Accord de sous-traitance

Cet accord complète les conditions et vaut contrat de sous-traitance au sens de l'article 28 du règlement (UE) 2016/679 (RGPD). Il est accepté en même temps que les conditions, à la création du compte.

1. Qui fait quoi

Vos pièces peuvent contenir des données concernant d'autres personnes : l'adresse d'un acheteur sur un bordereau de livraison, un pseudonyme, le contenu d'échanges de messagerie, un reçu.

Pour ces données :

• vous êtes responsable de traitement — vous décidez de ce que vous déposez et pourquoi ;
• [[À COMPLÉTER : dénomination sociale de l'éditeur]] est sous-traitant — nous ne faisons que conserver, horodater et vous restituer ces éléments.

Pour les données de votre propre compte (adresse e-mail, mot de passe, abonnement), le rôle s'inverse : nous en sommes responsable de traitement, et c'est la politique de confidentialité qui s'applique.

2. Objet, durée, nature du traitement

Objet	Conservation, horodatage, mise à disposition et export d'éléments déposés par vous
Durée	Celle de votre compte, puis les durées de conservation de l'article 7 des conditions
Nature des opérations	Réception, stockage chiffré au repos chez nos hébergeurs, calcul d'empreintes, restitution, suppression
Catégories de personnes	Vos acheteurs, vos correspondants, toute personne figurant dans une pièce que vous déposez
Catégories de données	Données d'identification et de contact, contenu d'échanges, images et vidéos

Aucune catégorie particulière de données au sens de l'article 9 du RGPD n'est attendue. Il vous appartient de ne pas en déposer.

3. Instructions documentées

Nous ne traitons ces données que sur vos instructions documentées, constituées par le présent accord, par les conditions, et par vos actions dans l'espace client — dépôt, export, suppression. Nous ne les utilisons à aucune autre fin, et jamais pour notre propre compte.

Si une obligation légale nous impose un traitement supplémentaire, nous vous en informons avant de l'exécuter, sauf interdiction de le faire.

Si une instruction nous paraît contraire au RGPD, nous vous en informons.

4. Confidentialité

Les personnes autorisées à accéder à ces données sont soumises à une obligation de confidentialité. L'accès est limité à ce qui est nécessaire au fonctionnement du service ou au traitement d'une demande que vous formulez.

5. Sécurité

Les mesures en place, au sens de l'article 32 du RGPD :

• chiffrement des échanges en transit (HTTPS) et des données au repos chez nos hébergeurs ;
• mots de passe stockés hachés avec scrypt, jamais en clair ;
• accès aux fichiers par des adresses temporaires signées, après vérification que le dossier vous appartient ;
• empreintes SHA-256 permettant de constater qu'un élément n'a pas été modifié ;
• sauvegardes de la base de données par notre hébergeur ;
• journalisation des accès techniques.

6. Sous-traitants ultérieurs

Vous autorisez le recours aux sous-traitants ultérieurs suivants, chacun tenu par des obligations équivalentes à celles du présent accord :

Sous-traitant ultérieur	Rôle	Pays de traitement
Vercel Inc.	hébergement du site et de l'application	Allemagne (région fra1)
Neon	base de données	Allemagne (Francfort)
Cloudflare	stockage des fichiers et des photos (R2)	Union européenne
Stripe	paiement, facturation	Union européenne et États-Unis
Resend	envoi des e-mails du service	Union européenne et États-Unis

Tout ajout ou remplacement est annoncé au moins trente jours à l'avance. Vous pouvez vous y opposer pour un motif tenant aux exigences du RGPD ; à défaut d'accord, vous pouvez résilier sans frais.

7. Assistance

Nous vous aidons, dans la mesure du possible et compte tenu de la nature du traitement, à :

• répondre aux demandes d'exercice de droits qui vous sont adressées par les personnes concernées — l'export et la suppression depuis l'espace client y pourvoient dans la plupart des cas ;
• respecter vos obligations des articles 32 à 36 du RGPD, notamment en matière de sûreté et d'analyse d'impact.

Si une personne concernée nous adresse directement une demande relative à des données contenues dans vos pièces, nous la lui indiquons et vous la transmettons sans y répondre à votre place.

8. Violation de données

En cas de violation de données à caractère personnel affectant vos pièces, nous vous en informons dans les quarante-huit heures après en avoir pris connaissance, avec les éléments dont nous disposons : nature de la violation, catégories et volume approximatifs concernés, conséquences probables et mesures prises. C'est à vous qu'il revient, le cas échéant, de notifier l'autorité compétente et les personnes concernées.

9. Fin du contrat

À la fin du contrat, vous choisissez entre la restitution et la suppression. L'export depuis l'espace client vous permet de récupérer vos éléments à tout moment, et pendant les quatre-vingt-dix jours qui suivent la fin de l'abonnement. À défaut de choix, les données sont supprimées à l'issue des durées de l'article 7 des conditions, copies comprises, sauf obligation légale de conservation.

10. Audit

Nous mettons à votre disposition, sur demande raisonnable et au plus une fois par an, les informations nécessaires pour démontrer le respect de cet accord. Une vérification sur place ou par un auditeur mandaté par vous est possible, avec un préavis de trente jours, à vos frais, dans des conditions qui ne perturbent pas le service et sans accès aux données d'autres clients.

11. Contact

Pour toute demande relative à cet accord : [[À COMPLÉTER : adresse e-mail du contact données personnelles (délégué ou référent)]].