Accord de sous-traitance des données (DPA)

Le présent accord de sous-traitance (« DPA ») est conclu entre le Client (tel que défini dans les conditions générales, dont il constitue l'Annexe 1 et fait partie intégrante) et Saubeo SRL (Rue Rafhay 198, 4630 Soumagne, BCE 0704.742.612). Il encadre, conformément à l'article 28 du RGPD, les traitements de données personnelles que Saubeo effectue pour le compte du Client dans le cadre du service Factuo.

1. Rôles

Pour les données personnelles contenues dans les Données Client — notamment celles des clients finaux du Client (particuliers ou contacts professionnels : identité, adresses, coordonnées, données de facturation) — le Client est responsable du traitement et Saubeo est sous-traitant.

Pour les données relatives au Compte du Client lui-même (utilisateurs, facturation de l'abonnement, support), Saubeo est responsable du traitement : ces traitements sont décrits dans la politique de confidentialité et ne relèvent pas du présent DPA.

2. Objet, durée, nature et finalité du traitement

• Objet : hébergement et traitement des Données Client nécessaires au fonctionnement du service Factuo.
• Durée : la durée du contrat, augmentée du délai de réversibilité (60 jours).
• Nature : collecte, enregistrement, structuration, conservation, consultation, utilisation, transmission (Peppol, e-mail/SMS), effacement.
• Finalité : fournir les fonctionnalités du Service (gestion clients, catalogue, devis/factures, achats, envois, relances, rapprochement bancaire, assistant IA).
• Personnes concernées : clients finaux et contacts du Client, utilisateurs du Compte.
• Catégories de données : identité, coordonnées, adresses, données contractuelles et de facturation, communications. Le Service n'est pas destiné au traitement de catégories particulières de données (art. 9 RGPD) ; le Client s'engage à ne pas en introduire.

3. Instructions du Client

Saubeo ne traite les Données Client que sur instruction documentée du Client — le paramétrage et l'usage des fonctionnalités du Service valant instruction — sauf obligation légale, auquel cas Saubeo en informe le Client avant le traitement (sauf interdiction légale). Saubeo informe le Client si une instruction lui paraît contraire au RGPD.

4. Confidentialité

Saubeo garantit que les personnes autorisées à traiter les Données Client sont soumises à une obligation de confidentialité appropriée (contractuelle ou légale) et n'y accèdent que dans la mesure nécessaire (principe du moindre privilège ; les accès de support font l'objet d'une autorisation explicite du Client dans l'application et sont journalisés).

5. Sécurité

Saubeo met en œuvre les mesures techniques et organisationnelles appropriées (art. 32 RGPD), notamment : chiffrement des communications (TLS), cloisonnement strict des données par organisation (isolation multi-tenant), contrôle d'accès par rôles, journalisation des écritures, sauvegardes régulières, hébergement dans l'Union européenne, mises à jour de sécurité. Le détail des mesures courantes est résumé dans la politique de confidentialité.

6. Sous-traitants ultérieurs

Le Client accorde à Saubeo une autorisation générale de recourir à des sous-traitants ultérieurs pour l'exécution du Service. La liste à jour est publiée à l'adresse /legal/sous-traitants. Saubeo informe le Client de tout ajout ou remplacement au moins 14 jours avant sa prise d'effet (e-mail et/ou message dans l'application) ; le Client peut s'y opposer par écrit pour des motifs raisonnables — à défaut d'accord, il peut résilier le contrat sans frais avant la prise d'effet.

Par exception, lorsqu'un remplacement est rendu urgent par des raisons de sécurité ou de continuité du Service (notamment la défaillance ou la compromission d'un sous-traitant ultérieur), Saubeo peut y procéder sans préavis ; le Client en est alors informé sans retard injustifié et conserve les droits d'opposition et de résiliation ci-dessus.

Saubeo impose à ses sous-traitants ultérieurs des obligations équivalentes au présent DPA et répond de leur exécution.

7. Transferts hors Union européenne

Les Données Client sont hébergées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur implique un transfert hors UE (voir la liste publiée), celui-ci est encadré par une décision d'adéquation (notamment l'EU-U.S. Data Privacy Framework) ou par des clauses contractuelles types de la Commission européenne.

8. Assistance au Client

Compte tenu de la nature du traitement, Saubeo assiste le Client, par des mesures appropriées :

• pour donner suite aux demandes d'exercice des droits des personnes concernées (les fonctions d'export, de rectification et de suppression de l'application en sont le premier moyen) ;
• pour ses obligations de sécurité, de notification des violations et, le cas échéant, d'analyse d'impact (art. 32 à 36 RGPD).

En cas de violation de données affectant les Données Client, Saubeo notifie le Client sans retard injustifié après en avoir pris connaissance, avec les informations nécessaires à ses propres obligations de notification.

9. Sort des données en fin de contrat

La clôture du Compte désigne sa fermeture définitive, quelle qu'en soit l'origine. Trois situations sont à distinguer :

• Résiliation de l'abonnement payant : le Compte bascule sur le plan gratuit ; les Données Client sont conservées et le présent DPA continue de s'appliquer — il n'y a pas de clôture.
• Suppression du Compte à l'initiative du Client : l'application impose un export préalable des Données Client ; la suppression est ensuite immédiate et irréversible.
• Clôture à l'initiative de Saubeo (notamment résiliation pour manquement ou arrêt du Service) : le Client dispose de 60 jours à compter de la notification pour exporter les Données Client.

À l'issue de la suppression ou du délai d'export, Saubeo supprime ou anonymise l'intégralité des Données Client ; les copies résiduelles en sauvegarde sont purgées dans le délai indiqué dans la politique de confidentialité (trente jours au plus). La conservation des documents comptables du Client (factures, devis…) au-delà de la clôture relève de la seule responsabilité du Client, qui veille à les exporter au préalable. Les documents comptables propres à Saubeo (facturation de l'abonnement) ne relèvent pas du présent DPA (art. 1) et suivent les durées indiquées dans la politique de confidentialité.

10. Audits

Saubeo met à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA. Le Client peut, au maximum une fois par an et moyennant un préavis raisonnable de 30 jours, mener (ou faire mener par un auditeur indépendant non concurrent de Saubeo, tenu à la confidentialité) un audit limité aux traitements couverts par le présent DPA, pendant les heures ouvrables, sans perturber le Service, et à ses frais.

11. Divers

La responsabilité au titre du présent DPA est régie par l'article 15 des conditions générales. En cas de contradiction entre le présent DPA et les conditions générales, le DPA prévaut pour ce qui concerne la protection des données. Le droit applicable et la juridiction sont ceux des conditions générales.