Contrat de sous-traitance

Cette traduction est fournie à titre informatif uniquement. Seule la version allemande fait foi.

Contrat relatif au traitement de données à caractère personnel pour le compte du responsable du traitement

⬇ Télécharger le contrat de sous-traitance en PDF (v4.2)

Remarque : la présente version s'applique à compter du 01.12.2026. Jusqu'au 30.11.2026, la version précédente reste applicable : Contrat de sous-traitance, version 4.1 (PDF).

Parties au contrat

Mission conformément à l'art. 28 du RGPD (version 4.2, en vigueur à compter du 01.12.2026)

Contrat conclu entre

Le sous-traitant faktoora GmbH, Amselweg 1, 89231 Neu-Ulm – le sous-traitant –

et

Le donneur d'ordre (responsable du traitement) (Le donneur d'ordre résulte de la relation contractuelle concernée.) – le donneur d'ordre –

01 · Généralités

(1) Le sous-traitant traite des données à caractère personnel pour le compte du donneur d'ordre au sens de l'art. 4, point 8), et de l'art. 28 du règlement (UE) 2016/679 – règlement général sur la protection des données (RGPD). Le présent contrat régit les droits et obligations des parties en lien avec le traitement de données à caractère personnel.

(2) Lorsque le terme « traitement de données » ou « traitement » (de données) est utilisé dans le présent contrat, la définition du « traitement » au sens de l'art. 4, point 2), du RGPD s'applique.

02 · Objet et durée de la mission

L'objet et la durée de la mission sont déterminés intégralement par les indications figurant dans la relation contractuelle concernée. Le sous-traitant traite à cet égard des données à caractère personnel pour le donneur d'ordre au sens de l'art. 4, point 2), du RGPD (traitement) et de l'art. 28 du RGPD sur la base de la présente mission.

03 · Étendue, nature et finalité du traitement des données

L'étendue, la nature et la finalité du traitement de données à caractère personnel, le type de données et les catégories de personnes concernées sont décrits à l'annexe 1, dans la mesure où cela ne résulte pas du contenu contractuel des relations contractuelles décrites au point 2.

Le traitement a lieu en principe dans l'UE/EEE. Dans la mesure où, dans le cadre de la fourniture des prestations, il est fait appel à des sous-traitants ultérieurs établis en dehors de l'UE/EEE ou où un accès depuis des pays tiers ne peut être techniquement exclu en totalité, cela a lieu exclusivement dans le respect des exigences des art. 44 et suivants du RGPD et moyennant les garanties appropriées prévues par le présent contrat.

04 · Mesures techniques et organisationnelles au sens de l'art. 32 du RGPD

(art. 28, paragraphe 3, deuxième phrase, point c) du RGPD)

(1) Le sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées conformément à l'art. 32 du RGPD afin de garantir un niveau de sécurité adapté au risque. Les mesures en vigueur au moment de la conclusion du contrat sont décrites à l'annexe 2 et sont réputées convenues.

(2) Le sous-traitant est en droit d'adapter et de faire évoluer les mesures techniques et organisationnelles en tenant compte de l'état de la technique et de l'évolution de la sécurité informatique, à condition que le niveau de protection convenu ne soit pas réduit de ce fait. Les modifications substantielles des mesures sont documentées.

(3) Le sous-traitant met à la disposition du donneur d'ordre, sur demande, la version en vigueur des mesures techniques et organisationnelles.

05 · Rectification, limitation du traitement et effacement des données

(1) Le sous-traitant ne peut pas, de sa propre initiative, effacer les données traitées pour le compte du donneur d'ordre ni en limiter le traitement. Si une personne concernée s'adresse directement au sous-traitant à cet égard, le sous-traitant transmet dans les meilleurs délais cette demande au donneur d'ordre.

(2) Le sous-traitant aide le donneur d'ordre, dans toute la mesure du possible, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d'exercer leurs droits prévus au chapitre III du RGPD (art. 28, paragraphe 3, deuxième phrase, point e) du RGPD). Il procède à l'effacement, à la rectification, à la portabilité des données et à l'accès sur instruction documentée du donneur d'ordre.

