Accord de traitement des données

Cet accord, conclu au titre de l'article 28 du Règlement (UE) 2016/679 (« RGPD »), est une annexe des conditions d'utilisation de Dintel. Il lie ZX Consulting LLC (« Dintel », le sous-traitant) et l'entreprise cliente (« le Client », le responsable de traitement). Il est accepté avec les conditions d'utilisation, lors de la création du compte, sans signature séparée.

1. Objet

Dintel traite, pour le compte du Client, les données personnelles que le Client saisit, importe ou reçoit dans Dintel, dans le seul but de lui fournir le service décrit dans les conditions d'utilisation. Les traitements dont Dintel est lui-même responsable (compte, contrat, facturation de l'abonnement, sécurité, support) sont décrits dans la politique de confidentialité et ne relèvent pas de cet accord.

2. Durée

Cet accord s'applique pendant toute la durée d'utilisation du service par le Client, puis jusqu'à l'effacement ou la restitution des données prévus à l'article 9.

3. Nature et finalité du traitement

Hébergement, enregistrement, organisation, consultation, mise en forme (devis, factures, bons de commande, procès-verbaux en PDF), calcul, transmission sur instruction du Client (envoi d'un document, relance de paiement, plateforme de facturation électronique), lecture automatique par intelligence artificielle des contenus que le Client choisit de soumettre (voix, documents, tickets, demandes reçues), sauvegarde et effacement.

4. Données et personnes concernées

• Clients et prospects du Client : identité, coordonnées, adresse du chantier, échanges et demandes reçues (e-mail, SMS), devis, factures, paiements, photos et documents.
• Salariés, intérimaires, sous-traitants et collaborateurs du Client : identité, coût horaire, heures, planning, photos de chantier.
• Fournisseurs du Client et leurs contacts : identité, coordonnées, commandes, factures, règlements.
• Utilisateurs invités par le Client (collaborateurs, comptable) : identité, e-mail, rôle.

Le service n'est pas conçu pour traiter des catégories particulières de données (santé, opinions…) ; le Client s'abstient d'en saisir.

5. Obligations de Dintel

• Instructions documentées. Dintel ne traite les données que sur instruction documentée du Client : les présentes conditions, le paramétrage du service et les actions du Client dans l'application valent instructions. Si une instruction lui paraît contraire au RGPD, Dintel en informe le Client. Si le droit de l'Union ou d'un État membre impose un autre traitement, Dintel en informe le Client avant, sauf interdiction légale.
• Confidentialité. Les personnes autorisées à accéder aux données chez Dintel sont soumises à une obligation de confidentialité et n'y accèdent que lorsque c'est nécessaire (support demandé par le Client, sécurité, incident).
• Aucune autre finalité. Dintel n'utilise pas les données du Client pour ses propres besoins, ne les vend pas et ne les utilise pas pour entraîner des modèles d'intelligence artificielle.
• Assistance. Dintel aide le Client, dans la mesure du possible et compte tenu de la nature du traitement, à répondre aux demandes d'exercice des droits des personnes (la plupart se font directement dans l'application : consultation, modification, export, suppression), et à respecter ses obligations de sécurité, de notification des violations, d'analyse d'impact et de consultation préalable (articles 32 à 36 du RGPD). Dintel transmet au Client, sans y répondre lui-même, toute demande qu'il reçoit directement d'une personne concernée.

6. Sécurité (article 32 du RGPD)

Dintel met en œuvre notamment les mesures suivantes :

• isolation de chaque entreprise au niveau de la base de données (Row Level Security) ;
• chiffrement des échanges (HTTPS/TLS) et des données au repos chez l'hébergeur ;
• fichiers privés, servis uniquement par des liens temporaires signés ;
• jetons d'accès aux services tiers (facturation électronique, paiement) chiffrés ;
• droits par rôle dans l'application (le coût horaire et les montants ne sont pas visibles par un ouvrier) ;
• hébergement de la base de données dans l'Union européenne (Paris) ;
• suivi des erreurs sans le contenu des documents.

Ces mesures peuvent évoluer, sans jamais diminuer le niveau de protection.

7. Sous-traitants ultérieurs

Le Client autorise Dintel à faire appel aux sous-traitants ultérieurs listés ci-dessous. Dintel leur impose, par contrat, des obligations de protection des données équivalentes à celles de cet accord, et reste responsable envers le Client de leur respect.

Information préalable et droit d'opposition. Dintel informe le Client par e-mail au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, et met cette liste à jour. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données en écrivant à contact@dintel.eu ; à défaut de solution, il peut mettre fin au contrat en supprimant son entreprise, sans frais.

8. Violation de données

Dintel notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais après en avoir pris connaissance, afin de lui permettre de respecter son propre délai de notification à la CNIL (72 heures). La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées. Dintel coopère ensuite avec le Client, et lui transmet les informations complémentaires dès qu'il en dispose, pour lui permettre de notifier la CNIL et, le cas échéant, les personnes concernées.

