Accord de sous-traitance des données personnelles

1. Parties et rôles

Le responsable de traitement : l’entreprise utilisatrice de Sanylio (ci-après « le client »), identifiée par les informations de son espace.

Le sous-traitant : [À COMPLÉTER], entrepreneur individuel, éditeur de Sanylio (ci-après « l’éditeur »). Contact données personnelles et sécurité : [À COMPLÉTER].

Le client détermine les finalités et les moyens essentiels des traitements portant sur ses propres clients, prospects et documents. L’éditeur les traite uniquement pour son compte. Les traitements liés au compte utilisateur lui-même (connexion, sécurité, support) relèvent de la responsabilité propre de l’éditeur et sont décrits dans la politique de confidentialité.

Le présent accord s’applique dès l’activation de l’espace et l’acceptation des conditions de la bêta, pour toute la durée d’utilisation du service.

2. Description des traitements

• Objet : fourniture du logiciel de gestion commerciale Sanylio.
• Nature des opérations : enregistrement, stockage, consultation, modification, organisation, génération de documents PDF, mise à disposition via le portail client, transmission sur instruction du client, export, sauvegarde et suppression.
• Personnes concernées : clients et prospects du client, leurs interlocuteurs, destinataires de devis et factures.
• Données : identité, coordonnées, adresses, informations commerciales et financières (prestations, montants, paiements), historique des consultations et décisions sur le portail.
• Données sensibles (article 9 du RGPD) : non prévues ; le client s’engage à ne pas en saisir.
• Durée : celle de l’utilisation du service, puis jusqu’à l’exécution des opérations de fin de contrat (article 10).

3. Instructions du client

L’éditeur traite les données exclusivement sur instruction documentée du client. Les actions effectuées par le client dans Sanylio (création, modification, envoi, export, suppression) et le présent accord constituent ces instructions. Si une instruction lui paraît contraire à la réglementation, l’éditeur en informe immédiatement le client. Sanylio n’envoie aucune relance automatiquement.

4. Confidentialité

L’éditeur garantit la confidentialité des données. Toute personne qu’il autoriserait à y accéder est soumise à une obligation de confidentialité, n’y accède que dans la stricte mesure nécessaire (support, sécurité, maintenance) et voit ses accès retirés à la fin de sa mission.

5. Sécurité (article 32)

L’éditeur met en œuvre des mesures techniques et organisationnelles adaptées, notamment :

• connexions chiffrées (HTTPS) et authentification déléguée à un prestataire spécialisé, accès sur invitation ;
• cloisonnement strict des données par entreprise, vérifié sur chaque requête ;
• jetons de portail et codes de confirmation stockés sous forme d’empreintes, code transmis séparément du lien ;
• PDF figés après émission, avec empreinte d’intégrité ;
• secrets techniques conservés hors du code et des exports ;
• sauvegardes de la base avant chaque mise à jour, et procédure de retour arrière ;
• journaux techniques limités, sans contenu des messages.

Ces mesures sont réexaminées au fil des évolutions du service. Leur description ne vaut pas certification.

6. Sous-traitants ultérieurs

Le client donne une autorisation générale au recours aux sous-traitants ultérieurs suivants :

• Cloudflare, Inc. (États-Unis) : hébergement de l’application et de la base de données ;
• Clerk, Inc. (États-Unis) : authentification des utilisateurs.

Ces prestataires ont adhéré au cadre de protection des données UE–États-Unis (Data Privacy Framework) ; à défaut, les transferts sont encadrés par les clauses contractuelles types de la Commission européenne. L’éditeur leur impose des obligations de protection équivalentes à celles du présent accord et reste responsable envers le client de leur respect.

L’éditeur informe le client de tout ajout ou remplacement de sous-traitant ultérieur au moins 30 jours à l’avance. Le client peut s’y opposer pendant ce délai ; à défaut d’accord, il peut cesser d’utiliser le service et récupérer ses données.

7. Droits des personnes concernées

Le client répond aux demandes d’exercice des droits (accès, rectification, effacement, limitation, opposition, portabilité) de ses propres clients ; les fonctions de Sanylio (modification, suppression, export) lui permettent d’y donner suite. Si une demande parvient directement à l’éditeur, celui-ci la transmet au client sous 5 jours ouvrés et l’assiste dans la mesure du possible. L’éditeur aide également le client, sur demande, pour ses éventuelles analyses d’impact et consultations de la CNIL.

8. Violation de données

En cas de violation de données personnelles, l’éditeur en informe le client dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, par e-mail à l’adresse du compte. Il communique, au fur et à mesure de leur disponibilité : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les conséquences probables et les mesures prises ou proposées.

Il revient au client, en tant que responsable de traitement, de notifier la violation à la CNIL lorsque c’est nécessaire, si possible dans les 72 heures après en avoir pris connaissance (article 33 du RGPD), et d’informer les personnes concernées le cas échéant. L’éditeur l’assiste pour respecter ces obligations.

9. Documentation et audits

L’éditeur met à disposition du client les informations nécessaires pour démontrer le respect du présent accord. Le client peut demander un audit, au plus une fois par an sauf violation avérée, avec un préavis de 30 jours ; il est réalisé en priorité sur pièces, par le client ou un auditeur tenu au secret, à la charge du client, sans accès aux données des autres utilisateurs.

10. Fin de contrat : restitution et suppression des données

À tout moment, et notamment avant la fin de la relation, le client peut exporter ses données depuis les paramètres de Sanylio. À la fin du service, ou lorsque le client supprime son espace, l’éditeur efface les données de la base active sous 30 jours ; elles disparaissent ensuite des sauvegardes techniques dans un délai maximal de 30 jours supplémentaires. Sur demande, l’éditeur confirme par écrit la suppression.

Ne sont pas concernés : les exports déjà téléchargés par le client, qui restent sous sa responsabilité, et les données que l’éditeur doit conserver en vertu d’une obligation légale. Le client reste tenu de ses propres obligations de conservation (notamment 10 ans pour les factures).

11. Droit applicable

Le présent accord est soumis au droit français. Il prévaut, pour la protection des données, sur toute disposition contraire des conditions de la bêta.