Accord de sous-traitance des données personnelles

« DPA » — article 28 du règlement (UE) 2016/679 (RGPD).

Version 1.5 — en vigueur le 15/10/2026 (remplace la version 1.4 du 07/10/2026 : collecte des factures reçues par courrier électronique, comprise dans l'Option Pilote automatique ; nouveau sous-traitant ultérieur, OVH, hébergeur du serveur et de la boîte de collecte)

Ce qui change dans la version 1.5. La collecte des factures reçues par courrier électronique (Option Pilote automatique) ajoute un traitement : il est décrit en annexe 1 (données, durées de conservation), ses mesures de sécurité en annexe 2, et son hébergeur, OVH SAS (France), est ajouté aux sous-traitants ultérieurs de l'annexe 3. Il remplace aussi Google et Yahoo pour les notifications contractuelles, désormais adressées depuis envoi@comptexpress.fr. L'annexe 1 indique aussi les deux cas où une fonction d'IA lit un justificatif sans action du Responsable à chaque pièce. La présente version est en vigueur le 15/10/2026. Pour le Responsable qui a accepté la version 1.4, elle s'applique à compter de son acceptation expresse ou, à défaut, à l'expiration du délai de 30 jours suivant l'information prévue à l'article 7 ; jusque-là, la version 1.4 lui reste applicable, la collecte n'est pas mise en œuvre pour lui et il peut s'opposer à l'ajout d'OVH dans les conditions de l'article 7. La collecte n'étant mise en œuvre que pour la Société dont le Responsable a souscrit l'Option et activé la collecte, OVH ne traite aucune donnée du Responsable qui ne l'active pas.

1. Parties et objet

Le présent accord (le « DPA ») est conclu entre :

l'Abonné au service COMPTEXPRESS, pour lui-même et pour chaque Société qu'il rattache à son Compte, agissant en qualité de responsable de traitement (le « Responsable ») ;
VLT GRAPHIQUE, SASU au capital de 1 000 €, 66 avenue des Champs-Élysées, 75008 Paris, RCS Paris 109 020 008, agissant en qualité de sous-traitant (le « Sous-traitant »).

Il fait partie intégrante du contrat d'abonnement formé par les CGV et les CGU (le « Contrat ») et est accepté avec eux. Il prévaut sur tout autre document contractuel pour les questions relatives aux données personnelles. Il décrit les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable, les données personnelles contenues dans sa comptabilité et ses documents de gestion enregistrés dans le service COMPTEXPRESS (le « Service »). La description des traitements figure en annexe 1.

2. Durée

Le DPA s'applique pendant toute la durée du Contrat et jusqu'à l'effacement complet des données dans les conditions de l'article 11.

3. Instructions du Responsable

Le Sous-traitant ne traite les données que sur instruction documentée du Responsable. Constituent ces instructions : le Contrat, le présent DPA, le paramétrage du Service par le Responsable et chaque action qu'il déclenche (connexion d'un compte bancaire, téléversement d'un justificatif, validation d'écritures, export, utilisation d'une fonction d'intelligence artificielle, dépôt ou retrait d'une pièce du coffre à justificatifs, envoi de pièces au cabinet enregistré, activation et réglage du Pilote automatique…).

Le Sous-traitant n'utilise pas les données pour son propre compte, ne les vend pas et ne les utilise pas pour entraîner des modèles d'intelligence artificielle. S'il est tenu de procéder à un traitement en vertu du droit de l'Union ou d'un État membre, il en informe le Responsable avant le traitement, sauf interdiction légale. Il informe immédiatement le Responsable si une instruction lui paraît constituer une violation de la réglementation.

