Annexe de sous-traitance (RGPD, article 28)
Cette annexe encadre les traitements de données à caractère personnel que Diamontis Informatique réalise pour le compte de l'entreprise cliente. Elle est acceptée en même temps que le mandat, et sa version est enregistrée avec lui.
Article 1 - Objet
Diamontis Informatique (« le Sous-traitant »), éditeur du service Diamontis FX (« le Service »), traite pour le compte de l'entreprise cliente (« le Responsable de traitement ») les données personnelles figurant sur ses factures et dans les modules du Service qui les entourent.
Elle ne couvre pas les traitements dont Diamontis Informatique est elle-même responsable - compte utilisateur, abonnement, sécurité du Service - décrits à la politique de confidentialité.
Article 2 - Nature, finalités et durée
Nature : collecte, structuration, conservation, consultation, transmission et effacement de données figurant sur des factures.
Finalités : réception, normalisation, affichage et suivi du cycle de vie des factures ; dépôt et transport vers la Plateforme Agréée ; archivage à valeur probante ; mise à disposition des factures à leur destinataire ; analyse assistée à l'import et à la réception des factures fournisseur hors réseau ; reprise d'historique ; proposition de comptes comptables ; relances des clients et signature électronique des devis ; paiement des factures par carte sur le compte Stripe du Responsable de traitement.
Durée : celle du mandat, prolongée des durées légales de conservation, notamment la conservation fiscale de dix ans des factures et pièces archivées, qui survit à la résiliation.
Article 3 - Données et personnes concernées
Catégories de données : raisons sociales, SIREN et SIRET, numéros de TVA intracommunautaire, adresses postales, adresses e-mail, noms et fonctions des contacts, montants, libellés de prestation, coordonnées bancaires (IBAN, BIC), données de cycle de vie et de transport de la facture.
Personnes concernées : contacts figurant sur les factures émises ou reçues par le Responsable de traitement - dirigeants, comptables, interlocuteurs de ses fournisseurs et de ses clients ; destinataires disposant d'un accès à l'espace client final ; le professionnel de la comptabilité auquel le Responsable de traitement ouvre un accès (article 4 bis).
Article 4 - Instructions documentées
Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Constituent de telles instructions : la présente annexe, le mandat auquel elle est annexée, la documentation du Service, et les actions du Responsable de traitement dans l'interface.
Le Sous-traitant informe immédiatement le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable.
Article 4 bis - Accès ouvert à votre comptable
Le Service permet au Responsable de traitement d'ouvrir un accès à son expert-comptable. Cette ouverture est son acte, et constitue à ce titre une instruction documentée au sens de l'article 4.
Ce que l'ouverture emporte : le professionnel désigné accède aux données personnelles contenues dans les factures du Responsable de traitement - contacts, adresses, coordonnées bancaires de ses fournisseurs et de ses clients. C'est l'objet même de l'accès.
Ce que le Sous-traitant garantit en regard :
- l'accès est nominatif : seul un compte portant l'adresse invitée peut l'activer, et un lien transféré ne rattache personne ;
- il est révocable à tout moment depuis l'interface, avec effet immédiat ;
- il est borné en lecture : le comptable ne peut ni émettre ou refuser un document, ni rien déclarer au réseau de facturation au nom du Responsable de traitement, ni toucher à l'entreprise, à son abonnement, à ses clés d'accès ou à ses membres. Les seules écritures ouvertes sont le suivi local des règlements et la production du fichier des écritures comptables ;
- l'ouverture, l'activation, le retrait, les exports du fichier des écritures et les saisies de règlement du comptable sont journalisés et lisibles par le Responsable de traitement dans son interface ;
- le nombre d'accès simultanés est plafonné, pour qu'un accès nominatif ne devienne pas un compte partagé.
Le professionnel désigné agit sous la responsabilité du Responsable de traitement. Le Sous-traitant n'est pas partie à leur relation et n'exerce aucun contrôle sur l'usage que ce tiers fait des données auxquelles il accède.
