Contrat de sous-traitance MyCompanyDesk

Article 1. Parties et ordre de priorité

Sous-traitant : MyCompanyDesk, nom commercial de l'entreprise individuelle de Sil van Rijnberk, Naxosdreef 161, 3562 JG Utrecht, Pays-Bas, KvK 42058784 (registre néerlandais du commerce). Contact : [email protected]. Ci-après : « nous ».

Responsable du traitement : l'entreprise indiquée dans le compte MyCompanyDesk, avec son nom, son numéro KvK et son adresse. Ci-après : « vous ». C'est vous qui décidez pourquoi et comment les données personnelles que vous saisissez dans MyCompanyDesk sont traitées.

Ce contrat de sous-traitance fait partie des conditions générales. Vous acceptez les deux lors de l'inscription (« Ik ga akkoord met de algemene voorwaarden en de verwerkersovereenkomst », c'est-à-dire « J'accepte les conditions générales et le contrat de sous-traitance »). Si les deux textes se contredisent au sujet des données personnelles, ce contrat de sous-traitance prévaut.

Les termes tels que « données personnelles », « traiter », « personne concernée » et « violation de données à caractère personnel » ont le sens que leur donne le Règlement général sur la protection des données (RGPD).

Article 2. Objet, finalité, données et durée

Ce que nous faisons pour vous

Nous traitons des données personnelles uniquement pour fournir le service décrit dans les conditions générales :

• factures, devis, bons de travail, avoirs et relances de paiement ;
• clients, projets, heures, dépenses, contrats et documents ;
• la boîte de réception : envoyer et recevoir des e-mails sur votre propre domaine ;
• votre site web, avec formulaires, rendez-vous et statistiques de visite ;
• lettres d'information ;
• la connexion bancaire et les liens de paiement ;
• les fonctions d'IA, comme l'assistant, la lecture de justificatifs et les textes de brouillon ;
• la signature électronique et l'acceptation de devis en ligne ;
• rapports, aperçus de TVA et exports.

De qui (personnes concernées)

• vos clients, fournisseurs et autres relations d'affaires, et leurs personnes de contact ;
• les membres de votre équipe et les personnes à qui vous donnez accès, comme votre comptable ;
• les visiteurs de votre site web et les personnes qui font une demande ou réservent un rendez-vous ;
• les personnes qui signent un document ou acceptent un devis ;
• les abonnés à votre lettre d'information ;
• les personnes avec qui vous échangez des e-mails via la boîte de réception.

Quelles données

Coordonnées (nom, adresse e-mail, numéro de téléphone, adresse), données d'entreprise (numéro KvK et numéro de TVA), données financières (IBAN, montants, statut de paiement, transactions bancaires), contenu des factures, devis, contrats, documents et e-mails, signatures avec date, heure et adresse IP, données de visite du site web et données techniques comme les adresses IP et les navigateurs.

Catégories particulières de données

MyCompanyDesk n'est pas conçu spécialement pour les catégories particulières de données (article 9 du RGPD), comme les données de santé. Il peut pourtant arriver que vous en traitiez, par exemple en tant que professionnel de santé, coach ou thérapeute, dans une note, un rendez-vous ou une facture. Les mêmes mesures s'appliquent alors que pour toutes les données (article 5). Il vous appartient d'évaluer si elles conviennent à votre traitement, et de ne pas saisir dans MyCompanyDesk plus de telles données que nécessaire. Un dossier médical doit se trouver dans un système conçu pour cela.

Durée

Le traitement dure tant que vous avez un compte. Ensuite, l'article 11 s'applique.

Article 3. Obligations du sous-traitant

• Uniquement sur votre instruction. Nous traitons les données uniquement selon vos instructions, telles qu'elles figurent dans ce contrat, dans les conditions générales et dans ce que vous réglez dans l'application. Cela vaut aussi pour les transferts hors de l'EEE.
• Si la loi exige autre chose. Si la loi nous oblige à traiter ou à transmettre des données, par exemple à une autorité publique, nous vous en informons au préalable, sauf si la loi l'interdit.
• Avertissement. Si nous estimons qu'une instruction enfreint le RGPD ou une autre loi, nous vous en informons immédiatement.
• Confidentialité. Toute personne qui peut accéder aux données en notre nom est tenue à la confidentialité, y compris après la fin de la collaboration.
• Collaborateurs. Un collaborateur de MyCompanyDesk ne consulte votre espace de travail qu'avec un motif indiqué, par exemple pour vous aider ou pour enquêter sur un abus. Cet accès est enregistré et conservé 400 jours.

