Contrat de sous-traitance

Quand un de tes clients réserve depuis ton site ou apparaît sur une facture, ses données sont stockées chez nous. C'est toi qui décides pourquoi tu les traites : tu en es le responsable de traitement. Nous ne faisons que les héberger et les traiter pour toi : nous en sommes le sous-traitant.

L'article 28 du RGPD impose un contrat écrit entre nous. Le voici. Il fait partie intégrante des conditions générales et est accepté à l'inscription.

Objet: l'hébergement et le traitement, pour le compte du client, des données nécessaires au fonctionnement de VoxFactura.

Durée: la durée de l'abonnement, majorée de la période de réversibilité de trente jours.

Nature et finalités: établissement et envoi de devis et de factures, gestion des rendez-vous et des réservations, suivi des dépenses, publication du site du client, réponse aux visiteurs par l'assistant d'accueil, relances et notifications.

Catégories de personnes: les clients et prospects du professionnel, les personnes qui réservent ou le contactent depuis son site, ses fournisseurs, et le cas échéant ses collaborateurs disposant d'un accès.

Types de données: identité, coordonnées postales, téléphoniques et électroniques, contenu des échanges, objet et montant des prestations, dates de rendez-vous, références de paiement. Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée ; le client s'interdit d'en saisir.

Traitement sur instruction.Nous ne traitons les données que pour fournir le service décrit ci-dessus et sur instruction du client. Nous ne les utilisons pour aucune finalité propre. Nous ne les revendons pas, ne les exploitons pas à des fins publicitaires, et ne nous en servons pas pour entraîner de modèle. Le support, la maintenance et le diagnostic des anomalies font partie du service : les accès qu'ils exigent sont limités au strict besoin. Si une instruction nous paraît contraire au règlement, nous en informons le client sans délai.

Confidentialité. Les personnes autorisées à accéder aux données sont tenues à la confidentialité. Les accès sont individuels et journalisés.

Sécurité.Les données sont chiffrées en AES-256 au stockage et en TLS 1.3 en circulation. Le cloisonnement entre clients est appliqué au niveau de la base de données elle-même, de sorte qu'une requête ne peut pas atteindre les données d'un autre client. Les sauvegardes sont continues. Les accès aux interfaces d'administration sont authentifiés.

Aide à l'exercice des droits.Le client peut exporter, rectifier et supprimer les données depuis son espace, ce qui lui permet de répondre lui-même aux demandes qu'il reçoit. Si une demande nous parvient directement, nous la lui transmettons sans y répondre à sa place.

Violation de données.Nous informons le client dans les meilleurs délais et au plus tard sous quarante-huit heures après en avoir pris connaissance, en précisant la nature de la violation, les catégories et le volume approximatif de données concernées, les conséquences probables et les mesures prises. Nous l'assistons dans sa notification à la CNIL.

Analyse d'impact.Nous fournissons au client les informations nécessaires s'il doit conduire une analyse d'impact ou consulter la CNIL.

Fin du contrat.Au terme de la prestation, une archive complète est mise à disposition du client sans demande de sa part. Passé trente jours, les données sont supprimées, y compris des sauvegardes selon leur cycle de rotation, à l'exception de ce que la loi nous impose de conserver.

Démonstration et audit.Nous mettons à disposition du client les informations nécessaires pour démontrer le respect de ces engagements et permettons la réalisation d'un audit, sur demande motivée et avec un préavis raisonnable.

Accès du cabinet comptable.Le client peut autoriser son cabinet d'expertise comptable à consulter son dossier en lecture seule. L'invitation qu'il adresse depuis son espace constitue une instruction documentée au sens de l'article 28.3.a du RGPD. Nous l'appliquons dans ces seules limites : consultation des pièces et données comptables, sans aucun droit d'écriture ni d'envoi. Les consultations sont inscrites dans un journal d'accès (membre du cabinet, jour, nature de la consultation) que le client peut consulter depuis son espace et qui est conservé trois ans. Le client peut révoquer cet accès à tout moment : nous y mettons fin immédiatement.

Le client autorise VoxFactura à recourir aux prestataires ci-dessous. Chacun est lié par des obligations équivalentes à celles du présent contrat, et VoxFactura demeure responsable de leur exécution.

Avant d'ajouter ou de remplacer un prestataire, nous en informons le client individuellement, par courrier électronique, au moins trente jours à l'avance. Il dispose de ce délai pour s'y opposer. En cas d'opposition qui ne trouve pas de solution, il peut résilier sans pénalité et obtient le remboursement de la période non courue.

Le cabinet d'expertise comptable que le client autorise à consulter son dossier n'est pas un sous-traitant ultérieur de VoxFactura : c'est un destinataire que le client, responsable de traitement, choisit lui-même. Le cabinet agit sous sa propre lettre de mission et son secret professionnel. VoxFactura ne le choisit pas et n'intervient pas dans leur relation.

Telegram ne figure pas dans ce tableau : aucun contrat de sous-traitance ne nous lie à lui, et il est responsable de son propre service. C'est un canal facultatif, proposé en supplément, que le client active lui-même, précisé à l'article 4.

La base de données reste à Francfort, en Allemagne. Certains prestataires du tableau ci-dessus sont établis aux États-Unis : ces transferts reposent sur la décision d'adéquation de la Commission européenne du 10 juillet 2023 et, à titre complémentaire, sur les clauses contractuelles types. Une copie de ces garanties est communiquée sur simple demande.

L'assistant, à la voix comme à l'écrit, s'utilise dans l'application VoxFactura. La voix y est transcrite puis effacée, jamais enregistrée ; le fil des échanges reste consultable sept jours au plus, puis s'efface ; les photos transmises sont conservées dans le compte du client comme ses autres pièces. Telegram est un canal facultatif, proposé en supplément, que le client active lui-même. Telegram n'est pas un sous-traitant de VoxFactura : aucun contrat de sous-traitance ne nous lie, et il est responsable de son propre service. Les messages échangés par ce canal ne sont pas couverts par les garanties du présent contrat : la société qui exploite Telegram est établie hors Union européenne, et nous ne maîtrisons ni le lieu ni la durée de conservation de ses messages. La conversation reste dans le compte Telegram du client tant qu'il ne l'efface pas. S'il active ce canal, nous lui recommandons la validation en deux étapes de Telegram et de n'y faire figurer aucune donnée sensible.

Le client garantit disposer d'une base légale pour les traitements qu'il met en œuvre, informe les personnes concernées comme la loi le lui impose, et ne nous transmet que des instructions licites. Il lui appartient de publier ses propres mentions légales et sa politique de confidentialité, et d'y désigner VoxFactura comme sous-traitant.

Pour toute question relative à ce contrat ou à la protection des données : contact@voxfactura.com.