Traduction. En cas de divergence, le texte néerlandais prévaut.
Le présent accord de sous-traitance met en œuvre l’article 28 du Règlement (UE) 2016/679 (« le RGPD »). Il fait partie de tout Contrat conclu entre Cashplannr BV, Zeitje 5, 9681 Maarkedal, BCE 0741.779.289 (« le Sous-traitant »), et le client qui signe le Bon de commande (« le Responsable du traitement »). Les termes commençant par une majuscule ont la signification qui leur est donnée dans les conditions générales de Cashplannr.
1.1. Le présent accord s’applique dès que le Responsable du traitement signe un Bon de commande qui y fait référence. Cette signature, y compris par voie électronique, vaut acceptation écrite au sens de l’article 28.9 du RGPD.
1.2. Le Sous-traitant traite des données à caractère personnel pour le compte du Responsable du traitement dans le cadre de la fourniture de la Plateforme et de l’Implémentation. Si le Responsable du traitement contracte également pour des Sociétés liées, il agit pour leur compte et se porte garant de leurs instructions.
1.3. La nature et la finalité du traitement, les catégories de personnes concernées et de données à caractère personnel ainsi que la durée figurent à l’Annexe A. Le Bon de commande peut compléter cette description pour l’activité spécifique du Responsable du traitement.
1.4. Le présent accord s’applique tant que le Contrat est en cours et tant que le Sous-traitant traite des données à caractère personnel pour le Responsable du traitement.
2.1. Le Sous-traitant traite les données à caractère personnel uniquement sur instruction documentée du Responsable du traitement. Le Contrat, les paramètres que le Responsable du traitement choisit dans la Plateforme et l’utilisation de la Plateforme par ses Utilisateurs valent instruction en ce sens.
2.2. Si le Sous-traitant est légalement tenu d’effectuer un traitement en dehors de ces instructions, il en informe préalablement le Responsable du traitement, sauf si cette législation l’interdit pour des motifs importants d’intérêt public.
2.3. Le Sous-traitant informe immédiatement le Responsable du traitement lorsqu’une instruction constitue, selon lui, une violation du RGPD ou d’autres règles relatives à la protection des données.
2.4. Le Sous-traitant ne traite pas les données à caractère personnel à ses propres fins et ne les utilise pas pour entraîner des modèles de langage. Les données entièrement anonymisées et agrégées, à partir desquelles aucune personne concernée ni aucun client n’est identifiable, ne sont pas des données à caractère personnel ; le Sous-traitant peut les utiliser conformément à l’article 9.3 des conditions générales.
3.1. Le Sous-traitant veille à ce que les personnes placées sous son autorité qui ont accès aux données à caractère personnel soient tenues à la confidentialité et n’obtiennent l’accès que dans la mesure où leur tâche l’exige.
4.1. Le Sous-traitant prend les mesures techniques et organisationnelles appropriées visées à l’article 32 du RGPD. L’Annexe B décrit les mesures à la date de la présente version.
4.2. Le Sous-traitant peut adapter les mesures à l’état de la technique, à condition que le niveau de sécurité ne diminue pas.
4.3. Le Responsable du traitement est responsable de la gestion des comptes de ses Utilisateurs, du choix de mots de passe robustes et de l’activation de l’authentification à deux facteurs lorsque celle-ci est disponible.
5.1. Le Responsable du traitement donne une autorisation générale de faire appel à des sous-traitants ultérieurs. L’Annexe C contient les sous-traitants ultérieurs à la date de la présente version. Le Sous-traitant tient à jour la liste actuelle et la communique sur demande.
5.2. Le Sous-traitant notifie l’ajout ou le remplacement d’un sous-traitant ultérieur au moins trente jours à l’avance. Dans ce délai, le Responsable du traitement peut formuler une objection motivée fondée sur la protection des données. Les Parties recherchent alors une solution de bonne foi. Le Sous-traitant peut notamment proposer de désactiver la fonction concernée pour le Responsable du traitement ou d’utiliser une alternative. En l’absence de solution après trente jours, le Responsable du traitement peut résilier le Contrat pour la partie qui ne peut être fournie sans ce sous-traitant ultérieur, sans indemnité et avec remboursement au prorata de la redevance payée anticipativement pour cette partie.
5.3. Le Sous-traitant impose contractuellement à chaque sous-traitant ultérieur des obligations en matière de protection des données substantiellement équivalentes à celles du présent accord, comme l’exige l’article 28.4 du RGPD. Il reste responsable envers le Responsable du traitement de l’exécution par le sous-traitant ultérieur comme de ses propres actes, dans les limites de l’article 12.
6.1. La base de données et les sauvegardes de la Plateforme sont hébergées au sein de l’Espace économique européen (EEE).
