au titre de l'article 28 du Règlement (UE) 2016/679 (RGPD)
Entre les soussignés :
INFORCE SA, société au capital de 170 548,53 €, immatriculée sous le SIRET 32150388000056, dont le siège social est situé ROUTE DE BAUME-DE-TRANSIT 84600 VALREAS, 84600 VALREAS, représentée par M. Pierre KESSLER, éditeur de la solution GT40 (ci-après « GT40 » ou « le Sous-traitant ») ;
et
Le Client identifié lors de la souscription à la solution GT40 (ci-après « le Responsable de traitement ») ;
Ci-après désignés ensemble « les Parties ».
Le présent accord (« DPA ») a pour objet de définir les conditions dans lesquelles le Sous-traitant traite, pour le compte et sur instruction du Responsable de traitement, des données à caractère personnel dans le cadre de l'utilisation de la solution GT40. Il complète les Conditions Générales d'Utilisation et de Vente, qui prévalent pour tout ce qui n'est pas relatif à la protection des données.
Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données » ont le sens que leur donne l'article 4 du RGPD.
| Finalité | Émission, réception et gestion de la facturation électronique ; gestion commerciale et comptable ; reconnaissance automatique de documents (OCR) ; stockage documentaire (Drive) ; transmission via la plateforme de dématérialisation partenaire dans le cadre de la réforme de la facturation électronique. |
|---|---|
| Nature des opérations | Collecte, enregistrement, structuration, conservation, consultation, extraction, transmission, effacement. |
| Durée | Pendant toute la durée de l'abonnement, augmentée des durées de conservation légales (voir article 9). |
| Catégories de données | Données d'identification (nom, raison sociale, SIRET/SIREN, adresse, e-mail, téléphone) ; données de facturation et comptables ; coordonnées bancaires (IBAN/BIC) pour les prélèvements ; contenus des documents importés ou océrisés. |
| Personnes concernées | Clients, fournisseurs et contacts du Responsable de traitement ; le cas échéant, ses salariés et collaborateurs. |
Aucune donnée relevant de l'article 9 du RGPD (données dites « sensibles ») n'est traitée de manière intentionnelle par GT40.
Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement, lesquelles résultent de l'utilisation des fonctionnalités de la solution et du présent DPA. Il informe le Responsable s'il estime qu'une instruction constitue une violation du RGPD.
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité. L'accès aux données est strictement limité, au sein d'INFORCE, à M. Pierre KESSLER et au développeur, M. Benjamin Patouillard, dans la seule mesure nécessaire à l'exploitation et au support de la solution.
Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées, notamment :
Le Responsable autorise le recours aux sous-traitants ultérieurs suivants, qui présentent des garanties suffisantes :
| Sous-traitant ultérieur | Rôle | Localisation |
|---|---|---|
| OVH SAS | Hébergement de l'infrastructure | France (UE) |
| Iopole | Plateforme de dématérialisation / transmission de la facturation électronique | France (UE) |
| Brevo (Sendinblue) | Acheminement des e-mails transactionnels et entrants | UE |
| Stripe | Traitement des paiements et prélèvements SEPA | UE — garanties appropriées (clauses contractuelles types) |
Le Sous-traitant informe le Responsable de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, afin de lui permettre d'émettre des objections.
Les données sont hébergées et traitées au sein de l'Union européenne. Tout transfert éventuel hors UE est encadré par les garanties appropriées prévues au chapitre V du RGPD (clauses contractuelles types).
À tout moment et avant la fin du contrat, le Responsable peut exporter l'intégralité de ses données. Au terme de la prestation, les données ne sont plus accessibles depuis la solution ; elles sont supprimées ou restituées selon le choix du Responsable, sous réserve des obligations légales de conservation (durées comptables et valeur probante des factures électroniques).
Le Sous-traitant aide le Responsable, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, opposition) et à respecter ses obligations (sécurité, analyse d'impact, consultation préalable).
Le Sous-traitant notifie au Responsable toute violation de données à caractère personnel dans les meilleurs délais et au plus tard 72 heures après en avoir pris connaissance, en lui fournissant les informations utiles pour permettre, le cas échéant, sa notification à la CNIL et aux personnes concernées.
Le Sous-traitant met à la disposition du Responsable les informations nécessaires pour démontrer le respect des obligations du présent article et permet la réalisation d'audits, dans des conditions raisonnables et sur préavis.
Le présent DPA prend effet à la souscription et demeure en vigueur pendant toute la durée du traitement. Il est régi par le droit français. Tout litige relève de la compétence des juridictions françaises.
Fait à VALREAS, le [date]. — Pour le Sous-traitant : Pierre KESSLER, INFORCE SA. — Pour le Responsable de traitement : [nom, qualité].