Accord de traitement des données (RGPD, article 28)

Version du 20 septembre 2026

Cet accord fait partie des conditions générales. Il s'applique aux données personnelles contenues dans les documents et emails que le Client confie au Service. Le Client est responsable de traitement ; Dylan Lamalle (EI), nom commercial Lamalle Services (« le Sous-traitant ») agit pour son compte.

1. Objet, durée, nature et finalité

Objet : lecture, classement, recherche, rapprochement, préparation de messages et suivi des demandes administratives du Client. Durée : celle de l'abonnement, puis suppression selon l'article 8. Nature : collecte, enregistrement, organisation, consultation, transmission sur instruction, effacement.

2. Données et personnes concernées

Données figurant dans les pièces du Client : identité et coordonnées de contacts (fournisseurs, clients, salariés, interlocuteurs), données de facturation et bancaires figurant sur les documents, données de paie éventuellement présentes. Personnes concernées : dirigeants, salariés, clients, fournisseurs et partenaires du Client. Le Client ne confie pas de catégories particulières de données (santé, etc.) sauf nécessité, sous sa responsabilité.

3. Instructions du Client

Le Sous-traitant ne traite les données que sur instruction documentée du Client : l'utilisation du Service et ses paramètres (sources autorisées, validations) valent instructions. Aucun envoi n'est effectué sans validation explicite du Client. Le Sous-traitant informe le Client si une instruction lui paraît contraire à la réglementation.

4. Confidentialité

Les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité. Les accès sont nominatifs et journalisés.

5. Sécurité

• Chiffrement des communications (HTTPS) et des jetons d'accès aux outils du Client (AES-256-GCM).
• Isolation des données par entreprise ; stockage des copies en Union européenne.
• Permissions minimales sur les sources, en lecture seule ; révocation à tout moment.
• Journal immuable des actions ; sauvegardes et contrôle des accès des prestataires.
• Les contenus importés sont traités comme des données : aucune instruction qu'ils contiennent n'est exécutée.

6. Sous-traitants ultérieurs

Le Client autorise le recours aux sous-traitants listés sur la page Sous-traitants. Tout ajout ou remplacement est annoncé au moins 30 jours à l'avance ; le Client peut s'y opposer en résiliant sans frais. Le Sous-traitant impose à chacun des obligations équivalentes.

7. Transferts hors de l'Union européenne

Lorsque des données sont traitées hors de l'Union européenne (notamment l'analyse par Anthropic aux États-Unis), le transfert est encadré par une décision d'adéquation (Data Privacy Framework) lorsque le prestataire y est certifié, ou par les clauses contractuelles types de la Commission européenne.

8. Fin du contrat

Le Client peut exporter l'ensemble de ses données à tout moment. À la suppression du compte, ou au plus tard 90 jours après la fin de l'abonnement sans réactivation, les données et copies sont supprimées, sauf obligation légale de conservation.

9. Assistance et violations de données

Le Sous-traitant aide le Client à répondre aux demandes d'exercice des droits (export et suppression disponibles dans l'application) et à ses obligations de sécurité et d'analyse d'impact. Il notifie au Client toute violation de données le concernant dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance.

10. Audit et documentation

Le Sous-traitant tient un registre des traitements effectués pour le compte de ses clients et met à disposition les informations nécessaires pour démontrer le respect de ses obligations, y compris par des audits raisonnables, sur demande écrite préalable.

Service : DocPrêt. Contact données personnelles : contact@docpret.fr.