Accord de sous-traitance des données personnelles

Le présent accord de sous-traitance des données personnelles (le « DPA ») est conclu entre :

Le DPA s’applique lorsque Compta Helper traite des données personnelles pour le compte du Client dans le cadre du Service, notamment lors de l’import, de l’OCR, de l’extraction, de la transformation, de l’export, du stockage temporaire, de la suppression et du support relatifs aux documents importés. Il est rédigé pour une relation exclusivement professionnelle (B2B).

Le DPA complète les CGU, les CGV, la Politique de confidentialité et tout autre document contractuel applicable. En cas de contradiction, le DPA prévaut uniquement pour les stipulations relatives à la protection des données personnelles traitées par Compta Helper pour le compte du Client.

Le DPA peut être accepté électroniquement — case à cocher, parcours d’acceptation dans le Service, signature électronique — ou par signature manuscrite. La personne qui l’accepte déclare disposer des pouvoirs nécessaires pour engager le Client. Compta Helper conserve la preuve de l’acceptation, notamment la version, l’horodatage, les identifiants du compte et du cabinet et les éléments techniques raisonnablement nécessaires.

Les termes « donnée personnelle », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « autorité de contrôle », « catégories particulières de données » et « données relatives aux condamnations pénales et aux infractions » ont le sens qui leur est donné par le Règlement (UE) 2016/679 (le « RGPD »).

Service.

la plateforme Compta Helper : site, application, API, fonctions d’import, d’OCR, de parsing, de transformation, d’export, de gestion des comptes, de facturation et de support.

Données Client.

toutes les données personnelles traitées par Compta Helper pour le compte du Client dans le cadre du Service, y compris les données présentes dans les documents importés, les métadonnées de traitement et les résultats produits.

Responsable du traitement concerné.

le Client lorsqu’il détermine les finalités et moyens du traitement, ou le client final / tiers pour le compte duquel le Client agit lui-même comme sous-traitant.

Instructions documentées.

les instructions données par le Client via le contrat, le DPA, les paramétrages du Service, les actions réalisées dans l’interface et les demandes écrites adressées au support ; les instructions standards figurent en Annexe 4.

Sous-traitant ultérieur.

tout prestataire tiers auquel Compta Helper fait appel pour réaliser une partie du traitement des Données Client pour le compte du Client, dans les conditions de l’article 10.

Violation de données.

toute violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de Données Client ou l’accès non autorisé à de telles données.

Selon le traitement concerné et la mission qu’il réalise, le Client agit soit en qualité de responsable du traitement, soit en qualité de sous-traitant agissant pour le compte d’un responsable du traitement tiers.

Lorsque le Client agit comme responsable du traitement, il détermine notamment les finalités, les catégories de documents, les personnes concernées, les utilisateurs autorisés, les bases juridiques, l’information des personnes concernées et les durées de conservation hors du Service.

Lorsque le Client agit lui-même comme sous-traitant, Compta Helper intervient comme sous-traitant ultérieur. Le Client garantit qu’il est autorisé à recourir à Compta Helper, qu’il dispose des pouvoirs, mandats et bases juridiques nécessaires et qu’il a transmis les instructions applicables du Responsable du traitement concerné. Le Client demeure l’interlocuteur contractuel de Compta Helper.

Compta Helper agit en qualité de sous-traitant du Client ou, lorsque le Client agit lui-même comme sous-traitant, en qualité de sous-traitant ultérieur. Compta Helper ne détermine pas les finalités des traitements réalisés sur les Données Client et ne les réutilise pas à des fins propres, notamment publicitaires, commerciales, de revente, d’enrichissement de bases tierces, de mesure fondée sur le contenu ou d’entraînement de modèles d’intelligence artificielle.

Compta Helper agit comme responsable de traitement distinct pour ses besoins propres, notamment la gestion des comptes et des relations commerciales, la facturation, le paiement, la sécurité générale de la plateforme, la prévention des abus, la gestion administrative du support et le respect de ses obligations légales. Ces traitements sont décrits dans la Politique de confidentialité et ne relèvent pas du présent DPA.

