1. Objet et valeur contractuelle
Le présent Accord de traitement des données, ci-après l’« Accord », complète les Conditions générales de vente et les Conditions générales d’utilisation de FactureSigne. Il constitue l’accord de sous-traitance exigé par l’article 28 du Règlement général sur la protection des données, ci-après le « RGPD », lorsque PRESTAWEBAI.FR, ci-après le « Sous-traitant », traite des données personnelles pour le compte du Client, ci-après le « Responsable du traitement ».
L’acceptation du contrat FactureSigne emporte acceptation du présent Accord. En cas de contradiction sur la protection des Données Client, le présent Accord prévaut sur les autres documents contractuels. Il ne s’applique pas aux traitements pour lesquels la Société agit pour ses propres finalités en qualité de responsable du traitement, qui sont décrits dans la Politique de confidentialité.
2. Durée et instructions documentées
L’Accord prend effet avec le contrat FactureSigne et demeure applicable aussi longtemps que le Sous-traitant traite des Données Client pour le compte du Client.
Le contrat, la configuration effectuée par le Client, les actions de ses Utilisateurs et les demandes écrites adressées au support constituent ses instructions documentées. Le Sous-traitant ne traite les données que sur ces instructions, y compris pour un transfert international, sauf obligation imposée par le droit de l’Union européenne ou le droit français. Dans ce dernier cas, il en informe le Client avant le traitement, sauf interdiction légale.
Si le Sous-traitant considère qu’une instruction enfreint le RGPD ou une autre règle applicable, il en informe le Client et peut suspendre l’exécution de l’instruction concernée jusqu’à sa clarification ou sa mise en conformité.
3. Description du traitement confié
- Objet
- Hébergement et fourniture des fonctions de gestion commerciale, documentaire, de paiement, de support et, après activation, de facturation électronique disponibles dans FactureSigne.
- Nature des opérations
- Collecte, enregistrement, organisation, structuration, conservation, consultation, adaptation, rapprochement, transmission sur instruction, export, sauvegarde, limitation, suppression et anonymisation.
- Finalités
- Permettre au Client de gérer ses tiers, produits, prestations, devis, commandes, livraisons, factures, avoirs, achats, règlements, relances, utilisateurs, sociétés et échanges électroniques.
- Durée
- Pendant la relation contractuelle, puis jusqu’à la suppression, l’anonymisation ou la restitution prévue à la fin du contrat, sous réserve des obligations légales et de la rotation des sauvegardes.
- Personnes concernées
- Clients, prospects, fournisseurs, salariés, dirigeants, représentants, contacts, destinataires, utilisateurs et autres personnes dont les données sont confiées par le Client.
- Catégories de données
- Identité, coordonnées, informations professionnelles, relations commerciales, produits et prestations, contenus et métadonnées de documents, montants, règlements, échanges, pièces jointes, habilitations, journaux techniques et données nécessaires à la facturation électronique.
Le service n’est pas conçu pour traiter à grande échelle des catégories particulières de données au sens de l’article 9 du RGPD ni des données relatives aux condamnations et infractions. Le Client s’interdit d’y déposer de telles données sauf nécessité légale préalablement documentée et accord écrit sur les mesures adaptées.
4. Obligations du Client responsable du traitement
Le Client détermine les finalités et les moyens essentiels de ses traitements. Il garantit notamment :
- disposer d’une base juridique valable pour chaque traitement et chaque transmission au Sous-traitant ;
- fournir aux personnes concernées les informations exigées et recueillir leur consentement lorsqu’il est nécessaire ;
- ne confier que des données adéquates, pertinentes, exactes et limitées à ce qui est nécessaire ;
- définir et appliquer ses propres durées de conservation ;
- attribuer des habilitations adaptées, contrôler ses Utilisateurs et sécuriser ses équipements ;
- répondre aux demandes d’exercice de droits et respecter ses obligations comptables, fiscales, sociales et sectorielles ;
- effectuer, lorsqu’elle est requise, une analyse d’impact et consulter l’autorité de contrôle.
Le Client demeure responsable du contenu des Données Client, de ses instructions, de ses liens de partage, de ses exports et de l’utilisation du Service par ses Utilisateurs. Il s’engage à ne pas donner d’instruction illicite ou excédant les fonctions convenues.