9. Fin du contrat : restitution et effacement

Le Client peut exporter ses données à tout moment. Après une demande de suppression de l'entreprise, il garde l'accès à l'export pendant 30 jours. Sans abonnement, l'entreprise reste en lecture seule 24 mois au plus, après deux rappels par e-mail. Au terme de ces délais, Dintel efface les données, à deux exceptions près :

• l'archive légale décrite ci-dessous, que Dintel s'engage envers le Client à conserver pour lui permettre de respecter ses obligations de conservation des documents comptables et des pièces justificatives. Pendant le contrat, Dintel la constitue en tant que sous-traitant, sur instruction du Client donnée en acceptant le présent accord. Après la fin du contrat, Dintel la conserve en tant que responsable de traitement, pour la seule finalité d'exécuter cet engagement (en remettre une copie au Client ou à l'administration à sa demande) et pour la constatation, l'exercice ou la défense de droits en justice (article 6, paragraphe 1, points b et f, du RGPD). Cette conservation ne transfère pas au Client l'obligation légale de conservation, qui reste la sienne ;
• les données que Dintel doit conserver en vertu d'une obligation légale qui lui est propre.

Lorsqu'une entreprise est supprimée, ses données ordinaires sont effacées au bout de 30 jours : clients, prospects, chantiers, devis, achats, planning, photos, fichiers et historique. Seule une archive légale est conservée :

• chaque facture et chaque avoir émis (pas les brouillons), avec son PDF, ses lignes, ses encaissements, son solde et son statut de facturation électronique ;
• lorsqu'une facture a été transmise par voie électronique, son fichier original : la facture électronique telle que la plateforme l'a remise (UBL, CII ou Factur-X) ou, en Espagne, l'enregistrement VeriFactu transmis à l'administration fiscale, avec sa réponse. Si la plateforme ne peut pas le fournir, la suppression est reportée et nous réessayons chaque jour pendant au moins 14 jours ; au-delà, nous conservons la trace des tentatives et la référence de la facture sur la plateforme ;
• si l'entreprise tenait sa comptabilité en partie double, le fichier des écritures comptables (FEC) de chaque exercice comportant des écritures ;
• une fiche d'identification de l'entreprise (dénomination, SIREN/SIRET, n° de TVA, adresse, date de la demande de suppression et e-mail de la personne qui l'a demandée), pour pouvoir identifier qui demande ensuite une copie.

Chaque pièce est conservée jusqu'à la fin de l'exercice auquel elle se rattache, plus 10 ans (article L123-22 du Code de commerce ; le délai de contrôle fiscal de l'article L102 B du Livre des procédures fiscales, 6 ans, est plus court), puis effacée automatiquement. L'archive est stockée dans un espace privé, accessible uniquement par Dintel ; elle n'est plus visible dans l'application et n'est utilisée à aucune autre fin. Une entreprise de démonstration n'est jamais archivée. Pour obtenir une copie de l'archive, écrivez à contact@dintel.eu : nous vérifierons d'abord que la demande vient bien de l'entreprise concernée. Le plus simple reste d'exporter vos données avant la suppression.

10. Transferts hors de l'Union européenne

ZX Consulting LLC est établi aux États-Unis. Pour les traitements qu'il réalise pour le Client, il est directement soumis au RGPD (article 3, paragraphe 2), et le présent accord est conclu en application de son article 28. Les données du Client sont hébergées dans l'Union européenne ; les accès de Dintel depuis l'extérieur de l'Union sont limités à l'exploitation et au support, et protégés par les mesures de l'article 6.

Les transferts vers les sous-traitants ultérieurs situés hors de l'Union reposent, pour chacun, sur le mécanisme indiqué dans la liste de l'article 7 : une décision d'adéquation (dont le Data Privacy Framework UE–États-Unis pour les prestataires certifiés) ou les clauses contractuelles types de la Commission européenne (décision 2021/914) conclues avec eux.

À titre de garantie complémentaire, et uniquement dans la mesure où un mécanisme de transfert serait jugé nécessaire entre le Client et Dintel, les parties conviennent d'appliquer les clauses contractuelles types (module 2, responsable de traitement vers sous-traitant), avec les options suivantes : clause 7 non retenue ; clause 9, option 2 (autorisation générale, délai prévu à l'article 7 ci-dessus) ; clause 11, option non retenue ; clauses 17 et 18 : droit français et juridictions françaises ; autorité de contrôle compétente : la CNIL.

11. Audits

Dintel met à la disposition du Client les informations nécessaires pour démontrer le respect de cet accord (description des mesures, liste des sous-traitants, accords conclus avec eux sur demande). Le Client peut, une fois par an, faire réaliser un audit par un auditeur indépendant tenu au secret, à ses frais, avec un préavis de 30 jours et sans perturber le service ni accéder aux données d'autres clients. Ces limites de fréquence et de préavis ne s'appliquent pas après une violation de données le concernant, à la demande d'une autorité de contrôle, ou en présence d'indices sérieux d'un manquement de Dintel au présent accord.

12. Obligations du Client

Le Client garantit qu'il dispose d'une base légale pour les données qu'il confie à Dintel, qu'il informe les personnes concernées (ses clients, prospects, salariés) et qu'il ne saisit que les données nécessaires à son activité.

13. Droit applicable

Cet accord est régi par le droit français, dans les conditions de l'article 8 des conditions d'utilisation. En cas de contradiction entre cet accord et les conditions d'utilisation sur la protection des données, cet accord prévaut.