06 · Assurance qualité et autres obligations du sous-traitant

Outre le respect des dispositions de la présente mission, le sous-traitant est soumis à des obligations légales conformément aux art. 28 à 33 du RGPD ; à cet égard, il garantit notamment le respect des exigences suivantes :

• PROLIANCE GmbH est désignée en qualité de délégué à la protection des données auprès du sous-traitant : Leopoldstr. 21, 80802 Munich, datenschutzbeauftragter@datenschutzexperte.de

• Les coordonnées à jour du délégué à la protection des données sont publiées de manière facilement accessible sur le site web du sous-traitant ; tout changement y est publié.

• La préservation de la confidentialité conformément à l'art. 28, paragraphe 3, deuxième phrase, point b), à l'art. 29 et à l'art. 32, paragraphe 4, du RGPD. Pour l'exécution des travaux, le sous-traitant ne fait appel qu'à des salariés qui sont tenus à la confidentialité et qui ont été préalablement familiarisés avec les dispositions relatives à la protection des données qui les concernent. Le sous-traitant et toute personne agissant sous son autorité qui a accès à des données à caractère personnel ne peuvent traiter ces données que sur instruction du donneur d'ordre, y compris dans le cadre des pouvoirs conférés par le présent contrat, à moins qu'ils ne soient tenus de les traiter en vertu de la loi.

• La mise en œuvre et le respect de toutes les mesures techniques et organisationnelles nécessaires à la présente mission, conformément à l'art. 28, paragraphe 3, deuxième phrase, point c), et à l'art. 32 du RGPD ainsi qu'à l'annexe 2.

• Le donneur d'ordre et le sous-traitant coopèrent, sur demande, avec l'autorité de contrôle dans l'exécution de ses missions.

• L'information dans les meilleurs délais du donneur d'ordre sur les mesures de contrôle et les mesures prises par l'autorité de contrôle, dans la mesure où elles se rapportent à la présente mission. Cela s'applique également lorsqu'une autorité compétente enquête auprès du sous-traitant dans le cadre d'une procédure administrative de sanction ou d'une procédure pénale relative au traitement de données à caractère personnel dans le cadre de la sous-traitance.

• Dans la mesure où le donneur d'ordre est lui-même exposé à un contrôle de l'autorité de contrôle, à une procédure administrative de sanction ou à une procédure pénale, à une action en responsabilité d'une personne concernée ou d'un tiers ou à une autre prétention en lien avec la sous-traitance auprès du sous-traitant, le sous-traitant doit l'assister dans une mesure raisonnable ; le point 14.1 s'applique.

• Le sous-traitant contrôle régulièrement les processus internes ainsi que les mesures techniques et organisationnelles afin de garantir que le traitement relevant de sa responsabilité est conforme aux exigences du droit applicable en matière de protection des données et que la protection des droits de la personne concernée est assurée.

07 · Sous-traitance ultérieure

Les sous-traitants ultérieurs sont des tiers qui traitent des données à caractère personnel pour le compte du sous-traitant en lien avec la fourniture des prestations. Il peut également s'agir de prestations d'assistance telles que l'hébergement, la maintenance, le support ou la surveillance, dans la mesure où des données à caractère personnel sont traitées à cette occasion.

(1) Le donneur d'ordre donne au sous-traitant une autorisation générale de faire appel à d'autres sous-traitants ultérieurs au sens de l'art. 28, paragraphe 2, du RGPD. Le sous-traitant informe le donneur d'ordre sous forme textuelle, au moins trois semaines à l'avance, d'un changement prévu concernant l'ajout de nouveaux sous-traitants ultérieurs ou le remplacement de sous-traitants ultérieurs existants. Le donneur d'ordre a le droit d'émettre des objections dans un délai de trois semaines à compter de la réception de la communication, pour autant que des motifs légitimes tenant à la protection des données le justifient. Si le donneur d'ordre émet une objection fondée et qu'aucune solution amiable n'est trouvée, chaque partie peut résilier le contrat principal et le présent contrat de manière extraordinaire à la date de prise d'effet du changement. Si aucune partie ne résilie avant la prise d'effet, le sous-traitant peut mettre en œuvre le changement. En cas d'urgence, notamment pour des raisons de sécurité ou en cas de disparition d'un sous-traitant ultérieur, une communication a posteriori effectuée dans les meilleurs délais suffit ; le droit d'objection s'applique par analogie. Les deuxième à sixième phrases s'appliquent par analogie lorsqu'un sous-traitant ultérieur existant transfère le traitement vers un pays tiers.