Lorsqu’une opération de support, de diagnostic ou de sécurité nécessite l’accès à des Données Client pour résoudre une demande déterminée du Client, cette opération demeure réalisée au titre du présent DPA et conformément aux Instructions documentées.

Le DPA encadre les traitements nécessaires à l’exécution du Service : automatiser ou faciliter la lecture de relevés bancaires et de lettres de change relevé (LCR), structurer leurs informations et générer des résultats exploitables par le Client. L’objet, la durée, la nature, les finalités, les catégories de données et les catégories de personnes concernées sont détaillés en Annexe 1, qui fait partie intégrante du DPA.

Le Service n’a pas pour finalité le traitement ciblé de catégories particulières de données au sens de l’article 9 du RGPD ni de données relatives aux condamnations pénales et aux infractions au sens de l’article 10. De telles données peuvent néanmoins apparaître de manière incidente dans certains documents ou libellés bancaires. Lorsqu’elles sont présentes, elles demeurent intégralement couvertes par les obligations de confidentialité, de sécurité, de limitation des finalités et de suppression prévues par le présent DPA.

Le Client s’engage à ne pas importer volontairement de données sensibles qui ne sont pas nécessaires à la prestation et à tenir compte du fait que certains libellés bancaires peuvent en révéler indirectement.

Compta Helper ne traite les Données Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers ou une organisation internationale, sauf obligation légale contraire. Dans ce cas, Compta Helper informe le Client de cette obligation avant le traitement, sauf interdiction légale fondée sur des motifs importants d’intérêt public.

Les instructions résultent de l’utilisation normale du Service, des paramétrages opérés par le Client, de ses demandes de support, du contrat et du présent DPA ; les instructions standards figurent en Annexe 4.

Si Compta Helper estime qu’une instruction constitue une violation du RGPD ou d’une autre disposition applicable en matière de protection des données, elle en informe le Client sans délai. Le Client ne donne aucune instruction autorisant la vente, la location, la réutilisation commerciale des Données Client, leur utilisation publicitaire ou l’entraînement de modèles sur celles-ci.

En sa qualité de responsable du traitement ou de sous-traitant agissant pour un Responsable du traitement concerné, le Client s’engage à :

• ne fournir à Compta Helper que les Données Client nécessaires à l’utilisation du Service ;
• disposer d’une base juridique valable et, lorsqu’il agit comme sous-traitant, de l’autorisation et des instructions nécessaires pour importer et faire traiter les documents ;
• informer les personnes concernées lorsque le RGPD ou ses règles professionnelles l’exigent ;
• documenter par écrit toute instruction particulière sortant de l’utilisation normale du Service ;
• ne pas importer de données manifestement inutiles, excessives ou étrangères à l’objet du Service et éviter toute importation volontaire de données relevant des articles 9 ou 10 du RGPD qui ne serait pas strictement nécessaire ;
• gérer les habilitations de ses utilisateurs, collaborateurs et prestataires et retirer rapidement les accès devenus inutiles ;
• maintenir à jour ses contacts administrateur, facturation, sécurité et RGPD ;
• valider les résultats produits par le Service avant toute utilisation comptable, fiscale, sociale, juridique ou décisionnelle ;
• superviser le traitement et, le cas échéant, exercer ses droits d’information et d’audit dans les conditions de l’article 15.

Conformément à l’article 28.3 du RGPD, Compta Helper s’engage à :

• traiter les Données Client uniquement pour fournir le Service et conformément aux Instructions documentées ;
• veiller à ce que les personnes autorisées à traiter les Données Client s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ;
• mettre en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, conformément à l’article 32 du RGPD ;
• respecter les conditions de recours à des sous-traitants ultérieurs prévues à l’article 10 ;
• assister le Client, par des mesures appropriées et dans la mesure du possible, pour répondre aux demandes d’exercice des droits des personnes concernées ;
• assister le Client pour garantir le respect de ses obligations en matière de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable ;
• supprimer ou restituer les Données Client au terme des prestations, dans les conditions de l’article 16 ;
• mettre à la disposition du Client la documentation nécessaire pour démontrer le respect de ses obligations et permettre la réalisation d’audits, dans les conditions de l’article 15 ;
• ne pas utiliser les Données Client pour entraîner des modèles d’intelligence artificielle ni les transmettre à des services de LLM cloud ou à des tiers non autorisés ;
• tenir un registre écrit des catégories d’activités de traitement réalisées pour le compte de ses Clients conformément à l’article 30.2 du RGPD.

