Accord de traitement des données (sous-traitance – article 28 du RGPD)

• Service : Kalifact
• Version : 1.1
• Date : 11/10/2026
• Modèle à faire valider par un avocat avant publication.

1. Parties et objet

Le présent accord (« DPA ») est conclu entre :

• le Client, entreprise abonnée au Service, agissant comme responsable de traitement ;
• [PRÉNOM NOM DE L'ÉDITEUR], Entrepreneur individuel (EI), exerçant sous le nom commercial Kalifact, [ADRESSE PROFESSIONNELLE DE L'ÉDITEUR], SIREN [NUMÉRO SIREN], contact : contact@kalifact.fr (l'« Éditeur »), agissant comme sous-traitant.

Il fixe les conditions dans lesquelles l'Éditeur traite, pour le compte du Client, les données personnelles que le Client saisit ou importe dans le Service (les « Données »). Il fait partie du contrat d'abonnement et est accepté en même temps que les CGV. En cas de contradiction sur la protection des données, le DPA prévaut.

2. Description des traitements

La nature, la finalité, les catégories de données et de personnes, et la durée des traitements sont décrites à l'annexe 1.

3. Obligations de l'Éditeur

L'Éditeur s'engage à :

3.1. Instructions : traiter les Données uniquement pour fournir le Service, selon les instructions documentées du Client. Le contrat, le paramétrage du Service et les actions du Client dans le Service valent instructions. Si une instruction lui paraît contraire au RGPD, il en informe immédiatement le Client.

3.2. Pas d'autre usage : ne pas utiliser les Données à ses propres fins, ne pas les vendre, ne pas les utiliser pour de la publicité ni pour entraîner des modèles d'intelligence artificielle. Seules des statistiques d'usage anonymes et agrégées, ne contenant aucune Donnée, peuvent être produites.

3.3. Confidentialité : ne donner accès aux Données qu'aux personnes qui en ont besoin, tenues à la confidentialité (à ce jour, l'Éditeur seul). L'Éditeur n'accède aux Données d'un Client que pour le support demandé par ce Client, pour un incident ou pour une obligation légale. Ces accès sont tracés.

3.4. Sécurité : mettre en œuvre les mesures de l'annexe 2 (article 32 du RGPD) et les maintenir à un niveau adapté au risque.

3.5. Sous-traitants ultérieurs : respecter l'article 4.

3.6. Aide au Client : aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes (accès, rectification, effacement, portabilité…). Le Service permet au Client de consulter, corriger, exporter et supprimer les Données lui-même. Si une personne s'adresse directement à l'Éditeur, celui-ci transmet la demande au Client sans délai et n'y répond pas lui-même, sauf instruction.

3.7. Violation de données : notifier au Client toute violation de Données dans les meilleurs délais et au plus tard 48 heures après en avoir eu connaissance, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements, conséquences probables, mesures prises ou proposées. Les informations sont complétées au fur et à mesure. Le Client reste chargé de la notification à la CNIL (72 heures) et aux personnes, le cas échéant.

3.8. Analyse d'impact : fournir au Client les informations utiles s'il réalise une analyse d'impact ou consulte la CNIL.

3.9. Registre : tenir le registre des traitements effectués pour le compte de ses clients (article 30 §2).

3.10. Localisation : héberger les Données dans l'Union européenne. Les copies de sauvegarde sont chiffrées par l'Éditeur avant leur envoi au stockage Google Drive (annexe 3) : Google ne détient pas la clé et ne peut pas les lire. Aucun autre transfert hors de l'Union sans les garanties du chapitre V du RGPD et sans information préalable du Client.

3.11. Fin du contrat : selon le choix du Client, restituer les Données (export, voir CGV article 12) puis les supprimer. Les Données sont supprimées 30 jours après la fin du contrat (période de lecture seule), et des sauvegardes au plus tard 30 jours après. L'Éditeur confirme la suppression par écrit sur demande. Seules sont conservées les Données que la loi oblige l'Éditeur à garder.

3.12. Démonstration : configurer et tenir l'entreprise de démonstration exclusivement avec des données fictives.

4. Sous-traitants ultérieurs

4.1. Le Client donne une autorisation générale à l'Éditeur de recourir aux sous-traitants ultérieurs de l'annexe 3.

4.2. L'Éditeur informe le Client par e-mail au moins 30 jours avant tout ajout ou remplacement d'un sous-traitant ultérieur. Le Client peut s'y opposer pour un motif raisonnable lié à la protection des données, dans ce délai. Si aucune solution n'est trouvée, le Client peut résilier sans frais la partie du Service concernée, ou l'abonnement, avec remboursement de la part payée d'avance non consommée.