(2) Le sous-traitant s'engage à sélectionner avec soin tous les sous-traitants ultérieurs et à s'assurer à cette occasion que ceux-ci satisfont aux exigences de l'art. 32 du RGPD au moyen de mesures techniques et organisationnelles appropriées (par exemple des certifications sectorielles telles qu'ISO 27001). Les documents d'audit pertinents sont mis à la disposition du donneur d'ordre, sur demande, dans un délai raisonnable, dans la mesure où le sous-traitant ultérieur en autorise la communication.

(3) Le sous-traitant vérifie régulièrement le respect des obligations en matière de protection des données par ses sous-traitants ultérieurs et en documente les résultats. Il en fournit les justificatifs au donneur d'ordre sur demande, dans la mesure où des obligations de confidentialité envers le sous-traitant ultérieur ne s'y opposent pas. Les contrôles auprès des sous-traitants ultérieurs s'effectuent en priorité sur la base de leurs certifications et rapports d'audit ; les droits de contrôle du donneur d'ordre prévus au point 8 et à l'art. 28, paragraphe 3, deuxième phrase, point h) du RGPD n'en sont pas affectés.

(4) Le sous-traitant impose contractuellement à chaque sous-traitant ultérieur les mêmes obligations en matière de protection des données que celles fixées dans le présent contrat, en particulier des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière que le traitement réponde aux exigences du RGPD (art. 28, paragraphe 4, du RGPD).

(5) Le sous-traitant répond envers le donneur d'ordre du respect, par le sous-traitant ultérieur, des obligations en matière de protection des données qui lui ont été imposées contractuellement par le sous-traitant conformément à la présente section du contrat.

(6) Actuellement, les sous-traitants ultérieurs énumérés à l'annexe 3 sont chargés du traitement de données à caractère personnel dans la mesure qui y est indiquée. Le donneur d'ordre consent à ce qu'il soit fait appel à eux.

08 · Droits de contrôle du donneur d'ordre

(1) Les contrôles s'effectuent en priorité au moyen d'informations, de documentations, de justificatifs de sécurité, de certificats, de rapports d'audit et d'autres justificatifs appropriés. Dans la mesure où ces justificatifs ne suffisent pas, dans un cas particulier, pour vérifier de manière appropriée le respect des obligations prévues à l'art. 28 du RGPD, le sous-traitant permet également, après concertation préalable, des vérifications plus poussées, y compris des inspections dans une mesure raisonnable. La confidentialité, les intérêts opérationnels et de sécurité du sous-traitant ainsi que les droits des tiers doivent être préservés à cette occasion. Les contrôles sur place n'ont lieu que moyennant un préavis raisonnable, pendant les heures ouvrées habituelles et dans la mesure où ils sont nécessaires et proportionnés dans le cas concret. Le donneur d'ordre peut effectuer les contrôles lui-même ou les faire effectuer par un auditeur mandaté par lui, tenu au secret et qui n'est pas en situation de concurrence avec le sous-traitant. Les inspections ont lieu en règle générale au maximum une fois par année civile, à moins qu'un motif concret ou une autorité de contrôle n'exige un contrôle supplémentaire.

(2) Le sous-traitant veille à ce que le donneur d'ordre puisse s'assurer du respect des obligations du sous-traitant prévues à l'art. 28 du RGPD. Le sous-traitant s'engage à fournir au donneur d'ordre, sur demande, les informations nécessaires, dans la mesure où celles-ci ne ressortent pas des documents existants et accessibles.

(3) La preuve des mesures qui ne concernent pas uniquement la mission concrète peut être apportée, au choix, par le respect de codes de conduite approuvés conformément à l'art. 40 du RGPD, par une certification selon un mécanisme de certification approuvé conformément à l'art. 42 du RGPD, par des attestations, rapports ou extraits de rapports récents d'instances indépendantes (par exemple commissaires aux comptes, audit interne, délégué à la protection des données, service de sécurité informatique, auditeurs en protection des données, auditeurs qualité) et/ou par une certification appropriée issue d'un audit de sécurité informatique ou de protection des données (par exemple selon le BSI-Grundschutz, méthode de protection de base de l'Office fédéral allemand de la sécurité des technologies de l'information).

