Sous-traitant, par contrat.

Le présent accord de sous-traitance (le « DPA ») est conclu entre :

• le Client du service Klista, professionnel utilisateur du service, agissant en qualité de responsable du traitement au sens de l'article 4, 7) du Règlement (UE) 2016/679 (« RGPD ») pour les données visées à l'article 03 ; et
• NETFIT, SAS au capital de 1 000 €, immatriculée au RCS de Créteil sous le n° 909 919 748, dont le siège est 3 Allée Henri Dunant, 94340 Joinville-le-Pont, éditrice du service Klista, agissant en qualité de sous-traitant au sens de l'article 4, 8) du RGPD.

Il a pour objet d'encadrer, conformément à l'article 28 du RGPD, les traitements de données à caractère personnel que NETFIT réalise pour le compte et sur instruction du Client dans le cadre de la fourniture du service.

Il ne s'applique pas aux traitements pour lesquels NETFIT est elle-même responsable de traitement (données de compte, d'abonnement et de sécurité du Client), qui restent régis par la Politique de confidentialité.

• Durée · celle du contrat, augmentée de la période de récupération des données prévue à l'article 10.
• Nature des opérations · collecte (saisie ou import par le Client), hébergement, structuration, conservation, consultation, extraction automatisée (OCR), génération de documents (PDF), envoi d'e-mails, sauvegarde, effacement.
• Finalités · la fourniture des fonctionnalités demandées par le Client : factures et devis, gestion des clients et du catalogue, suivi des paiements et relances, lecture automatisée des documents importés, exports comptables.

NETFIT ne traite les données du Client à aucune autre fin, notamment à aucune fin publicitaire ni d'entraînement de modèles.

Personnes concernées : les clients et prospects du Client, les destinataires de ses factures et devis, ses fournisseurs et leurs personnels, ainsi que toute personne physique figurant dans les documents importés ou consultant les pages publiques de règlement et de devis.

Catégories de données : données d'identification et de contact (nom, dénomination, adresse, e-mail, téléphone), identifiants professionnels (SIREN/SIRET, n° de TVA), données de facturation et financières (lignes, montants, échéances, conditions et statuts de paiement, coordonnées bancaires figurant sur les documents), contenu des documents importés.

Aucune catégorie particulière de données au sens de l'article 9 du RGPD n'a vocation à être traitée ; le Client s'interdit d'en soumettre au service.

NETFIT s'engage à :

• a) ne traiter les données que sur instruction documentée du Client — les instructions résultent du contrat, du présent DPA et de l'utilisation des fonctionnalités du service — y compris en matière de transferts hors UE, sauf obligation prévue par le droit de l'Union ou d'un État membre, auquel cas NETFIT en informe le Client avant le traitement, sauf interdiction légale ; NETFIT informe le Client si, selon elle, une instruction constitue une violation du RGPD ;
• b) veiller à ce que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• c) prendre les mesures de sécurité requises par l'article 32 du RGPD (détaillées à l'article 07) ;
• d) respecter les conditions de recours à un sous-traitant ultérieur (article 06) ;
• e) assister le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, pour répondre aux demandes d'exercice des droits des personnes concernées (article 08) ;
• f) assister le Client dans le respect de ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact, consultation préalable), compte tenu de la nature du traitement et des informations dont NETFIT dispose ; en cas de violation de données affectant les données du Client, NETFIT notifie le Client dans les meilleurs délais après en avoir pris connaissance, avec les informations de l'article 33.3 du RGPD ;
• g) selon le choix du Client, supprimer ou restituer toutes les données au terme de la prestation (article 10) ;
• h) mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD et permettre la réalisation d'audits (article 09).

Le Client, responsable du traitement, garantit qu'il dispose d'une base légale pour les traitements qu'il opère via le service, qu'il fournit aux personnes concernées l'information requise par les articles 13 et 14 du RGPD, et que ses instructions sont conformes au droit applicable. Il est seul responsable de l'exactitude, de la qualité et de la licéité des données qu'il saisit ou importe.

Le Client donne son autorisation générale au recours par NETFIT aux sous-traitants ultérieurs listés ci-dessous, imposés par les nécessités techniques du service :

Keycloak (gestion de l'authentification) est un logiciel libre auto-hébergé sur l'infrastructure de NETFIT : ce n'est pas un sous-traitant ultérieur, le sous-traitant pertinent est l'hébergeur. L'API publique « Recherche d'entreprises » (données INSEE/INPI) est une source de données publiques, non un sous-traitant.

