Accord de sous-traitance des données personnelles

1. Parties et objet

Le présent accord (le « DPA ») est conclu entre :

• l'Abonné au service COMPTEXPRESS, pour lui-même et pour chaque Société qu'il rattache à son Compte, agissant en qualité de responsable de traitement (le « Responsable ») ;
• VLT GRAPHIQUE, SASU au capital de 1 000 €, 66 avenue des Champs-Élysées, 75008 Paris, RCS Paris 109 020 008, agissant en qualité de sous-traitant (le « Sous-traitant »).

Il fait partie intégrante du contrat d'abonnement formé par les CGV et les CGU (le « Contrat ») et est accepté avec eux. Il prévaut sur tout autre document contractuel pour les questions relatives aux données personnelles. Il décrit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable, les données personnelles contenues dans sa comptabilité et ses documents de gestion enregistrés dans le service COMPTEXPRESS (le « Service »). La description des traitements figure en annexe 1.

2. Durée

Le DPA s'applique pendant toute la durée du Contrat, y compris la période d'essai, et jusqu'à l'effacement complet des données dans les conditions de l'article 11.

3. Instructions du Responsable

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable. Constituent ces instructions : le Contrat, le présent DPA, le paramétrage du Service par le Responsable et chaque action qu'il déclenche (connexion d'un compte bancaire, téléversement d'un justificatif, validation d'écritures, export, envoi au cabinet, utilisation d'une fonction d'intelligence artificielle…).

Le Sous-traitant n'utilise pas les données pour son propre compte, ne les vend pas et ne les utilise pas pour entraîner des modèles d'intelligence artificielle. S'il est tenu de procéder à un traitement en vertu du droit de l'Union ou d'un État membre, il en informe le Responsable avant le traitement, sauf interdiction légale. Il informe immédiatement le Responsable si une instruction lui paraît constituer une violation de la réglementation.

4. Obligations du Responsable

• déterminer une base légale pour chaque traitement (en principe l'obligation légale de tenir une comptabilité et de conserver les pièces, et l'exécution des contrats avec ses clients, fournisseurs et salariés) et informer les personnes concernées ;
• ne téléverser que des données nécessaires aux finalités décrites en annexe 1 ; ne pas téléverser de données sensibles au sens de l'article 9 du RGPD (par exemple arrêts maladie ou justificatifs médicaux), de données relatives aux condamnations pénales, ni le numéro d'inscription au répertoire des personnes physiques (NIR) ;
• s'assurer qu'il est habilité à donner accès au compte bancaire qu'il relie et révoquer cet accès lorsqu'il n'est plus nécessaire ;
• décider de l'utilisation des fonctions d'intelligence artificielle, sachant qu'elles impliquent la transmission du fichier ou du texte concerné au sous-traitant ultérieur listé en annexe 3 ;
• choisir les destinataires des envois (cabinet) et vérifier les pièces transmises ;
• gérer ses identifiants et les accès de ses propres utilisateurs, tenir son propre registre des activités de traitement et, le cas échéant, conduire son analyse d'impact.

5. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et n'accèdent aux données que dans la mesure nécessaire (support demandé par le Responsable, maintenance, sécurité). Les données bancaires, comptables et salariales sont traitées comme des informations hautement confidentielles.

6. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites en annexe 2. Il peut les faire évoluer, à condition de ne pas réduire le niveau global de sécurité.

7. Sous-traitants ultérieurs

Le Responsable donne une autorisation écrite générale au recours aux sous-traitants ultérieurs listés en annexe 3. Le Sous-traitant informe le Responsable par e-mail de tout ajout ou remplacement envisagé au moins 30 jours avant sa mise en œuvre. Le Responsable peut s'y opposer pour un motif raisonnable lié à la protection des données ; à défaut de solution, il peut résilier le Contrat sans frais avant la date de mise en œuvre, avec remboursement des sommes payées d'avance pour la période non exécutée et bénéfice de la restitution prévue à l'article 18 des CGV.

Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent DPA. Il demeure responsable envers le Responsable de l'exécution de leurs obligations.

Ne sont pas des sous-traitants ultérieurs : l'établissement bancaire du Responsable (Qonto), qui lui fournit ses données et reçoit les justificatifs joints à ses opérations en vertu de son propre contrat ; le cabinet comptable ou tout autre destinataire que le Responsable choisit.

8. Transferts hors de l'Union européenne

Certains sous-traitants ultérieurs traitent des données hors de l'Espace économique européen (annexe 3). Ces transferts sont encadrés, selon le cas, par une décision d'adéquation (EU-U.S. Data Privacy Framework pour les entités certifiées) et/ou par les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914), conformément au chapitre V du RGPD. Le Sous-traitant ne procède à aucun autre transfert sans en informer préalablement le Responsable dans les conditions de l'article 7.

9. Assistance au Responsable

• Droits des personnes : le Service permet au Responsable de consulter et d'exporter les données. Les écritures validées ne pouvant être modifiées, une rectification s'opère par écriture de régularisation. Si une personne concernée (salarié, client, fournisseur) s'adresse directement au Sous-traitant, celui-ci transmet la demande au Responsable sans délai et n'y répond pas lui-même, sauf instruction.
• Obligations de conservation : lorsque le Responsable reçoit une demande d'effacement portant sur des données qu'il est tenu de conserver (article 17.3.b du RGPD, article L. 123-22 du Code de commerce), le Sous-traitant l'assiste pour restreindre l'usage de ces données sans compromettre l'intégrité de la comptabilité.
• Sécurité, analyse d'impact et consultation préalable : le Sous-traitant fournit au Responsable, sur demande, les informations raisonnablement nécessaires pour satisfaire aux articles 32 à 36 du RGPD.

