Accord de sous-traitance des données personnelles (DPA)

Le présent accord est conclu entre le Client, agissant comme responsable du traitement, et COTE, agissant comme sous-traitant, pour les traitements de données personnelles réalisés par Flunea pour le compte du Client.

Il fait partie du contrat d'abonnement et prévaut sur toute stipulation incompatible concernant son objet.

Le DPA s'applique pendant la durée durant laquelle COTE traite des données pour le compte du Client, y compris pendant les opérations encadrées de restitution et suppression après la fin de l'abonnement.

Objet et finalités — Héberger, organiser, sauvegarder, synchroniser, afficher, rechercher, catégoriser, rapprocher, exporter et supprimer les données nécessaires au pilotage de trésorerie demandé par le Client.

Nature des opérations — Collecte indirecte, réception, enregistrement, structuration, consultation, calcul, rapprochement, transmission technique, sauvegarde, extraction, limitation et effacement.

Personnes concernées — Utilisateurs du Client, dirigeants, salariés, clients, prospects, fournisseurs, prestataires, partenaires, débiteurs, créanciers et représentants apparaissant dans les données bancaires, factures, messages ou fichiers.

Catégories de données — Identité, coordonnées, fonction, relation avec le Client, données de facturation, références de documents, montants, échéances, libellés et contreparties de transactions, IBAN éventuellement masqué, messages, notes, fichiers et métadonnées techniques.

Données particulières — Le Service n'est pas destiné au traitement régulier de catégories particulières de données au sens de l'article 9 du RGPD ni de données relatives aux condamnations. Le Client s'interdit de les importer sauf nécessité, base juridique et accord écrit préalable définissant les mesures appropriées.

COTE traite les données uniquement sur instruction documentée du Client. Le contrat, les paramètres choisis, les actions des Utilisateurs et demandes écrites autorisées constituent des instructions.

Si COTE estime qu'une instruction viole la réglementation, elle en informe le Client et peut suspendre son exécution jusqu'à clarification. Si une loi impose un traitement ou transfert, COTE en informe préalablement le Client sauf interdiction légale.

Le Client :

• détermine les finalités et bases juridiques ;
• fournit une information conforme aux personnes ;
• limite les données à ce qui est nécessaire ;
• gère les droits et habilitations ;
• répond aux demandes d'exercice de droits ;
• documente ses instructions ;
• vérifie la licéité de la connexion bancaire et des données importées ;
• informe COTE de toute contrainte particulière connue.

COTE veille à ce que les personnes autorisées soient soumises à une obligation de confidentialité, reçoivent des consignes adaptées et n'accèdent aux données qu'en fonction de leurs missions.

COTE met en œuvre, selon les risques et l'état de l'art :

• chiffrement des communications par TLS ;
• chiffrement au repos fourni par les infrastructures concernées lorsqu'il est disponible ;
• authentification individuelle et vérification d'adresse électronique ;
• séparation logique des données de chaque entreprise, notamment par politiques d'accès en base ;
• gestion des rôles et principe du moindre privilège ;
• protection renforcée des comptes administratifs, avec authentification multifacteur lorsqu'elle est disponible ;
• journalisation des accès sensibles et événements de sécurité ;
• sauvegardes et procédures de restauration adaptées ;
• gestion des correctifs, dépendances et secrets ;
• tests de l'isolation et contrôles réguliers ;
• procédure de gestion des incidents et violations ;
• limitation et masquage des données exposées aux outils d'analyse.

Le détail opérationnel peut être communiqué au Client sous réserve de la sécurité et de la confidentialité.

Le Client accorde une autorisation générale au recours à des sous-traitants ultérieurs nécessaires au Service.

COTE tient une liste à jour et informe le Client d'un ajout ou remplacement matériel au moins quinze jours avant sa prise d'effet lorsque cela est possible. Le Client peut présenter une objection motivée liée à la protection des données. Les parties recherchent une solution raisonnable ; à défaut, le Client peut résilier la partie affectée avant le changement.

COTE impose aux sous-traitants ultérieurs des obligations de protection substantiellement équivalentes et reste responsable de leurs obligations de sous-traitance dans les conditions du RGPD.

Tout nouveau sous-traitant ultérieur est notifié au Client avant son activation, dans les conditions de l'article 8.

COTE ne réalise de transfert hors EEE que sur instruction, nécessité contractuelle ou obligation légale et avec un mécanisme conforme : décision d'adéquation, clauses contractuelles types ou autre garantie autorisée. COTE coopère aux évaluations de transfert raisonnablement nécessaires.

Les transferts vers les entreprises américaines certifiées reposent sur la décision d'adéquation de la Commission européenne du 10 juillet 2023 relative au cadre de protection des données UE–États-Unis (Data Privacy Framework) ; à défaut, sur les clauses contractuelles types adoptées par la décision d'exécution (UE) 2021/914.

Le Client est responsable de la réponse aux personnes. Si COTE reçoit directement une demande concernant des Données Client, elle la transmet sans délai raisonnable au contact du Client et ne répond pas sur le fond sauf instruction ou obligation légale.

COTE aide le Client, compte tenu de la nature du traitement et des informations disponibles, à rechercher, rectifier, exporter, limiter ou supprimer les données concernées. Une assistance manifestement disproportionnée ou dépassant les fonctions normales peut faire l'objet d'un devis, sauf si elle résulte d'un manquement de COTE.

COTE notifie au Client toute violation de Données Client sans retard indu après en avoir pris connaissance et, lorsque raisonnablement possible, dans les quarante-huit heures.

La notification indique progressivement, selon les informations disponibles, la nature de l'incident, les catégories de personnes et données concernées, les conséquences probables, les mesures prises et le point de contact.

Le Client reste responsable des notifications à la CNIL et aux personnes, sauf accord écrit ou obligation légale contraire. COTE coopère raisonnablement.

COTE fournit les informations raisonnablement disponibles nécessaires aux analyses d'impact et consultations préalables du Client concernant le Service, compte tenu de la nature du traitement.

À la fin du contrat, COTE, au choix du Client exprimé avant la fermeture, restitue les données au moyen des fonctions d'export disponibles ou les supprime.

À défaut d'instruction, les données sont supprimées de la base active dans les trente jours suivant la fermeture. Les copies de sauvegarde sont supprimées au fil de leur rotation et au plus tard dans les quatre-vingt-dix jours, sauf impossibilité technique temporaire documentée ou obligation légale. Pendant cette période, elles restent protégées et ne sont pas remises en usage courant.

Les pièces que COTE doit conserver en qualité de responsable du traitement, notamment factures et preuve contractuelle, ne sont pas des Données Client conservées pour le compte du Client et suivent la Politique de confidentialité.

COTE met à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD. Le Client privilégie d'abord les documents, rapports ou questionnaires disponibles.

Un audit sur place peut être demandé au maximum une fois par an, avec un préavis d'au moins trente jours, pendant les heures ouvrées, par un auditeur indépendant soumis à confidentialité, sans perturber le Service ni exposer les données d'autres clients. Les frais sont supportés par le Client, sauf manquement substantiel révélé par l'audit ou exigence d'une autorité.

COTE tient le registre des catégories d'activités de traitement requis pour son rôle et coopère de bonne foi avec l'autorité de contrôle compétente.

La responsabilité des parties au titre du DPA est régie par le RGPD et la clause de responsabilité des CGV, sans priver une personne concernée ni une autorité des droits que la loi lui reconnaît.

Pour COTE : [email protected].

Le Client renseigne et maintient à jour son propre contact dans son Compte ou ses conditions particulières.