NETFIT impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles du présent DPA et demeure pleinement responsable envers le Client de l'exécution par ceux-ci de leurs obligations.

Changements : NETFIT informe le Client de tout ajout ou remplacement de sous-traitant ultérieur au moins trente (30) jours avant sa prise d'effet, par la mise à jour de la liste publiée ici et dans la Politique de confidentialité, et par une information par e-mail ou dans le service. Le Client peut s'y opposer par écrit pour des motifs légitimes tenant à la protection des données ; à défaut d'accord sur une solution, il peut résilier le contrat dans les conditions des CGV, sans pénalité, avant la prise d'effet du changement.

NETFIT met en œuvre notamment : chiffrement des communications en transit (HTTPS/TLS) ; chiffrement au repos des données sensibles identifiées (coordonnées bancaires IBAN/BIC) ; cloisonnement des données par locataire ; authentification et gestion des identités (Keycloak) avec protection contre la force brute ; contrôle des accès au moindre privilège et obligation de confidentialité du personnel ; journalisation des événements de sécurité ; sauvegardes régulières et chiffrées de la base de données ; procédure de gestion des violations de données (notification à la CNIL sous 72 heures lorsque requise).

Compte tenu de la nature du traitement, NETFIT assiste le Client de deux façons. Par les fonctionnalités du service d'abord : consultation et rectification des fiches et documents, suppression d'une fiche que nulle obligation légale n'impose de conserver, et export comptable au format FEC. Pour le surplus — notamment un export de portabilité ou une suppression d'ensemble, qui ne sont pas offerts en libre-service — en donnant suite aux demandes raisonnables du Client sous quinze (15) jours ouvrés. Si une personne concernée s'adresse directement à NETFIT au sujet d'un traitement dont le Client est responsable, NETFIT lui indique de s'adresser au Client et transmet la demande au Client sans délai indu, sans y répondre sur le fond, sauf instruction du Client ou obligation légale.

NETFIT tient à la disposition du Client la documentation permettant de démontrer sa conformité (dont la liste des sous-traitants ultérieurs et la description des mesures de sécurité). Le Client peut, au maximum une fois par an et moyennant un préavis écrit de trente (30) jours, réaliser ou faire réaliser par un tiers indépendant non concurrent de NETFIT un audit de conformité au présent DPA, à ses frais, pendant les heures ouvrées, sans perturber le service et sous engagement de confidentialité. Un audit supplémentaire est possible sans délai en cas de violation de données avérée affectant le Client.

Au terme du contrat, le Client dispose de trente (30) jours pour demander l'export de ses données, que NETFIT lui restitue dans un format structuré et couramment utilisé ; les exports comptables (FEC) restent par ailleurs disponibles dans le service. À l'expiration de ce délai, NETFIT supprime ou anonymise l'ensemble des données traitées pour le compte du Client, y compris les copies, sous réserve (i) des obligations légales de conservation imposant à NETFIT de conserver certaines données et (ii) des sauvegardes techniques, purgées selon leurs cycles habituels et non restaurées sauf obligation légale. Sur demande écrite du Client formulée avant l'expiration du délai, NETFIT restitue les données dans un format structuré et couramment utilisé.

NETFIT ne transfère de données hors de l'Union européenne que vers les sous-traitants ultérieurs de l'article 06, dans le cadre des garanties indiquées : décision d'adéquation EU-US Data Privacy Framework pour les entités américaines certifiées (Stripe, Google, Cloudflare) et, à titre de garantie de secours, les clauses contractuelles types de la Commission européenne (décision 2021/914), assorties le cas échéant de mesures supplémentaires. La stratégie première de NETFIT est le maintien des données dans l'UE (hébergement UE, stockage objet en juridiction UE, Document AI en région « eu », e-mails dans l'UE) ; le seul transfert structurellement assumé est celui lié au paiement de l'abonnement.

La responsabilité des parties au titre du présent DPA est régie par les Conditions générales de vente, sans préjudice des dispositions impératives du RGPD (notamment son article 82). En cas de contradiction entre le présent DPA et les CGV ou les CGU sur une question de protection des données, le DPA prévaut.

Point de contact protection des données de NETFIT : contact@klista.io — NETFIT SAS, Protection des données, 3 Allée Henri Dunant, 94340 Joinville-le-Pont.