Compta Helper reconnaît que les documents traités peuvent relever du secret professionnel du Client ou de la confidentialité due à ses clients finaux. Les Données Client sont chiffrées au repos ; le Service les déchiffre temporairement pour les seuls besoins du traitement automatisé demandé.

En dehors de ce traitement, aucun accès humain courant au contenu en clair n’est prévu. Un accès humain exceptionnel ne peut intervenir que sur demande explicite du Client ou lorsqu’il est strictement nécessaire au support, au diagnostic d’une erreur, à la sécurité, à l’investigation d’un incident, à une maintenance indispensable ou à l’exécution d’une obligation légale.

Tout accès exceptionnel est limité aux données strictement nécessaires, réalisé par des personnes autorisées et traçable dans la mesure adaptée au risque. Les personnes concernées par cet accès sont tenues à une obligation de confidentialité et leurs habilitations sont retirées lorsqu’elles ne sont plus nécessaires.

Le canal email de support est réservé aux demandes administratives ou techniques ne contenant aucune Donnée Client. Le Client ne doit pas envoyer de relevés bancaires, LCR, résultats OCR, exports ou documents confidentiels par email. Toute Donnée Client ou pièce jointe confidentielle reçue par erreur est supprimée dès sa détection, sans analyse de fond, et le Client est invité à utiliser l’espace sécurisé du Service.

Compta Helper met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques, conformément à l’article 32 du RGPD. Elles sont détaillées en Annexe 2 et incluent notamment le chiffrement au repos, la protection des échanges par HTTPS/TLS, la séparation logique des espaces clients, le principe du moindre privilège, la limitation et la révocation des accès administratifs, l’absence de contenu OCR dans les journaux, un OCR interne auto-hébergé et une conservation limitée.

Conformément à l’article 25 du RGPD, Compta Helper intègre les principes de protection des données dès la conception et par défaut dans l’évolution de ses outils : minimisation des accès, limitation de la conservation, réduction des données présentes dans les journaux, séparation des environnements et absence de réutilisation des documents pour l’entraînement de modèles.

Compta Helper maintient des procédures de gestion des incidents, de mise à jour des composants, de correction des vulnérabilités selon leur criticité, de sauvegarde et de restauration. Elle peut faire évoluer ses mesures à condition de maintenir un niveau de protection au moins équivalent ou adapté au risque. Aucun changement ne peut réduire substantiellement le niveau de protection sans information préalable du Client et sans mesure compensatoire appropriée.

Le Client accorde à Compta Helper une autorisation écrite générale de recourir aux sous-traitants ultérieurs directement engagés par Compta Helper et identifiés en Annexe 3, pour les seules activités et catégories de données qui y sont décrites. Compta Helper tient à la disposition du Client, sur demande, les informations dont elle dispose concernant les autres sous-traitants intervenant dans la chaîne, notamment leur identité, leur localisation et les activités de traitement concernées.

Compta Helper informe le Client de tout ajout ou remplacement prévu d’un sous-traitant ultérieur, par email adressé au contact administrateur ou RGPD et, lorsque disponible, par notification dans le Service, au moins quinze jours calendaires avant que ce sous-traitant ne commence à traiter des Données Client.

En cas d’urgence documentée liée à la sécurité, à la continuité du Service, à une obligation légale ou à un changement imposé sans préavis suffisant par un prestataire, Compta Helper peut procéder au changement nécessaire et informe le Client dès que possible.

