1. Objet et parties
Le présent accord de traitement des données (l'« Accord ») est conclu entre le Client, titulaire d'un espace ClientZen, agissant en qualité de responsable de traitement, et Jonathan MEDER (Entrepreneur individuel (micro-entrepreneur)), 12 rue des Roses, 67350 Kindwiller, France, SIREN 485026975, agissant en qualité de sous-traitant (l'« Éditeur »). Il précise, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD »), les conditions dans lesquelles l'Éditeur traite des données personnelles pour le compte du Client dans le cadre des conditions générales de vente, dont il fait partie intégrante.
2. Description du traitement
- Nature et finalité : hébergement, stockage, mise à disposition, sauvegarde, restauration et, sur instruction, export ou suppression des données saisies dans l'espace, aux fins de gestion commerciale, de facturation, d'encaissement, de communication et d'organisation du Client.
- Catégories de personnes concernées : clients, prospects et contacts du Client, leurs représentants, destinataires de devis, factures, communications et rendez-vous, utilisateurs invités par le Client.
- Catégories de données : identité et coordonnées professionnelles, adresses, identifiants d'entreprise (SIREN, TVA), données de facturation et de paiement (montants, statuts, références ; IBAN lorsque le Client le saisit), historique commercial et interactions, consentements et oppositions, pièces jointes, rendez-vous, données de connexion au portail client. Aucune donnée dite « sensible » (article 9 RGPD) n'est requise par le service ; si le Client en saisit, il en assume la licéité.
- Durée : pendant toute la durée de l'abonnement et jusqu'à la suppression de l'espace (article 9).
3. Instructions du Client
L'Éditeur ne traite les données que sur instruction documentée du Client : l'utilisation du service par le Client et ses utilisateurs, les paramétrages de l'espace (conservation, anonymisation, connecteurs) et les demandes adressées à l'assistance constituent ces instructions. L'Éditeur informe le Client si une instruction lui paraît contraire au RGPD ou à une autre disposition applicable. Il ne traite pas les données pour son propre compte, ne les revend pas et ne les utilise pas pour entraîner des modèles.
4. Confidentialité
L'Éditeur veille à ce que les personnes autorisées à traiter les données soient tenues à une obligation de confidentialité et n'y accèdent que dans la stricte mesure nécessaire. L'accès au contenu d'un espace par l'Éditeur est soumis à une demande motivée, approuvée par un propriétaire de l'espace, limitée dans le temps et dans les droits, et visible dans l'équipe du Client ; la procédure d'urgence est tracée et notifiée. Chaque accès est journalisé.
5. Sécurité
L'Éditeur met en œuvre les mesures techniques et organisationnelles décrites à l'annexe 1, notamment : isolation de chaque espace dans une base de données propre, chiffrement des données sensibles par une clé de données propre à l'espace (enveloppe AES-256-GCM, clé maître hors base), hachage des mots de passe, double authentification et passkeys, contrôle d'autorisation côté serveur à chaque requête, journaux d'audit en ajout seul, en-têtes de sécurité HTTP, liens signés de courte durée pour les fichiers privés, sauvegardes quotidiennes chiffrées conservées trente jours avec test de restauration, masquage des données personnelles dans les journaux techniques, surveillance et alertes d'exploitation.
6. Sous-traitants ultérieurs
Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés à l'annexe 2. L'Éditeur informe le Client de tout ajout ou remplacement envisagé au moins trente jours avant sa prise d'effet (mention dans l'application ou e-mail au propriétaire de l'espace) ; le Client peut s'y opposer par écrit pour motif légitime, auquel cas les parties recherchent une solution et, à défaut, le Client peut résilier pour la fin de la période en cours. L'Éditeur impose à ses sous-traitants ultérieurs des obligations équivalentes aux présentes et demeure responsable envers le Client de leur exécution.
