Le présent contrat de sous-traitance (« DPA ») encadre les traitements de données à caractère personnel que Syncase réalise pour le compte et sur instruction du Cabinet abonné, conformément à l'article 28 du RGPD. Il complète les Conditions Générales de Vente sans les remplacer. En cas de contradiction sur la protection des données, le présent DPA prévaut.
01Parties
Le Sous-traitant — exploitant le service Syncase :
Ci-après « le Sous-traitant » ou « Syncase ».
Le Responsable de traitement — le cabinet (ou toute autre structure) titulaire d'un abonnement Syncase, identifié par les informations de son compte (raison sociale, SIREN, adresse, représentant), qui accepte le présent contrat lors de la souscription. Ci-après « le Responsable » ou « le Cabinet ».
02Objet
Dans le cadre de l'utilisation de Syncase, le Sous-traitant traite, pour le compte et sur instruction du Responsable, des données à caractère personnel contenues dans les factures, justificatifs et documents comptables des clients du Cabinet, ainsi que les données associées nécessaires à la collecte (adresse des boîtes de messagerie connectées, noms des clients concernés). Le Responsable demeure responsable de traitement de ces données. Le présent contrat définit les conditions dans lesquelles ces opérations sont effectuées, conformément à l'article 28 du RGPD.
03Description du traitement
La nature, la finalité, la durée du traitement, les types de données et les catégories de personnes concernées sont décrits en Annexe 1.
04Durée
Le présent contrat prend effet à la date d'acceptation par le Responsable et reste en vigueur pendant toute la durée de l'abonnement au service Syncase. Les obligations relatives à la confidentialité, à la sécurité et au sort des données survivent à la fin du contrat jusqu'à la suppression effective des données.
05Obligations du Sous-traitant
5.1 Traitement sur instruction documentée
Ne traiter les données que sur instruction documentée du Responsable, y compris en matière de transfert hors de l'Union européenne. Les présentes, les CGV et l'usage du service constituent les instructions documentées. Si une instruction semble constituer une violation du RGPD, le Sous-traitant en informe immédiatement le Responsable. Le traitement n'a lieu sur instruction que sous réserve d'une obligation résultant du droit de l'Union ou d'un État membre à laquelle le Sous-traitant est soumis ; dans ce cas, il informe le Responsable de cette obligation avant le traitement, sauf si le droit concerné l'interdit.
5.2 Confidentialité
Veiller à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée. L'accès est limité aux personnes habilitées, dans la stricte mesure nécessaire au service.
5.3 Sécurité (article 32)
Mettre en œuvre les mesures techniques et organisationnelles appropriées décrites en Annexe 2, afin de garantir un niveau de sécurité adapté au risque.
5.4 Sous-traitance ultérieure
Le Responsable autorise le recours aux sous-traitants ultérieurs listés en Annexe 3. Le Sous-traitant leur impose par contrat les mêmes obligations de protection des données que celles du présent contrat, notamment par l'adhésion aux clauses de sous-traitance (article 28) de chaque sous-traitant ultérieur. Tout ajout ou remplacement est notifié au Responsable au moins 30 jours à l'avance ; le Responsable peut s'opposer pour un motif légitime et résilier si aucune solution n'est trouvée. Le Sous-traitant demeure responsable de l'exécution par ses sous-traitants ultérieurs de leurs obligations.
5.5 Assistance aux droits des personnes
Aider le Responsable, par des mesures appropriées, à répondre aux demandes d'exercice des droits (accès, rectification, effacement, limitation, portabilité, opposition). Toute demande reçue directement est transmise sans délai au Responsable, sans y répondre de sa propre initiative.
5.6 Assistance sécurité et conformité (articles 32 à 36)
Aider le Responsable à respecter ses obligations de sécurité, de notification des violations, d'analyse d'impact (AIPD) et de consultation préalable de l'autorité de contrôle, compte tenu de la nature du traitement et des informations disponibles.
5.7 Notification des violations de données
Notifier au Responsable toute violation de données dans les meilleurs délais après en avoir pris connaissance, et au plus tard 48 heures (sauf cas exceptionnel dûment justifié), en tout état de cause dans un délai permettant au Responsable de respecter son propre délai de notification de 72 heures. La notification, adressée par e-mail à l'adresse du compte, décrit la nature de la violation, les catégories et volumes concernés, les conséquences probables et les mesures prises, et indique un point de contact pour le suivi.
5.8 Sort des données en fin de contrat
Au choix du Responsable, supprimer ou renvoyer toutes les données au terme de la prestation et détruire les copies existantes, sauf obligation légale de conservation. À défaut d'instruction, les données sont supprimées. Les données présentes dans les sauvegardes sont purgées dans le cadre de la rotation, soit un délai maximal de 30 jours.
5.9 Démonstration de conformité et audits
Mettre à disposition les informations nécessaires pour démontrer le respect de l'article 28, et permettre des audits (y compris inspections) par le Responsable ou un auditeur mandaté, dans la limite d'un audit par an (sauf incident de sécurité), moyennant préavis raisonnable et dans le respect de la confidentialité des autres clients.
