Accord de sous-traitance des données personnelles

1. Objet

La présente annexe fixe les conditions dans lesquelles eloQ (le « Sous-traitant ») traite, pour le compte du Client (le « Responsable de traitement »), les données personnelles nécessaires au Service, dans le respect du règlement (UE) 2016/679 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978.

2. Description des traitements

Durée : celle de l’abonnement, puis le temps de la restitution et de la suppression prévues à l’article 11.

Nature et finalités : collecter, ranger, rapprocher, analyser et restituer les données financières du Client pour fournir le Service :

• pilotage financier, prévision de trésorerie, budget et rapports ;
• préparation et tenue de la comptabilité, proposée par le logiciel et validée par le Client ;
• lecture des pièces (factures, relevés, bulletins de paie) ;
• suivi de la paie et du personnel ;
• relance des factures impayées auprès des clients du Client ;
• réception des factures électroniques par une plateforme agréée ;
• télétransmission des déclarations fiscales que le Client a validées ;
• assistant conversationnel « Elo ».

Catégories de personnes concernées : dirigeants, associés et utilisateurs du Client ; salariés du Client ; clients et fournisseurs du Client lorsqu’ils sont des personnes physiques (entrepreneurs individuels, particuliers) ; personnes citées dans les pièces.

Catégories de données : identité et coordonnées ; données bancaires (transactions, soldes, IBAN) ; données de facturation et comptables ; données de paie (contrat, rémunération, cotisations, bulletins) ; données fiscales (déclarations, références d’obligation fiscale) ; contenu des échanges avec l’assistant.

Données particulières : le Service n’a pas vocation à traiter des données de santé ni d’autres données de l’article 9 du RGPD. Un bulletin de paie peut néanmoins en laisser apparaître (absence pour maladie) ; il porte aussi le numéro de sécurité sociale. Le Sous-traitant ne les exploite pas et applique les mesures de l’article 6.

3. Obligations du Client

Le Client :

• dispose d’une base légale pour confier ces données au Service, et informe les personnes concernées, en particulier ses salariés et ses clients relancés ;
• ne dépose dans le Service que les pièces nécessaires à sa comptabilité et à son pilotage ;
• donne ses instructions par l’usage du Service, par ses réglages et par écrit à contact@askeloq.com.

4. Instructions et confidentialité

Le Sous-traitant :

• ne traite les données que sur instruction documentée du Client, constituée par les CGU, la présente annexe et l’usage du Service ; il informe le Client si une instruction lui paraît contraire au RGPD ;
• ne les utilise pas pour son propre compte, sous la seule réserve de l’article 9 des CGU (amélioration des règles du logiciel, sous forme anonymisée et agrégée) ;
• ne les vend pas et ne les communique à aucun tiers, sauf aux sous-traitants ultérieurs de l’article 7 et aux destinataires que le Client choisit (son expert-comptable, l’administration fiscale pour une déclaration qu’il a validée) ;
• veille à ce que les personnes autorisées à les traiter, salariés et prestataires d’eloQ, soient tenues à la confidentialité.

5. Accès de l’équipe eloQ

Les membres de l’équipe eloQ n’accèdent aux données d’un Client que pour fournir le Service : préparation de la comptabilité, support, correction d’une anomalie. Chaque accès est nominatif, et une action faite par l’équipe dans le Service lui est attribuée, distincte de celles du Client.

6. Sécurité

Le Sous-traitant met en œuvre les mesures de l’article 32 du RGPD, décrites en annexe 1. Il ne les affaiblit pas pendant la durée du contrat.

7. Sous-traitants ultérieurs

• Le Client donne une autorisation générale au recours aux sous-traitants ultérieurs de l’annexe 2.
• Le Sous-traitant informe le Client de tout ajout ou remplacement au moins 30 jours à l’avance, par e-mail ou dans le Service. Le Client peut s’y opposer pour un motif légitime tenant à la protection des données ; à défaut d’accord, il peut résilier sans frais.
• Chaque sous-traitant ultérieur est tenu par contrat à des obligations au moins équivalentes. Le Sous-traitant reste responsable de leur exécution.
• Les services tiers que le Client connecte lui-même au Service (sa banque par l’agrégateur, son logiciel comptable, de paie ou de facturation) restent sous son contrat avec leur éditeur ; ils ne sont pas des sous-traitants ultérieurs d’eloQ.