Les prestataires connectés par le Client lui-même (prestataires de paiement pour l'encaissement de ses factures, plateforme agréée avec son propre compte, agenda, banque, boutique en ligne) ne sont pas des sous-traitants ultérieurs de l'Éditeur : ils traitent les données sous le contrat propre du Client. En revanche, lorsque le Client choisit le raccordement à la plateforme agréée par l'application de l'Éditeur, cette plateforme est un sous-traitant ultérieur de l'Éditeur (annexe 2).
7. Assistance au responsable de traitement
L'Éditeur assiste le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible :
- pour répondre aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, opposition) : fonctions d'export, de modification, d'anonymisation et de suppression intégrées, assistance sur demande ; toute demande reçue directement par l'Éditeur est transmise au Client sans y répondre sur le fond ;
- pour garantir le respect des obligations de sécurité, de notification des violations et, le cas échéant, d'analyse d'impact et de consultation préalable de l'autorité de contrôle, en fournissant les informations dont il dispose.
8. Notification des violations de données
L'Éditeur notifie au Client toute violation de données personnelles affectant les données de l'espace sans retard injustifié après en avoir pris connaissance, par e-mail au propriétaire de l'espace, en précisant, dans la mesure des informations disponibles puis de manière échelonnée : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou proposées. Il coopère avec le Client pour lui permettre de respecter ses propres obligations de notification.
9. Sort des données à la fin du traitement
Le Client peut à tout moment exporter l'intégralité des données de son espace (export complet JSON Lines avec fichiers et manifeste d'empreintes ; exports CSV, PDF, Factur-X, FEC). À la fin de l'abonnement, l'espace est conservé en lecture seule puis supprimé (base, fichiers, appartenances, clé de chiffrement) au plus tôt trente jours après la résiliation ; les fichiers soumis à une obligation légale de conservation sont conservés jusqu'à son terme, sauf instruction contraire du Client qui en assume la responsabilité. Les copies présentes dans les sauvegardes chiffrées expirent avec la rotation de celles-ci (trente jours). La suppression est tracée.
10. Documentation et audit
L'Éditeur met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord : documentation de sécurité et d'architecture, modèle de menace, registre de conformité, journaux d'audit de l'espace, résultats des tests de restauration. Le Client peut, au plus une fois par an et moyennant un préavis de trente jours, faire réaliser un audit par un auditeur indépendant tenu à la confidentialité, à ses frais, pendant les heures ouvrées et sans accès aux données des autres espaces ; l'Éditeur y contribue raisonnablement.
11. Transferts hors de l'Union européenne
Les données sont hébergées dans l'Union européenne. Lorsqu'un sous-traitant ultérieur traite des données depuis un pays tiers (annexe 2), le transfert est encadré par des clauses contractuelles types de la Commission européenne ou une décision d'adéquation, et limité aux données strictement nécessaires — pseudonymisées pour l'assistant IA.
12. Responsabilité et hiérarchie
Chaque partie est responsable des dommages causés par son manquement au RGPD dans le rôle qui est le sien. La responsabilité de l'Éditeur au titre du présent Accord est soumise aux limitations prévues par les conditions générales de vente, sauf disposition impérative contraire. En cas de contradiction, l'Accord prévaut sur les CGV pour ce qui concerne le traitement des données personnelles.
13. Durée et modification
L'Accord s'applique pendant toute la durée du contrat et jusqu'à la suppression des données. Il est versionné et publié avec sa date et son empreinte ; toute modification substantielle est portée à la connaissance du Client, qui peut résilier pour la fin de la période en cours s'il la refuse.
Annexe 1 — Mesures techniques et organisationnelles
- Isolation : une base de données par espace ; connexion configurée dynamiquement, purgée après chaque requête et chaque tâche ; contexte d'espace jamais déduit d'un paramètre soumis par le navigateur.
