Accord de sous-traitance des données (DPA)

Le Responsable de traitement(« le Client ») : l'organisation professionnelle titulaire du compte MonKapiten, identifiée par la raison sociale, le SIRET et les coordonnées renseignés lors de la création du compte et tenus à jour dans les réglages de l'organisation.

Le Sous-traitant(« MonKapiten » ou « l'Éditeur ») : Rémy Vianne, entrepreneur individuel (EI) exerçant sous le nom commercial « MonKapiten », immatriculé au Registre national des entreprises (RNE) sous le SIREN 107 487 266 (SIRET 107 487 266 00010), dont le siège est situé 6b lieu-dit Laval, 35150 Amanlis, France.

Le présent accord encadre le traitement des données à caractère personnel effectué par MonKapiten pour le compte du Client dans le cadre de la fourniture du service MonKapiten (facturation électronique et back-office en mode SaaS). En cas de contradiction avec les CGV ou CGU sur la protection des données, le présent accord prévaut.

MonKapiten agit en qualité de sous-traitant pour les données que le Client traite au moyen de l'outil, notamment les données de ses propres clients, prospects et fournisseurs, ses devis, factures émises et reçues, projets, tâches et saisies de temps. Le Client demeure responsable de traitementde ces données : il garantit disposer d'une base légale appropriée et être en droit de les confier à MonKapiten.

Ne relèvent pas du présent accord les traitements pour lesquels MonKapiten est lui-même responsable de traitement (gestion des comptes, facturation de l'abonnement, support, sécurité), décrits dans la Politique de confidentialité.

Le présent accord est accepté en ligne lors de la création du compte, au moyen d'une case à cocher obligatoire. La date, l'heure et la version acceptées sont enregistrées et font foi entre les parties. L'utilisateur qui crée le compte déclare avoir le pouvoir d'engager le Client.

L'accord s'applique pendant toute la durée d'utilisation du service et jusqu'à la complète suppression ou restitution des données, sous réserve des durées de conservation légales. En cas de mise à jour substantielle, le Client est informé ; la version en vigueur est celle publiée sur cette page.

La description détaillée du traitement (objet, nature, finalité, catégories de données et de personnes concernées, durée) figure en annexe 1, qui fait partie intégrante du présent accord.

MonKapiten traite les données uniquement sur instruction documentée du Client. Constituent les instructions du Client : le présent accord, les CGV/CGU, le paramétrage effectué par le Client dans l'application (par exemple l'activation des relances automatiques, l'envoi d'une facture ou d'un devis, la transmission à la Plateforme Agréée) et toute instruction écrite ultérieure raisonnable.

MonKapiten informe le Client si, selon lui, une instruction constitue une violation du RGPD ou d'une autre disposition applicable. MonKapiten peut être tenu de traiter des données en vertu du droit de l'Union ou du droit français (notamment les obligations de la réforme de la facturation électronique) ; dans ce cas, il en informe le Client avant le traitement, sauf interdiction légale.

MonKapiten s'engage à :

• traiter les données uniquement pour les finalités prévues à l'annexe 1 et selon les instructions du Client, et ne pas les utiliser pour son propre compte (aucune revente, aucun profilage, aucun usage publicitaire, aucun entraînement de modèle sur les données du Client) ;
• garantir la confidentialité des données et veiller à ce que chaque personne autorisée à les traiter soit soumise à une obligation de confidentialité et sensibilisée ;
• mettre en œuvre les mesures techniques et organisationnelles appropriées décrites en annexe 3 (art. 32 RGPD) ;
• respecter les conditions de recours à des sous-traitants ultérieurs (article 6) ;
• aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées (article 8) ;
• aider le Client à respecter ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification de violation, analyse d'impact, consultation préalable) ;
• notifier au Client toute violation de données dans les conditions de l'article 9 ;
• au choix du Client, supprimer ou restituer les données à la fin des prestations dans les conditions de l'article 10 ;
• mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations et permettre les audits (article 11) ;
• tenir le registre des catégories d'activités de traitement prévu à l'article 30.2 du RGPD.

Le Client donne son autorisation écrite générale au recours par MonKapiten aux sous-traitants ultérieurs listés en annexe 2. MonKapiten impose à chacun, par contrat, des obligations de protection des données équivalentes à celles du présent accord, et demeure pleinement responsable envers le Client de l'exécution de leurs obligations.

