Annexe relative au traitement des données

1. Objet et parties

La présente annexe fait partie des conditions générales d’utilisation et de vente de Raccoonts. Elle encadre les traitements de données personnelles réalisés par Pascal Prugna, entrepreneur individuel exerçant sous le nom Plumia (« le Sous-traitant »), pour le compte du professionnel titulaire du compte Raccoonts (« le Responsable du traitement » ou « le Client »).

Elle s’applique lorsque le Client utilise Raccoonts pour traiter des données personnelles relatives à ses propres clients, fournisseurs, contacts, collaborateurs ou autres personnes concernées.

2. Description du traitement confié

Objet et finalités

Fourniture d’un service de création, gestion, conservation, export, envoi et, lorsque cette fonction est activée, transmission électronique de devis, factures, avoirs, produits et informations de paiement.

Nature des opérations

Collecte sur instruction du Client, saisie, structuration, hébergement, consultation, modification, calcul, génération de documents, export, transmission, sauvegarde, assistance et suppression.

Catégories de personnes concernées

Clients et prospects du Client, représentants, contacts, fournisseurs, entrepreneurs individuels, collaborateurs et utilisateurs autorisés de ses espaces de travail.

Catégories de données

Identité, coordonnées professionnelles, adresse postale, identifiants d’entreprise et fiscaux, contenu des documents commerciaux, produits et prestations, montants, taxes, échéances, références de commande, statuts et informations de paiement telles qu’un IBAN ou une référence de règlement lorsque le Client choisit de les renseigner.

Durée

Le traitement est réalisé pendant la durée d’utilisation de Raccoonts et jusqu’à la restitution ou à la suppression des données conformément aux instructions du Client et aux présentes dispositions.

3. Instructions du Client

Le Sous-traitant traite les données uniquement pour fournir Raccoonts et conformément aux instructions documentées du Client, constituées par les CGUV, la présente annexe, les réglages et actions effectués dans le service ainsi que les demandes écrites compatibles avec le contrat.

Si le Sous-traitant estime qu’une instruction enfreint le RGPD ou une autre règle applicable, il en informe le Client dans les meilleurs délais et peut suspendre son exécution jusqu’à clarification.

4. Obligations du Client

Le Client s’engage notamment à :

• déterminer une finalité et une base légale pour chaque traitement effectué au moyen de Raccoonts ;
• informer les personnes concernées et permettre l’exercice de leurs droits ;
• ne confier que des données adéquates, pertinentes et nécessaires ;
• garantir l’exactitude des données et définir leurs durées de conservation ;
• gérer les utilisateurs autorisés et retirer sans délai les accès devenus inutiles ;
• ne pas utiliser Raccoonts pour des données sensibles ou pénales sans avoir préalablement vérifié que le service, les mesures convenues et la base juridique sont adaptés ;
• documenter toute instruction particulière adressée au Sous-traitant.

5. Confidentialité et personnel autorisé

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité, reçoivent les consignes appropriées et n’accèdent qu’aux informations nécessaires à leurs missions d’exploitation, de sécurité ou de support.

6. Sécurité

Compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature des données et des risques, le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées, comprenant notamment :

• chiffrement des communications et protection des secrets d’authentification ;
• contrôle des accès et séparation logique des espaces de travail ;
• limitation des habilitations administratives et traçabilité des opérations sensibles ;
• mesures de sauvegarde, restauration, maintenance et correction des vulnérabilités ;
• procédures de gestion des incidents et de continuité proportionnées au service.

Le Client demeure responsable de la sécurité de ses terminaux, de ses identifiants et de la gestion de ses utilisateurs.

7. Sous-traitants ultérieurs

Le Client autorise de manière générale le recours aux prestataires nécessaires à la fourniture de Raccoonts. À la date de la présente annexe, les catégories principales concernent :

• PlanetHoster, pour l’hébergement en France de l’application, de l’API et des données ;
• Vercel, pour la diffusion de la façade web et le traitement des requêtes techniques, sans hébergement des données métier ;
• le cas échéant, la plateforme de facturation électronique expressément activée par le Client pour la transmission d’un document.

Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations de protection substantiellement équivalentes. Il informe le Client de tout ajout ou remplacement significatif afin de lui permettre d’émettre une objection motivée. Si aucune solution raisonnable ne peut être trouvée, le Client peut cesser d’utiliser la fonction concernée ou résilier le service.

8. Transferts internationaux

Le Sous-traitant ne réalise un transfert de données hors de l’Espace économique européen que sur instruction du Client, lorsque le service le nécessite ou lorsqu’une obligation légale s’impose. Il s’assure alors de l’existence d’un mécanisme conforme au chapitre V du RGPD, tel qu’une décision d’adéquation ou des clauses contractuelles types complétées, si nécessaire, par des garanties adaptées.

9. Assistance et droits des personnes

Dans la mesure du possible et compte tenu de la nature du traitement, le Sous-traitant aide le Client à répondre aux demandes d’accès, rectification, effacement, limitation, opposition et portabilité. Toute demande reçue directement au sujet de données confiées par un Client lui est transmise, sauf interdiction légale. Le Sous-traitant ne répond pas à la place du Client sans instruction ou obligation légale.

Le Sous-traitant fournit également une assistance raisonnable pour les analyses d’impact, consultations préalables et démonstrations de conformité liées au service.

10. Violations de données personnelles

Après avoir pris connaissance d’une violation affectant les données traitées pour le compte du Client, le Sous-traitant l’en informe dans les meilleurs délais et lui communique progressivement les informations disponibles utiles à l’évaluation de l’incident et, le cas échéant, à ses notifications aux autorités et personnes concernées.

11. Restitution et suppression

Pendant la durée du compte, le Client utilise les fonctions disponibles pour consulter et exporter ses données. À la fin du service, et selon le choix ou les instructions du Client, le Sous-traitant restitue ou supprime les données confiées et les copies existantes, sauf lorsqu’une règle applicable exige leur conservation. Les données conservées à ce titre sont isolées et ne sont plus utilisées à d’autres fins.

12. Informations et audit

Le Sous-traitant tient à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect de la présente annexe. En cas de doute documenté, le Client peut demander un audit, au maximum une fois par an sauf incident ou demande d’une autorité, avec un préavis raisonnable et sans compromettre la sécurité, la confidentialité d’autres clients ni les secrets d’affaires.

Les parties définissent à l’avance le périmètre, les modalités et la prise en charge des coûts d’un audit spécifique qui excède les informations ou attestations normalement disponibles.

13. Contact et ordre de priorité

Les questions relatives à la présente annexe peuvent être adressées à pascal@plumia.net. En cas de contradiction sur la protection des données, la présente annexe prévaut sur les stipulations générales des CGUV ; les autres dispositions contractuelles demeurent applicables.