(4) La mise à disposition des justificatifs existants et la fourniture d'informations au titre des paragraphes 1 à 3 sont gratuites. Pour les inspections ainsi que pour les audits et questionnaires individuels, le sous-traitant peut exiger une rémunération appropriée sur la base de ses taux horaires en vigueur, dans la mesure où le contrôle n'est pas devenu nécessaire en raison d'une violation démontrable, par le sous-traitant, du présent contrat ou d'obligations en matière de protection des données.

09 · Assistance au titre des art. 32 à 36 du RGPD et notification des violations de données à caractère personnel

(1) Le sous-traitant aide le donneur d'ordre à respecter les obligations prévues aux articles 32 à 36 du RGPD en matière de sécurité des données à caractère personnel, d'obligations de notification en cas de violation de données, d'analyses d'impact relatives à la protection des données et de consultations préalables. Cela comprend notamment :

a) la garantie d'un niveau de protection approprié au moyen de mesures techniques et organisationnelles qui tiennent compte des circonstances et des finalités du traitement ainsi que de la probabilité et de la gravité prévisibles d'une éventuelle violation due à des failles de sécurité, et qui permettent de détecter rapidement les événements de violation pertinents

b) l'obligation de notifier dans les meilleurs délais au donneur d'ordre les violations de données à caractère personnel ; la notification contient, dans la mesure où elles sont connues, les informations prévues à l'art. 33, paragraphe 3, du RGPD, les informations qui ne sont pas encore disponibles étant communiquées de manière échelonnée (art. 33, paragraphe 4, du RGPD)

c) l'obligation d'aider le donneur d'ordre dans le cadre de son obligation d'information à l'égard de la personne concernée et de lui fournir à cet égard les informations pertinentes dont il dispose dans les meilleurs délais

d) l'assistance au donneur d'ordre pour son analyse d'impact relative à la protection des données

e) l'assistance au donneur d'ordre dans le cadre de consultations préalables de l'autorité de contrôle

(2) Pour les prestations d'assistance qui ne figurent pas dans la description des prestations et qui ne sont pas imputables à un manquement du sous-traitant, le sous-traitant peut prétendre à une rémunération.

10 · Pouvoir d'instruction du donneur d'ordre

(1) Le sous-traitant traite les données à caractère personnel exclusivement sur instruction documentée du donneur d'ordre. Les instructions sont fixées dans le présent contrat et dans le contrat principal et sont données par l'utilisation des fonctions de la plateforme. Cela vaut également pour les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins que le sous-traitant ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit de l'État membre auquel il est soumis. Dans ce cas, le sous-traitant informe le donneur d'ordre de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public.

(2) Le donneur d'ordre confirme dans les meilleurs délais sous forme textuelle les instructions orales.

(3) Le sous-traitant doit informer dans les meilleurs délais le donneur d'ordre s'il estime qu'une instruction enfreint les dispositions relatives à la protection des données. Le sous-traitant est en droit de suspendre l'exécution de l'instruction concernée jusqu'à ce qu'elle soit confirmée ou modifiée par le donneur d'ordre.

11 · Accès pour le support et l'analyse des erreurs (accès lié au compte / impersonation)

(1) Le donneur d'ordre donne instruction au sous-traitant et l'autorise à accéder, dans la mesure nécessaire, aux données à caractère personnel traitées pour son compte aux fins de l'analyse des erreurs, de la résolution des perturbations, de l'assistance technique et du traitement des demandes de support, y compris l'accès via l'interface utilisateur dans la vue d'un compte utilisateur (impersonation). Cette instruction vaut instruction générale documentée au sens de l'art. 28, paragraphe 3, du RGPD ; une instruction ou une autorisation distincte au cas par cas n'est pas nécessaire.

(2) L'accès est limité à sa finalité, a lieu selon le principe de minimisation des données et est effectué exclusivement par du personnel du sous-traitant habilité, tenu à la confidentialité (art. 28, paragraphe 3, deuxième phrase, point b), art. 29 et art. 32, paragraphe 4, du RGPD).

(3) Les accès via l'interface utilisateur (impersonation) sont journalisés avec l'horodatage, la personne accédant et le compte concerné ; les accès administratifs aux systèmes de production sont journalisés de manière nominative. Les journaux sont mis à la disposition du donneur d'ordre, sur demande, dans le cadre de ses droits de contrôle (point 8).

(4) Dans le cadre de cet accès également, le sous-traitant traite les données exclusivement dans le cadre du présent contrat et non à ses propres fins.