Là où nous sommes nous-mêmes responsables

Pour quelques points, nous utilisons des données pour une finalité qui nous est propre. Nous en sommes alors nous-mêmes responsables (article 28, paragraphe 10, du RGPD) :

• Nous pouvons traiter le contenu des messages sortants pour la sécurité de la plateforme et pour prévenir les abus, comme l'hameçonnage, le spam et la fraude. En cas de risque élevé, nous n'envoyons pas le message et une personne l'examine.
• Statistiques sur l'utilisation de l'application (voir la politique de confidentialité) : sans consentement, uniquement de façon anonyme ; avec consentement, liées au compte de l'utilisateur, mais jamais avec le contenu de votre comptabilité. Nous n'envoyons pas les titres de page ni les termes de recherche.
• Signalements de contenus illicites sur les sites web que nous hébergeons.

Pour le reste, nous n'utilisons pas vos données pour nos propres finalités. Nous ne les vendons pas, nous n'en faisons pas de profils et nous ne les utilisons pas pour entraîner des modèles d'IA.

Article 4. Sous-traitants ultérieurs

Vous nous donnez une autorisation générale de faire appel aux sous-traitants ultérieurs ci-dessous.

• Si un sous-traitant ultérieur est ajouté ou remplacé, nous envoyons un e-mail à chaque propriétaire d'espace de travail au moins 14 jours à l'avance.
• Si vous n'êtes pas d'accord, vous pouvez vous y opposer dans ce délai par e-mail à [email protected]. Si nous ne trouvons pas d'accord, vous pouvez résilier votre abonnement sans frais.
• Avec chaque sous-traitant ultérieur, nous avons conclu des accords qui offrent au moins la même protection que ce contrat de sous-traitance (article 28, paragraphe 4, du RGPD).
• Quelques acteurs de la liste traitent des données pour notre propre part du service, comme Stripe pour votre abonnement, ou sont eux-mêmes responsables de leur registre, comme la KVK et SIDN. Nous les citons par souci d'exhaustivité.
• Nous restons responsables envers vous de ce que font nos sous-traitants ultérieurs.

Toujours actifs

Uniquement si vous utilisez la fonction ou connectez un service

Article 5. Sécurité

Nous prenons des mesures techniques et organisationnelles appropriées (article 32 du RGPD). Notamment :

• toutes les connexions sont chiffrées avec TLS ;
• mots de passe stockés uniquement sous forme de hachage illisible (bcrypt) ; clés d'accès des connexions et secrets de la double authentification stockés de façon chiffrée ;
• connexion possible avec la double authentification ou une clé d'accès (passkey) ;
• chaque espace de travail ne voit que ses propres données ;
• accès administrateur limité et enregistré ;
• chaque nuit, une sauvegarde complète de la base de données, chiffrée avec AES-256-GCM, dans un stockage protégé (Cloudflare R2) ; nous conservons 30 sauvegardes quotidiennes et 6 mensuelles ;
• données personnelles supprimées automatiquement des messages d'erreur ;
• contrôles réguliers de la sécurité.

Article 6. Violations de données

Si nous constatons une violation de données à caractère personnel que vous traitez dans MyCompanyDesk, nous vous en informons sans retard injustifié, au plus tard dans les 48 heures, à l'adresse e-mail de votre compte. Nous expliquons ce qui s'est passé, quelles personnes concernées et quelles données sont touchées, quelles en sont probablement les conséquences et quelles mesures nous prenons ou proposons. Si nous ne savons pas encore tout, nous envoyons le reste dès que nous le savons.

Nous vous aidons pour la notification à l'Autoriteit Persoonsgegevens (l'autorité néerlandaise de protection des données) et aux personnes concernées. Cette obligation de notification vous incombe en tant que responsable du traitement.

Article 7. Aide pour les demandes des personnes concernées

Si quelqu'un vous demande l'accès à ses données, leur rectification, leur effacement ou une copie, vous pouvez généralement le faire vous-même dans l'application :

• modifier ou supprimer des données dans une fiche client, une facture ou une autre section ;
• tout télécharger via Instellingen > Gegevens downloaden > Alles downloaden (Paramètres > Télécharger les données > Tout télécharger) (ZIP avec des PDF, des fichiers CSV et un fichier d'audit XAF).

Si vous n'y parvenez pas seul, nous vous aidons. Si une demande nous parvient directement, nous vous la transmettons et nous n'y répondons pas nous-mêmes, sauf si vous nous le demandez.