- Chiffrement : données sensibles chiffrées par une clé de données propre à l'espace, elle-même chiffrée par une clé maître conservée hors base (versions, rotation) ; index aveugles pour les recherches ; secrets d'intégration jamais réaffichés ; TLS pour tous les échanges.
- Authentification et accès : mots de passe hachés (12 caractères minimum), double authentification TOTP et passkeys, sessions listées et révocables, vérification d'e-mail exigée avant les actions sensibles, rôles et permissions par espace vérifiés côté serveur, accès support motivés, approuvés, limités et visibles.
- Intégrité et traçabilité : journaux d'audit en ajout seul (plateforme et espace) avec identifiant de corrélation ; documents fiscaux figés ; journaux de caisse chaînés et signés ; webhooks vérifiés par signature et dédupliqués.
- Disponibilité : sauvegardes quotidiennes chiffrées (AES-256) avant leur copie hors du serveur, conservées trente jours, test de restauration hebdomadaire, surveillance d'exploitation (ordonnanceur, files, sauvegardes, espace disque, prestataires) avec alertes.
- Développement et exploitation : analyse statique, tests automatisés exécutés avant chaque livraison, en-têtes de sécurité (CSP avec nonce, HSTS, protections d'inclusion et de type), limitation de débit, contrôle du type réel des fichiers téléversés, masquage des données personnelles dans les journaux techniques, revue de sécurité documentée.
- Organisation : accès de l'Éditeur limités au strict nécessaire et journalisés ; procédure d'incident et de restauration documentées ; information des clients en cas d'incident.
Annexe 2 — Sous-traitants ultérieurs
- Hostinger International Ltd (VPS) — 61 Lordou Vironos Street, 6023 Larnaca, Chypre — à confirmer — hébergement des serveurs, bases et sauvegardes (Union européenne).
- Infomaniak Network SA — copie hors du serveur des sauvegardes, chiffrées avant l'envoi et dont il ne détient pas la clé (Suisse, décision d'adéquation).
- Cloudflare, Inc. — protection anti-robot (Turnstile) des formulaires publics : contact, inscription, demandes des pages d'atterrissage, réservations, commandes des boutiques à l'adresse ClientZen, tchat (États-Unis, clauses contractuelles types).
- GoCardless Ltd / GoCardless SAS — prélèvement SEPA des factures d'abonnement et des recharges de crédits de l'Éditeur (Royaume-Uni / France ; données du payeur : société, e-mail du propriétaire, mandat).
Sous-traitants ultérieurs activés uniquement à l'initiative du Client dans son espace :
- OpenRouter, Inc. et les fournisseurs de modèles qu'il expose — assistant IA, agents IA, tchat et assistant WhatsApp ; contenus pseudonymisés pour l'assistant et les agents (États-Unis, clauses contractuelles types).
- BulkGate (TOPefekt s.r.o.) — envoi de SMS (Union européenne) ; SMS Factor — envoi de SMS en secours de BulkGate (France).
- Meta Platforms Ireland Ltd — messagerie WhatsApp Business, lorsque le Client utilise un numéro fourni par l'Éditeur (Irlande / États-Unis, clauses contractuelles types).
- Super PDP — plateforme agréée de facturation électronique, lorsque le Client choisit le raccordement par l'application de l'Éditeur : factures, statuts, factures reçues, données d'e-reporting (France).
- Bridge (Bankin' / Perspecteev SAS) ou Powens SAS — connexion bancaire agréée DSP2 (France).
- Jitsi Meet (8x8) — salon de visioconférence d'un rendez-vous à distance, lorsqu'aucun agenda Google ni lien fixe n'est configuré ; aucune donnée transmise, seul le nom aléatoire du salon figure dans le lien.
- Google LLC / Google Ireland Ltd — synchronisation Google Agenda de l'intervenant qui l'autorise (Irlande / États-Unis, clauses contractuelles types).
La liste à jour est publiée à l'adresse https://clientzen.fr/juridique/dpa ; toute modification est notifiée conformément à l'article 6.