Accord de traitement des données (DPA)
Version du 19 octobre 2026
1. Parties et objet
Le présent accord est conclu entre le Client, responsable du traitement, et EDJ XTECH LAW SCHOOL, S.L. (le « Sous-traitant »), éditeur de Le Frac. Il fait partie intégrante des conditions générales de vente et d’utilisation et s’applique dès que le Sous-traitant traite des données personnelles pour le compte du Client dans le cadre du Service.
En cas de contradiction, le présent accord prévaut sur les conditions générales pour tout ce qui concerne la protection des données personnelles.
2. Description du traitement
| Élément | Description |
|---|---|
| Objet et nature | Hébergement, enregistrement, organisation, consultation, transmission et suppression de données dans le cadre du Service |
| Finalités | Émission et réception de factures, relances, encaissement, suivi de trésorerie, envoi d’e-mails, de SMS ou de courriers à la demande du Client, fonctions d’assistance par intelligence artificielle |
| Personnes concernées | Clients, prospects et fournisseurs du Client et leurs interlocuteurs ; utilisateurs du compte du Client |
| Catégories de données | Identité et coordonnées professionnelles, identifiants d’entreprise, données de facturation et de paiement (montants, échéances, coordonnées bancaires), historique des échanges et des relances |
| Données sensibles | Aucune attendue ; le Client s’engage à ne pas en enregistrer |
| Durée | Durée de l’abonnement, puis 30 jours de réversibilité, puis suppression (voir l’article 9) |
3. Instructions du Client
Le Sous-traitant ne traite les données que sur instruction documentée du Client : les présentes conditions, le paramétrage du Service et les actions faites dans le Service valent instructions. Il informe immédiatement le Client si une instruction lui paraît contraire à la réglementation.
Si le droit de l’Union ou d’un État membre l’oblige à un traitement, il en informe le Client avant de le faire, sauf si ce droit l’interdit.
4. Confidentialité
Les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité et n’y accèdent que dans la mesure nécessaire.
5. Sécurité
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites à l’annexe « Mesures de sécurité » ci-dessous, adaptées au risque, conformément à l’article 32 du RGPD. Il peut les faire évoluer sans réduire le niveau de protection.
6. Sous-traitants ultérieurs
Le Client donne une autorisation générale au recours aux sous-traitants ultérieurs listés dans la politique de confidentialité (section 5). Le Sous-traitant informe le Client de tout ajout ou remplacement au moins 30 jours à l’avance ; le Client peut s’y opposer pour un motif raisonnable lié à la protection des données et, à défaut d’accord, résilier sans frais.
Le Sous-traitant impose à chaque sous-traitant ultérieur les mêmes obligations de protection des données et reste responsable de leur exécution envers le Client.
7. Transferts hors de l’Union européenne
Tout transfert hors de l’Espace économique européen est encadré par une décision d’adéquation ou par les clauses contractuelles types de la Commission européenne (RGPD, art. 45 et 46), comme indiqué dans la politique de confidentialité (section 6).
8. Assistance au Client
- Droits des personnes : le Service permet au Client de consulter, corriger, exporter et supprimer les données ; le Sous-traitant transmet au Client, sans y répondre lui-même, toute demande qu’il reçoit directement.
- Violation de données : le Sous-traitant notifie au Client toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles à la notification à l’autorité de contrôle.
- Analyse d’impact et consultation préalable : le Sous-traitant fournit au Client les informations dont il dispose.
9. Fin du traitement
À la fin du Service, le Client peut exporter ses données pendant 30 jours. Le Sous-traitant supprime ensuite les données et leurs copies, sauf obligation légale de conservation ; les sauvegardes de la base de données, gérées par son hébergeur (Supabase), sont effacées à l’issue de leur cycle de rotation.
10. Documentation et audits
Le Sous-traitant met à disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et permet des audits, au plus une fois par an sauf violation de données, annoncés 30 jours à l’avance, aux frais du Client, par un auditeur tenu au secret.
11. Obligations du Client
Le Client garantit disposer d’une base légale pour les données qu’il confie au Service et avoir informé les personnes concernées. Il tient son propre registre des traitements.
Annexe : mesures de sécurité
- Chiffrement des échanges (HTTPS / TLS) et chiffrement au repos assuré par l’hébergeur de la base de données.
- Cloisonnement des données par entreprise au niveau de la base de données (règles d’accès par ligne).
- Secrets de connexion aux services tiers chiffrés ; clés d’API conservées côté serveur uniquement.
- Authentification des utilisateurs, accès de l’équipe limité au nécessaire.
- Données de l’application hébergées dans l’Union européenne (Francfort) ; sauvegardes de la base de données assurées par son hébergeur (Supabase).
- Fonctions d’intelligence artificielle : seules les données utiles à la fonction sont transmises, rien n’est conservé par le Sous-traitant.