Article 5 - Confidentialité et sécurité
Les personnes autorisées à traiter les données sont tenues à la confidentialité. Les mesures mises en oeuvre sont notamment :
- isolation stricte des données entre entreprises clientes (filtre applicatif, contrôles d'accès, suite de tests de non-fuite bloquante) ;
- chiffrement en transit (TLS) sur tous les échanges, internes comme sortants ;
- chiffrement applicatif au repos des secrets d'authentification et d'intégration ;
- authentification à deux facteurs disponible et limitation du débit des tentatives ;
- scellement, chaînage et horodatage des pièces archivées ;
- journalisation des actions sensibles.
Ce que le Sous-traitant ne fait pas, et le déclare : les données de facture elles-mêmes, coordonnées bancaires comprises, ne font pas l'objet d'un chiffrement applicatif au repos, et les écritures vers le stockage objet ne sont pas chiffrées côté serveur. Leur protection repose sur les mesures ci-dessus. Cette limite est énoncée pour être connue, et réexaminée si le risque change.
Article 6 - Sous-traitants ultérieurs
Le Responsable de traitement autorise de façon générale le recours aux sous-traitants ultérieurs suivants. Le Sous-traitant l'informe de tout ajout ou remplacement au moins trente jours avant sa mise en oeuvre, avec possibilité d'objection motivée.
- OVH SAS (OVHcloud) - hébergement de l'infrastructure, France.
- OVH SAS (OVHcloud) - stockage objet des documents et des archives, France.
- OVH SAS (OVHcloud) - relai d'envoi des e-mails transactionnels, France.
- OVH SAS (OVHcloud AI Endpoints) - modèles de langage hébergés en France : le texte d'une facture importée ou d'une facture fournisseur reçue hors réseau, non expurgé de ses coordonnées bancaires et de ses adresses e-mail, leur est soumis pour proposer un découpage des lignes et une identité de destinataire ; sur l'offre Business, les lignes d'une facture et l'identité du tiers, sans coordonnées bancaires ni adresses, pour proposer un compte comptable. Le même réglage de l'entreprise coupe ces usages.
- SuperPDP - Plateforme Agréée : transport réglementaire et archivage délégué, Union européenne.
- Stripe - paiement de l'abonnement au Service, hors périmètre de la présente annexe, Union européenne et États-Unis sous clauses contractuelles types. Pour le paiement des factures par carte que le Responsable de traitement propose à ses clients, Stripe est son prestataire, sur son propre compte, et non un sous-traitant ultérieur : le Service ne lui transmet que le numéro et le reste dû de la facture.
L'horodatage des archives et des devis signés fait appel à une autorité de temps qui ne reçoit qu'une empreinte cryptographique du document : aucune donnée personnelle ne lui est transmise, elle n'est donc pas un sous-traitant ultérieur.
Article 7 - Assistance
Le Sous-traitant assiste le Responsable de traitement pour répondre aux demandes d'exercice de droits - une demande reçue directement par le Sous-traitant lui est relayée sans délai, à charge pour lui d'y répondre - ainsi que pour la sécurité des traitements, l'analyse d'impact et la consultation préalable, dans la limite des informations dont il dispose.
Article 8 - Violation de données
Le Sous-traitant notifie toute violation de données à caractère personnel dans les quarante-huit heures suivant sa prise de connaissance, par e-mail à l'adresse de contact du compte, avec les éléments dont il dispose : nature de la violation, catégories et volume approximatif de données et de personnes concernées, conséquences probables, mesures prises. Le délai de notification à l'autorité de contrôle prévu à l'article 33 court pour le Responsable de traitement.
Article 9 - Sort des données en fin de contrat
À la fin de la prestation, le Sous-traitant, au choix du Responsable de traitement, lui restitue les données ou les détruit, ainsi que les copies existantes. Le Responsable de traitement dispose à tout moment d'une fonction d'export depuis le Service.
Réserve expresse : cette obligation cède devant les obligations légales de conservation, au premier rang desquelles la conservation fiscale de dix ans des factures et pièces archivées. Les données couvertes par une telle obligation sont conservées jusqu'à son terme, sans autre traitement que celui nécessaire à cette conservation, puis détruites.
Article 10 - Documentation et audit
Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l'article 28, notamment son registre des traitements et ses rapports d'audit de sécurité. Le Responsable de traitement peut demander un audit, dans la limite d'une fois par an sauf incident, moyennant un préavis raisonnable, à ses frais, et sans que l'audit puisse porter atteinte à la confidentialité des données des autres clients du Service.