Accord de traitement des données (sous-traitance)

Cet accord complète les conditions générales d’utilisation et la politique de confidentialité. Il s’applique aux données personnelles contenues dans les données financières que l’entreprise utilisatrice (l’« Utilisateur ») importe ou saisit dans Centurion, conformément à l’article 28 du règlement européen sur la protection des données (« RGPD »).

1. Rôles

L’Utilisateur est responsable du traitement de ces données ; Centurion FP&A, société en cours de création (l’« Éditeur ») est son sous-traitant : il ne les traite que pour fournir le Service et sur les instructions documentées de l’Utilisateur (les présentes, les conditions d’utilisation, et l’usage que l’Utilisateur fait des fonctions du Service). Pour ses propres traitements (gestion des comptes, demandes de contact, sécurité), l’Éditeur est responsable du traitement : voir la politique de confidentialité.

2. Description du traitement

• Nature et finalité : hébergement, calcul et affichage d’analyses financières (compte de résultat, bilan, flux de trésorerie, budget, créances et dettes, prévisions) à partir des données importées ; export à la demande de l’Utilisateur.
• Durée : la durée d’accès de l’Utilisateur au Service, puis la durée de suppression ou de restitution prévue à l’article 6.
• Catégories de données : données comptables et financières de l’entreprise (balances, écritures de clients et fournisseurs, mouvements bancaires réduits à leur date, montant et compte de contrepartie, budgets, échéances) ; noms de clients et de fournisseurs ; éventuellement le nom d’associés ou de dirigeants dans les intitulés de comptes. Les libellés d’écriture et les libellés bancaires ne sont pas conservés, et les noms des comptes de salariés et d’organismes sociaux sont remplacés.
• Catégories de personnes concernées : dirigeants et associés de l’Utilisateur, ses clients et fournisseurs lorsqu’ils sont des personnes physiques, et ses salariés dans la mesure où leur nom apparaîtrait malgré le remplacement ci-dessus.

3. Obligations de l’Éditeur

• Instructions : traiter les données uniquement pour la finalité ci-dessus. Si une instruction lui paraît contraire à la réglementation, l’Éditeur en informe l’Utilisateur.
• Confidentialité : les personnes autorisées à accéder aux données s’engagent à la confidentialité. Aucun accès aux données d’un Utilisateur n’est ouvert aux autres Utilisateurs : la séparation est appliquée dans la base de données elle-même.
• Sécurité : mesures décrites à l’article « Sécurité et isolement » de la politique de confidentialité (chiffrement des échanges, isolement par ligne, mots de passe hachés, clés d’administration non exposées, minimisation des données conservées).
• Sous-traitants ultérieurs : l’Utilisateur autorise l’Éditeur à recourir à : Supabase (base de données et authentification, région : Paris (France)) et Vercel (hébergement, région : Paris (France)). Tout ajout ou remplacement est annoncé à l’Utilisateur par email et sur cette page, au moins (à préciser à l’ouverture commerciale) avant sa mise en œuvre ; l’Utilisateur peut s’y opposer pour des motifs légitimes. L’Éditeur impose à ses sous-traitants des obligations équivalentes.
• Droits des personnes : l’Éditeur aide l’Utilisateur, par des moyens techniques et organisationnels appropriés, à répondre aux demandes d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Si une personne s’adresse directement à l’Éditeur, il la renvoie vers l’Utilisateur.
• Violation de données : l’Éditeur notifie l’Utilisateur, par email à l’adresse de son compte, dans les meilleurs délais et au plus tard (à préciser à l’ouverture commerciale) après en avoir pris connaissance, avec les informations utiles pour que l’Utilisateur remplisse ses propres obligations.
• Assistance : l’Éditeur aide l’Utilisateur pour ses analyses d’impact et ses consultations de l’autorité de contrôle, dans la limite des informations dont il dispose.

4. Transferts hors Union européenne

Les données sont hébergées dans l’Union européenne (base de données : Paris (France) ; application : Paris (France)). Un accès à distance par un sous-traitant établi hors de l’Union n’est possible que dans le cadre des garanties du RGPD (décision d’adéquation ou clauses contractuelles types) : (à préciser à l’ouverture commerciale).

5. Obligations de l’Utilisateur

L’Utilisateur garantit que les données sont collectées et importées licitement, que les personnes concernées ont été informées, et qu’il dispose du droit de les confier à l’Éditeur. Il s’abstient d’importer des données sensibles au sens du RGPD (santé, opinions, etc.) : le Service n’est pas conçu pour elles.

6. Sort des données à la fin du contrat

L’Utilisateur peut supprimer son compte et toutes ses données depuis « Paramètres » : l’effacement dans l’application est immédiat et définitif. Sur demande à centurion.pilote@gmail.com, l’Éditeur restitue les données dans un classeur Excel avant suppression. Les copies de sauvegarde du prestataire de base de données disparaissent à l’expiration de leur durée de conservation ((à préciser à l’ouverture commerciale)).

7. Audit

L’Éditeur met à disposition de l’Utilisateur les informations nécessaires pour démontrer le respect du présent accord et permet, avec un préavis raisonnable et dans le respect de la confidentialité et de la sécurité des autres Utilisateurs, la réalisation d’audits.

8. Durée et droit applicable

Cet accord prend effet à l’ouverture du compte et dure autant que l’accès au Service. Il est soumis au droit français ; en cas de litige, les tribunaux compétents sont le tribunal de commerce de Toulouse.