Accord de traitement des données (DPA)

PréambuleParties et préambule

Le présent accord de traitement des données (le « DPA ») est conclu entre :

• EXPERTISE ADMIN, SAS au capital de 1 000 €, immatriculée au RCS de Lyon sous le n° 932 446 826, dont le siège social est situé 46 avenue Auguste Blanqui, 69100 Villeurbanne, France, éditrice de la solution « Melrys » ;
• le Client : l'entreprise, existante ou en création, titulaire d'un Compte Melrys, représentée par l'Utilisateur qui accepte le DPA ; et, pour les seules données qui le concernent, l'Invité (cosignataire, associé, dirigeant, tiers-hébergeur, bénéficiaire effectif) qui accepte le DPA avant de signer ou de déposer une pièce.

Il complète les CGU et les CGV et répond à l'article 28 du règlement (UE) 2016/679 (« RGPD »). Il est accepté par une case dédiée, non pré-cochée, et prend effet à cette acceptation. En cas de contradiction, le DPA prévaut sur les CGU et les CGV pour ce qui concerne la protection des données.

Art. 1Définitions

Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée », « violation de données » et « analyse d'impact » ont le sens du RGPD. En outre :

• Données du Client : les données personnelles que le Client ou ses Invités saisissent, importent ou génèrent sur la plateforme et que Melrys traite pour le compte du Client ;
• Sous-traitant ultérieur : tout prestataire auquel Melrys confie tout ou partie d'un traitement des Données du Client ;
• Instructions : les CGU, les CGV, le présent DPA, les paramètres choisis dans la plateforme et toute instruction écrite complémentaire du Client.

Art. 2Objet et champ

Le DPA fixe les conditions dans lesquelles Melrys traite les Données du Client pour fournir les Services : création d'entreprise, outil de comptabilité utilisé avec le Cabinet partenaire et, à son ouverture, facturation en ligne.

Il ne s'applique pas aux traitements pour lesquels Melrys est responsable de traitement (gestion du Compte, facturation de Melrys, sécurité, prospection avec consentement, statistiques), qui sont décrits à l'article 15 des CGU et dans la Politique de confidentialité.

Art. 3Rôle de chaque partie, service par service

Le rôle de Melrys dépend du Service et de la donnée. Il est le suivant :

Art. 4Durée

Le DPA s'applique pendant toute la durée des Services et, après leur fin, jusqu'à la restitution et la suppression des Données du Client prévues à l'article 14. Les obligations de confidentialité et de sécurité survivent tant que Melrys conserve des Données du Client, notamment en archive légale.

Art. 5Nature, finalités, données et personnes concernées

5.1 Nature des opérations. Hébergement, collecte, enregistrement, organisation, conversion en PDF, consultation, génération de documents, signature électronique, transmission aux destinataires désignés, archivage, export, effacement.

5.2 Finalités. Exécuter les Services commandés par le Client et ses Instructions ; à l'exclusion de toute autre finalité, notamment commerciale. Melrys ne vend, ne loue et ne cède jamais les Données du Client.

5.3 Catégories de données.

• identité et coordonnées (nom, prénoms, date et lieu de naissance, nationalité, adresse, e-mail, téléphone) ;
• données professionnelles (fonction, qualité d'associé ou de dirigeant, part du capital, qualité de bénéficiaire effectif) ;
• pièces justificatives (pièce d'identité, justificatif de domicile ou de domiciliation, déclaration de non-condamnation, attestation de dépôt des fonds) ;
• données financières (opérations bancaires, justificatifs d'achats et de ventes, données de facturation des clients et fournisseurs du Client) ;
• données sociales des salariés du Client, lorsque la gestion sociale est souscrite (identité, numéro de sécurité sociale, rémunération) ;
• données de signature et de preuve (horodatage, adresse IP, e-mail, empreinte du document).