6.2. Les données à caractère personnel ne sont transférées en dehors de l’EEE ou consultées à partir de l’extérieur de celui-ci que par les sous-traitants ultérieurs figurant à l’Annexe C, sur la base d’une décision d’adéquation de la Commission européenne, y compris le cadre de protection des données UE-États-Unis, ou des clauses contractuelles types de la Commission européenne, complétées par des mesures appropriées si nécessaire.
6.3. Pour les Fonctions d’IA, le Sous-traitant ne transmet que les données nécessaires à la tâche concernée. Les noms des contreparties, les numéros de compte, les adresses e-mail et les numéros de téléphone sont préalablement pseudonymisés : ils sont remplacés par des mentions neutres. Tant que cela n’est pas possible pour une Fonction d’IA, cette fonction est désactivée et n’est activée qu’à la demande écrite expresse du Responsable du traitement.
6.4. Pour les modèles de langage, le Sous-traitant utilise les services professionnels des fournisseurs, dans le cadre desquels les données transmises ne sont pas utilisées pour entraîner des modèles. Sur demande, il fournit une description des mesures appliquées. À la demande du Responsable du traitement, il désactive les Fonctions d’IA.
7.1. Le Sous-traitant fournit, compte tenu de la nature du traitement, une assistance raisonnable pour les demandes des personnes concernées en vertu des articles 15 à 22 du RGPD.
7.2. Si le Sous-traitant reçoit directement une telle demande, il n’y répond pas lui-même mais la transmet sans délai au Responsable du traitement.
7.3. L’assistance qui requiert un effort considérable et qui ne résulte pas d’un manquement du Sous-traitant peut être facturée, après estimation préalable, au tarif journalier du Bon de commande.
8.1. Le Sous-traitant notifie toute violation de données à caractère personnel au Responsable du traitement dans les meilleurs délais, et en tout cas dans les quarante-huit heures après en avoir pris connaissance.
8.2. La notification contient, dans la mesure où ils sont connus, la nature de la violation, les catégories concernées et le nombre approximatif de personnes concernées et de données, les conséquences probables, les mesures prises ou proposées et une personne de contact. Les informations manquantes sont complétées de manière échelonnée.
8.3. Le Responsable du traitement décide de la notification à l’autorité de contrôle et aux personnes concernées. Le Sous-traitant fournit à cet égard une assistance raisonnable.
9.1. Le Sous-traitant fournit, compte tenu de la nature du traitement et des informations dont il dispose, une assistance raisonnable pour une analyse d’impact relative à la protection des données et pour une consultation préalable de l’autorité de contrôle. L’article 7.3 s’applique par analogie.
10.1. Le Sous-traitant met à disposition les informations nécessaires pour démontrer le respect de l’article 28 du RGPD, en premier lieu par le biais de documentation, de descriptions des mesures et de réponses écrites aux questions.
10.2. Si ces informations ne suffisent raisonnablement pas, le Responsable du traitement peut faire réaliser un audit au maximum une fois par année civile. Il le notifie trente jours à l’avance. L’audit a lieu pendant les heures de bureau, sans perturber de manière déraisonnable le fonctionnement du Sous-traitant et sans accès aux données d’autres clients. Après une violation de données à caractère personnel, un audit supplémentaire peut avoir lieu.
10.3. L’auditeur n’est pas un concurrent du Sous-traitant et est tenu à la confidentialité. Le Responsable du traitement supporte les frais, y compris le temps du Sous-traitant au tarif journalier, sauf si l’audit démontre un manquement substantiel du Sous-traitant.
11.1. Après la fin du Contrat, le Responsable du traitement peut, pendant trente jours, demander une exportation des données dans un format structuré couramment utilisé.
11.2. À l’expiration de ce délai, le Sous-traitant supprime les données à caractère personnel de l’environnement de production dans un délai de quatre-vingt-dix jours. Les données figurant dans les sauvegardes sont supprimées selon la rotation des sauvegardes prévue à l’Annexe B et ne sont plus accessibles pour un usage courant d’ici là.
11.3. Le Sous-traitant peut conserver des données à caractère personnel plus longtemps dans la mesure où une obligation légale de conservation l’exige, et exclusivement à cette fin.
12.1. La responsabilité en vertu du présent accord est soumise aux limitations de l’article 15 des conditions générales. Ces limitations s’appliquent à toutes les réclamations en vertu du présent accord et du reste du Contrat, prises ensemble. Elles ne portent pas atteinte aux droits impératifs des personnes concernées en vertu de l’article 82 du RGPD.
12.2. En cas de contradiction, le présent accord prévaut sur les conditions générales en ce qui concerne le traitement de données à caractère personnel, sauf pour la responsabilité, pour laquelle l’article 12.1 s’applique.
12.3. Le présent accord est régi par le droit belge. Les tribunaux compétents selon les conditions générales sont également compétents pour les litiges relatifs au présent accord.
