Accord de traitement des données (sous-traitance)

1. Parties et objet

Le présent accord s'applique entre le client, en qualité de responsable du traitement, et CLOUPIX SUARL, Rue Île de Rhodes 10, 3ème étage, bureau A1, Immeuble Henda, 1053 Les Berges du Lac 2, Tunis, Tunisie, en qualité de sous-traitant. Il fait partie des conditions générales de Contabli et s'applique tant que le client utilise Contabli.

Le sous-traitant traite des données à caractère personnel pour le compte du client afin de lui fournir Contabli, dans le respect de la loi organique n° 2004-63 du 27 juillet 2004. En cas de contradiction avec les conditions générales, le présent accord prévaut en matière de protection des données.

2. Nature, finalité et personnes concernées

La finalité est l'exploitation de Contabli : création, envoi et archivage de devis et de factures, enregistrement des pièces justificatives, rapprochement des paiements et collaboration avec l'expert-comptable.

Catégories de données : noms et coordonnées, adresses, matricules fiscaux et numéros d'identité, coordonnées bancaires (RIB), données de facturation et de paiement, pièces et documents téléversés, messages des questions, ainsi que données de connexion et de journalisation des utilisateurs.

Personnes concernées : clients, fournisseurs et interlocuteurs du client, ses salariés et utilisateurs invités, ainsi que les collaborateurs de son cabinet d'expertise comptable.

3. Instructions

Le sous-traitant ne traite les données que sur instruction documentée du client, sauf obligation légale. Les instructions sont le présent accord, les conditions générales et l'utilisation des fonctionnalités de Contabli par le client.

Si le sous-traitant estime qu'une instruction est illicite, il en informe le client sans délai.

4. Confidentialité

Le sous-traitant n'emploie que des personnes tenues à la confidentialité ou soumises à une obligation légale de secret. Les données du client ne sont consultées que dans la mesure nécessaire à l'exploitation, à la sécurité ou au support.

5. Mesures techniques et organisationnelles

Le sous-traitant met en œuvre des mesures de sécurité appropriées, notamment :

Hébergement des serveurs et de la base de données chez des prestataires dont l'identité et la localisation sont communiquées au client sur demande ; transport chiffré (TLS) et connexion chiffrée à la base de données.

Double authentification obligatoire pour tous les utilisateurs ; rôles et droits par société ; accès de l'expert-comptable uniquement après autorisation du client, révocable à tout moment.

Cloisonnement des clients au niveau de la base de données (row-level security) ; analyse antivirus des fichiers téléversés.

Accès aux serveurs uniquement par clé SSH, pare-feu et protection contre les tentatives de connexion, mises à jour de sécurité régulières ; accès support réservé aux collaborateurs habilités avec double authentification, sans accès aux documents ni aux montants, et journalisé.

Export de toutes les données par le client à tout moment.

Le sous-traitant peut adapter ces mesures à l'état de l'art, à condition que le niveau de protection ne baisse pas.

6. Sous-traitants ultérieurs

Le client autorise le recours aux sous-traitants ultérieurs suivants : le prestataire d'hébergement et de base de données (identité et localisation communiquées sur demande) ; Microsoft Ireland Operations Ltd., Dublin (envoi des e-mails via OVH) ; un prestataire de paiement en ligne (uniquement pour les données de facturation du client).

Le sous-traitant informe le client par e-mail au moins quatre semaines à l'avance de tout nouveau sous-traitant ultérieur ou de tout changement. Le client peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut de solution, il peut résilier le contrat à la date du changement.

Le sous-traitant impose contractuellement à chaque sous-traitant ultérieur un niveau de protection équivalent. Tout transfert de données hors de Tunisie n'a lieu qu'après l'autorisation de l'Instance nationale de protection des données personnelles (INPDP), conformément aux articles 50 à 52 de la loi organique n° 2004-63.

7. Assistance au client

Le sous-traitant aide le client, par des mesures appropriées, à répondre aux demandes des personnes concernées et à respecter ses propres obligations en matière de sécurité et de déclaration. Le client peut traiter lui-même de nombreuses demandes dans Contabli, par exemple par l'export, la rectification ou la suppression d'enregistrements.

8. Violations de données

Le sous-traitant notifie au client toute violation de données à caractère personnel dans les meilleurs délais, si possible dans les 48 heures suivant sa découverte, avec les informations dont le client a besoin pour remplir ses propres obligations.

9. Suppression et restitution

Jusqu'à la fin du contrat, le client peut exporter ses données à tout moment. À la fin du contrat, le sous-traitant supprime les données dans un délai de 90 jours, sauf obligation légale de conservation.

10. Preuves et audits

Le sous-traitant met à la disposition du client les informations nécessaires pour démontrer le respect du présent accord. Il permet des audits par le client ou par un auditeur mandaté par lui et tenu au secret, moyennant un préavis raisonnable, en règle générale au plus une fois par an et sans perturber l'exploitation.

11. Dispositions finales

La responsabilité est régie par les conditions générales. Les modifications du présent accord sont annoncées comme celles des conditions générales. Le présent accord est régi par le droit tunisien.