5.4 Personnes concernées. Le fondateur et les Membres ; les associés, dirigeants, bénéficiaires effectifs, cosignataires et tiers-hébergeurs ; les clients, fournisseurs et salariés du Client.

5.5 Données particulières. Aucune donnée sensible au sens de l'article 9 du RGPD n'est requise. Les données relatives aux condamnations (article 10) se limitent à la déclaration de non-condamnation exigée par la loi pour les dirigeants. Le numéro de sécurité sociale n'est traité que pour la gestion sociale.

Art. 6Instructions documentées

Melrys ne traite les Données du Client que sur les Instructions du Client, y compris pour les transferts hors de l'Union européenne, sauf obligation légale ; dans ce cas, Melrys informe le Client de cette obligation avant le traitement, sauf si la loi l'interdit.

Si Melrys considère qu'une instruction constitue une violation du RGPD ou du droit applicable, elle en informe immédiatement le Client et peut suspendre l'instruction concernée jusqu'à sa confirmation ou sa modification.

Art. 7Obligations de Melrys en tant que sous-traitant

• traiter les Données du Client de manière licite, loyale et transparente, pour les seules finalités de l'article 5 ;
• garantir la confidentialité des Données du Client : seules les personnes habilitées, soumises à un engagement de confidentialité et formées à la protection des données, y accèdent, selon le principe du moindre privilège ;
• mettre en œuvre les mesures de sécurité de l'article 9 et de l'annexe 2 ;
• tenir un registre des traitements effectués pour le compte du Client (RGPD, art. 30.2) ;
• prendre en compte la protection des données dès la conception et par défaut pour tout nouvel outil ou fonction ;
• désigner un référent : [À COMPLÉTER : nom ou fonction du délégué à la protection des données (DPO) ou du référent données, et adresse e-mail dédiée] ;
• aider le Client à respecter ses propres obligations (articles 11 à 13).

Art. 8Sous-traitants ultérieurs

8.1 Le Client autorise de manière générale Melrys à recourir aux sous-traitants ultérieurs listés ci-dessous. Melrys impose à chacun, par contrat, les mêmes obligations de protection des données que celles du DPA, et reste responsable envers le Client de leur exécution.

8.2 Melrys informe le Client de tout ajout ou remplacement d'un sous-traitant ultérieur au moins trente jours à l'avance, par e-mail et dans la plateforme. Le Client peut s'y opposer par écrit, pour un motif raisonnable lié à la protection des données, pendant ce délai ; à défaut d'accord, il peut résilier le Service concerné sans frais.

Art. 9Mesures techniques et organisationnelles

Melrys met en œuvre des mesures appropriées pour garantir un niveau de sécurité adapté au risque (RGPD, art. 32), notamment :

• Gouvernance : politique de sécurité, responsable de la sécurité des systèmes d'information, revue annuelle des risques ;
• Chiffrement : en transit (TLS 1.2 ou supérieur) et au repos pour les bases de données, les fichiers et les sauvegardes ; secrets et clés stockés dans un coffre dédié ;
• Gestion des accès : comptes nominatifs, rôles et droits minimaux, double authentification pour les équipes, revue périodique des habilitations, retrait immédiat au départ d'un collaborateur ;
• Journalisation : traçabilité des connexions et des actions sensibles (consultation d'un dossier, export, modification de droits), journaux protégés et conservés un an ;
• Continuité : sauvegardes chiffrées régulières, tests de restauration, plan de reprise [À COMPLÉTER : objectifs de reprise (RPO / RTO)] ;
• Développement : revue de code, analyse des dépendances, environnements de test sans données réelles, tests d'intrusion [À CONFIRMER : fréquence des tests d'intrusion] ;
• Personnel : engagement de confidentialité, sensibilisation annuelle à la sécurité et à la protection des données.

Le détail figure en annexe 2. Melrys peut faire évoluer ces mesures sans diminuer le niveau global de sécurité.