Nature et finalité. L’hébergement et la mise à disposition d’une plateforme de planification de trésorerie, de budgétisation et de reporting financier par société, par projet et pour un groupe. Cela comprend l’importation de données provenant de Systèmes tiers du Responsable du traitement, la gestion des comptes d’utilisateurs, l’Implémentation, le support, les Fonctions d’IA conformément à l’article 6.3, les sauvegardes, la sécurité et la restauration.
Catégories de personnes concernées.
Catégories de données à caractère personnel.
Catégories particulières. Aucune catégorie particulière de données à caractère personnel au sens de l’article 9 du RGPD ni aucune donnée relative aux condamnations pénales n’est traitée. Le Responsable du traitement ne les introduit pas dans la Plateforme.
Durée. La durée du Contrat, suivie des délais d’exportation et de suppression prévus à l’article 11.
Situation à la date de la présente version.
| Domaine | Mesure |
|---|---|
| Hébergement | L’environnement de production est exploité chez DigitalOcean dans le centre de données de Francfort (Allemagne), au sein de l’EEE. La base de données fonctionne sur un serveur distinct du Sous-traitant dans le même centre de données, accessible uniquement depuis le réseau privé de la Plateforme et protégé par un pare-feu. Les connexions à la base de données sont chiffrées via TLS, avec vérification du certificat du serveur. |
| Transport | Toutes les connexions à la Plateforme sont chiffrées au moyen de TLS. Les connexions avec les Systèmes tiers passent par des connexions chiffrées et par une autorisation dans ces systèmes ; le Sous-traitant ne conserve aucun mot de passe du Responsable du traitement pour ces systèmes. |
| Accès à l’infrastructure | Limité aux administrateurs désignés par le Sous-traitant, à l’heure actuelle le gérant, exclusivement au moyen de clés SSH ; l’authentification par mot de passe est désactivée. |
| Accès au sein de la Plateforme | Rôles d’administrateur, d’utilisateur et de partenaire. Un Utilisateur ne voit que les sociétés pour lesquelles il dispose de droits. L’authentification à deux facteurs est disponible. |
| Accès du support | Les collaborateurs et prestataires externes du Sous-traitant n’ont accès aux environnements des clients que dans la mesure où leur tâche l’exige et sont contractuellement tenus à la confidentialité. |
| Mots de passe | Les mots de passe des Utilisateurs sont stockés sous forme hachée. |
| Sauvegarde et restauration | Sauvegardes automatiques quotidiennes de la base de données, conservées en dehors du serveur de base de données et au sein de l’EEE, selon une conservation dégressive : toutes les sauvegardes pendant sept jours, ensuite une par jour jusqu’à seize jours, une par semaine jusqu’à huit semaines, une par mois jusqu’à quatre mois et une par an jusqu’à deux ans. En outre, DigitalOcean réalise chaque semaine une copie complète du serveur de base de données, et une restauration à un moment quelconque au cours des sept derniers jours est possible. La restauration est testée périodiquement. |
| Journalisation | Les connexions et les actions pertinentes dans la Plateforme sont journalisées et conservées pendant 180 jours. |
| Séparation des données | Les données de chaque client sont séparées logiquement par environnement. |
| Modèles de langage | Seules les données nécessaires à une tâche spécifique sont transmises au modèle de langage, après pseudonymisation conformément à l’article 6.3. API professionnelles des fournisseurs, sans entraînement sur les données transmises. |
| Vulnérabilités | Les mises à jour de sécurité du système d’exploitation sont appliquées automatiquement. Les mises à jour critiques des dépendances applicatives sont appliquées le plus rapidement possible après leur publication, les autres régulièrement. Un premier test d’intrusion externe est en préparation. |
| Incidents | Les incidents de sécurité sont enregistrés, évalués quant à leur impact et traités conformément à l’article 8. |
Situation à la date de la présente version. Les modifications sont communiquées conformément à l’article 5.2.
| Sous-traitant ultérieur | Service | Localisation des données | Mécanisme de transfert |
|---|---|---|---|
| DigitalOcean LLC | Hébergement de l’application, de la base de données et des sauvegardes | Francfort, Allemagne (EEE) | Clauses contractuelles types ou cadre de protection des données UE-États-Unis, pour un éventuel accès depuis les États-Unis |
| OpenAI Ireland Ltd. / OpenAI, L.L.C. | Modèles de langage pour les suggestions, la catégorisation et l’assistant | UE et États-Unis | Clauses contractuelles types ou cadre de protection des données UE-États-Unis ; données préalablement pseudonymisées |
| Anthropic Ireland, Limited / Anthropic PBC | Modèles de langage pour les suggestions, la catégorisation et l’assistant | UE et États-Unis | Clauses contractuelles types ou cadre de protection des données UE-États-Unis ; données préalablement pseudonymisées |
| Mailgun Technologies Inc. | Envoi de messages système et de support | UE | Clauses contractuelles types, pour un éventuel accès depuis les États-Unis |
| Functional Software Inc. (Sentry) | Surveillance des erreurs | UE | Clauses contractuelles types, pour un éventuel accès depuis les États-Unis |