10. Violation de données personnelles

Le Sous-traitant notifie au Responsable toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l'adresse du Compte. La notification comprend, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou envisagées (notamment l'invitation à régénérer une clé bancaire) et un point de contact. Les informations peuvent être communiquées de manière échelonnée. Le Sous-traitant n'effectue pas lui-même la notification à l'autorité de contrôle ni aux personnes pour le compte du Responsable, sauf instruction écrite.

11. Sort des données à la fin du Contrat

Le Responsable étant tenu de conserver ses documents comptables, le Sous-traitant lui restitue d'abord ses données, puis les efface, dans les délais prévus aux articles 18 et 19 des CGV : export possible pendant 90 jours après la fin de l'abonnement (30 jours après un essai non converti), avec un rappel par e-mail avant l'échéance ; effacement de la base active dans les 30 jours suivants ; écrasement des sauvegardes sous 90 jours au plus. La clé bancaire chiffrée est supprimée dès la fin du Contrat. Les données dont la conservation est imposée au Sous-traitant lui-même par la loi sont conservées pour la seule durée légale. Une attestation d'effacement est remise sur demande.

12. Documentation et audit

Le Sous-traitant met à la disposition du Responsable les informations nécessaires pour démontrer le respect du présent DPA : description des mesures de sécurité, liste des sous-traitants ultérieurs et, lorsqu'elles existent, les certifications ou attestations de ses propres prestataires. Il répond à un questionnaire de sécurité raisonnable une fois par an.

Le Responsable peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent du Sous-traitant, moyennant un préavis de 30 jours, au plus une fois par an sauf violation de données avérée, pendant les heures ouvrées et sans perturber le Service ni compromettre la confidentialité des données des autres abonnés. Les frais de l'audit sont à la charge du Responsable. L'audit des infrastructures des sous-traitants ultérieurs s'effectue au moyen de leurs rapports et certifications.

13. Registre et responsabilité

Le Sous-traitant tient un registre des catégories d'activités de traitement effectuées pour le compte de ses abonnés (article 30.2 du RGPD).

La responsabilité de chaque partie au titre du présent DPA est régie par l'article 20 des CGV, sans préjudice des droits que les personnes concernées tiennent de l'article 82 du RGPD.

Annexe 1 — Description des traitements

Annexe 2 — Mesures techniques et organisationnelles de sécurité

Mesures en place à la date d'effet :

• Chiffrement en transit : communications avec le Service et entre le Service et ses prestataires chiffrées (HTTPS/TLS).
• Chiffrement au repos : base de données chiffrée au repos par l'hébergeur ; clé d'accès bancaire chiffrée en outre par le Service (AES-256-GCM) avant stockage, avec une clé maîtresse conservée dans l'environnement serveur, hors de la base. La clé bancaire est testée par un appel de lecture avant enregistrement et n'est jamais renvoyée au navigateur.
• Authentification des abonnés : mots de passe hachés par le fournisseur d'authentification, jamais stockés en clair ; confirmation de l'adresse e-mail ; jetons de session à durée limitée avec renouvellement.
• Accès d'administration de l'Éditeur : cookie de session signé (HMAC-SHA256), limité à 12 heures, marqué Secure, HttpOnly et SameSite=Strict.
• Cloisonnement entre sociétés : chaque donnée est rattachée à une société. Côté serveur, la société concernée par une requête est déterminée à partir des appartenances du compte authentifié ; toute société hors de ces appartenances est refusée (erreurs 401/403), sans repli sur une société par défaut. En base, la sécurité au niveau des lignes est activée, les droits du rôle anonyme sont retirés et les écritures directes depuis le navigateur sont interdites sur les tables métier (écriture uniquement par les fonctions serveur).
• Intégrité comptable : procédure de validation attribuant un numéro définitif et une empreinte SHA-256 chaînée à la précédente ; verrous posés en base interdisant la modification ou la suppression des écritures validées ; journal des validations et des lettrages (auteur, date).
• Paiements : vérification de la signature des notifications du prestataire de paiement avant toute mise à jour d'abonnement.
• Secrets : clés d'accès aux services tiers conservées uniquement dans l'environnement serveur, jamais transmises au navigateur.
• Minimisation vers l'IA : seul le fichier du justificatif, ou le texte du contrat (limité à 60 000 caractères), est transmis, uniquement à l'initiative de l'utilisateur ; prestataire contractuellement tenu de ne pas utiliser ces contenus pour améliorer ses produits.
• Fichiers : noms de fichiers normalisés côté serveur ; nombre et taille des pièces jointes limités pour les envois.
• Contrôle d'accès interne : accès aux consoles des prestataires limités aux personnes habilitées de l'Éditeur.
• Sauvegardes : sauvegardes de la base selon le dispositif de l'hébergeur ; export du FEC, du journal, de la balance et du grand-livre disponible pour le Responsable à tout moment.
• Gestion des incidents : journaux techniques des fonctions serveur ; procédure de traitement et de notification des violations (article 10).
• Mises à jour : correction des vulnérabilités connues des composants dans des délais adaptés à leur gravité.

Annexe 3 — Sous-traitants ultérieurs autorisés