Accord de sous-traitance (DPA)

Le présent accord de sous-traitance (« DPA ») complète les CGU lorsque BFAt SASU traite des données personnelles pour le compte du Cabinet au sens de l'article 28 du RGPD.

Il est accepté simultanément aux CGU lors de l'inscription. En cas de contradiction, le DPA prévaut pour les questions de protection des données.

Responsable de traitement	Le Cabinet utilisateur, vis-à-vis de ses clients finaux et des données de dossiers
Sous-traitant	BFAt SASU, SIREN 944 393 388, éditeur de Proceda

Le Sous-traitant traite les données personnelles uniquement pour fournir le Service : gestion des dossiers, veille RNE, stockage de pièces, relances, registre de diligence, portail lien magique, récapitulatifs e-mail.

Le traitement est limité aux instructions documentées du Cabinet (paramétrage du compte, activation des dossiers, envoi des sollicitations). Si une instruction paraît contraire au RGPD, le Sous-traitant en informe le Cabinet.

• Collaborateurs du Cabinet : identité, e-mail professionnel ;
• Contacts clients finaux : nom, e-mail, le cas échéant téléphone ;
• Représentants légaux et dirigeants : données publiques RNE ;
• Données de dossier : identifiants entreprise, statuts de conformité, documents PDF ou images ;
• Données techniques : journaux d'accès, horodatages, métadonnées de dépôt.

BFAt SASU s'engage à :

• traiter les données uniquement sur instruction du Cabinet ;
• garantir la confidentialité des personnes autorisées à traiter les données ;
• mettre en œuvre des mesures de sécurité appropriées (voir politique de confidentialité) ;
• ne pas recruter un sous-traitant ultérieur sans information du Cabinet (liste § 6) ;
• assister le Cabinet pour répondre aux demandes d'exercice de droits, dans la limite du Service ;
• notifier le Cabinet sans délai indu après prise de connaissance d'une violation de données ;
• supprimer ou restituer les données en fin de contrat, sous 30 jours, sauf obligation légale ;
• mettre à disposition les informations nécessaires pour démontrer la conformité.

Liste indicative au 13 août 2026 :

Prestataire	Finalité	Localisation
Hetzner Online GmbH	Hébergement application et base de données	Union européenne (Finlande)
Prestataire e-mail (SMTP ou ESP)	Envoi des récapitulatifs et relances configurées par le Cabinet	Union européenne (selon prestataire retenu)
Stripe Payments Europe Ltd.	Facturation de l'abonnement SaaS du Cabinet uniquement	Union européenne

Le Cabinet est informé par mise à jour de cette page. En cas d'opposition motivée à un nouveau sous-traitant notifié, le Cabinet peut résilier le contrat avant la prise d'effet du changement, sans pénalité pour la période non consommée le cas échéant.

Les API publiques de l'État (registre national, recherche entreprises) ne constituent pas des sous-traitants au sens RGPD pour les données qu'elles publient légalement.

Les données sont hébergées prioritairement dans l'Union européenne. Tout transfert hors EEE par un sous-traitant ultérieur fera l'objet de garanties appropriées (CCT, décision d'adéquation) et sera documenté.

Conservation pendant la durée du contrat, puis suppression ou restitution sous 30 jours après résiliation, sous réserve :

• export demandé par le Cabinet dans un délai raisonnable ;
• conservation imposée par une obligation légale ;
• archives techniques limitées (logs) selon la politique de confidentialité.

Les demandes reçues directement par BFAt SASU concernant des données traitées pour le compte d'un Cabinet sont transmises au Cabinet sans délai indu, sauf instruction expresse du Cabinet permettant une réponse technique limitée.

Le Cabinet peut adresser un questionnaire de conformité (maximum une fois par an calendaire), sauf incident de sécurité avéré imposant un contrôle supplémentaire. Les audits sur site sont possibles avec préavis raisonnable et aux frais du Cabinet, sauf manquement prouvé du Sous-traitant.

La responsabilité du Sous-traitant en matière de protection des données est régie par les CGU et le droit applicable. Le Sous-traitant n'est responsable que des manquements qui lui sont directement imputables dans le cadre de ses obligations d'article 28 RGPD.

Contact données et sous-traitance : contact@proceda.fr.