4. Obligations du Responsable

déterminer une base légale pour chaque traitement (en principe l'obligation légale de tenir une comptabilité et de conserver les pièces, et l'exécution des contrats avec ses clients, fournisseurs et salariés) et informer les personnes concernées ;
ne téléverser que des données nécessaires aux finalités décrites en annexe 1 ; ne pas téléverser de données sensibles au sens de l'article 9 du RGPD (par exemple arrêts maladie ou justificatifs médicaux) ni de données relatives aux condamnations pénales ;
Numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) : l'Option Paie et DSN n'étant pas ouverte à la date d'effet des présentes, aucun NIR n'est traité dans le Service et le Responsable ne doit pas en téléverser. Le jour où cette Option sera ouverte, le NIR ne sera traité que pour les seules finalités autorisées par l'article 30 de la loi n° 78-17 du 6 janvier 1978 et le décret n° 2019-341 du 19 avril 2019 ; il sera alors chiffré au repos au moyen d'une clé dédiée, distincte des autres secrets du Service, et n'apparaîtra sur aucun export autre que les déclarations sociales. Le NIR n'est pas une donnée sensible au sens de l'article 9 du RGPD : son usage est réglementé, non interdit ;
s'assurer qu'il est habilité à donner accès au compte bancaire qu'il relie et révoquer cet accès lorsqu'il n'est plus nécessaire ;
décider de l'utilisation des fonctions d'intelligence artificielle, sachant qu'elles impliquent la transmission du fichier, du texte ou des éléments de l'opération concernés au sous-traitant ultérieur listé en annexe 3 ;
choisir les destinataires des envois (cabinet) et vérifier les pièces transmises ;
gérer ses identifiants et les accès de ses propres utilisateurs, tenir son propre registre des activités de traitement et, le cas échéant, conduire son analyse d'impact.

5. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale de confidentialité, et n'accèdent aux données que dans la mesure nécessaire (support demandé par le Responsable, maintenance, sécurité). Les données bancaires, comptables et salariales sont traitées comme des informations hautement confidentielles.

6. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées prévues à l'article 32 du RGPD, décrites en annexe 2. Il peut les faire évoluer, à condition de ne pas réduire le niveau global de sécurité.

7. Sous-traitants ultérieurs

Le Responsable donne une autorisation écrite générale au recours aux sous-traitants ultérieurs listés en annexe 3. Le Sous-traitant informe le Responsable par e-mail de tout ajout ou remplacement envisagé au moins 30 jours avant sa mise en œuvre. Le Responsable peut s'y opposer pour un motif raisonnable lié à la protection des données ; à défaut de solution, il peut résilier le Contrat sans frais avant la date de mise en œuvre, avec remboursement des sommes payées d'avance pour la période non exécutée et bénéfice de la restitution prévue à l'article 18 des CGV.

Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent DPA. Il demeure responsable envers le Responsable de l'exécution de leurs obligations.

Ne sont pas des sous-traitants ultérieurs : l'établissement bancaire du Responsable (Qonto), qui lui fournit ses données et reçoit les justificatifs joints à ses opérations en vertu de son propre contrat ; le cabinet comptable ou tout autre destinataire que le Responsable choisit.

8. Transferts hors de l'Union européenne

Certains sous-traitants ultérieurs traitent des données hors de l'Espace économique européen, ou peuvent y accéder depuis un pays tiers (annexe 3). Ces transferts sont encadrés, selon le cas, par une décision d'adéquation de la Commission européenne (notamment le EU-U.S. Data Privacy Framework pour les entités certifiées, et les décisions relatives au Canada et au Royaume-Uni) et/ou par les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914), conformément au chapitre V du RGPD. Le Sous-traitant ne procède à aucun autre transfert sans en informer préalablement le Responsable dans les conditions de l'article 7.

9. Assistance au Responsable

Droits des personnes : le Service permet au Responsable de consulter et d'exporter les données. Les écritures validées ne pouvant être modifiées, une rectification s'opère par écriture de régularisation. Si une personne concernée (salarié, client, fournisseur) s'adresse directement au Sous-traitant, celui-ci transmet la demande au Responsable sans délai et n'y répond pas lui-même, sauf instruction.
Obligations de conservation : lorsque le Responsable reçoit une demande d'effacement portant sur des données qu'il est tenu de conserver (article 17.3.b du RGPD, article L. 123-22 du Code de commerce), le Sous-traitant l'assiste pour restreindre l'usage de ces données sans compromettre l'intégrité de la comptabilité.
Sécurité, analyse d'impact et consultation préalable : le Sous-traitant fournit au Responsable, sur demande, les informations raisonnablement nécessaires pour satisfaire aux articles 32 à 36 du RGPD.