12 · Effacement et restitution des données à caractère personnel

(1) Aucune copie ni aucun duplicata des données n'est réalisé à l'insu du donneur d'ordre. Font exception les copies de sauvegarde, dans la mesure où elles sont nécessaires pour garantir un traitement régulier des données, ainsi que les copies dont le sous-traitant a besoin pour remplir ses propres obligations légales.

(2) Après la fin de l'accord de prestations, le sous-traitant met à la disposition du donneur d'ordre, pour export, l'ensemble des données traitées pour son compte pendant une période de récupération de 30 jours (point 5.2 des CGV). À l'expiration de la période de récupération, ou plus tôt sur instruction du donneur d'ordre, le sous-traitant efface ces données conformément aux règles de protection des données, y compris les contenus des requêtes et réponses API ; la conservation au titre des dispositions du droit commercial et du droit fiscal incombe au donneur d'ordre. Les données de journalisation relatives aux connexions, aux accès et aux modifications (piste d'audit) font partie des données traitées pour le compte du donneur d'ordre et sont effacées avec celles-ci. Les copies de sauvegarde sont écrasées dans le cycle de sauvegarde régulier de 12 mois au maximum ; d'ici là, elles sont chiffrées, leur accès est restreint et elles ne servent qu'à la restauration. Si des données sont restaurées à partir d'une copie de sauvegarde, le sous-traitant applique à nouveau les suppressions effectuées avant la restauration. Le sous-traitant informe le donneur d'ordre, sur demande, de la nature et de la date de l'effacement.

(3) Les documentations servant à prouver le traitement des données conforme à la mission et régulier doivent être conservées par le sous-traitant au-delà de la fin du contrat, conformément aux durées de conservation applicables. Il peut les remettre au donneur d'ordre à la fin du contrat afin de se décharger.

13 · Travail mobile (Remote-first)

(1) Le sous-traitant travaille indépendamment du lieu (« remote-first ») et ne dispose pas de bureaux ni de salles de serveurs propres. La plateforme est exploitée dans des centres de données en Allemagne (Annexe 2) ; l'Annexe 3 s'applique aux sous-traitants ultérieurs.

(2) Les salariés et les autres personnes travaillant pour le sous-traitant peuvent exercer leur activité depuis des logements privés et d'autres lieux de travail mobiles. Il est notamment prévu que :

• l'accès aux systèmes du sous-traitant est toujours chiffré et requiert une authentification personnelle ;
• les appareils de travail sont entièrement chiffrés, se verrouillent automatiquement en cas d'inactivité et sont maintenus à jour avec les mises à jour de sécurité ;
• les données du donneur d'ordre ne sont stockées sur les appareils de travail que dans la mesure nécessaire, au cas par cas, à l'analyse d'erreurs et à la reproduction d'erreurs signalées, et sont supprimées une fois l'analyse terminée ; elles ne sont pas stockées sur des supports amovibles ni dans des espaces de stockage cloud privés ;
• le travail est organisé de manière à ce que des tiers ne puissent pas prendre connaissance des données à caractère personnel ; via des réseaux publics, l'accès aux systèmes de production se fait uniquement par une connexion sécurisée.

(3) L'accès aux données à caractère personnel du donneur d'ordre depuis un lieu de travail situé hors de l'UE/EEE n'est autorisé que dans les conditions des art. 44 et suivants du RGPD (point 3).

(4) Le sous-traitant garantit les mesures prévues à l'art. 32 du RGPD (Annexe 2) également en cas de travail mobile, les vérifie régulièrement, le documente et met cette documentation à la disposition du donneur d'ordre sur demande. Les contrôles prévus au point 8 s'effectuent à cet égard sur la base de cette documentation et d'autres justificatifs ; l'accès aux logements privés est exclu.

14 · Autres stipulations

14.1 Rémunération

Aucune rémunération n'est exigée pour la présente mission. Dans la mesure où le donneur d'ordre a besoin d'une assistance au titre du point 5 pour répondre aux demandes de personnes concernées, il doit rembourser les frais qui en résultent. Les contrôles sont régis par le point 8, paragraphe 4. L'export des données et le changement de prestataire conformément au point 5.2 des CGV sont gratuits. Si le donneur d'ordre donne au sous-traitant des instructions au titre du point 10 qui vont au-delà de l'étendue des prestations convenue ou occasionnent des charges supplémentaires, il doit rembourser les frais raisonnables qui en résultent.