Le Client peut formuler une objection motivée relative à la protection des données dans un délai de quinze jours calendaires à compter de l’information. Les Parties recherchent de bonne foi une solution raisonnable. À défaut de solution, si le sous-traitant concerné est nécessaire à la fourniture du Service, le Client peut cesser d’utiliser la fonctionnalité affectée ou résilier le Service concerné avant la prise d’effet du changement, sans pénalité directement liée à cette modification. Lorsque le Client agit en qualité de sous-traitant, il lui appartient de transmettre au Responsable du traitement concerné les informations relatives à l’ajout ou au remplacement d’un sous-traitant ultérieur et d’obtenir toute autorisation requise par son propre contrat avant l’expiration du délai d’objection.

Compta Helper impose contractuellement à ses sous-traitants ultérieurs des obligations de protection des données substantiellement équivalentes à celles du présent DPA et demeure pleinement responsable envers le Client de l’exécution de leurs obligations, conformément à l’article 28.4 du RGPD.

Les logiciels open source, bibliothèques techniques et composants auto-hébergés par Compta Helper — notamment les briques d’OCR, d’authentification ou de chiffrement — ne constituent pas des sous-traitants ultérieurs lorsqu’aucune entité tierce ne reçoit de données.

Compta Helper privilégie un hébergement, un stockage et un traitement au repos des Données Client en France et dans l’Espace économique européen (« EEE »). Les lieux de traitement, les éventuels accès à distance et les garanties applicables sont identifiés en Annexe 3.

Compta Helper ne transfère pas et ne permet pas l’accès aux Données Client depuis un pays situé hors de l’EEE, sauf lorsque ce transfert ou cet accès est nécessaire à un prestataire expressément identifié en Annexe 3 et qu’il est encadré conformément au chapitre V du RGPD.

Selon la situation, les garanties peuvent notamment reposer sur une décision d’adéquation, y compris le Data Privacy Framework lorsque l’entité américaine concernée est valablement certifiée et que le traitement entre dans le champ de cette certification, sur les clauses contractuelles types de la Commission européenne, sur des règles d’entreprise contraignantes ou sur toute autre garantie appropriée, complétée si nécessaire de mesures techniques, contractuelles ou organisationnelles supplémentaires.

Les données de compte, de facturation, de paiement, d’authentification ou de support traitées par Compta Helper comme responsable de traitement distinct peuvent être soumises à l’organisation internationale des prestataires listés dans la partie B de l’Annexe 3. Ces traitements ne donnent pas accès aux documents importés, sous réserve du seul transit technique expressément décrit pour les fonctions réseau activées.

Le Client demeure responsable de l’information des personnes concernées et des réponses aux demandes d’exercice de leurs droits, notamment les droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, lorsqu’ils sont applicables aux Données Client.

Compte tenu de la nature du traitement, Compta Helper l’assiste dans la mesure raisonnablement possible, notamment en permettant la consultation, l’export ou la suppression des données disponibles dans le Service et en fournissant les informations techniques nécessaires.

Si Compta Helper reçoit directement une demande d’une personne concernée portant sur des Données Client, elle la transmet au Client sans retard indu lorsqu’il est identifiable et ne répond pas au fond sans instruction du Client, sauf obligation légale contraire. Elle peut informer la personne qu’elle doit s’adresser au Client ou au Responsable du traitement concerné.

Compte tenu de la nature du traitement et des informations dont elle dispose, Compta Helper fournit au Client une assistance raisonnable pour l’aider à respecter ses obligations de sécurité, de notification des violations, de communication aux personnes concernées, d’analyse d’impact relative à la protection des données et de consultation préalable de l’autorité de contrôle.

L’assistance normale imposée par l’article 28 du RGPD et directement liée au fonctionnement du Service est incluse dans la prestation. Une assistance exceptionnelle, spécifique, manifestement excessive ou extérieure au périmètre standard du Service peut faire l’objet d’un devis ou d’une facturation acceptée préalablement par le Client.

Aucun coût supplémentaire n’est facturé lorsque l’assistance est rendue nécessaire par une violation, une non-conformité ou un manquement imputable à Compta Helper.

