Accord de sous-traitance des données personnelles (DPA)

Article 1 — Parties et objet

Le présent accord est conclu entre l'entreprise cliente de Pivalio (le « Responsable de traitement » ou le « Client ») et la société KERSYS, SARL au capital de 1 000 €, RCS Rennes 894 299 247, siège 14 La Billais, 35580 Baulon (le « Sous-traitant »). Il fait partie intégrante des conditions générales de vente et s'applique dès la création de l'espace du Client, y compris en formule Gratuit et pendant l'essai.

Il fixe, conformément à l'article 28, paragraphe 3, du règlement (UE) 2016/679 (RGPD), les conditions dans lesquelles le Sous-traitant traite, pour le compte du Client, les données personnelles que celui-ci enregistre dans le logiciel Pivalio. Les traitements dont KERSYS est elle-même responsable (comptes, facturation de l'abonnement, support) sont décrits dans la politique de confidentialité.

Article 2 — Description du traitement

2.1 Nature et finalité

Hébergement, stockage, sauvegarde, consultation, calcul, mise en forme, transmission sur instruction et suppression des données nécessaires à la fourniture du logiciel de gestion Pivalio : gestion commerciale (CRM, devis, factures, signature électronique), interventions et chantiers, comptabilité et fiscalité, ressources humaines et paie, achats, stock, flotte, gestion documentaire, portails client, salarié et expert-comptable, ainsi que les fonctions activées par le Client.

2.2 Durée

Le traitement dure pendant toute la durée de l'utilisation du Service (formule Gratuit et essai compris), puis jusqu'à la restitution et la suppression des données dans les conditions de l'article 11.

2.3 Catégories de personnes concernées

Utilisateurs du Client ; salariés, anciens salariés, candidats, stagiaires et intérimaires ; dirigeants et associés ; clients, prospects et leurs correspondants ; fournisseurs et sous-traitants du Client ; signataires de documents ; toute autre personne que le Client choisit d'enregistrer.

2.4 Types de données

• Identification et coordonnées : nom, prénom, adresses, téléphone, courriel, fonction, entreprise, SIRET.
• Données commerciales et financières : devis, factures, règlements, IBAN, écritures comptables.
• Données de ressources humaines et de paie : contrat, poste, rémunération, absences, notes de frais, numéro de sécurité sociale (NIR), coordonnées bancaires, données transmises dans la DSN.
• Données de terrain : comptes rendus, photos, signatures, pointages et, si le Client l'active, géolocalisation du pointage.
• Données de connexion et de traçabilité : identifiants, journaux d'audit, adresses IP.
• Documents déposés par le Client et contenus des messages.

Le Client peut être amené à enregistrer des données particulières (par exemple des arrêts de travail). Il lui appartient de s'assurer qu'il dispose d'une base légale pour les traiter (article 9 du RGPD).

Article 3 — Obligations et droits du Responsable de traitement

• déterminer les finalités et les moyens essentiels des traitements, et s'assurer de leur licéité (bases légales, information des personnes, registre des activités de traitement, analyse d'impact le cas échéant) ;
• documenter par écrit ses instructions : la configuration et l'utilisation de Pivalio par le Client, ainsi que ses demandes écrites adressées au support, valent instructions documentées ;
• gérer les accès de ses utilisateurs (rôles, établissements, double authentification) ;
• superviser le traitement, y compris par des audits (article 12).

Article 4 — Instructions documentées

Le Sous-traitant ne traite les données que sur instruction documentée du Client, y compris pour les transferts hors de l'Union européenne, sauf obligation imposée par le droit de l'Union ou le droit français ; il en informe alors le Client avant le traitement, sauf si ce droit l'interdit (art. 28.3.a). Si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition relative à la protection des données, il en informe immédiatement le Client (art. 28.3, dernier alinéa).