10. Violation de données personnelles

Le Sous-traitant notifie au Responsable toute violation de données personnelles le concernant dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l'adresse du Compte. La notification comprend, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou envisagées (notamment l'invitation à régénérer une clé bancaire) et un point de contact. Les informations peuvent être communiquées de manière échelonnée. Le Sous-traitant n'effectue pas lui-même la notification à l'autorité de contrôle ni aux personnes pour le compte du Responsable, sauf instruction écrite.

11. Sort des données à la fin du Contrat

Au choix du Responsable, le Sous-traitant lui restitue ses données ou les efface au terme de la prestation, conformément à l'article 28, paragraphe 3, point g, du RGPD. À défaut d'instruction contraire du Responsable, et celui-ci étant tenu de conserver ses documents comptables, le Sous-traitant lui restitue d'abord ses données, puis les efface, dans les délais prévus aux articles 18 et 19 des CGV : export possible pendant 90 jours à compter de la fin de l'abonnement, avec un rappel par e-mail avant l'échéance ; effacement de la base active dans les 30 jours suivant le terme de cette période ; écrasement des sauvegardes sous 90 jours au plus. Sur demande écrite du Responsable, l'effacement anticipé est exécuté dans les 30 jours de la demande. La clé bancaire chiffrée est supprimée dès la fin du Contrat, et sans délai sur demande. Les données dont la conservation est imposée au Sous-traitant lui-même par la loi sont conservées pour la seule durée légale. Une attestation d'effacement est remise sur demande.

12. Documentation et audit

Le Sous-traitant met à la disposition du Responsable les informations nécessaires pour démontrer le respect du présent DPA : description des mesures de sécurité, liste des sous-traitants ultérieurs et, lorsqu'elles existent, les certifications ou attestations de ses propres prestataires. Il répond à un questionnaire de sécurité raisonnable une fois par an.

Le Responsable peut faire réaliser un audit, par lui-même ou par un auditeur indépendant tenu au secret et non concurrent du Sous-traitant, moyennant un préavis de 30 jours, au plus une fois par an sauf violation de données avérée, pendant les heures ouvrées et sans perturber le Service ni compromettre la confidentialité des données des autres abonnés. Les frais de l'audit sont à la charge du Responsable. L'audit des infrastructures des sous-traitants ultérieurs s'effectue au moyen de leurs rapports et certifications.

13. Registre et responsabilité

Le Sous-traitant tient un registre des catégories d'activités de traitement effectuées pour le compte de ses abonnés (article 30.2 du RGPD).

La responsabilité de chaque partie au titre du présent DPA est régie par l'article 20 des CGV, sans préjudice des droits que les personnes concernées tiennent de l'article 82 du RGPD.