En cas d'ajout ou de remplacement d'un sous-traitant ultérieur, MonKapiten en informe le Client au moins 30 jours avant la prise d'effet (mise à jour de cette page et information par e-mail ou notification dans l'application). Le Client peut émettre des objections motivées dans ce délai ; à défaut d'accord sur une solution raisonnable, il peut résilier son abonnement sans pénalité avant la prise d'effet du changement.

L'hébergement principal de l'application, de la base de données et des sauvegardes est réalisé dans l'Union européenne. Certains sous-traitants ultérieurs mondiaux peuvent toutefois impliquer un accès ou un transfert depuis un pays tiers, dans les limites indiquées en annexe 2. Un tel transfert ne peut intervenir que sur instruction documentée et dans le respect du chapitre V du RGPD, sur le fondement d'une décision d'adéquation ou de garanties appropriées telles que les clauses contractuelles types de la Commission européenne, complétées si nécessaire de mesures supplémentaires.

Compte tenu de la nature du traitement, le Client dispose directement dans l'application des moyens de répondre à la plupart des demandes (consultation, rectification, suppression et export des données qu'il a saisies).

Si une personne concernée adresse une demande directement à MonKapiten au sujet de données traitées pour le compte du Client, MonKapiten la transmet au Client dans les meilleurs délais et n'y répond pas lui-même, sauf instruction contraire du Client ou obligation légale.

MonKapiten notifie au Client toute violation de données à caractère personnel affectant les données traitées pour son compte dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, à l'adresse e-mail de l'administrateur de l'organisation.

La notification décrit, dans la mesure des informations disponibles : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées, ainsi qu'un point de contact. Ces informations peuvent être fournies de manière échelonnée.

Il appartient au Client, responsable de traitement, de procéder le cas échéant à la notification à la CNIL (art. 33 RGPD, 72 heures) et à l'information des personnes concernées (art. 34 RGPD). MonKapiten apporte son assistance raisonnable à cette fin.

À la fin de la relation contractuelle, quel qu'en soit le motif :

• le Client peut utiliser les exports disponibles dans l'application et demander à contact@monkapiten.fr la restitution des autres données à caractère personnel traitées pour son compte, dans un format structuré, couramment utilisé et lisible par machine ; cette faculté reste ouverte pendant la durée du contrat, la période transitoire et une période de récupération d'au moins 30 jours calendaires ;
• au terme de la période de récupération, MonKapiten supprime les données actives traitées pour le compte du Client et leurs copies ; les copies résiduelles présentes dans les sauvegardes sont supprimées au fil de leur rotation, au plus tard 14 jours après ;
• par exception, MonKapiten peut conserver les seules données dont sa propre conservation est imposée par le droit de l'Union ou le droit français, pendant la durée requise et avec un accès limité. L'obligation du Client de conserver ses propres pièces comptables ne constitue pas, à elle seule, une obligation de conservation à la charge de MonKapiten.

Sur demande écrite du Client, MonKapiten confirme la suppression.

MonKapiten met à la disposition du Client les informations nécessaires pour démontrer le respect des obligations du présent accord. Si ces informations se révèlent insuffisantes, le Client peut mener, à ses frais, un audit, en principe une fois par période de 12 mois, moyennant un préavis écrit de 30 jours, pendant les heures ouvrées, sans perturber la production et sous réserve d'un engagement de confidentialité. L'audit ne peut porter que sur les traitements effectués pour le compte du Client et ne donne pas accès aux données des autres clients. Cette limite de fréquence ne s'applique pas après une violation affectant le Client, en cas d'indices sérieux de non-conformité ou à la demande d'une autorité compétente. Les autorités de contrôle conservent leurs pouvoirs propres.

Chaque partie est responsable des dommages causés par un traitement effectué en violation de ses obligations propres au titre du RGPD et du présent accord, dans les conditions de l'article 82 du RGPD. La responsabilité de MonKapiten est soumise aux limitations prévues par les CGV, dans la mesure permise par la loi.

Le présent accord est régi par le droit français. Tout litige relatif à son interprétation ou à son exécution relève des tribunaux compétents désignés par les CGV, sous réserve des dispositions impératives.

La liste à jour est publiée sur cette page ; son évolution est encadrée par l'article 6. Le prestataire de paiement (Stripe) n'intervient que sur le compte et l'abonnement de MonKapiten et non sur les données métier traitées pour le compte du Client ; il est décrit dans la Politique de confidentialité.