Article 5 — Confidentialité

Les personnes autorisées à traiter les données s'engagent à la confidentialité ou sont soumises à une obligation légale de confidentialité (art. 28.3.b). L'accès du support à l'espace du Client se fait par une connexion « en tant que » soumise à un motif, limitée à une heure et tracée à part dans le journal d'audit.

Article 6 — Sécurité (article 32 du RGPD)

Le Sous-traitant met en œuvre les mesures suivantes, effectivement en place à la date de cette version :

• Hébergement : serveur dédié chez OVH SAS, en France ; fichiers stockés sur ce serveur.
• Isolation : les données de chaque entreprise sont rangées dans un schéma de base de données qui lui est propre.
• Chiffrement en transit : connexions HTTPS uniquement, avec en-tête HSTS (navigateur contraint au HTTPS pendant un an).
• Chiffrement au repos de champs sensibles : AES-256-GCM avec une clé propre à chaque entreprise, elle-même chiffrée par une clé maîtresse ; sont notamment chiffrés les coordonnées des contacts et des fournisseurs, le courriel et le téléphone des utilisateurs, l'IBAN des comptes bancaires de l'entreprise, le contenu des messages, commentaires de tickets et comptes rendus, l'adresse du signataire et les identifiants de connexion aux services externes. La destruction de la clé d'une entreprise rend ces champs illisibles (effacement cryptographique).
• Mots de passe : stockés sous forme hachée (bcrypt), jamais en clair.
• Double authentification : par application d'authentification, courriel ou SMS, avec codes de secours et clés d'accès (empreinte, visage, clé de sécurité) en secours ; le Client peut l'imposer à certains rôles ou à toute l'équipe ; elle est obligatoire pour les administrateurs de la plateforme. Authentification unique (SSO SAML ou OpenID Connect) disponible.
• Contrôle des accès : rôles et permissions par utilisateur, restriction par établissement ; sessions de 8 heures revérifiées toutes les 5 minutes ; au plus 10 tentatives de connexion par compte et 50 par adresse IP sur 15 minutes.
• Traçabilité : journal d'audit des modifications et des connexions du support.
• Sauvegardes : copie quotidienne de la base de données (à 2 h 30) et des fichiers (à 2 h 45), conservée 14 jours. Ces copies sont aujourd'hui conservées sur le serveur d'hébergement ; une copie hors site n'est pas encore en place.
• Signature électronique : document figé et empreinte SHA-256, dossier de preuve scellé.

Ces mesures peuvent évoluer, sans jamais réduire le niveau de sécurité global.

Article 7 — Sous-traitants ultérieurs

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs suivants (art. 28.2) :

Les services que le Client connecte lui-même (sa plateforme agréée de facturation électronique, Chorus Pro, net-entreprises, sa messagerie, son stockage externe, ses réseaux sociaux, Shopify, Sellsy) reçoivent les données sur son instruction ; ils relèvent de sa relation directe avec ces fournisseurs et ne sont pas des sous-traitants ultérieurs de KERSYS.

Le Sous-traitant informe le Client par courriel de tout ajout ou remplacement d'un sous-traitant ultérieur au moins 30 jours à l'avance, afin de lui permettre d'émettre des objections. En cas d'objection motivée sans solution trouvée, le Client peut résilier son abonnement sans frais avant la prise d'effet du changement. Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données, et demeure pleinement responsable de leur exécution envers le Client (art. 28.4).

Article 8 — Transferts hors de l'Union européenne

Les données sont hébergées en France. Les seuls transferts hors de l'Union européenne sont ceux liés aux sous-traitants ultérieurs établis aux États-Unis mentionnés à l'article 7 ; ils sont encadrés conformément aux articles 44 à 46 du RGPD (décision d'adéquation de la Commission européenne du 10 juillet 2023 pour les entreprises certifiées, clauses contractuelles types à défaut ou en complément).