4.3. L'Éditeur impose à chaque sous-traitant ultérieur, par contrat, des obligations équivalentes à celles du présent DPA. Il reste responsable envers le Client de leur respect.

5. Obligations du Client

Le Client s'engage à :

• disposer d'une base légale pour chaque traitement (par exemple : exécution du contrat avec ses propres clients, obligation légale pour la facturation et le décompte du temps de travail) ;
• informer les personnes concernées (ses clients, salariés, fournisseurs, sous-traitants) ;
• informer ses salariés avant d'utiliser l'Extension Fiche d'heures (Code du travail, art. L1222-4) et consulter son CSE au préalable s'il compte au moins 50 salariés (art. L2312-38) ;
• ne saisir que des Données nécessaires ; ne pas saisir de données sensibles (santé, opinions…) ni de numéros de sécurité sociale, sauf nécessité légale ;
• définir les durées de conservation de ses Données et procéder aux suppressions (le Service fournit les outils) ;
• gérer les accès de ses utilisateurs ;
• tenir son propre registre des traitements.

6. Audits

6.1. L'Éditeur met à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA (description des mesures, résultats d'audits ou de tests de sécurité s'ils existent).

6.2. Le Client peut réaliser un audit, une fois par an au plus, avec un préavis de 30 jours, à ses frais, par lui-même ou par un auditeur indépendant tenu à la confidentialité et non concurrent de l'Éditeur. L'audit ne doit pas porter atteinte à la sécurité ni aux données des autres clients. Un audit supplémentaire est possible après une violation de données.

7. Responsabilité

Chaque partie répond de ses propres manquements au RGPD. La responsabilité de l'Éditeur au titre du DPA est soumise aux règles de l'article « Responsabilité » des CGV, sauf disposition impérative contraire.

8. Durée

Le DPA s'applique pendant toute la durée de l'abonnement, puis jusqu'à la suppression effective des Données.

Annexe 1 – Description des traitements

Personnes concernées (selon l'usage du Client) : clients finaux du Client (souvent des particuliers) et leurs interlocuteurs ; salariés et collaborateurs du Client ; fournisseurs et sous-traitants du Client et leurs contacts ; correspondants des e-mails reçus ; utilisateurs du compte.

Nature des opérations : collecte, enregistrement, organisation, conservation, consultation, calcul, mise en forme de documents, envoi par e-mail à la demande du Client, export, effacement.

Durée : durée du contrat, plus la période de restitution et de suppression (article 3.11).

Durées de conservation conseillées au Client (il décide) :

• factures, avoirs et pièces comptables : 10 ans (Code de commerce, art. L123-22) ;
• devis non signés : 3 ans après le dernier contact ;
• relevés d'heures : au moins 1 an (C. trav. art. D3171-16) ; 3 ans conseillés (prescription des salaires, art. L3245-1) ;
• dossiers de signature : comme le document signé (10 ans pour un devis devenu contrat de travaux ; à adapter à la garantie décennale) ;
• e-mails récupérés : le temps du traitement de la facture, puis suppression de tout ce qui n'est pas la pièce comptable.

Annexe 2 – Mesures de sécurité

A. Mesures techniques de l'application (constatées dans le code de l'application le 11/10/2026)

B. Mesures organisationnelles et d'exploitation (état au 11/10/2026)

Annexe 3 – Sous-traitants ultérieurs autorisés

Notes :

• La console d'administration de l'Éditeur est un outil interne, hébergé chez Hostinger : ce n'est pas un sous-traitant. Elle ne reçoit aucune Donnée du Client au sens du présent DPA (seulement les données du compte, régies par la politique de confidentialité).
• La messagerie du Client à laquelle se connecte l'Extension Boîtes mail est choisie et contractée par le Client lui-même : son fournisseur n'est pas un sous-traitant de l'Éditeur.
• Le calcul de distance interroge la Base Adresse Nationale (service public de l'État) directement depuis le navigateur de l'Utilisateur, avec les seules adresses concernées.
• Aucun paiement en ligne n'est proposé à ce jour. Le futur prestataire de paiement de l'abonnement traitera les données de facturation du Client lui-même : ce traitement relèvera de la politique de confidentialité de l'Éditeur, pas du présent DPA.