Accord de traitement des données personnelles (DPA)

1. Objet et champ d’application

Le présent accord de traitement des données personnelles (« DPA ») encadre, au sens de l’article 28 du Règlement (UE) 2016/679 (RGPD), le traitement par KotalisPro des données personnelles que l’artisan ou l’entreprise cliente (« le Client »), en tant que responsable du traitement, confie à KotalisPro dans le cadre de l’utilisation du service.

Ce DPA couvre uniquement les données que le Client saisit dans KotalisPro concernant ses propres clients (coordonnées, devis, factures, documents commerciaux). Il ne couvre pas les données pour lesquelles KotalisPro est lui-même responsable du traitement (compte du Client, authentification, abonnement, sécurité, supervision, support), décrites dans la Politique de confidentialité.

2. Durée

Le présent DPA s’applique pendant toute la durée d’utilisation du service par le Client et reste en vigueur tant que KotalisPro traite des données pour son compte, y compris, le cas échéant, pendant la durée strictement nécessaire aux opérations de suppression ou de restitution prévues à l’article 9.

3. Description des traitements

La nature, la finalité, les catégories de données et de personnes concernées par les traitements couverts par ce DPA sont décrites à l’Annexe 1 ci-dessous.

4. Obligations de KotalisPro en tant que sous-traitant

Dans le cadre des traitements couverts par ce DPA, KotalisPro s’engage à :

• traiter les données personnelles uniquement sur instruction documentée du Client, y compris en ce qui concerne les transferts vers un pays tiers, sauf obligation légale contraire ;
• veiller à ce que les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale de confidentialité appropriée ;
• mettre en œuvre les mesures techniques et organisationnelles appropriées, au sens de l’article 32 du RGPD, décrites à l’Annexe 3 ci-dessous ;
• respecter les conditions énoncées à l’article 5 ci-dessous pour le recours à d’autres sous-traitants ;
• assister le Client, dans la mesure du possible, pour répondre aux demandes d’exercice des droits des personnes concernées et pour respecter ses propres obligations au titre des articles 32 à 36 du RGPD (sécurité, notification de violation, analyse d’impact, consultation préalable de l’autorité de contrôle lorsque nécessaire) ;
• mettre à la disposition du Client les informations nécessaires pour démontrer le respect des obligations prévues au présent article et contribuer aux audits prévus à l’article 8.

5. Sous-traitants ultérieurs

Le Client autorise de façon générale KotalisPro à recourir aux sous-traitants ultérieurs listés à l’Annexe 2 ci-dessous, pour les besoins strictement nécessaires à la fourniture du service. KotalisPro informe le Client de tout ajout ou remplacement d’un sous-traitant ultérieur avant sa mise en œuvre effective. Le Client dispose d’un délai raisonnable pour s’opposer à ce changement pour des motifs légitimes liés à la protection des données ; à défaut d’opposition dans ce délai, le changement est réputé accepté. KotalisPro conclut avec chaque sous-traitant ultérieur un contrat imposant les mêmes obligations de protection des données que celles prévues au présent DPA.

6. Transferts hors de l’Espace économique européen

Lorsque le traitement des données couvertes par ce DPA implique un transfert hors de l’Espace économique européen (EEE), notamment via l’un des sous-traitants ultérieurs listés à l’Annexe 2, KotalisPro met en place les garanties requises par le chapitre V du RGPD, notamment le recours aux clauses contractuelles types approuvées par la Commission européenne, telles que prévues dans les accords de traitement des données publiés par ces prestataires. KotalisPro ne garantit pas un hébergement exclusivement situé dans l’EEE : voir le détail par prestataire à l’Annexe 2.

7. Violations de données

KotalisPro notifie le Client dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles affectant les données traitées pour son compte au titre du présent DPA. Cette notification comprend les informations raisonnablement disponibles permettant au Client d’apprécier la nature et les conséquences probables de la violation. Il appartient au Client, en tant que responsable du traitement, de déterminer si une notification à l’autorité de contrôle compétente et/ou aux personnes concernées est nécessaire.

8. Audit et conformité

KotalisPro met à la disposition du Client les informations raisonnablement nécessaires pour démontrer le respect du présent DPA. Le Client peut demander un audit du respect des obligations prévues à l’article 4, sous réserve d’un préavis raisonnable, d’un périmètre limité aux traitements le concernant, du respect de la confidentialité des informations de KotalisPro et des autres clients, et de l’absence d’atteinte à la sécurité du service. Cet audit ne donne pas accès au code source, aux secrets techniques, à l’infrastructure sensible de KotalisPro, ni aux données d’autres clients.

9. Sort des données à la fin du contrat

Au terme de la relation contractuelle entre le Client et KotalisPro, et sur instruction du Client, KotalisPro supprime ou restitue l’ensemble des données personnelles traitées au titre du présent DPA, sous réserve des obligations légales imposant leur conservation pendant une durée déterminée. La durée exacte de conservation post-résiliation, lorsqu’aucune obligation légale ne s’applique, n’est pas encore définie à ce stade — voir la Politique de confidentialité.

10. Registre et documentation

KotalisPro tient à jour, pour ses propres besoins de conformité, la documentation des traitements qu’il effectue pour le compte de ses clients au titre du présent DPA.

11. Contact RGPD

Pour toute question relative au présent DPA : contact@kotalispro.com.

12. Articulation avec les CGV

Le présent DPA complète les Conditions générales de vente et d’utilisation de KotalisPro. En cas de contradiction entre le présent DPA et les CGV sur un point relatif à la protection des données personnelles, les stipulations du présent DPA prévalent.

Annexe 1 — Description des traitements

Annexe 2 — Sous-traitants ultérieurs autorisés

Lemon Squeezy n’apparaît pas dans cette liste : ce prestataire ne traite aucune donnée confiée par le Client au titre du présent DPA — il intervient uniquement dans la relation d’abonnement entre KotalisPro et le Client, pour laquelle KotalisPro est responsable du traitement (voir la Politique de confidentialité).

Annexe 3 — Mesures techniques et organisationnelles

KotalisPro met en œuvre notamment les mesures suivantes, réellement en place à ce jour :

• authentification des utilisateurs et gestion des sessions via Supabase Auth ;
• cloisonnement des données par utilisateur au niveau de la base de données (politiques de sécurité au niveau des lignes — Row Level Security), empêchant un utilisateur d’accéder aux données d’un autre ;
• fonctions serveur restreintes appliquant des contrôles d’appartenance explicites avant toute lecture ou modification de données sensibles ;
• chiffrement des données en transit et au repos assuré par les infrastructures des prestataires d’hébergement (Vercel, Supabase) ;
• gestion des secrets et clés d’accès en dehors du code source, jamais exposés côté client ;
• journaux techniques et supervision du fonctionnement du service.

Aucune certification externe (ISO 27001, SOC 2, hébergeur de données de santé, PCI DSS ou autre) n’est à ce jour obtenue par KotalisPro lui-même. Les prestataires listés à l’Annexe 2 peuvent disposer de leurs propres certifications, consultables auprès d’eux directement.