Article 9 — Assistance au Responsable de traitement

Le Sous-traitant aide le Client, compte tenu de la nature du traitement :

• à répondre aux demandes des personnes (art. 28.3.e) : l'application permet d'exporter les données d'un client ou d'un salarié au format JSON ou CSV (droits d'accès et de portabilité), de rectifier les fiches, d'effacer ou d'anonymiser un contact en respectant les durées légales de conservation des pièces ; si une personne s'adresse directement au Sous-traitant, celui-ci transmet sa demande au Client ;
• à respecter ses obligations des articles 32 à 36 (sécurité, notification des violations, analyse d'impact, consultation préalable de la CNIL), en lui fournissant les informations dont il dispose (art. 28.3.f).

Article 10 — Violation de données personnelles

Le Sous-traitant notifie au Client toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance (article 33.2 du RGPD), par courriel adressé aux dirigeants de l'entreprise. La notification comprend, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées ; les informations qui ne sont pas encore disponibles sont transmises dès qu'elles le sont. Il appartient au Client, responsable de traitement, de notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance lorsque l'article 33.1 l'exige, et d'informer les personnes concernées lorsque l'article 34 l'exige.

Article 11 — Sort des données en fin de contrat

Au choix du Client, le Sous-traitant restitue puis supprime les données (art. 28.3.g) :

• Restitution : pendant l'abonnement, le Client exporte à tout moment l'ensemble des données de son entreprise au format JSON ou CSV (archive ZIP, chiffrable par mot de passe), ainsi que le FEC et ses documents. Après la fin de l'accès, il peut demander cette exportation au support pendant le délai ci-dessous.
• Calendrier : la fin d'un essai ou la résiliation d'une formule payante ramènent l'entreprise sur la formule Gratuit, sans effacement de données (article 12.2 des CGV) ; un impayé non régularisé suspend l'accès jusqu'au paiement, sans effacement de données (article 9 des CGV). À la fermeture de l'espace, à la demande du Client ou par le Prestataire dans les cas prévus à l'article 13 des CGV, l'accès est bloqué. Le Client dispose de 30 jours après le blocage pour réactiver son espace ou obtenir ses données. La suppression de l'espace est ensuite programmée ; lorsque l'entreprise a émis des bulletins de paie, elle n'intervient pas moins de trois mois après l'avis de fermeture adressé aux salariés (C. trav. D3243-8). La suppression définitive intervient au plus tard 90 jours après la date de suppression programmée.
• Suppression : le schéma de données de l'entreprise et ses fichiers sont supprimés, et ses clés de chiffrement détruites. Les sauvegardes qui contiennent encore ces données s'effacent au terme de leur rotation de 14 jours.
• Exceptions légales : seules sont conservées, pour les obligations propres de KERSYS, les factures de l'abonnement Pivalio et le journal de facturation, sans données d'utilisateurs ni adresses IP, pendant 10 ans à compter du 31 décembre de l'année de la dernière facture (C. com. L123-22).

Article 12 — Documentation et audits

Le Sous-traitant met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l'article 28 et permet la réalisation d'audits, y compris d'inspections, par le Client ou un auditeur qu'il mandate, et y contribue (art. 28.3.h). L'auditeur est tenu à la confidentialité et ne doit pas être un concurrent de KERSYS ; l'audit est annoncé par écrit avec un préavis raisonnable et organisé de manière à ne pas compromettre la sécurité ni les données des autres clients. Le Client prévient le Prestataire au moins 30 jours à l'avance ; les frais de l'audit sont à la charge du Client, sauf si l'audit révèle un manquement du Prestataire à ses obligations.

Article 13 — Registre et contact

Le Sous-traitant tient un registre des catégories d'activités de traitement effectuées pour le compte de ses clients (art. 30.2). Contact : [email protected].

Article 14 — Durée, modification et droit applicable

Le présent accord produit ses effets aussi longtemps que le Sous-traitant traite des données pour le compte du Client. Il peut être mis à jour, notamment pour la liste des sous-traitants ultérieurs (article 7) ; la version en vigueur et sa date figurent en haut de cette page. Il est soumis au droit français et à la juridiction prévue par les CGV.