5. Confidentialité du personnel autorisé
Le Sous-traitant veille à ce que les personnes autorisées à traiter les Données Client soient soumises à une obligation appropriée de confidentialité, reçoivent des consignes de sécurité et n’accèdent aux données que dans la mesure nécessaire à leur mission.
Les accès d’administration, de maintenance et de support sont limités aux personnes habilitées et font l’objet de contrôles adaptés. Le Sous-traitant retire ou adapte les droits lorsque la mission ne les justifie plus.
6. Mesures de sécurité
Compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature des traitements et des risques, le Sous-traitant applique des mesures destinées à garantir un niveau de sécurité adapté. Elles comprennent notamment :
- le hachage des mots de passe et la protection des sessions ;
- des rôles, permissions et contrôles d’accès ;
- le stockage non public des documents et la séparation logique des sociétés ;
- la protection des formulaires et des opérations sensibles ;
- la journalisation d’événements utiles à la sécurité et au diagnostic ;
- des sauvegardes techniques et procédures de restauration ;
- le chiffrement de certains secrets et jetons techniques ;
- la maintenance, la correction des vulnérabilités identifiées et la gestion des incidents.
Ces mesures sont réévaluées en fonction des risques et de l’évolution du Service. Elles constituent une obligation de moyens et ne sauraient être interprétées comme une garantie d’absence absolue d’incident.
7. Sous-traitants ultérieurs
Le Client accorde une autorisation générale au recours aux sous-traitants ultérieurs nécessaires à FactureSigne. À la date du présent Accord, les catégories et principaux prestataires concernés sont :
- IONOS : hébergement principal et services d’infrastructure, selon les lieux prévus par l’offre et la documentation contractuelle applicables ;
- Stripe : souscription, paiement, abonnement et prévention de la fraude ;
- prestataire de messagerie configuré : envoi des notifications et traitement technique des courriels ;
- plateforme agréée de facturation électronique activée : émission, réception et suivi des événements correspondants ;
- prestataires de maintenance, sauvegarde ou stockage : uniquement lorsqu’ils sont activés et nécessaires à l’exploitation.
Le Sous-traitant impose à chacun des obligations de protection des données adaptées à la mission confiée et demeure responsable envers le Client de l’exécution de ses propres obligations de sous-traitant dans les conditions prévues par le RGPD.
Le Client est informé d’un ajout ou remplacement significatif par une mise à jour de la liste contractuelle ou par une notification appropriée. Il peut présenter, dans les quinze jours, une objection motivée par un risque documenté pour les données. Les parties recherchent une solution raisonnable ; à défaut, le Client peut résilier la seule fonction directement affectée ou, si elle est indissociable du Service, le contrat, avant l’intervention du nouveau prestataire.
8. Transferts internationaux
À la date de mise à jour du présent Accord, les ressources principales d’hébergement utilisées sont localisées en France, sans engagement de localisation exclusivement et définitivement française lorsque le contrat du prestataire ne le garantit pas. Le Sous-traitant vérifie périodiquement les informations contractuelles disponibles sur les lieux de traitement et les sous-traitants concernés.
Un transfert de Données Client hors de l’Espace économique européen n’est réalisé que s’il est nécessaire au Service ou demandé par le Client et repose sur un mécanisme permis par le chapitre V du RGPD, notamment une décision d’adéquation, des clauses contractuelles types ou une autre garantie appropriée. Sur demande raisonnable, le Sous-traitant communique les informations disponibles sur le pays de traitement, le mécanisme et les garanties applicables, sous réserve des informations confidentielles de sécurité et des droits des prestataires.
9. Assistance pour les droits des personnes
Compte tenu de la nature du traitement, le Sous-traitant aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’accès, de rectification, d’effacement, de limitation, d’opposition ou de portabilité.
Lorsqu’il reçoit directement une demande portant sur des Données Client, le Sous-traitant la transmet au Client dans un délai raisonnable et ne répond pas au fond sans instruction, sauf obligation légale. Le Client reste responsable de la vérification de l’identité, de l’analyse du droit applicable et de la réponse adressée à la personne.
10. Assistance, analyses d’impact et autorités
Le Sous-traitant met à disposition du Client les informations raisonnablement nécessaires pour démontrer le respect du présent Accord et l’assiste, compte tenu des informations dont il dispose, pour la sécurité, la notification des violations, les analyses d’impact et les consultations préalables.
