est possible.
11. Notification de violation
Le sous-traitant notifie au client toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, avec les informations utiles pour permettre au client de respecter ses obligations de notification (CNIL / personnes concernées).
12. Assistance AIPD et audits
Le sous-traitant met à disposition les informations raisonnablement nécessaires pour démontrer le respect de l’article 28 et contribue aux audits du client, dans la limite de la confidentialité, de la sécurité et des droits des autres clients.
13. Sort des données en fin de contrat
À la clôture de l’espace, le client garde un accès en lecture et export pendant 30 jours (export complet depuis Mon compte). Le lendemain de la fin de cet accès, le sous-traitant supprime toutes les données de l’espace, factures et archives comprises (article 28.3.g du RGPD) ; les sauvegardes techniques expirent ensuite par rotation. Un gel motivé (litige, contrôle) suspend la suppression jusqu’à sa levée.
La conservation légale des factures incombe au client, responsable de traitement : le sous-traitant ne la prend pas en charge après la clôture. Seules restent chez l’éditeur ses propres pièces (facturation du service, preuve de la clôture), au titre de ses obligations. Les factures transmises ou reçues par la plateforme agréée restent chez elle, selon ses propres conditions.
Les instances de démonstration sont purgées automatiquement.
14. Contact
Pour toute question relative au présent accord : contact [arobase] ecauxlogique [point] fr.
Éditeur / sous-traitant : Rudy Closier — La facture .