Accord relatif au traitement des données

1. Parties et qualification

Le Client agit en qualité de responsable du traitement pour les données qu’il saisit ou importe afin de gérer ses propres clients, prospects, fournisseurs, contacts, salariés ou partenaires. PROACTES agit en qualité de sous-traitant.

Chaque partie reste responsable des traitements dont elle détermine elle-même les finalités et les moyens. Le présent accord encadre les traitements effectués par PROACTES pour le compte du Client conformément à l’article 28 du RGPD.

2. Description des traitements confiés

Objet et finalités : hébergement, organisation, consultation, calcul, édition, transmission, sauvegarde, support et suppression des données nécessaires à la fourniture de FACTORIS.

Nature des opérations : collecte pour le compte du Client, enregistrement, structuration, conservation, adaptation, consultation, extraction, transmission à la demande, rapprochement, limitation et effacement.

Durée : pendant le contrat, augmentée de la période nécessaire à la réversibilité, à la suppression des sauvegardes résiduelles et au respect des obligations légales applicables.

Personnes concernées : clients et prospects du Client, fournisseurs, contacts, dirigeants, salariés, sous-traitants et toute personne figurant licitement dans les documents gérés par le Client.

Données : identité, coordonnées, informations professionnelles, données de facturation et de transaction, références contractuelles, informations de chantier, pièces jointes, échanges et traces techniques. Le traitement de données sensibles n’est pas prévu.

3. Instructions du Client

PROACTES traite les données uniquement sur les instructions documentées du Client, constituées par le contrat, la configuration du compte et les demandes licites adressées au support.

Si une instruction paraît contraire au RGPD ou au droit applicable, PROACTES en informe le Client et peut en suspendre l’exécution jusqu’à clarification. Si une loi impose un traitement ou un transfert, PROACTES en informe préalablement le Client, sauf interdiction légale.

4. Confidentialité et personnel habilité

PROACTES limite l’accès aux personnes qui en ont besoin pour fournir ou sécuriser le service. Ces personnes sont soumises à une obligation de confidentialité et reçoivent les consignes appropriées en matière de protection des données.

5. Mesures de sécurité

Compte tenu de l’état de l’art, des coûts, de la nature des données et des risques, PROACTES applique notamment les mesures suivantes :

• chiffrement des communications ;
• authentification et contrôle des accès ;
• séparation logique des données par utilisateur et politiques de sécurité au niveau des lignes ;
• protection des secrets et des jetons de connexion ;
• journalisation des opérations sensibles ;
• sauvegardes et mécanismes de disponibilité fournis par l’hébergeur ;
• procédure de traitement des incidents et mises à jour de sécurité.

Le Client protège ses identifiants, gère les habilitations, sécurise ses équipements, vérifie ses exports et évite d’introduire des données qui ne sont pas nécessaires à ses finalités.

6. Sous-traitants ultérieurs autorisés

Le Client autorise de manière générale le recours aux prestataires suivants, dans la limite des fonctions qu’il utilise :

• Supabase, Inc. — base de données, authentification, stockage et fonctions serveur ; données applicatives hébergées sur une infrastructure AWS dans la région de Francfort, Allemagne ;
• Amazon Web Services — infrastructure cloud utilisée par Supabase ;
• Netlify, Inc. — publication du site et de l’application web, journaux techniques de diffusion ;
• Resend, Inc. — envoi des emails transactionnels et des documents demandés par l’utilisateur ;
• Stripe — paiement, abonnement et facturation ;
• Sentry — supervision des erreurs lorsque cette fonction est activée ;
• Google ou Microsoft — authentification lorsque le Client choisit l’un de ces fournisseurs ;
• SUPER PDP — connexion et réception de factures électroniques lorsque le Client active cette fonction ;
• DINUM, DGFiP ou AIFE via PISTE et Chorus Pro — échanges avec l’administration lorsque le Client active ces fonctions.

PROACTES impose à chaque sous-traitant des obligations de protection compatibles avec le présent accord. Une modification importante de cette liste est annoncée au Client. Celui-ci peut présenter une objection motivée portant sur la protection des données ; les parties recherchent alors une solution raisonnable.

7. Transferts hors de l’Espace économique européen

PROACTES privilégie les régions européennes pour les données applicatives principales. Lorsqu’un prestataire accède aux données depuis un pays ne bénéficiant pas d’une décision d’adéquation, le transfert est encadré par les clauses contractuelles types de la Commission européenne et, si nécessaire, par des mesures supplémentaires.

Les informations disponibles sur les garanties et les pays concernés sont communiquées au Client sur demande, sous réserve de la protection des informations confidentielles des prestataires.

8. Assistance pour l’exercice des droits

PROACTES transmet au Client les demandes reçues concernant les données traitées pour son compte et lui apporte, dans la mesure du possible, l’assistance nécessaire pour répondre aux demandes d’accès, de rectification, d’effacement, de limitation, d’opposition ou de portabilité.

Le Client reste responsable de la réponse à la personne concernée. Les travaux inhabituels ou volumineux peuvent faire l’objet d’un devis préalable lorsque la demande ne résulte pas d’un manquement de PROACTES.

9. Violation de données

PROACTES informe le Client dans les meilleurs délais après avoir pris connaissance d’une violation de données affectant les traitements réalisés pour son compte. L’information décrit, à mesure que les éléments sont disponibles, la nature de l’incident, les données concernées, les conséquences probables et les mesures prises.

Le Client demeure responsable de l’évaluation de ses obligations de notification à la CNIL et aux personnes concernées. PROACTES lui fournit les informations raisonnablement nécessaires.

10. Analyses d’impact et autorités

PROACTES fournit au Client les informations dont elle dispose pour l’aider à réaliser une analyse d’impact ou une consultation préalable liée au service. Le Client reste responsable de la nécessité, du contenu et du dépôt de ces démarches.

11. Sort des données

À la fin du contrat, le Client exporte les données dont il a besoin. À sa demande ou lors de la suppression du compte, PROACTES supprime les données actives traitées pour son compte, sauf obligation légale de conservation.

Les copies résiduelles contenues dans les sauvegardes sont protégées, ne sont pas remises en production sauf nécessité de restauration et sont supprimées à l’expiration du cycle technique applicable.

12. Documentation et audit

PROACTES met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent accord. Le Client peut demander un audit documentaire une fois par an, avec un préavis d’au moins trente jours et sous engagement de confidentialité.

Un audit sur site n’est organisé que si la documentation disponible ne permet pas de répondre à une préoccupation sérieuse. Il doit préserver la sécurité, la confidentialité des autres clients et la continuité du service. Les coûts sont supportés par le Client, sauf manquement substantiel établi de PROACTES.

13. Obligations du Client

Le Client documente ses instructions, informe les personnes concernées, définit les durées de conservation adaptées, répond aux demandes d’exercice de droits et s’assure que les données confiées à FACTORIS sont adéquates, pertinentes et limitées à ce qui est nécessaire.

Il appartient au Client d’évaluer si ses traitements nécessitent une analyse d’impact, des mesures supplémentaires ou l’avis d’un professionnel spécialisé.

14. Contact et ordre de priorité

Les demandes relatives au présent accord sont adressées à contact@proactes.fr. En cas de contradiction sur la protection des données traitées pour le compte du Client, le présent accord prévaut sur les CGU et les CGV.