5.10 Registre des traitements
Tenir, conformément à l'article 30.2 du RGPD, un registre des catégories d'activités de traitement effectuées pour le compte du Responsable.
06Obligations du Responsable
Le Responsable s'engage à :
- documenter par écrit toute instruction relative au traitement ;
- s'assurer, avant et pendant le traitement, du respect par le Sous-traitant de ses obligations RGPD ;
- disposer d'une base légale pour les traitements confiés et avoir informé ses propres clients du recours à Syncase ;
- superviser le traitement et exercer son droit d'audit dans les conditions de l'article 5.9.
07Transferts hors Union européenne
Les données traitées au titre du présent contrat sont hébergées dans l'Union européenne (OVHcloud en France ; Cloudflare R2 en juridiction Union européenne, qui garantit le stockage au repos dans l'UE). Certains sous-traitants ultérieurs (voir Annexe 3) sont établis aux États-Unis ou y traitent des données ; en outre, Cloudflare, Inc., bien que stockant les données au repos dans l'UE, est une société de droit américain. Ces transferts, réels ou potentiels, sont encadrés par des garanties appropriées au sens du chapitre V du RGPD : clauses contractuelles types de la Commission européenne (article 46) et, pour les entités qui y sont effectivement certifiées, Data Privacy Framework UE–États-Unis. Le Sous-traitant procède, lorsque cela est nécessaire, à une analyse des transferts et met en œuvre des mesures supplémentaires (chiffrement, minimisation).
08Responsabilité
Chaque partie répond des dommages causés par le traitement lorsqu'elle a manqué aux obligations du RGPD qui lui incombent spécifiquement, ou qu'elle a agi en dehors des instructions licites du Responsable ou contrairement à celles-ci, dans les conditions des articles 82 et 28 du RGPD.
09Droit applicable et juridiction
Le présent contrat est régi par le droit français. Tout litige relatif à son interprétation ou à son exécution relève de la compétence des tribunaux français, à défaut de résolution amiable.
10Acceptation
Le présent contrat est accepté par le Responsable au moment de la souscription, par une case à cocher dédiée et distincte de l'acceptation des CGV. La date d'acceptation, la version du contrat et l'identifiant du compte sont enregistrés comme preuve de l'accord.
A1Annexe 1 — Description du traitement
A2Annexe 2 — Mesures techniques et organisationnelles
- Chiffrement en transit : toutes les communications sont protégées par HTTPS / TLS.
- Chiffrement au repos : mots de passe hachés ; jetons d'accès aux messageries (OAuth) chiffrés en base.
- Stockage des documents : factures (PDF) dans un espace privé (Cloudflare R2, juridiction Union européenne), accessibles uniquement par URL signées temporaires (expiration 15 minutes), sans accès public direct.
- Contrôle d'accès : authentification par jeton, séparation stricte des rôles (comptable / administration), accès limité aux personnes habilitées.
- Sauvegardes : sauvegarde quotidienne automatique de la base, chiffrée (AES-256), stockée dans l'Union européenne, rétention 30 jours, procédure de restauration testée.
- Journalisation : à des fins de sécurité et de traçabilité, les accès et actions de sécurité sont journalisés (conservation 2 ans) ; les émissions d'URL de téléchargement sont tracées.
- Minimisation vers l'IA : seuls sont transmis au service d'intelligence artificielle de classification des métadonnées (expéditeur, objet, noms des pièces jointes) et un extrait limité à 255 caractères du contenu ; aucun PDF ni corps d'e-mail complet n'est transmis.
- Hébergement : application et base de données hébergées en France (OVHcloud).
- Révocation : mécanisme de révocation des jetons d'accès lorsqu'un client déconnecte sa boîte ou qu'un compte est supprimé.
A3Annexe 3 — Sous-traitants ultérieurs
Hébergement de l'application et de la base de données
Données stockées dans l'UE
Stockage des factures au format PDF
Stockage au repos garanti dans l'UE (juridiction UE) ; société de droit américain : clauses contractuelles types
Classification automatisée par intelligence artificielle (métadonnées et extrait limité à 255 caractères, sans PDF ni corps d'e-mail complet)
Clauses contractuelles types (Data Privacy Framework si l'entité y est certifiée)
Notifications push aux utilisateurs du Cabinet (peuvent contenir le nom d'un client)
Clauses contractuelles types (Data Privacy Framework si l'entité y est certifiée)
Envoi d'e-mails transactionnels (alertes pouvant contenir le nom d'un client)
Clauses contractuelles types (Data Privacy Framework si l'entité y est certifiée)
Stripe (paiement de l'abonnement) n'est pas listé : il traite les données de paiement du Cabinet, pour lesquelles ECOM 31 agit en tant que responsable de traitement, et non les données des clients du Cabinet couvertes par le présent contrat.
11Contact
Pour toute question relative au présent contrat de sous-traitance :
mailadmin@syncase.fr