Accord de sous-traitance
Dernière mise à jour : 2 septembre 2026
Le présent accord de sous-traitance (l'"Accord") est conclu en application de l'article 28, paragraphe 3, du Règlement (UE) 2016/679 (RGPD) entre vous, client de E-Rechnung Pro (le "Responsable du traitement"), et CHERNOVA LILIIA PETRIVNA, Entrepreneur individuel de droit ukrainien, Masyv Raïdoujnyi 24, 67804 Lymanka, district d'Odessa, région d'Odessa, Ukraine (le "Sous-traitant").
Le présent Accord fait partie intégrante de nos conditions générales et s'applique automatiquement à tout client dès l'acceptation de celles-ci. Aucune signature distincte n'est requise. Sur demande, nous établissons et signons un exemplaire séparé portant les mentions de votre entreprise.
1. Objet, nature et finalité du traitement
Le Sous-traitant fournit le service E-Rechnung Pro, qui permet de créer, convertir et contrôler des factures électroniques. À ce titre, il traite les données à caractère personnel contenues dans les factures et documents associés fournis par le Responsable du traitement, exclusivement aux fins de la fourniture de ce service.
La durée du traitement correspond à celle du contrat principal conclu entre les parties.
2. Catégories de personnes concernées et types de données
Catégories de personnes concernées : les clients et partenaires commerciaux du Responsable du traitement, ainsi que ses propres salariés nommés dans les documents.
Types de données : noms et dénominations sociales, adresses postales, coordonnées, numéros fiscaux et de TVA, coordonnées bancaires, numéros et dates de factures, désignation et valeur des biens ou services fournis, conditions de paiement, ainsi que toute autre donnée que le Responsable du traitement choisit d'inclure dans un document.
Le Sous-traitant n'a pas besoin de catégories particulières de données au sens de l'article 9 du RGPD et le Responsable du traitement s'interdit d'en téléverser.
3. Instructions
Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts vers un pays tiers, à moins qu'il ne soit tenu d'y procéder en vertu du droit qui lui est applicable. Dans ce cas, il informe le Responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit l'interdit pour des motifs importants d'intérêt public.
L'utilisation du service par le Responsable du traitement, notamment le téléversement, la création, la conversion, le contrôle, la conservation, le téléchargement et la suppression de documents, constitue une instruction documentée. Toute instruction complémentaire est adressée par écrit à zugferd@randomstar.org.
Le Sous-traitant informe sans délai injustifié le Responsable du traitement si, selon lui, une instruction constitue une violation du RGPD ou d'autres dispositions relatives à la protection des données, et peut en suspendre l'exécution jusqu'à confirmation ou modification.
4. Confidentialité
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. L'accès aux systèmes de production est réservé au Sous-traitant lui-même.
5. Sécurité du traitement
Le Sous-traitant met en oeuvre les mesures techniques et organisationnelles requises par l'article 32 du RGPD, notamment :
- le chiffrement TLS de toutes les données en transit ;
- la conservation des identifiants d'authentification exclusivement sous forme d'empreinte bcrypt ;
- la séparation logique des comptes clients, les documents n'étant accessibles qu'au compte qui les a créés ;
- un accès individuel authentifié aux systèmes de production, sans identifiants administratifs partagés ;
- des sauvegardes régulières et l'application rapide des mises à jour de sécurité ;
- la sécurité physique, la redondance électrique et réseau et le contrôle d'accès du centre de données, assurés par l'hébergeur mentionné à la section 6 ;
- la journalisation serveur permettant de détecter et d'analyser les accès non autorisés.
Le Sous-traitant peut modifier ces mesures à condition que le niveau de protection ne soit pas réduit.
6. Sous-traitants ultérieurs
Le Responsable du traitement donne au Sous-traitant une autorisation générale de recourir à des sous-traitants ultérieurs. Le Sous-traitant l'informe au moins 30 jours à l'avance de tout ajout ou remplacement envisagé, et le Responsable du traitement peut s'y opposer pour des motifs légitimes tenant à la protection des données ; chaque partie peut alors résilier le contrat principal à la date de prise d'effet du changement.
À la date du présent Accord, les sous-traitants ultérieurs suivants interviennent :
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne — fourniture des serveurs, du stockage et de l'acheminement des courriels. Lieu de traitement : Falkenstein, Allemagne.
Le traitement des paiements est assuré par Stripe Payments Europe, Limited (Irlande). Stripe ne reçoit que les données nécessaires au recouvrement des sommes dues au titre du contrat principal et ne reçoit jamais de données à caractère personnel traitées pour le compte du Responsable du traitement ; Stripe n'est donc pas un sous-traitant ultérieur au sens de l'article 28 du RGPD. Les détails figurent dans la politique de confidentialité.
Les composants de contrôle et de rendu accessibles à validator.randomstar.org et render.randomstar.org sont exploités par le Sous-traitant lui-même sur la même infrastructure et ne constituent pas des tiers.
Le Sous-traitant impose contractuellement à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent Accord et demeure pleinement responsable de leur exécution envers le Responsable du traitement.
7. Assistance en matière de droits des personnes concernées
Compte tenu de la nature du traitement, le Sous-traitant aide le Responsable du traitement, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits prévus au chapitre III du RGPD.
Lorsqu'une personne concernée s'adresse directement au Sous-traitant, celui-ci n'y donne pas suite lui-même mais transmet la demande au Responsable du traitement sans délai injustifié.
8. Assistance relative aux autres obligations
Le Sous-traitant aide le Responsable du traitement à garantir le respect des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à sa disposition, notamment en matière de sécurité du traitement, de notification des violations de données et d'analyse d'impact.
9. Violations de données à caractère personnel
Le Sous-traitant notifie au Responsable du traitement, sans délai injustifié et en tout état de cause dans les 48 heures après en avoir pris connaissance, toute violation de données affectant les données traitées pour son compte. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées.
10. Effacement ou restitution des données
À l'issue du contrat principal, le Responsable du traitement dispose de 30 jours pour télécharger ses documents. Passé ce délai, le Sous-traitant efface toutes les données traitées pour son compte, sauf si le droit qui lui est applicable impose une conservation plus longue. Les pièces de paiement et comptables sont conservées selon la durée indiquée dans la politique de confidentialité.
Les sauvegardes sont écrasées selon le cycle habituel ; les données qu'elles contiennent restent protégées par les mesures de la section 5 jusqu'à leur écrasement.
11. Audits et preuve de conformité
Le Sous-traitant met à la disposition du Responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28 du RGPD et permet la réalisation d'audits, y compris d'inspections, par le Responsable du traitement ou un auditeur qu'il mandate, et y contribue.
Les audits sont annoncés au moins 14 jours à l'avance, se déroulent pendant les heures ouvrables, ne perturbent pas de manière déraisonnable l'exploitation et sont limités à un audit par année civile en l'absence de motif particulier. L'auditeur ne doit pas être un concurrent du Sous-traitant et est tenu à la confidentialité. Le Sous-traitant peut, dans un premier temps, satisfaire à cette obligation par des informations écrites et par la communication des certificats ou rapports d'audit disponibles de ses sous-traitants ultérieurs.
12. