Annexe de sous-traitance RGPD

Annexe proposée au contrat FACTCREA — article 28 du RGPD — à valider avant adoption

4.1 Parties et périmètre

Le client professionnel identifié par son compte et son contrat est responsable de traitement des données métier qu’il confie à FACTCREA. Sabrina Levasseur EI, Frenchy Properties, est sous-traitante pour ces seules opérations.

La gestion propre des comptes, abonnements, factures d’abonnement, incidents et obligations de l’éditrice n’entre pas automatiquement dans cette sous-traitance ; elle est décrite dans la politique de confidentialité selon le rôle effectif. Cette annexe ne transforme pas Stripe en sous-traitant du créateur pour les paiements du propre abonnement FACTCREA.

4.2 Description des traitements

• Objet : fournir les outils de gestion des collaborations, clients, documents, factures, avoirs et suivi des paiements.
• Nature : collecte sur instruction, organisation, stockage, consultation, calculs métier, génération des documents, transmission aux destinataires choisis, suivi des événements de livraison, restitution et effacement autorisé.
• Finalité : administration par le créateur de ses collaborations et de ses documents commerciaux et comptables, sans réutilisation publicitaire des données métier.
• Durée : durée de fourniture du service et opérations de restitution/effacement décidées selon la politique de fermeture ; aucune prolongation générale de dix ans n’est instaurée par cette annexe.
• Personnes concernées : clients et contacts professionnels, représentants d’agences ou de marques, créateurs et personnes dont les renseignements apparaissent dans les documents déposés.
• Données : identité professionnelle, coordonnées, identifiants d’entreprise, prestations, contrats, dates, montants, données de facturation et paiements déclarés, messages et métadonnées d’envoi. Les catégories particulières de données et données pénales ne sont pas attendues dans le service V1.

4.3 Instructions documentées

FACTCREA traite ces données uniquement sur instructions documentées du client, incluant ses actions et réglages autorisés dans le service. Tout transfert vers un pays tiers doit être couvert par des instructions et garanties appropriées. Si une loi impose un traitement, FACTCREA en informe le client avant celui-ci, sauf interdiction légale.

Si une instruction paraît contraire à la réglementation de protection des données, FACTCREA en informe immédiatement le client et ne traite pas son apparente illégalité comme une autorisation suffisante. La procédure d’escalade et de suspension nécessaire doit être organisée avant l’adoption de l’annexe.

4.4 Confidentialité et sécurité

FACTCREA veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité et limitent leurs accès au besoin de leur mission.

Les mesures identifiées comprennent : limitation des accès par propriétaire de compte, stockage privé, accès temporaires aux fichiers, connexions HTTPS, contrôle des PDF par SHA-256, immutabilité des documents validés, vérification des signatures des notifications Resend et protection contre les suppressions en cascade.

Le sous-traitant prend les mesures appropriées au risque conformément à l’article 32 et réexamine leur adéquation. Compléments organisationnels à établir : gestion des accès privilégiés, procédure d’incident, preuve des sauvegardes et essais de restauration, engagements de confidentialité des intervenants et politique de purge. Aucune certification ou restauration garantie n’est déclarée sans preuve.

4.5 Sous-traitants ultérieurs

Proposition d’autorisation générale à valider : le client autorise les sous-traitants listés dans un registre annexé, pour les seules opérations nécessaires. La liste initiale comprend Lovable Cloud pour l’hébergement, l’authentification et le stockage, et Resend pour les transmissions métier et leurs événements. Les entités, lieux et accords doivent être complétés avant que l’autorisation soit réputée acquise.

Les autres prestataires de la chaîne Lovable ne sont pas inventés : leur liste applicable doit être obtenue. Stripe est traité séparément pour l’abonnement de l’utilisateur ; son inclusion éventuelle pour une opération métier différente requerrait une description distincte.

FACTCREA informe le client avant l’ajout ou le remplacement d’un sous-traitant et lui laisse un délai réel pour formuler une objection motivée liée à la protection des données. Délai et traitement de l’objection : à fixer, en cohérence avec les préavis réellement accordés par les fournisseurs ; aucun délai numérique fictif n’est arrêté.

FACTCREA impose aux sous-traitants ultérieurs les obligations de protection nécessaires à leur mission et demeure responsable envers son client de leur exécution dans les conditions de l’article 28. Cette annexe ne peut pas remplacer l’absence d’un accord amont applicable.

4.6 Assistance aux droits des personnes

Compte tenu de la nature du traitement, FACTCREA assiste le client pour l’accès, la rectification, l’effacement, la limitation, l’opposition et la portabilité. Une demande reçue directement au sujet d’un traitement métier est transmise au client ; FACTCREA n’en décide pas seule, sauf obligation propre applicable.

L’assistance tient compte de l’immutabilité et de la justification des documents : une correction peut nécessiter un avoir, une annotation distincte ou une limitation, plutôt que la modification d’un original validé. Ces protections techniques ne dispensent pas de traiter un droit fondé.

4.7 Incidents, violations et coopération

FACTCREA informe le client sans délai indu après avoir pris connaissance d’une violation de données relevant de la sous-traitance, avec les éléments disponibles : nature, personnes et données concernées si connues, conséquences probables, mesures prises ou proposées et contact de suivi. Les informations peuvent être complétées progressivement.

FACTCREA assiste le client pour les obligations prévues aux articles 32 à 36, notamment les notifications et, le cas échéant, l’information des personnes, les analyses d’impact et la consultation préalable. Le délai de 72 heures de l’article 33 concerne la notification du responsable de traitement à l’autorité quand elle est requise ; il n’autorise pas le sous-traitant à attendre 72 heures pour alerter son client.

Avant adoption : formaliser le point de contact et la procédure opérationnelle. Aucun délai de service garanti non organisé n’est inventé.

4.8 Information et audit

FACTCREA met à disposition les informations nécessaires pour démontrer le respect de l’article 28 et permet les audits, y compris inspections, par le client ou un auditeur mandaté, selon des modalités proportionnées protégeant la sécurité et les données des autres clients.

Les modalités pratiques, accès, préavis et coûts éventuels doivent être arrêtés sans rendre le droit d’audit illusoire. Aucun coût fixe ni restriction générale n’est ajouté ici.

4.9 Transferts internationaux

Les opérations de transfert sont limitées à celles documentées avec les prestataires et respectant le chapitre V du RGPD. Une région de stockage en Irlande ne suffit pas à établir l’absence de transferts. Les garanties effectives doivent être identifiées, vérifiées et communicables avant adoption de cette annexe.

Point bloquant : confirmer l’accord de sous-traitance Lovable applicable au plan souscrit. La page publique présente un DPA pour les plans Business et Enterprise ; ce dossier ne conclut pas que FACTCREA est couvert, ni qu’il faut automatiquement changer de formule. Obtenir une confirmation écrite adaptée au compte.

4.10 Fin de la prestation et copies

Au terme du traitement, FACTCREA restitue ou supprime les données selon le choix et les instructions du client, puis supprime les copies, sauf conservation imposée par le droit applicable. Les données que l’éditrice doit conserver pour ses propres obligations sont identifiées séparément avec leur finalité et leur durée.

L’obligation comptable du créateur ne constitue pas, à elle seule, une loi imposant à FACTCREA de conserver une copie pendant dix ans après fermeture. La restitution et le transfert de conservation doivent être organisés avec le créateur.

La suppression des copies techniques et sauvegardes suit un délai documenté, vérifié auprès des fournisseurs ; pendant cet intervalle elles ne sont pas remises en usage courant et, en cas de restauration, les suppressions sont réappliquées. Délais effectifs : à confirmer ; aucune purge complète immédiate n’est promise.

Écart actuel : les gardes de suppression des documents validés empêchent aujourd’hui un effacement de fin de contrat. La politique cible exige une procédure de sortie contrôlée distincte, validée juridiquement et techniquement ; elle n’est pas mise en œuvre par ce dossier. L’annexe ne doit pas être adoptée comme si cette procédure existait déjà.

---