Une assistance excédant le support normal, rendue nécessaire par les instructions, la configuration ou le manquement du Client, peut faire l’objet d’un devis préalable au tarif en vigueur. Aucune facturation ne s’applique à l’assistance rendue nécessaire par un manquement imputable au Sous-traitant.
11. Gestion des violations de données
Le Sous-traitant notifie au Client, dans les meilleurs délais après en avoir pris connaissance, toute violation de Données Client. Selon les informations disponibles, cette notification décrit la nature de l’incident, les catégories de personnes et de données concernées, les conséquences probables, les mesures prises ou proposées et le point de contact utile.
Les informations peuvent être communiquées progressivement si elles ne sont pas toutes disponibles au même moment. Le Client demeure responsable de déterminer si une notification à la CNIL ou une information des personnes est requise, sauf lorsque la Société agit elle-même comme responsable du traitement pour l’opération concernée.
12. Restitution, suppression et fin du service
Pendant la période d’accès, le Client utilise les fonctions d’export disponibles pour récupérer les données et documents qu’il souhaite conserver. FactureSigne n’est pas un service d’archivage légal et le Client reste responsable de ses propres durées de conservation.
À la clôture effective du Compte, l’accès applicatif est désactivé. Pendant les trente jours calendaires suivants, le Client peut demander la restitution des données exportables encore disponibles. À l’expiration de ce délai, le Sous-traitant supprime ou rend anonymes les Données Client dans les systèmes actifs, sauf choix licite contraire du Client, obligation légale, contentieux, demande d’autorité, prévention de fraude ou gel documenté.
Les copies résiduelles présentes dans les sauvegardes techniques sont supprimées par rotation et restent protégées jusqu’à leur écrasement. Elles ne constituent pas un service d’archives et ne sont pas restaurées afin de reprendre l’exploitation d’un Compte fermé, sauf nécessité technique, de sécurité ou obligation légale.
Les factures d’abonnement émises par PRESTAWEBAI.FR et les autres éléments que la Société doit conserver pour ses propres obligations sont isolés des Données Client et conservés selon la durée légale applicable. Une restitution spécifique ou un format sur mesure n’est pas inclus sauf accord écrit ; le Sous-traitant peut la subordonner à sa faisabilité technique et à un devis accepté.
13. Audit et démonstration de conformité
Le Sous-traitant fournit les informations raisonnablement nécessaires pour démontrer le respect de l’article 28 du RGPD. Le Client privilégie d’abord les documents, réponses et attestations disponibles.
Si ces éléments sont insuffisants, le Client peut demander un audit au maximum une fois par période de douze mois, sauf incident grave ou demande d’une autorité. L’audit est réalisé par un auditeur indépendant non concurrent, soumis à confidentialité, pendant les heures ouvrées et avec un préavis d’au moins trente jours, sans compromettre la sécurité, la continuité du Service ni les données d’autres clients.
Les frais d’audit sont supportés par le Client, sauf si l’audit révèle un manquement substantiel imputable au Sous-traitant. Le Sous-traitant peut proposer un mode de preuve équivalent lorsqu’un accès direct créerait un risque de sécurité ou porterait atteinte aux droits d’un tiers.
14. Responsabilité
Chaque partie répond des obligations que le RGPD lui attribue. Le Client répond notamment de la licéité de ses traitements, de ses instructions, de l’information des personnes et de l’usage des Données Client. Le Sous-traitant répond de ses obligations propres et du respect des instructions licites reçues.
Entre les parties, les exclusions et plafonds de responsabilité prévus par les CGV s’appliquent dans la mesure permise par la loi. Ils ne peuvent exclure une responsabilité qui ne peut légalement être limitée, ni réduire les droits des personnes concernées ou les pouvoirs d’une autorité de contrôle.
15. Évolution et contact
Le présent Accord peut évoluer pour tenir compte d’une modification du Service, des sous-traitants ou de la réglementation. Une modification substantielle est portée à la connaissance du Client dans les conditions prévues par les CGV.
Toute question relative au présent Accord peut être adressée au moyen du formulaire de contact ou par courrier à PRESTAWEBAI.FR, 257 rue Cesária Évora, 34500 Béziers, France.