8. Transferts hors de l’Union européenne

Les données sont hébergées en France. Certains sous-traitants ultérieurs peuvent les traiter hors de l’Union européenne, en particulier aux États-Unis (annexe 2). Chaque transfert est encadré par une décision d’adéquation (Data Privacy Framework) ou par les clauses contractuelles types de la Commission européenne.

9. Droits des personnes

Le Sous-traitant aide le Client à répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). S’il reçoit directement une demande, il la transmet au Client sans délai et n’y répond pas lui-même, sauf instruction.

10. Violation de données

• Le Sous-traitant notifie au Client toute violation de données personnelles dans les meilleurs délais, au plus tard 48 heures après en avoir pris connaissance, par e-mail au propriétaire du compte.
• La notification décrit, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements, ses conséquences probables, les mesures prises ou proposées, et un contact. Les éléments manquants suivent dès qu’ils sont connus.
• Le Sous-traitant aide le Client à notifier la CNIL dans les 72 heures et, le cas échéant, à informer les personnes concernées.

11. Fin du contrat

• Avant la fermeture de son compte, le Client exporte ses données, dont son fichier des écritures comptables et ses pièces (article 16 des CGU).
• 30 jours après la fin du contrat, le Sous-traitant supprime les données du Client et leurs copies, sauf obligation légale de les conserver ; les sauvegardes s’effacent d’elles-mêmes dans leur délai de rotation (7 jours).
• Il en donne confirmation écrite au Client qui la demande.

12. Aide et audit

• Le Sous-traitant aide le Client, compte tenu des informations dont il dispose, pour ses analyses d’impact et ses consultations de la CNIL.
• Il met à sa disposition les informations nécessaires pour démontrer le respect de la présente annexe, dont ce registre et le dossier de sécurité.
• Le Client peut faire réaliser un audit, une fois par an au plus, par un auditeur indépendant tenu à la confidentialité, avec un préavis de 30 jours ; ses frais restent à sa charge.

Annexe 1 : mesures de sécurité

• Hébergement en France : base, authentification et fichiers chez Supabase (AWS, région de Paris), application chez Vercel (région de Paris).
• Chiffrement : échanges en HTTPS avec HSTS ; base et fichiers chiffrés au repos ; jetons et clés d’accès aux outils du Client chiffrés par eloQ en AES-256-GCM, avec une clé conservée hors de la base.
• Cloisonnement : chaque donnée est rattachée à une société et isolée par des politiques appliquées en base (RLS), en plus des contrôles de l’application.
• Accès : authentification de chaque utilisateur ; double facteur (TOTP) et clés d’accès (passkeys) disponibles ; rôles par société (propriétaire, administrateur, éditeur, lecteur) ; salaires individuels visibles des seuls membres à qui le Client en donne le droit ; accès de l’équipe eloQ nominatifs.
• Connecteurs en lecture seule vers la banque et les logiciels du Client, chaque fois que l’éditeur le permet.
• Sauvegardes quotidiennes conservées 7 jours.
• Intelligence artificielle : envoi sans conservation chez le fournisseur pour l’entraînement .
• Journalisation des erreurs et des actions de l’équipe ; diagnostic de l’application mobile limité à des informations techniques assainies.
• Développement : revue du code, tests automatisés, déploiement en production manuel et contrôlé.

Annexe 2 : sous-traitants ultérieurs

• Supabase Inc., sur Amazon Web Services : base de données, authentification et fichiers, en France (Paris)
• Vercel Inc. : hébergement de l’application, en France (Paris) pour les traitements ; société américaine
• OpenAI : assistant Elo et lecture des pièces, aux États-Unis
• Resend : envoi des e-mails (relances, rapports, invitations), aux États-Unis
• Twilio : messagerie WhatsApp, si vous l’activez, aux États-Unis

La liste à jour est tenue sur cette page.