En cas de Violation de données affectant les Données Client dont elle a pris connaissance, Compta Helper en informe le Client sans retard indu et vise, sauf impossibilité justifiée, l’envoi d’une première notification dans les quarante-huit heures suivant cette prise de connaissance.

La notification contient, lorsque ces informations sont disponibles :

• la nature de la violation ;
• les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés ;
• les conséquences probables ou possibles ;
• les mesures prises ou proposées pour remédier à l’incident et en limiter les effets ;
• le point de contact permettant d’obtenir des informations complémentaires.

Si toutes les informations ne sont pas immédiatement disponibles, une notification initiale est adressée puis complétée de manière échelonnée, sans retard indu. Le Client demeure responsable d’apprécier s’il doit notifier la CNIL ou toute autre autorité compétente et communiquer avec les personnes concernées. Compta Helper coopère raisonnablement et ne notifie pas directement une autorité ou des personnes au nom du Client sans instruction écrite ou obligation légale.

Compta Helper tient par écrit un registre des catégories d’activités de traitement effectuées pour le compte de ses Clients conformément à l’article 30.2 du RGPD. Elle maintient en outre une documentation raisonnable de conformité, notamment le présent DPA, la Politique de confidentialité, la liste des sous-traitants ultérieurs, la synthèse des mesures de sécurité, les procédures de rétention et les preuves d’acceptation.

Sur demande raisonnable, Compta Helper met à disposition du Client les informations nécessaires pour démontrer le respect de ses obligations. Le Client peut réaliser un audit lui-même ou mandater un auditeur indépendant tenu à la confidentialité.

Sauf incident avéré, suspicion raisonnable de non-conformité, demande d’une autorité de contrôle, changement important du traitement ou de la sécurité, l’audit est limité à un par période de douze mois et fait l’objet d’un préavis d’au moins quinze jours ouvrés. Il est limité au périmètre du Client et respecte la sécurité du Service, les droits des autres clients et les secrets d’affaires.

L’audit est réalisé en priorité par questionnaire de sécurité, échange documentaire, revue à distance ou session de questions-réponses. Un audit sur site ou technique intrusif n’est envisageable que s’il est strictement nécessaire, proportionné, encadré par un accord de confidentialité spécifique et compatible avec la sécurité du Service.

Aucun audit ne peut conduire à révéler des données relatives à d’autres clients, des clés de chiffrement, des secrets d’authentification ou des éléments susceptibles de dégrader la sécurité. Les audits standards sont traités sans frais ; les audits complexes, répétés ou sur site peuvent faire l’objet d’une facturation préalablement acceptée, sauf lorsqu’ils sont rendus nécessaires par un incident ou un manquement imputable à Compta Helper.

Sauf suppression manuelle plus rapide par le Client ou contrainte particulière prévue au contrat, les fichiers importés, les résultats OCR et les résultats transformés sont destinés à être conservés au maximum trente jours dans l’environnement actif du Service. Le Client peut supprimer manuellement les documents disponibles dans son espace et exporter les résultats avant leur suppression lorsque la fonctionnalité est proposée.

Au terme des prestations, Compta Helper supprime ou restitue les Données Client selon le choix du Client et détruit les copies actives existantes, à moins que le droit de l’Union ou le droit français n’exige leur conservation. À défaut d’instruction de restitution reçue dans les trente jours suivant la fin du Service, Compta Helper procède par défaut à la suppression des Données Client encore présentes dans l’environnement actif.

Les données de compte, de facturation, de sécurité, de preuve ou de conformité peuvent être conservées par Compta Helper en qualité de responsable de traitement distinct, dans les limites de la Politique de confidentialité et des obligations légales.

Les sauvegardes sont chiffrées, isolées de l’environnement actif et réservées à la continuité, à la restauration et à la sécurité. La politique technique actuelle conserve jusqu’à sept sauvegardes quotidiennes, quatre sauvegardes hebdomadaires et six sauvegardes mensuelles ; une Donnée Client supprimée peut donc subsister dans une sauvegarde pendant une durée maximale d’environ six mois.

Les données présentes dans les sauvegardes ne sont pas consultées ni restaurées individuellement pour un usage courant. En cas de restauration nécessaire après incident, les règles de suppression et de rétention sont réappliquées. Sur demande raisonnable, Compta Helper fournit une confirmation écrite ou une attestation raisonnable de suppression, dans la limite des informations disponibles et sans révéler d’informations relatives à d’autres clients ou à la sécurité du Service.

Le DPA s’applique tant que Compta Helper traite des Données Client pour le compte du Client. Les obligations de confidentialité, de sécurité, de suppression, de preuve et de coopération survivent aussi longtemps que nécessaire après la fin du contrat.

Compta Helper peut modifier le DPA pour tenir compte de l’évolution du Service, de ses sous-traitants ultérieurs, de ses mesures de sécurité ou de la réglementation. Toute modification substantielle est notifiée au Client au moins trente jours avant son entrée en vigueur, sauf urgence légale ou de sécurité dûment justifiée.

Une modification ne peut réduire substantiellement le niveau de protection des Données Client. Le Client peut résilier le Service concerné avant l’entrée en vigueur d’une modification substantielle à laquelle il s’oppose pour un motif légitime de protection des données. Compta Helper conserve la preuve de la version du DPA acceptée par le Client.

Le DPA ne limite ni les droits des personnes concernées ni les pouvoirs des autorités de contrôle. Entre les Parties, la responsabilité contractuelle est régie par les CGU et les CGV, sous réserve des dispositions impératives du RGPD. Le DPA est régi par le droit français, sans préjudice de l’application directe du RGPD.

La présente annexe identifie les sous-traitants ultérieurs directement engagés par Compta Helper à la date de mise à jour du 4 août 2026. Compta Helper tient à la disposition du Client, sur demande, les informations dont elle dispose concernant les autres sous-traitants intervenant dans la chaîne, notamment leur identité, leur localisation et les activités de traitement concernées. Une intervention conditionnelle signifie que le prestataire ne reçoit des Données Client que si la fonctionnalité correspondante est activée.

Ces prestataires traitent principalement des données de compte, de facturation, de paiement, d’identité, de notification ou de support administratif pour lesquelles Compta Helper agit comme responsable de traitement distinct. Ils n’ont pas accès aux documents importés. Le canal Gmail grand public utilisé pour le support administratif est expressément exclu du périmètre autorisé pour les Données Client.

Les logiciels open source et composants auto-hébergés par Compta Helper, notamment les briques d’OCR, Keycloak et les bibliothèques de parsing, ne sont pas des sous-traitants ultérieurs lorsqu’aucune entité tierce ne reçoit de données.

Sauf instruction écrite contraire acceptée par Compta Helper, le Client donne les instructions suivantes :

• traiter les relevés bancaires et LCR importés afin de produire des résultats OCR, des données structurées et des exports ;
• conserver les documents et résultats pendant une durée maximale de 30 jours dans l’environnement actif et les soumettre au cycle de sauvegarde chiffré décrit à l’article 16 ;
• supprimer les documents et résultats lorsque le Client le demande via l’interface ou par demande écrite ;
• permettre aux utilisateurs autorisés du Client d’accéder aux résultats, exports et historiques disponibles ;
• traiter les demandes de support du Client, y compris l’analyse temporaire des données strictement nécessaires lorsqu’il en fait la demande ;
• recourir aux sous-traitants ultérieurs listés en Annexe 3 dans les limites qui y sont définies ;
• ne pas utiliser les Données Client pour entraîner des modèles, vendre ou louer des données, réaliser de la publicité ciblée, enrichir une base tierce ou mesurer le contenu pour une finalité propre ;
• ne pas transférer les Données Client hors de l’EEE autrement que dans les conditions expressément décrites à l’article 11 et en Annexe 3.

Le présent DPA peut être accepté électroniquement — case à cocher lors de la création du cabinet, parcours d’acceptation dans le Service, signature électronique — ou par signature manuscrite. L’acceptation électronique a la même valeur qu’une signature manuscrite entre les Parties.