Article 8. Aide pour la sécurité, l'AIPD et la consultation

Nous vous aidons à respecter vos obligations découlant des articles 32 à 36 du RGPD, dans la mesure où cela est raisonnable au regard de ce que nous faisons et de ce que nous savons. Cela signifie :

• fournir des informations sur notre sécurité (article 32) ;
• aider en cas de violation de données (articles 33 et 34, voir l'article 6) ;
• fournir les informations dont vous avez besoin pour une analyse d'impact relative à la protection des données (AIPD, article 35) ;
• aider si vous devez consulter au préalable l'Autoriteit Persoonsgegevens (article 36).

Article 9. Informations et audits

Nous vous fournissons toutes les informations nécessaires pour démontrer que nous respectons ce contrat et l'article 28 du RGPD. Demandez-les via [email protected].

Si ces informations ne suffisent pas, vous pouvez faire réaliser un audit une fois par année civile, après une demande écrite avec 30 jours de préparation, et plus souvent s'il y a un motif concret, comme une violation de données ou une demande de l'autorité de contrôle. L'auditeur est tenu à la confidentialité et l'audit ne doit pas perturber inutilement notre travail. Vous payez l'audit, sauf s'il apparaît que nous n'avons pas respecté ce contrat sur un point important.

Article 10. Transferts hors de l'EEE

Les données ne vont vers un pays situé hors de l'Espace économique européen que s'il existe une garantie prévue au chapitre V du RGPD : le cadre de protection des données UE-États-Unis (DPF) si l'acteur y est rattaché, et sinon les clauses contractuelles types (CCT) de la Commission européenne. La garantie pour chaque sous-traitant ultérieur figure à l'article 4. Pour savoir si un acteur américain relève du DPF, consultez dataprivacyframework.gov/list.

Nous n'utilisons l'IA de Google (Vertex AI) que dans des régions de l'UE. Cloudflare fonctionne avec un réseau mondial ; avec Cloudflare Workers AI, du texte peut être traité hors de l'EEE.

Article 11. Fin du contrat : restitution et effacement

Restitution

Vous pouvez à tout moment télécharger toutes vos données via Instellingen > Gegevens downloaden > Alles downloaden (Paramètres > Télécharger les données > Tout télécharger), y compris après une résiliation et pendant le délai de réflexion qui suit une demande de suppression. Le fichier reste disponible 7 jours, puis il est supprimé automatiquement. Vous pouvez créer un export par espace de travail toutes les 24 heures.

Effacement

• Si vous demandez la suppression de votre compte, vous disposez de 30 jours de réflexion. Vous recevez un rappel 7 jours avant la fin. Ensuite, nous effaçons toutes les données : base de données, fichiers, stockage de la boîte de réception et archives des documents signés. Vous recevez une confirmation par e-mail.
• Si nous mettons fin au contrat, nous effaçons l'espace de travail au plus tôt 90 jours après la fin du contrat. 7 jours avant, vous recevez un rappel.
• Nous n'effaçons jamais automatiquement un compte Desk gratuit.

Obligation de conservation

L'obligation fiscale de conservation de 7 ans (article 52 de la loi générale néerlandaise sur les impôts, AWR) pour votre comptabilité vous incombe à vous, pas à nous. Téléchargez donc votre comptabilité avant de supprimer votre compte. Après l'effacement, nous ne conservons que ce que nous devons ou pouvons conserver pour nous-mêmes : nos propres factures et avoirs à votre attention et le registre des remboursements (montants et numéros chez Stripe, 7 ans), la liste de lutte contre les abus du domaine gratuit (5 ans après l'effacement) et les signalements de contenus illicites (2 ans après le traitement). Voir la politique de confidentialité.

Sauvegardes

Les données effacées peuvent rester jusqu'à environ 7 mois dans une sauvegarde chiffrée (30 sauvegardes quotidiennes et 6 mensuelles). Nous ne les restaurons pas, sauf lors d'une reprise après sinistre. Dans ce cas, nous les effaçons à nouveau immédiatement.

Article 12. Durées de conservation

Dans un compte actif, nous conservons les données aussi longtemps qu'indiqué dans le tableau. Nous conservons votre propre comptabilité aussi longtemps que vous le souhaitez.

Article 13. Responsabilité

Pour la responsabilité au titre de ce contrat de sous-traitance, le même régime s'applique que celui de l'article 18 des conditions générales. Les amendes d'une autorité de contrôle sont supportées par la partie à qui l'infraction est imputable.

Article 14. Durée, modifications et litiges

• Ce contrat dure tant que nous traitons des données pour vous.
• Nous vous informons de toute modification par e-mail au moins 30 jours à l'avance. La nouvelle version figure sur cette page avec sa date. Si vous n'êtes pas d'accord, vous pouvez résilier sans frais.
• Le droit néerlandais s'applique à ce contrat. Les litiges sont portés devant le tribunal compétent de l'arrondissement de Midden-Nederland.