Art. 10Transferts hors de l'Union européenne

Les Données du Client sont hébergées dans l'Union européenne [À CONFIRMER : localisation de l'hébergement principal]. Aucun transfert hors de l'Espace économique européen n'a lieu sans l'une des garanties du chapitre V du RGPD : constat par la Commission européenne d'un niveau de protection adéquat (y compris le cadre de protection des données UE–États-Unis pour les entreprises certifiées) ou clauses contractuelles types, complétées si nécessaire par des mesures supplémentaires après analyse d'impact du transfert.

La localisation et la garantie de chaque sous-traitant ultérieur figurent à l'article 8. Le Client peut obtenir une copie des garanties applicables sur demande.

Art. 11Assistance au Client

11.1 Melrys aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité). Une demande reçue directement par Melrys est transmise au Client sous cinq jours ouvrés ; Melrys n'y répond pas elle-même, sauf instruction du Client.

11.2 Melrys fournit au Client les informations utiles à une analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de la CNIL.

11.3 Les exports et outils de la plateforme (téléchargement des documents, export des données, suppression d'un Membre) permettent au Client de répondre lui-même à la plupart des demandes.

Art. 12Violation de données

Melrys notifie au Client toute violation de données concernant les Données du Client dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance, afin de lui permettre de notifier la CNIL dans le délai de 72 heures prévu à l'article 33 du RGPD.

La notification précise, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, le contact chez Melrys, les conséquences probables, les mesures prises ou proposées pour y remédier et en atténuer les effets. Les informations peuvent être communiquées en plusieurs fois.

Melrys documente toute violation, coopère avec le Client et l'assiste, si nécessaire, pour informer les personnes concernées.

Art. 13Audit

Melrys met à la disposition du Client les informations nécessaires pour démontrer le respect du DPA : description des mesures de sécurité, rapports d'audit disponibles, registre des sous-traitants ultérieurs.

Le Client peut, une fois par an et en cas de violation de données, réaliser ou faire réaliser par un auditeur indépendant, tenu au secret, un audit sur pièces ou sur place, moyennant un préavis de trente jours, pendant les heures ouvrées, sans perturber l'exploitation ni accéder aux données des autres clients. Les frais de l'audit sont à la charge du Client, sauf s'il révèle un manquement significatif de Melrys.

Art. 14Fin des Services : restitution et suppression

À la fin des Services, le Client dispose de trois mois pour exporter ses Données depuis la plateforme. Au terme de ce délai, Melrys supprime les Données du Client, y compris les copies, et en atteste sur demande, à l'exception des données qu'une obligation légale impose de conserver (factures et pièces comptables : dix ans), qui sont archivées avec un accès restreint puis supprimées au terme de ce délai.

Les copies présentes dans les sauvegardes sont effacées au fil de leur rotation [À COMPLÉTER : durée de rotation des sauvegardes] et ne sont pas restaurées entre-temps, sauf incident.

Art. 15Obligations du Client

• fournir des Instructions licites et disposer d'une base légale pour chaque traitement confié à Melrys ;
• informer les personnes concernées (associés, cosignataires, salariés, clients, fournisseurs) du traitement de leurs données, notamment en leur communiquant le lien vers le présent DPA ;
• ne transmettre que les données nécessaires aux Services ;
• utiliser les fonctions de sécurité proposées (double authentification, gestion des rôles) et signaler sans délai tout incident.

Art. 16Responsabilité, droit applicable et modifications

Chaque partie répond des dommages causés par sa violation du RGPD dans les conditions de l'article 82 du RGPD. Les limites de responsabilité des CGV s'appliquent dans la mesure permise par la loi.

Le DPA est soumis au droit français ; les litiges relèvent des juridictions désignées dans les CGV. Melrys peut modifier le DPA pour suivre la loi ou les Services, en informant le Client au moins trente jours à l'avance ; la version en vigueur est datée, numérotée et accessible en permanence sur cette page.

Annexe 1Description des traitements par Service

Annexe 2Mesures techniques et organisationnelles détaillées