Annexe 1 — Description des traitements

Nature du traitement	Hébergement ; lecture d'opérations bancaires via l'interface du Responsable ; enregistrement et stockage de justificatifs ; extraction automatique de données de justificatifs ; rapprochement et jonction de justificatifs aux opérations bancaires ; proposition, validation et numérotation d'écritures ; calcul d'états et de déclarations préparées ; génération de projets de documents ; analyse de contrats assistée par IA ; collecte des factures reçues par courrier électronique, lorsque le Responsable a souscrit l'Option Pilote automatique et activé la collecte (réception sur une adresse de dépôt propre à la société, ou lecture seule du dossier désigné d'une boîte aux lettres de la société ; extraction des pièces jointes et, pour un message sans pièce jointe qui constitue lui-même un justificatif, conversion de son texte en PDF ; voir la ligne « Collecte par courrier électronique ») ; export ; envoi de pièces sur instruction lorsque cette fonction est ouverte ; effacement.
Finalités	Permettre au Responsable de tenir et contrôler sa comptabilité, préparer ses déclarations de TVA et ses états, suivre ses chantiers et ses immobilisations, préparer des documents juridiques, ranger ses pièces dans un coffre à justificatifs, suivre des repères de paie tirés de ses opérations bancaires, constituer le dossier destiné à son cabinet et le lui envoyer.
Catégories de personnes concernées	Dirigeants et associés du Responsable ; salariés (y compris anciens) ; clients et prospects ; fournisseurs et sous-traitants (notamment entrepreneurs individuels) ; contreparties des opérations bancaires ; interlocuteurs du cabinet comptable ; parties aux contrats analysés ou générés ; toute personne figurant sur un justificatif téléversé ou collecté ; expéditeurs des courriers électroniques reçus sur l'adresse de dépôt ou dans le dossier désigné ; utilisateurs du Responsable.
Catégories de données	Identité et coordonnées ; SIREN/SIRET, n° de TVA ; données bancaires et financières (libellés, contreparties, montants, dates et références des opérations, soldes, identifiants de compte de contreparties le cas échéant) ; contenu des factures et tickets (fournisseur, date, numéro, montants, TVA, catégorie) et fichiers des justificatifs ; écritures comptables et leurs métadonnées (numéro, date de validation, auteur, empreinte) ; données salariales apparaissant dans les opérations (nom du salarié, montant net versé, cotisations) ; données de chantier (client, adresse, montants) ; données du dirigeant saisies dans les simulations (rémunération, dividendes, frais, trimestres de retraite) et pièces du coffre à justificatifs ; contenu des contrats analysés et des actes générés ; adresses e-mail des destinataires et contenu des envois.
Collecte par courrier électronique	Pour chaque pièce traitée : la pièce elle-même ; adresse de l'expéditeur, date de réception et identifiant technique du message (servant à éviter les doublons) ; nom, type, taille et empreinte du fichier ; résultat du traitement (fournisseur et montant lus, rattachement, motif d'un refus). Ces informations sont conservées avec les données de la société (article 11). Le corps des messages n'est pas enregistré, sauf pour un message sans pièce jointe admise dont le texte porte les mentions HT, TVA, TTC et un numéro de TVA intracommunautaire français : ce texte est alors converti en un PDF reprenant l'adresse de l'expéditeur, l'objet, la date de réception et le texte du message, conservé et lu comme une pièce jointe s'il porte le numéro de TVA de la société, effacé aussitôt sans lecture automatique sinon ; l'examen de ce texte se fait par des règles, sans IA ; il est activé par défaut pour l'adresse de dépôt et désactivé par