Aucune obligation de rémunération n'existe dans la mesure où l'assistance, le contrôle ou la mesure concernés sont devenus nécessaires en raison d'une violation démontrable, par le sous-traitant, du présent contrat ou d'obligations en matière de protection des données.

14.2 Durée du contrat

Le présent contrat dépend de l'existence d'une relation contractuelle principale conformément au point 2. La résiliation ou toute autre cessation de la relation contractuelle principale conformément au point 2 met fin au présent contrat, sous réserve de la clause de maintien en vigueur ci-après. Le droit de résilier le présent contrat de manière isolée et extraordinaire ainsi que l'exercice de droits légaux de résolution portant spécifiquement sur le présent contrat n'en sont pas affectés.

Dans la mesure où, après la fin de la relation contractuelle principale, des données à caractère personnel sont encore traitées en lien avec la restitution, l'export, l'effacement, la conservation des sauvegardes ou l'administration de la preuve, les dispositions du présent contrat continuent de s'appliquer jusqu'à l'achèvement complet de ces opérations de traitement.

14.3 Droit applicable

Le droit de la République fédérale d'Allemagne s'applique.

14.4 Juridiction compétente

La juridiction compétente est régie par le point 12.1 des CGV.

14.5 Responsabilité

La responsabilité est régie par le point 9 des CGV ; l'art. 82 du RGPD n'en est pas affecté.

Signatures

Annexe 1 · Données à caractère personnel et finalité du traitement

Annexe 1 à la mission conformément à l'art. 28 du RGPD – liste des données à caractère personnel et finalité de leur traitement

I. Types de données

Les types de données suivants font régulièrement l'objet du traitement :

• Dénomination de l'entreprise avec les noms des interlocuteurs et l'adresse de l'entreprise
• Coordonnées
• Factures émises et reçues, y compris leurs pièces jointes
• Transactions bancaires (en cas de connexion d'un compte bancaire)
• Données de communication et de transmission (envoi et réception d'e-mails, Peppol, transmissions aux administrations fiscales)
• Journaux API (requêtes adressées à l'interface de programmation et réponses de celle-ci)
• Données d'utilisateur et d'accès/d'authentification (par exemple identifiant utilisateur, rôles/autorisations, journaux d'accès)
• Données d'utilisation et de journalisation (par exemple adresse IP, horodatages, métadonnées techniques)
• Données de paiement
• Données clients de l'entreprise pour la facturation
• Désignations des produits et des services de l'entreprise

II. Catégories de personnes concernées

Catégories de personnes concernées par le traitement des données :

• Collaborateurs et clients du donneur d'ordre
• Partenaires et prestataires de services du donneur d'ordre
• Fournisseurs du donneur d'ordre
• Destinataires et émetteurs de factures du donneur d'ordre

III. Nature et finalité du traitement

Mise à disposition d'une application web et d'une interface de programmation pour la création, la réception, la vérification, la transmission et le stockage pendant la durée du contrat de factures, d'avoirs et d'autres documents commerciaux conformément à la norme EN 16931 et à d'autres formats ; rapprochement des paiements ; transmission aux réseaux de facturation électronique et aux administrations fiscales ; saisie automatique facultative des données à partir des factures reçues ; support.

Annexe 2 · Mesures techniques et organisationnelles

Annexe 2 à la mission conformément à l'art. 28 du RGPD – mesures techniques et organisationnelles au sens de l'art. 32 du RGPD.

Remarque : les mesures spécifiques au télétravail s'inspirent des mesures recommandées par le BSI (Recommandations pour le télétravail).

1. Confidentialité (art. 32, paragraphe 1, point b) du RGPD)

a. Contrôle de l'accès physique

Centre de données – Nos serveurs se trouvent dans des centres de données allemands de Hetzner Online GmbH certifiés ISO 27001.

