Préambule

1. Objet

2. Description du traitement

2.1. Nature et finalité

• L'hébergement des données saisies ou importées par le Responsable de traitement ;

• Le fonctionnement des fonctionnalités (création et émission de factures, devis, demandes de provision, avoirs, gestion de la base clients, tableau de bord) ;

• La reconnaissance optique (OCR) des factures importées par le Responsable de traitement, le texte restitué étant ensuite traité par le Sous-traitant au sein de son infrastructure aux fins de pré-remplissage, sous réserve de la validation du Responsable de traitement ;

• La transmission des données de facturation à la plateforme de certification (Invopop) aux fins d'émission de factures électroniques conformes ;

• La mise à disposition des données à l'Agent IA connecté par le Responsable de traitement via le Connecteur MCP, sur instruction de celui-ci ;

• Le support technique sur demande ;

• Les sauvegardes et la sécurité technique du Service.

2.2. Catégories de personnes concernées

• Clients du Responsable de traitement (personnes physiques et personnes morales représentées par des personnes physiques) ;

• Contacts et interlocuteurs mentionnés dans les documents ;

• Collaborateurs du Responsable de traitement.

2.3. Catégories de données

• Données d'identification (nom, prénom, dénomination, adresse, coordonnées) ;

• Données professionnelles et fiscales (SIREN, n° de TVA) ;

• Données de facturation (prestations, montants, échéances, historique de paiement) ;

• Notes et mentions saisies librement par le Responsable de traitement.

2.4. Durée du traitement

2.5. Absence de décision automatisée (art. 22 RGPD)

3. Obligations du Sous-traitant

3.1. Agir sur instructions documentées

3.2. Garantir la confidentialité

3.3. Mettre en œuvre les mesures de sécurité

3.4. Encadrer les sous-traitants ultérieurs

3.5. Aider le Responsable de traitement

• À répondre aux demandes d'exercice de droits ;

• À assurer la sécurité du traitement ;

• À notifier les violations aux autorités et personnes concernées ;

• À réaliser les analyses d'impact (AIPD) ;

• À consulter préalablement l'autorité de contrôle si nécessaire.

3.6. Notifier les violations de données

3.7. Supprimer ou restituer les données

3.8. Tenir un registre

3.9. Mettre à disposition la documentation

3.10. Permettre les audits

• Un audit par an au maximum (sauf violation avérée) ;

• Préavis écrit de 30 jours ;

• Pendant les heures ouvrables, sans perturber l'activité ;

• Auditeur soumis à confidentialité ;

• Coût à la charge du Responsable de traitement, sauf non-conformité grave.

4. Obligations du Responsable de traitement

• Fournir les données et instructions nécessaires ;

• S'assurer de la licéité des traitements ;

• Respecter ses propres obligations RGPD (information des personnes concernées, registre, AIPD le cas échéant) ;

• Vérifier la compatibilité des conditions de son fournisseur d'Agent IA avec ses obligations lorsqu'il connecte un agent via le Connecteur MCP ;

• Documenter par écrit toute instruction complémentaire.

5. Sous-traitants ultérieurs

5.1. Autorisation générale

5.2. Modifications

5.3. Obligations

5.4. Fournisseur d'Agent IA du Responsable de traitement

6. Transferts hors Union européenne

• Une décision d'adéquation (Data Privacy Framework) ; ou

• Les clauses contractuelles types (Décision d'exécution UE 2021/914) ; et

• Des mesures complémentaires (chiffrement, pseudonymisation) après Transfer Impact Assessment.

7. Responsabilité

8. Durée — Résiliation

9. Dispositions diverses

Annexe 1 — Mesures de sécurité techniques et organisationnelles

1. Chiffrement et pseudonymisation

• Chiffrement des communications en TLS 1.2 ou supérieur ;

• Chiffrement au repos (AES-256 via l'infrastructure AWS) ;

• Pseudonymisation des identifiants transmis aux outils d'analyse (Amplitude, Sentry).

2. Contrôle d'accès

• Authentification par identifiant et mot de passe fort ;

• Jetons d'accès révocables pour le Connecteur MCP, délivrés après consentement exprès (OAuth) ;

• Gestion granulaire des accès (principe du moindre privilège) ;

• Journalisation des accès aux données sensibles et des appels via le Connecteur MCP.

3. Disponibilité et résilience

• Sauvegardes quotidiennes automatiques ;

• Tests de restauration périodiques ;

• Infrastructure répartie et haute disponibilité ;

• Plan de continuité et de reprise d'activité.

4. Sécurité opérationnelle

• Mises à jour de sécurité régulières ;

• Tests de sécurité applicative ;

• Supervision continue (Sentry, journaux applicatifs) ;

• Procédure documentée de gestion des incidents.

5. Sécurité organisationnelle

• Engagement de confidentialité des personnels ;

• Politique interne de sécurité documentée ;

• Sensibilisation et formation régulière du personnel ;

• Contrôle préalable des sous-traitants ultérieurs et DPA signés avec chacun.

Annexe 2 — Liste des sous-traitants ultérieurs autorisés

Hébergement et base de données

• Supabase Inc. (USA, données hébergées en UE — AWS eu-north-1, Stockholm) — base de données, authentification, stockage de fichiers.

• Vercel Inc. (USA, infrastructure edge avec traitement UE) — hébergement de l'application.

Paiement et facturation

• Stripe Payments Europe Ltd (Irlande) — paiements et abonnements.

• Invopop (Espagne) — émission et transmission de factures électroniques conformes.

Communication et support

• Resend — emails transactionnels.

Analyse et supervision

• Amplitude (USA, CCT en place) — analyse d'usage pseudonymisée.

• Sentry (USA, CCT en place) — supervision technique et remontée d'erreurs.

Reconnaissance optique de caractères (OCR)

• Mistral AI, société par actions simplifiée de droit français, RCS Paris 952 418 325, siège 15 rue des Halles, 75001 Paris, France (Union européenne). Finalité : reconnaissance optique de caractères (OCR) des factures importées par le Responsable de traitement, aux seules fins de restitution du texte brut. L'extraction des champs est réalisée par Kema Studio au sein de son infrastructure UE, sans transmission à ce sous-traitant. Traitement réalisé dans l'UE, sous régime Zero Data Retention activé sur l'organisation, sans réutilisation à des fins d'entraînement.

Annexe 3 — Coordonnées