défaut pour la boîte de la société, le Responsable pouvant le régler pour chaque mode dans l'écran de la collecte ; un texte examiné qui ne remplit pas ces conditions n'est ni conservé ni journalisé. Une pièce que la lecture automatique désigne comme n'étant pas un justificatif d'achat (devis, relance, publicité…), qu'elle ne parvient pas à lire, ou qui paraît réglée avec un moyen de paiement qui n'est pas celui de la société (par exemple une dépense avancée par le dirigeant) n'est pas enregistrée en comptabilité : elle est placée dans la liste « Pièces écartées » de l'écran de la collecte, où l'utilisateur peut la consulter, la télécharger ou la réintégrer pendant 30 jours ; à l'issue de ce délai, le fichier et ses métadonnées sont effacés. Seule une pièce refusée au contrôle technique (type réel du fichier, taille, empreinte) est effacée aussitôt. La lecture automatique pouvant se tromper, l'utilisateur consulte régulièrement cette liste, qui figure aussi au compte rendu de chaque relève. Pièce reçue au-delà de 100 pièces lues par mois et par société : gardée sans être lue, lue en priorité le mois suivant ; pièces non lues à la fin de l'Option : conservées avec les données de la société. Mode « adresse de dépôt » : les messages complets sont reçus dans une boîte de collecte de l'Éditeur hébergée par OVH en France (annexe 3) et y sont supprimés 30 jours après leur traitement. Un message que le Service n'a pas pu traiter (message de plus de 60 Mo, échec répété du traitement, suivi interrompu par une renumérotation de la boîte) est conservé, sans être lu par une personne, pour de nouveaux essais automatiques, puis supprimé au plus tard 60 jours après sa réception ; la société concernée en est informée dans l'écran de la collecte. Un message dont l'adresse ne porte pas un code valide n'est rattaché à aucune société ni enregistré dans le Service, et il est supprimé de la boîte de collecte au plus tard 7 jours après sa réception. Mode « boîte connectée » : mot de passe de connexion conservé chiffré, propre à la société, effacé au débranchement de la boîte par le Responsable et à la fin de l'Option (résiliation ou expiration ; effacement automatique tracé au journal d'audit) ; identifiant de connexion et adresse du serveur conservés avec le réglage de la société tant que la boîte est branchée, seuls les derniers caractères de l'identifiant étant affichés ; au débranchement de la boîte ou à la fin de l'Option, ils sont effacés avec le mot de passe, et seule une trace de l'action, portant les derniers caractères de l'identifiant, demeure au journal d'audit de la société. Aucun message n'est envoyé, déplacé, marqué ni supprimé dans la boîte du Responsable.
Données sensibles	Aucune attendue ; leur téléversement est proscrit (article 4). Aucun numéro de sécurité sociale (NIR) n'est traité tant que l'Option Paie et DSN n'est pas ouverte ; le régime applicable à son ouverture figure à l'article 4. Les données financières et salariales, sans être des données sensibles au sens de l'article 9 du RGPD, sont traitées comme des données à caractère hautement personnel.
Fréquence	Continue pendant l'utilisation du Service ; lecture bancaire à chaque consultation ou synchronisation ; relève de la collecte par courrier électronique toutes les 5 minutes environ lorsqu'elle est activée.
Durée	Durée du Contrat et délais de l'article 11.
Fonctions d'IA	Données transmises lorsque le Responsable ou ses utilisateurs déclenchent la fonction, et, sans action à chaque pièce une fois la fonction activée : pour la lecture des pièces collectées par courrier électronique et, avec l'Option Pilote automatique, des justificatifs déposés directement dans la banque du Responsable ; détail sur la page Transparence sur l'intelligence artificielle.