• Contrôle d'accès physique, surveillance et accompagnement des visiteurs conformément à la certification ISO 27001 de l'exploitant du centre de données

Administration/télétravail

• Les appareils de travail sont entièrement chiffrés ; les salariés ont pour instruction de ne pas les laisser sans surveillance
• Les appareils de travail se verrouillent automatiquement après une courte période d'inactivité et sont verrouillés lorsque le poste de travail est quitté
• Les impressions contenant des données à caractère personnel sont détruites après usage
• Seul du personnel engagé au respect de la confidentialité et de la protection des données accède aux données à caractère personnel à des fins de support
• Les salariés ont pour instruction de ne pas traiter de données à caractère personnel en présence de tiers

b. Contrôle de l'accès aux systèmes

Centre de données – Les identifiants administratifs et les moyens d'accès aux systèmes de serveurs et d'infrastructure ne sont accessibles qu'aux collaborateurs habilités du sous-traitant et sont utilisés exclusivement aux fins de l'administration, de la maintenance et du contrôle de l'infrastructure.

Télétravail

• Les salariés ont pour instruction de stocker les mots de passe permettant d'accéder à des comptes ou à des systèmes dans un gestionnaire de mots de passe chiffré.
• Les accès administratifs aux systèmes de serveurs, cloud et de développement sont protégés par une authentification multifacteur.

c. Contrôle de l'accès aux données

Infrastructure

• Le fournisseur d'infrastructure exploite son infrastructure selon un concept de sécurité documenté ; lors de sa sélection, le sous-traitant tient compte notamment de justificatifs de sécurité/certifications reconnus.

• Le fournisseur d'infrastructure met en œuvre des contrôles d'accès physique et d'accès aux données selon des normes reconnues ; les justificatifs résultent des certifications/rapports d'audit correspondants du fournisseur. Applications / systèmes internes d'administration

• des mises à jour de sécurité régulières (conformes à l'état de la technique) garantissent que les accès non autorisés sont empêchés.

• ne sont accessibles que par des accès personnalisés protégés par mot de passe

• Les bases de données et les stockages de données internes ne sont pas accessibles depuis Internet ; un accès direct n'est possible que via des accès administratifs avec authentification multifacteur

• Les applications administratives exigent une connexion via le fournisseur d'identité avec des autorisations basées sur les rôles

• Vérification et adaptation régulières des autorisations d'accès

d. Contrôle des supports de données

Centre de données

• Les disques durs sont écrasés à plusieurs reprises (effacés) par le fournisseur d'infrastructure selon une procédure définie. Après vérification, les disques durs sont réutilisés.
• Les disques durs défectueux qui ne peuvent pas être effacés de manière sûre sont détruits (broyés) directement dans le centre de données du fournisseur d'infrastructure.

Généralités / télétravail

• Les supports de données des collaborateurs qui ne sont plus nécessaires ou qui sont défectueux sont écrasés à plusieurs reprises (effacés) et détruits.
• Les appareils de travail et les supports de données sont entièrement chiffrés ; les données du donneur d'ordre ne sont stockées localement que conformément au point 13.

e. Contrôle de la séparation

• Les données des clients sont stockées séparément des autres données, de manière physique ou logique.
• La sauvegarde des données des clients s'effectue également sur des systèmes séparés logiquement et/ou physiquement.

2. Intégrité (art. 32, paragraphe 1, point b) du RGPD)

a. Contrôle de la transmission

Généralités

• Tous les collaborateurs ont reçu des instructions au sens de l'art. 32, paragraphe 4, du RGPD et sont tenus de garantir un traitement des données à caractère personnel conforme à la protection des données.
• Les transmissions externes sont chiffrées (TLS 1.2 ou supérieur)
• Les systèmes de production et les sauvegardes sont chiffrés (art. 32, paragraphe 1, point a) du RGPD)

Télétravail

• Les collaborateurs ont pour instruction de ne créer des documents/impressions confidentiels qu'à titre exceptionnel et de les détruire immédiatement après utilisation.
• Les collaborateurs ont pour instruction de faire détruire de manière appropriée les supports de données qui ne sont plus nécessaires.

b. Journalisation / surveillance / analyse des erreurs

Afin de garantir la stabilité, la disponibilité et la correction des erreurs, des données techniques d'événements et de diagnostic sont traitées. Le traitement s'effectue selon le principe de minimisation des données ; les contenus identifiants sont, dans la mesure du possible, réduits ou supprimés au moyen de filtres/d'un nettoyage (scrubbing). Les accès aux systèmes de diagnostic et de surveillance sont restreints sur la base des rôles et sont journalisés. Les durées de conservation des données de diagnostic/d'erreur sont limitées en fonction de leur finalité. Un accès du support lié au compte (impersonation) aux comptes utilisateurs n'a lieu que sur la base des rôles, par du personnel habilité, et est journalisé (horodatage, personne accédant, compte concerné).

