Accord de Sous-Traitance (DPA)

Préambule

Le présent accord (« DPA ») est conclu entre :

• L'Abonné, c'est-à-dire tout utilisateur du Service, quel que soit son plan (Free ou Pro), agissant en qualité de responsable de traitement au sens du Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD »), et
• Alexis Mouchon, micro-entrepreneur exerçant sous le nom commercial « Sira Development » (2 rue de l'Église, 28340 Boissy-lès-Perche, SIRET 103 624 292 00019), éditeur du Service Sirapilot, agissant en qualité de sous-traitant au sens du même règlement (ci-après désigné « l'Éditeur » ou indifféremment « Sira Development »).

Il complète les Conditions Générales d'Utilisation et, le cas échéant, les Conditions Générales de Vente applicables à l'Abonné, et encadre le traitement des données à caractère personnel confiées par l'Abonné à Sira Development dans le cadre de l'utilisation du Service. Il fait partie intégrante de ces conditions et s'applique sans formalité supplémentaire.

1. Objet du traitement

Sira Development traite les données à caractère personnel pour le compte de l'Abonné dans le but exclusif de fournir le Service Sirapilot, conformément aux instructions documentées de l'Abonné, telles que matérialisées par les CGU/CGV et le paramétrage choisi par l'Abonné dans l'application.

2. Nature et finalités du traitement

3. Catégories de personnes concernées

• Clients (personnes physiques) de l'Abonné
• Représentants ou contacts professionnels chez les clients de l'Abonné
• Signataires des devis et contrats
• Fournisseurs de l'Abonné (personnes physiques ou leurs contacts)
• Prospects et contacts commerciaux de l'Abonné

4. Types de données traitées

• Identité : nom, prénom, raison sociale, SIRET
• Coordonnées : email, téléphone, adresse postale
• Données économiques : contenu des documents, montants facturés, statut de paiement
• Données de relation client : date de naissance (si l'Abonné la renseigne), historique des passages et des encaissements, points de fidélité, choix de ne plus être démarché
• Données de signature : identité déclarée, adresse IP, horodatages et journal d'audit de la signature
• Données techniques : adresse IP du payeur lors d'un paiement en ligne (collectée par Stripe)

Aucune donnée sensible au sens de l'article 9 RGPD (origine raciale, santé, etc.) n'est traitée, sauf si l'Abonné en saisit volontairement (cas non couvert par le Service et fortement déconseillé).

5. Durée du traitement

Le traitement est effectué pendant toute la durée d'utilisation du Service par l'Abonné. Au terme du contrat, les modalités de restitution et de suppression des données sont prévues à l'article 13 du présent DPA.

6. Obligations du sous-traitant

Sira Development s'engage à :

• Traiter les données conformément aux instructions documentées de l'Abonné, telles que résultant des CGU/CGV et du paramétrage choisi par l'Abonné
• Garantir la confidentialité des données et veiller à ce que les personnes autorisées à les traiter soient soumises à une obligation de confidentialité
• Mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 8 ci-après
• Ne pas utiliser les données pour ses propres finalités, ni pour entraîner des modèles d'intelligence artificielle
• Assister l'Abonné dans la mise en œuvre de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées
• Notifier toute violation de données à caractère personnel à l'Abonné dans les meilleurs délais (cf. article 10)
• Aider l'Abonné à effectuer une analyse d'impact relative à la protection des données (AIPD), si nécessaire
• Restituer puis supprimer les données à caractère personnel au terme de la prestation, dans les conditions de l'article 13
• Mettre à la disposition de l'Abonné toute information nécessaire pour démontrer le respect des obligations de l'article 28 RGPD

7. Obligations du responsable de traitement

L'Abonné s'engage à :

• Documenter par écrit toute instruction concernant le traitement des données par Sira Development
• Veiller au respect des obligations prévues par le RGPD en sa qualité de responsable de traitement (information des personnes concernées, base légale du traitement, règles de la prospection commerciale, etc.)
• Superviser le traitement effectué par Sira Development, y compris par la réalisation d'audits et d'inspections, dans les conditions de l'article 12

8. Mesures de sécurité

Sira Development met en œuvre les mesures techniques et organisationnelles décrites dans la Politique de confidentialité (section 8), notamment :

• Chiffrement TLS des communications
• Chiffrement au repos des champs sensibles
• Isolation multi-tenant strictement vérifiée par des tests automatisés
• Authentification forte (2FA TOTP) disponible
• Sauvegardes journalières chiffrées, conservées 30 jours
• Archive des factures en stockage non modifiable
• Hébergement de l'application en Lituanie, dans l'Union européenne (Hostinger) et stockage des fichiers et sauvegardes en France (Scaleway)

9. Sous-traitants ultérieurs

L'Abonné autorise Sira Development à faire appel aux sous-traitants ultérieurs listés dans la Politique de confidentialité (section 6) — Hostinger, Scaleway, Super PDP, Stripe, Mistral AI et Resend — pour mener certaines activités de traitement.