Annexe 2 — Mesures techniques et organisationnelles de sécurité

Mesures en place à la date d'effet :

Chiffrement en transit : communications avec le Service et entre le Service et ses prestataires chiffrées (HTTPS/TLS).
Chiffrement au repos : base de données chiffrée au repos par l'hébergeur ; clé d'accès bancaire chiffrée en outre par le Service (AES-256-GCM) avant stockage, avec une clé maîtresse conservée dans l'environnement serveur, hors de la base. La clé bancaire est testée par un appel de lecture avant enregistrement et n'est jamais renvoyée au navigateur.
Authentification des abonnés : mots de passe hachés par le fournisseur d'authentification, jamais stockés en clair ; confirmation de l'adresse e-mail ; jetons de session à durée limitée avec renouvellement.
Accès d'administration de l'Éditeur : cookie de session signé (HMAC-SHA256), limité à 12 heures, marqué Secure, HttpOnly et SameSite=Strict.
Cloisonnement entre sociétés : chaque donnée est rattachée à une société. Côté serveur, la société concernée par une requête est déterminée à partir des appartenances du compte authentifié ; toute société hors de ces appartenances est refusée (erreurs 401/403), sans repli sur une société par défaut. En base, la sécurité au niveau des lignes est activée, les droits du rôle anonyme sont retirés et les écritures directes depuis le navigateur sont interdites sur les tables métier (écriture uniquement par les fonctions serveur). Un accès technique réservé à l'Éditeur, protégé par un secret distinct, permet d'extraire le fichier des écritures comptables de sa propre société ; il ne donne accès à aucune donnée d'un Abonné, toute autre société demandée par ce moyen étant refusée.
Intégrité comptable : procédure de validation attribuant un numéro définitif et une empreinte SHA-256 chaînée à la précédente ; verrous posés en base interdisant la modification ou la suppression des écritures validées ; journal des validations et des lettrages (auteur, date).
Paiements : vérification de la signature des notifications du prestataire de paiement avant toute mise à jour d'abonnement.
Secrets : clés d'accès aux services tiers conservées uniquement dans l'environnement serveur, jamais transmises au navigateur.
Minimisation vers l'IA : seul est transmis le fichier du justificatif, le texte du contrat (limité à 60 000 caractères) ou, pour la proposition de compte assistée, le libellé ou le tiers de l'opération, son sens, son montant et sa date (sans fichier). La transmission a lieu à l'initiative de l'utilisateur ou, une fois la fonction activée par le Responsable, automatiquement pour chaque pièce collectée par courrier électronique et pour les justificatifs déposés dans la banque que lit le Pilote automatique (annexe 1). Elle est bornée par des plafonds par société ou par compte (notamment 10 lectures par jour, 100 pièces collectées lues par mois, 20 lectures par passage du Pilote automatique). Le prestataire est contractuellement tenu de ne pas utiliser ces contenus pour améliorer ses produits.
Fichiers et coffre : noms de fichiers normalisés côté serveur ; type des pièces jointes vérifié sur leur contenu ; pièces du coffre rangées par société et servies uniquement par des liens signés de courte durée (5 minutes pour la consultation, 7 jours pour les liens adressés au cabinet) ; nombre, taille et fréquence des dépôts et des envois limités.
Envois au cabinet : destinataire unique, enregistré pour la société ; copie possible à la seule adresse du compte de l'utilisateur ; envoi depuis une adresse d'expédition dédiée du Service, jamais depuis une messagerie personnelle ; historique sans conservation du contenu ; copies des pièces jointes, conservées pour servir les liens de téléchargement, supprimées automatiquement 8 jours après l'envoi (7 jours de validité des liens et 1 jour de marge), sans effet sur le coffre.
Collecte des factures par courrier électronique : adresse de dépôt et identifiants de connexion rangés par société, sans repli sur une autre société ; mot de passe de connexion chiffré au repos et jamais renvoyé à l'écran (seuls les derniers caractères de l'identifiant sont affichés) ; connexion en lecture seule, limitée au dossier désigné, par un protocole chiffré ; type réel des pièces jointes vérifié sur leur contenu, aucun exécutable ni archive retenus ; corps des messages non enregistré, hors message sans pièce jointe constituant lui-même un justificatif (annexe 1) ; dépôts acceptés seulement s'ils sont signés par le serveur de collecte (signature à usage unique, valable 5 minutes) ; adresse de dépôt sans code valide rattachée à aucune société ; suspension, régénération de l'adresse et débranchement de la boîte à tout moment par le Responsable, tracés au journal d'audit ; messages de la boîte de collecte supprimés 30 jours après leur traitement, et dans tous les cas au plus tard 60 jours après leur réception (7 jours pour un message sans code valide) ; mot de passe effacé automatiquement à la fin de l'Option.
Contrôle d'accès interne : accès aux consoles des prestataires limités aux personnes habilitées de l'Éditeur.
Sauvegardes et restauration : la base de données bénéficie du dispositif de sauvegarde de l'hébergeur. Une sauvegarde planifiée propre à l'Éditeur et une procédure de restauration éprouvée sont en cours de mise en service à la date d'effet des présentes : la restauration complète n'a pas encore été exécutée en conditions réelles, et les données conservées hors base de données (paramètres de modules, inventaire, coffre à justificatifs, chantiers, compteurs) ne sont pas encore couvertes par une sauvegarde distincte. En conséquence, le Responsable est expressément invité à réaliser régulièrement ses propres exports (article 15 des CGV) : export du FEC, du journal, de la balance et du grand-livre disponible à tout moment, ainsi qu'un export complet de la société (données structurées, justificatifs d'origine et manifeste d'empreintes), livré en plusieurs lots pour les pièces volumineuses. Les pièces du coffre à justificatifs s'exportent en libre-service (archive ZIP avec manifeste). L'Éditeur informera le Responsable de la mise en service complète du dispositif et de la première restauration éprouvée.
Gestion des incidents : journaux techniques des fonctions serveur ; procédure de traitement et de notification des violations (article 10).
Mises à jour : correction des vulnérabilités connues des composants dans des délais adaptés à leur gravité.

