DPA — Accord de sous-traitance

FacturEvo traite, pour le compte du Client et pendant la durée du contrat, les données personnelles que le Client ou ses utilisateurs introduisent dans le service, aux seules fins de fournir les fonctions qu’il utilise :

• Établissement, signature électronique, envoi, suivi, relance et encaissement des devis, factures, avoirs et bons d'intervention.
• Gestion des clients, prospects, chantiers et missions (adresses, coordonnées GPS, photos, planning, temps passé, frais kilométriques).
• Comptabilité, notes de frais et justificatifs, rapprochement bancaire (relevés importés ; synchronisation automatique via Bridge lorsqu’elle sera proposée — fonction à venir, pas encore active).
• Gestion locative en meublé (biens, locataires, loyers, quittances).
• Portail client et page de paiement.
• Lorsque le Client les active : fonctions d'intelligence artificielle (dictée, lecture de justificatifs, catégorisation, assistant) et intégrations tierces (WhatsApp Business).
• Conservation des documents émis dans les conditions de la section 10.

Personnes concernées : clients et prospects du Client (personnes physiques ou représentants de personnes morales), signataires, locataires, membres de l’équipe, sous-traitants et fournisseurs du Client.

Données : identité, coordonnées, identifiants d’entreprise (SIRET, TVA), contenu et montants des documents, IBAN, opérations bancaires, adresses et photos de chantier, signatures manuscrites et empreinte salée de l’adresse IP des signataires, temps de travail. Aucun numéro de carte bancaire (traité par Stripe).

Aucun traitement n’est réalisé à des fins propres à FacturEvo (prospection, enrichissement, revente, entraînement de modèles d’intelligence artificielle).

Le présent accord s’applique pendant toute la durée du contrat principal entre le Client et FacturEvo, puis, pour les documents conservés après sa fin, dans les conditions de la section 10.

• Traiter les données uniquement sur instruction documentée du Client (les CGU et le présent accord constituent ces instructions), y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation imposée par le droit de l'Union ou le droit français ; dans ce cas, FacturEvo en informe le Client avant le traitement, sauf si la loi l'interdit.
• Informer immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d'une autre disposition relative à la protection des données.
• Garantir la confidentialité : toutes les personnes autorisées à traiter les données sont liées par un engagement de confidentialité.
• Mettre en œuvre les mesures techniques et organisationnelles appropriées (section 6).
• Aider le Client, par des mesures appropriées, à répondre aux demandes d'exercice des droits des personnes concernées (section 7).
• Aider le Client, compte tenu de la nature du traitement et des informations dont elle dispose, à respecter les articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact, consultation préalable de la CNIL).
• Notifier au Client toute violation de données dans un délai maximal de 48 heures après en avoir pris connaissance (section 9).
• À la fin du contrat, supprimer ou restituer les données au choix du Client, dans les conditions de la section 10.

Le Client autorise FacturEvo à recourir aux sous-traitants ultérieurs suivants pour l’exécution du service :

FacturEvo impose par contrat à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes à celles du présent accord, notamment des garanties suffisantes quant aux mesures techniques et organisationnelles, et demeure pleinement responsable devant le Client de leur exécution.

Lorsque le Client connecte un service qu’il a lui-même souscrit (son propre compte Stripe pour le paiement par carte, WhatsApp Business de Meta…), ce prestataire agit dans le cadre du contrat conclu directement avec le Client ; FacturEvo se borne à lui transmettre, sur instruction du Client, les données nécessaires.

Toute adjonction ou tout remplacement d’un sous-traitant ultérieur est notifié au Client au moins 30 jours avant sa prise d’effet. Le Client peut s’y opposer pour un motif légitime ; si FacturEvo ne peut pas y répondre, le Client peut résilier sans frais, avec remboursement au prorata de la période payée non utilisée.

• Chiffrement des échanges (HTTPS / TLS).
• Authentification sans mot de passe (lien de connexion à usage unique, valable 1 heure), double authentification disponible.
• Isolation des données par organisation dans l'application, doublée, pour les requêtes des utilisateurs connectés, d'un cloisonnement en base (Row Level Security PostgreSQL).
• Journal des actions sensibles (connexions, émissions, paiements, paramètres).
• Sauvegarde quotidienne de la base, conservée 7 jours (perte de données maximale : 24 heures).
• Principe du moindre privilège pour les accès internes.

Lorsqu’une personne concernée (par exemple un client du Client) exerce un droit auprès de FacturEvo (accès, rectification, effacement, limitation, opposition, portabilité), FacturEvo transmet la demande au Client dans les 7 jours, sauf instruction contraire, et l’aide à y répondre.

Le Client reste responsable de répondre aux demandes des personnes concernées dans les délais légaux.

FacturEvo met à la disposition du Client toutes les informations nécessaires pour démontrer le respect de l’article 28 du RGPD (présent accord, liste à jour des sous-traitants ultérieurs, description des mesures de sécurité, certificat ISO 27001 de son hébergeur Clever Cloud) et permet la réalisation d’audits, y compris d’inspections, par le Client ou un auditeur qu’il mandate, et y contribue.

L’audit est demandé par écrit à dpo@facturevo.fr avec un préavis d’au moins 30 jours, au plus une fois par an sauf violation de données ou demande d’une autorité de contrôle. Il est réalisé pendant les heures ouvrées, sans perturber le service ni donner accès aux données d’autres clients, par un auditeur tenu au secret et non concurrent de FacturEvo. Ses frais sont à la charge du Client, sauf s’il révèle un manquement de FacturEvo.

En cas de violation de données personnelles, FacturEvo informe le Client dans un délai maximal de 48 heures après en avoir pris connaissance. La notification inclut :

• La nature de la violation et les catégories de données concernées.
• Le nombre approximatif de personnes et d'enregistrements concernés.
• Les conséquences probables.
• Les mesures prises ou proposées pour remédier à la violation et en limiter les conséquences.

À la fin du contrat, et au choix du Client :

• Restitution des données : archive ZIP complète depuis le compte (données structurées au format JSON et documents : originaux PDF et XML des factures, justificatifs, photos, pièces jointes), jusqu'à la suppression effective du compte, 30 jours après sa demande.
• Ou suppression, confirmée par écrit sur demande.

Par dérogation, le Client donne instruction à FacturEvo de conserver, après la fin du contrat, les factures, avoirs, écritures validées et justificatifs émis, afin de lui permettre de respecter ses propres obligations de conservation (article L. 102 B du Livre des procédures fiscales ; article L. 123-22 du Code de commerce), dans les conditions de l’article 13 des CGU : conservation sécurisée en France, sans autre traitement, restitution sur demande, suppression au terme du délai ou plus tôt sur demande écrite du Client.

Les données du Client sont hébergées en France. Lorsqu’un sous-traitant ultérieur relève d’un groupe établi hors de l’Union européenne (Sentry, Amazon Web Services), tout transfert éventuel est encadré par la décision d’adéquation relative au cadre de protection des données UE–États-Unis ou par les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914). Une copie de ces garanties est communiquée au Client sur simple demande à dpo@facturevo.fr.