Sira Development informera l'Abonné de tout changement envisagé concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, avec un préavis de 30 jours, permettant à l'Abonné d'émettre des objections motivées. En l'absence d'objection dans ce délai, l'Abonné est réputé avoir accepté le changement. En cas d'objection non résolue, l'Abonné peut supprimer son compte sans frais.

Sira Development impose à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent DPA et reste pleinement responsable, à l'égard de l'Abonné, de leur respect.

10. Notification de violation de données

En cas de violation de données à caractère personnel impliquant les données traitées pour le compte de l'Abonné, Sira Development notifiera l'Abonné dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans un délai de 72 heures.

La notification précisera :

• La nature de la violation
• Les catégories et le nombre approximatif de personnes concernées
• Les conséquences probables
• Les mesures prises ou proposées pour y remédier

11. Droits des personnes concernées

Sira Development aide l'Abonné, dans la mesure du possible, à donner suite aux demandes des personnes concernées tendant à l'exercice de leurs droits (accès, rectification, effacement, portabilité, opposition). Le Service permet à l'Abonné de consulter, modifier, exporter et supprimer lui-même les données de ses clients et prospects.

Lorsque les demandes sont adressées directement à Sira Development, ce dernier les transmet à l'Abonné sans délai.

12. Audits

L'Abonné peut demander, une fois par année calendaire et après préavis raisonnable, la communication des informations nécessaires pour démontrer le respect par Sira Development des obligations du présent DPA, en premier lieu sous la forme d'une réponse écrite à un questionnaire de sécurité.

Si ces informations ne suffisent pas, Sira Development permet la réalisation d'audits, y compris d'inspections, par l'Abonné ou par un auditeur indépendant mandaté par lui et tenu au secret, et y contribue (article 28.3.h du RGPD). Leur date, leur périmètre et leurs modalités sont arrêtés d'un commun accord, de façon à ne pas porter atteinte à la sécurité du Service ni aux données des autres utilisateurs ; leurs frais sont à la charge de l'Abonné.

13. Sort des données au terme du contrat

Restitution. L'Abonné peut à tout moment, et notamment avant de supprimer son compte, exporter l'ensemble de ses données dans un format structuré depuis l'application (archive ZIP contenant les données au format JSON et CSV et les documents au format PDF). Cet export lui est proposé systématiquement lors de la demande de suppression et reste disponible jusqu'à la suppression définitive.

Suppression. À la demande de suppression du compte, le compte est gelé pendant un délai de grâce de 30 jours, au cours duquel l'Abonné peut récupérer ses données ou annuler sa demande. À l'issue de ce délai, les données sont supprimées ou anonymisées de façon irréversible ; les copies présentes dans les sauvegardes disparaissent dans les 30 jours suivants.

Conservation. Par dérogation, et pour le compte de l'Abonné, Sira Development conserve en archive, sans accès depuis l'application, les factures émises, avoirs, factures reçues et documents signés, ainsi que les données des clients qui y figurent, pendant la durée légale de conservation (10 ans à compter de la clôture de l'exercice), puis les supprime. L'Abonné peut en obtenir une copie sur demande pendant cette durée. Le détail figure à la section 11 de la Politique de confidentialité.

14. Transferts hors UE

Sira Development maintient ses traitements au sein de l'Union européenne. Tout transfert hors UE est encadré conformément aux articles 44 et suivants du RGPD (notamment Clauses Contractuelles Types). Le détail figure dans la Politique de confidentialité (section 7).

15. Durée et résiliation

Le présent DPA prend effet à compter de son acceptation par l'Abonné (qui résulte de l'acceptation des CGU) et reste en vigueur tant que Sira Development traite des données pour le compte de l'Abonné, y compris pendant la durée de conservation prévue à l'article 13.

16. Droit applicable

Le présent DPA est soumis au droit français, en cohérence avec le RGPD.

17. Contact

Pour toute question relative au présent DPA : contact@sirapilot.fr.