3. Disponibilité et résilience (art. 32, paragraphe 1, point b) du RGPD)

a. Contrôle de la disponibilité

Serveurs

• Nos serveurs se trouvent dans un centre de données Hetzner en Allemagne certifié ISO 27001.
• Toutes les données persistantes de la plateforme de production sont sauvegardées sous forme chiffrée à intervalles rapprochés (actuellement au moins toutes les 2 heures) et stockées sur un site physiquement distinct.
• Alimentation électrique et protection du réseau conformément à la certification ISO 27001 de l'exploitant du centre de données.

Télétravail

• Les données des clients ne sont stockées sur les appareils de travail que conformément au point 13 et de manière temporaire ; les appareils de travail sont entièrement chiffrés.

b. Capacité de rétablissement rapide (art. 32, paragraphe 1, point c) du RGPD)

Serveurs

• Pour tous les systèmes, une chaîne d'escalade est définie, qui précise qui doit être informé en cas de défaillance afin de rétablir le système le plus rapidement possible.
• La restauration à partir des sauvegardes est régulièrement testée et documentée.

Télétravail

• Les appareils de travail peuvent être remplacés sans perte de données des clients, car le jeu de données de référence se trouve exclusivement dans la plateforme sauvegardée de manière centralisée.

4. Procédure de vérification, d'appréciation et d'évaluation régulières (art. 32, paragraphe 1, point d) du RGPD ; art. 25, paragraphe 1, du RGPD)

a. Contrôle des missions

Mesures garantissant que les données à caractère personnel traitées pour le compte du donneur d'ordre ne peuvent être traitées que conformément aux instructions du donneur d'ordre. Elles comprennent :

• Sélection rigoureuse des sous-traitants ultérieurs, notamment au regard de la protection des données
• Conclusion des contrats nécessaires avec les sous-traitants ultérieurs et vérification de ceux-ci

b. Contrôle de l'organisation

L'organisation interne doit être conçue de manière à répondre aux exigences particulières de la protection des données. Elle comprend les mesures suivantes :

• Les salariés sont tenus à la confidentialité et reçoivent des instructions en matière de protection des données
• Les mesures techniques et organisationnelles sont régulièrement vérifiées et améliorées.
• Documentation, propre à chaque client, des instructions et des activités dans le cadre de la sous-traitance
• Un processus documenté de détection, d'évaluation, de confinement et de notification est en place pour les incidents de sécurité et de protection des données ; les incidents sont documentés et analysés dans les meilleurs délais.
• Les vulnérabilités sont détectées au moyen de contrôles automatisés et corrigées en fonction des risques.

Annexe 3 · Sous-traitants ultérieurs

Pour le traitement de données pour le compte du donneur d'ordre, le sous-traitant a recours aux prestations de tiers qui traitent des données à caractère personnel pour son compte (« sous-traitants ultérieurs »). Il s'agit des entreprises suivantes :

Les destinataires qui reçoivent des données en vertu d'une obligation légale (par exemple les administrations fiscales dans le cadre de VeriFactu, de KSeF ou de la facturation électronique française), les prestataires de services de paiement agréés qui fournissent sous leur propre responsabilité aux utilisateurs des services d'information sur les comptes et d'initiation de paiement (BANKSapi Technology GmbH, Munich), ainsi que les services connectés par le donneur d'ordre lui-même (par exemple des systèmes de comptabilité, d'ERP ou de CRM) ne sont pas des sous-traitants ultérieurs au sens de la présente annexe. La liste à jour est en outre consultable sur trust.faktoora.com.

---

La présente version s'applique à compter du 01.12.2026. Pour les donneurs d'ordre dont le contrat a été conclu avant cette date, elle s'applique à compter du 01.12.2026, mais au plus tôt quatre semaines après la réception de la communication des modifications, à moins que le donneur d'ordre ne s'y oppose dans ce délai (clause de modification des CGV antérieures, désormais point 8.10 des CGV) ; le droit d'objection à l'encontre de nouveaux sous-traitants ultérieurs prévu au point 7, paragraphe 1, n'en est pas affecté. Jusqu'à cette date, la version précédente reste applicable.

faktoora GmbH · Contrat de sous-traitance · v4.2 · en vigueur à compter du 01.12.2026