Accord de traitement des données (article 28 RGPD)
Projet du 07/11/2026, annexé aux CGV. [À RENSEIGNER : validation juridique]
## 1. Parties et rôles
Le client (responsable de traitement) confie à François Wilco, entrepreneur individuel (EI), exerçant sous le nom commercial Skyvant (sous-traitant) le traitement des données personnelles contenues dans les données qu'il importe ou crée dans Skyvant.
## 2. Description du traitement
- Objet : fourniture du logiciel de gestion (facturation, dépenses, banque, trésorerie, exports, assistant).
- Nature : hébergement, stockage, calculs, extraction de texte, génération de documents, envoi d'e-mails transactionnels sur instruction.
- Catégories de personnes : clients, fournisseurs, salariés et contacts du client ; utilisateurs invités.
- Catégories de données : identité et coordonnées professionnelles, données de facturation, mentions figurant sur les pièces, libellés et montants d'opérations bancaires. Pas de catégories particulières attendues ; le client s'engage à ne pas en importer sans nécessité.
- Durée : durée du contrat, puis restitution/suppression selon l'article 8.
## 3. Instructions
Le sous-traitant ne traite les données que sur instruction documentée du client (configuration et utilisation du service) et l'informe si une instruction lui paraît contraire au RGPD.
## 4. Confidentialité
Personnes autorisées soumises à confidentialité ; accès du personnel limité aux métadonnées ; accès aux données d'un client uniquement avec autorisation écrite, limitée dans le temps et journalisée.
## 5. Sécurité (article 32)
Mesures décrites dans `docs/architecture.md` : RLS PostgreSQL par entreprise, chiffrement en transit, chiffrement applicatif des secrets, URL signées de 5 minutes, MFA, journal d'audit non modifiable, sauvegardes chiffrées et restauration testée, journaux sans données sensibles.
## 6. Sous-traitants ultérieurs
Autorisation générale pour les sous-traitants listés dans sous-traitants ; information préalable de [À RENSEIGNER : 30] jours avant tout ajout ou remplacement, avec droit d'objection.
## 7. Assistance
Assistance raisonnable pour l'exercice des droits, les analyses d'impact et la notification des violations : notification au client sans délai excessif et au plus tard [À RENSEIGNER : 48 h] après prise de connaissance.
## 8. Fin du contrat
Export complet disponible à tout moment ; suppression des données dans les [À RENSEIGNER : 30] jours suivant la fin du contrat, sauf obligation légale de conservation, et suppression des sauvegardes à l'expiration de leur cycle de rotation ([À RENSEIGNER : 35] jours).
## 9. Audits
Mise à disposition des informations nécessaires ; audit sur préavis raisonnable, à la charge du client, sans accès aux données des autres clients.