Le présent accord de sous-traitance fait partie du contrat conclu entre le client et No Name B.V. (exerçant sous le nom commercial OpenZero, KvK 77121481, Dierenriem 42A, 7071 TH Ulft) pour le service OpenZero. Le client est responsable du traitement ; nous sommes sous-traitant. Des termes tels que données à caractère personnel, traiter et violation de données à caractère personnel ont le même sens que dans le règlement général sur la protection des données (RGPD).
1. Ce que nous traitons
| Finalité | tenir la comptabilité du client, comme décrit dans nos conditions générales |
|---|---|
| Ce que nous faisons | récupérer les opérations, recevoir et lire les documents, rapprocher, comptabiliser, conserver, afficher au client et, à la fin, supprimer |
| De qui | les fournisseurs, clients et autres relations du client, les salariés du client qui utilisent le portail, et les autres personnes qui figurent dans des opérations ou des documents |
| Quelles données | noms, adresses, adresses e-mail, numéros de téléphone, IBAN, montants, libellés de paiements, le contenu des factures et des justificatifs, et pour les utilisateurs du portail leur rôle, leur service et les derniers chiffres d'une carte d'entreprise |
| Catégories particulières de données | non prévues. Si elles figurent malgré tout dans un document (par exemple un justificatif d'un prestataire de soins), nous les traitons comme toutes les autres données et ne les traitons que pour la comptabilité |
| Durée | pendant la durée du contrat, puis comme prévu à l'article 9 |
2. Uniquement sur instruction
- Nous traitons les données à caractère personnel uniquement sur instruction du client : pour le service et conformément aux instructions écrites du client. Le présent accord et les conditions générales constituent ces instructions. Nous n'effectuons un autre traitement que si la loi nous y oblige. Dans ce cas, nous en informons d'abord le client, sauf si la loi l'interdit.
- Si nous estimons qu'une instruction est contraire au RGPD, nous le signalons immédiatement.
- Nous n'utilisons pas les données pour notre propre compte. Nous ne les utilisons pas non plus pour entraîner des logiciels ou des modèles d'IA.
3. Confidentialité
Toute personne qui travaille chez nous avec les données est soumise à une obligation de confidentialité. Seuls les collaborateurs qui ont besoin des données pour le service y ont accès.
4. Sécurité
Nous prenons des mesures techniques et organisationnelles appropriées. Elles comprennent notamment :
- des connexions chiffrées (TLS) ;
- le stockage chiffré des données d'accès aux logiciels comptables et aux banques ;
- un accès pour nos comptables uniquement avec mot de passe et vérification en deux étapes, et uniquement aux clients avec lesquels ils travaillent ;
- un journal de qui a fait quoi ;
- des sauvegardes quotidiennes ;
- un hébergement dans l'UE ;
- la mise à jour des logiciels.
Nous tenons ces mesures à jour et les adaptons si nécessaire.
5. Sous-traitants ultérieurs
- Le client autorise les sous-traitants ultérieurs figurant dans le tableau ci-dessous.
- Si nous souhaitons ajouter ou remplacer un sous-traitant ultérieur, nous l'annonçons par e-mail au moins 30 jours à l'avance. Si le client a un motif fondé de s'y opposer, nous cherchons ensemble une solution. À défaut, le client peut résilier le contrat à la date à laquelle la modification prend effet.
- Nous imposons à chaque sous-traitant ultérieur au moins les mêmes obligations que celles prévues dans le présent accord. Nous restons responsables envers le client de leurs actes.
| Sous-traitant ultérieur | À quelles fins | Où |
|---|---|---|
| DigitalOcean LLC | hébergement du service, de la base de données et des documents | Amsterdam (UE) |
| Microsoft Ireland Operations Ltd (Azure AI Document Intelligence) | lire le texte des documents | UE |
| Anthropic PBC (Claude) | propositions de rapprochement et d'écritures | États-Unis, avec clauses contractuelles types |
| Enable Banking Oy | récupérer les opérations bancaires si le client connecte sa banque | Finlande (UE) |
| Notre service d'e-mail | e-mails aux utilisateurs du portail | UE |
Le logiciel du client, sa banque et ses prestataires de paiement ne sont pas des sous-traitants ultérieurs. Le client a lui-même conclu un contrat avec eux, et nous y travaillons sur ses instructions.
6. Transferts hors de l'UE
Nous ne transférons des données à caractère personnel vers un pays situé hors de l'Espace économique européen que si le RGPD le permet, par exemple au moyen des clauses contractuelles types de la Commission européenne. À ce jour, cela ne concerne qu'Anthropic.
7. Assistance pour les demandes et les obligations
- Si nous recevons une demande d'une personne qui exerce ses droits, comme l'accès ou l'effacement, nous la transmettons au client. Nous aidons le client à y répondre.
- Nous aidons également le client pour :
- une analyse d'impact relative à la protection des données ;
- une consultation préalable de l'Autoriteit Persoonsgegevens ;
- la sécurisation des données.
- Si cette assistance prend plus de quelques heures, nous pouvons facturer ce temps à notre tarif habituel, mais uniquement si nous l'avons annoncé au préalable.
8. Fuites de données
- Si nous découvrons une violation de données à caractère personnel, nous en informons le client dans les meilleurs délais, et en tout cas dans les 36 heures suivant sa découverte. Nous indiquons à cette occasion :
- ce qui s'est passé ;
- quelles données et combien de personnes sont concernées ;
- quelles sont les conséquences probables ;
- ce que nous avons fait et faisons encore.
- Le client décide s'il notifie la violation à l'Autoriteit Persoonsgegevens et aux personnes concernées. Nous ne le faisons pas nous-mêmes, sauf si le client nous le demande.
- Nous tenons un registre de toutes les violations.
9. Après la fin
Après la fin du contrat, le client peut encore télécharger ses documents depuis le portail pendant 30 jours. Nous supprimons ensuite les données à caractère personnel dans un délai de 60 jours, y compris dans les sauvegardes dès que celles-ci expirent. Les données que nous sommes tenus de conserver en vertu de la loi sont supprimées dès que cela est permis. Sur demande, nous confirmons la suppression par écrit.
10. Contrôle
- Nous fournissons au client toutes les informations nécessaires pour démontrer que nous respectons le présent accord.
- Le client peut, une fois par an, faire effectuer un contrôle par un expert indépendant tenu au secret. Le client l'annonce au moins 30 jours à l'avance.
- Le client supporte les frais du contrôle. S'il apparaît que nous n'avons pas respecté le présent accord sur un point important, nous les supportons.
11. Responsabilité et durée
- En matière de responsabilité, l'article 9 de nos conditions générales s'applique.
- Le présent accord s'applique aussi longtemps que nous traitons des données à caractère personnel pour le client.
- Le présent accord est régi par le droit néerlandais. Les litiges sont soumis au tribunal de Gueldre (rechtbank Gelderland).
- En cas de contradiction, le présent accord de sous-traitance prévaut sur les conditions générales, en ce qui concerne les données à caractère personnel.