BROUILLON — à faire valider par un juriste avant toute utilisation. Ce texte n'a été relu par aucun professionnel du droit. Les passages entre crochets sont à compléter.
Accord de sous-traitance des données personnelles (article 28 du RGPD)
Version : brouillon du 13 octobre 2026.
Entre le cabinet ou l'entreprise titulaire de l'abonnement (le « Responsable de traitement »), et [À COMPLÉTER : raison sociale, adresse, RCS], éditeur de Cinqtreize (le « Sous-traitant »).
Le présent accord complète les conditions générales d'utilisation. Il met en œuvre l'article 28 du règlement (UE) 2016/679 (RGPD).
1. Objet et durée
Le Sous-traitant traite des données personnelles pour le compte du Responsable de traitement, uniquement pour fournir le service Cinqtreize, pendant la durée de l'abonnement et jusqu'à la suppression prévue à l'article 9.
2. Description du traitement
| Élément | Description |
|---|---|
| Nature et finalité | lecture de l'historique public d'adresses de wallets ; valorisation en euros ; production de relevés CSV ; envoi de transactions et d'écritures validées dans Pennylane ; propositions de rapprochement avec les factures clients |
| Personnes concernées | dirigeants et salariés des entreprises suivies, clients invités, contreparties des transactions (identifiées par une adresse pseudonyme), clients des entreprises suivies figurant sur les factures lues |
| Catégories de données | identité et e-mail professionnel des clients invités ; adresses publiques de wallets ; montants, dates, hash et contreparties des transactions ; numéros, montants et noms de clients des factures lues dans Pennylane ; token Pennylane (chiffré) |
| Données exclues | clés privées, phrases de récupération, données sensibles (article 9 du RGPD), données bancaires de paiement |
| Lieu du traitement | Union européenne (hébergement région Paris) ; [À VÉRIFIER : accès éventuels depuis un pays tiers] |
3. Instructions
Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. Les présentes, les paramètres choisis dans l'application (adresses suivies, mode CSV ou Pennylane, validations) et les demandes écrites au support constituent ces instructions. Si une instruction lui paraît contraire au RGPD, le Sous-traitant en informe immédiatement le Responsable de traitement.
4. Confidentialité
Les personnes autorisées à traiter les données chez le Sous-traitant sont soumises à une obligation de confidentialité. [À COMPLÉTER : liste ou nombre des personnes habilitées.]
5. Sécurité (article 32 du RGPD)
Le Sous-traitant met en œuvre au minimum :
- l'isolation des données par cabinet et par dossier, vérifiée par des tests automatisés ;
- le chiffrement au repos du token Pennylane, qui n'est jamais réaffiché ni journalisé ;
- le hachage des mots de passe (scrypt), des sessions à durée limitée, une protection CSRF ;
- le refus, dans le navigateur et sur le serveur, de toute saisie ressemblant à une clé privée ;
- un accès en lecture seule aux blockchains : le service ne peut déplacer aucun fonds ;
- un journal des actions par dossier ;
- [À COMPLÉTER : sauvegardes chiffrées, durée de rotation, tests de restauration, revue des accès].
6. Sous-traitants ultérieurs
Le Responsable de traitement autorise le recours aux sous-traitants ultérieurs suivants :
| Sous-traitant ultérieur | Prestation | Localisation |
|---|---|---|
| [À COMPLÉTER : hébergeur] | hébergement | région Paris (UE) ; [À VÉRIFIER] |
| [À COMPLÉTER : explorateur de blocs (Blockscout ou Etherscan)] | lecture de données publiques de blockchain | [À COMPLÉTER] |
| [À COMPLÉTER : envoi d'e-mails] | invitations et notifications | [À COMPLÉTER] |
Le Sous-traitant informe le Responsable de traitement de tout ajout ou remplacement au moins 30 jours à l'avance ; le Responsable de traitement peut s'y opposer et, à défaut d'accord, résilier sans frais. Le Sous-traitant impose à chaque sous-traitant ultérieur des obligations équivalentes à celles du présent accord.
Pennylane n'est pas un sous-traitant ultérieur : les données y sont envoyées à la demande du Responsable de traitement, dans son propre dossier Pennylane, sous sa responsabilité.
7. Assistance au Responsable de traitement
Le Sous-traitant aide le Responsable de traitement, dans la mesure du possible :
- à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement…) : il transmet sous 5 jours ouvrés toute demande reçue directement ;
- à réaliser une analyse d'impact si elle est requise ;
- à respecter ses obligations de sécurité et de notification.
8. Violation de données
Le Sous-traitant notifie au Responsable de traitement toute violation de données personnelles dans un délai maximal de 48 heures après en avoir pris connaissance, avec les informations prévues à l'article 33.3 du RGPD dont il dispose. [À VALIDER : délai.]
9. Fin du traitement
À la fin de l'abonnement, le Responsable de traitement conserve l'accès à l'export de ses relevés et archives. Le Sous-traitant supprime les données et leurs copies à la demande du Responsable de traitement ou à la suppression de l'espace, sauf obligation légale de conservation, et le confirme par écrit sur demande. Les sauvegardes sont effacées au terme de leur cycle de rotation (14 sauvegardes quotidiennes conservées).
10. Audit et documentation
Le Sous-traitant met à disposition la documentation nécessaire pour démontrer le respect du présent accord (description des mesures de sécurité, liste des sous-traitants ultérieurs, journal des actions par dossier). Il permet un audit par le Responsable de traitement ou un auditeur mandaté, [À COMPLÉTER : préavis, fréquence, prise en charge des frais].
11. Registre
Le Sous-traitant tient le registre des catégories d'activités de traitement prévu à l'article 30.2 du RGPD.
12. Responsabilité et droit applicable
[À COMPLÉTER PAR LE JURISTE : partage de responsabilité, droit français, juridiction.]