Annexe 3 — Sous-traitants ultérieurs autorisés

Sous-traitant	Traitement	Localisation	Encadrement des transferts
Supabase Pte. Ltd (Singapour), sur l'infrastructure Amazon Web Services	Base de données, authentification, stockage des justificatifs, clé bancaire chiffrée	UE — région Paris (eu-west-3)	Clauses contractuelles types (modules 2/3) pour les accès hors UE
Netlify, Inc. (États-Unis)	Hébergement du site, fonctions serveur (transit des données bancaires, des justificatifs et des envois), stockage technique complémentaire, journaux	États-Unis / réseau mondial	Data Privacy Framework + clauses contractuelles types
Google (API Gemini, conditions des services payants)	Lecture automatique des justificatifs ; analyse de contrat ; proposition de compte assistée	États-Unis et autres pays	Accord de traitement Google + clauses contractuelles types ; Data Privacy Framework (Google LLC) ; pas d'amélioration des produits
OVH SAS (France)	Hébergement du serveur de l'Éditeur qui opère la collecte des factures reçues par courrier électronique (Option Pilote automatique) et de la boîte de collecte de l'Éditeur : réception des messages adressés à l'adresse de dépôt de la société (supprimés 30 jours après leur traitement et au plus tard 60 jours après leur réception, 7 jours pour un message sans code valide, dans les conditions de l'annexe 1), lecture seule du dossier désigné de la boîte connectée, extraction des pièces jointes avant leur enregistrement dans l'espace de la société	UE — France	Données hébergées en France. Le groupe OVH peut y accéder depuis ses filiales du Canada (OVH Hébergement Inc.) et du Royaume-Uni (OVH Limited), deux pays bénéficiant d'une décision d'adéquation de la Commission européenne ; accord de traitement OVH (annexe « Traitement de données à caractère personnel », version 7.0)
Stripe Payments Europe, Limited (Irlande)	Paiement de l'abonnement (données du Responsable, pas de sa comptabilité)	UE / États-Unis	Avenant de transfert de Stripe (clauses contractuelles types, Data Privacy Framework)
OVH SAS (France), messagerie de l'Éditeur : adresse comptes@vltgraphique.fr, utilisée par le fournisseur d'authentification Supabase	Messages liés au Compte : confirmation de l'adresse e-mail à l'inscription, réinitialisation du mot de passe (adresse e-mail et contenu du message)	France	Accord de traitement OVH (annexe « Traitement de données à caractère personnel », version 7.0) ; accès possible des filiales du groupe OVH au Canada et au Royaume-Uni, pays bénéficiant d'une décision d'adéquation
OVH SAS (France), messagerie de l'Éditeur : adresse envoi@comptexpress.fr (Zimbra, serveur ssl0.ovh.net)	Notifications contractuelles adressées par l'Éditeur (rappel d'échéance, mise en demeure, suspension, préavis de modification, rappel avant effacement, notification de violation de données)	France	Accord de traitement OVH (annexe « Traitement de données à caractère personnel », version 7.0). Le groupe OVH peut accéder aux données depuis ses filiales du Canada et du Royaume-Uni, deux pays bénéficiant d'une décision d'adéquation. Seuls sont concernés l'adresse e-mail du destinataire et le contenu de la notification, à l'exclusion des données comptables des Abonnés
Prestataire d'envoi transactionnel (adresse d'expédition dédiée du Service)	Envois au cabinet décidés par le Responsable : adresse du cabinet enregistré, adresse du compte en copie, objet, message, pièces jointes et liens de téléchargement	Non encore désigné à la date d'effet des présentes : l'envoi au cabinet est inactif. Le prestataire sera ajouté à la présente annexe dans les conditions de l'article 7, sous accord de sous-traitance conforme à l'article 28 du RGPD, avant toute activation de l'envoi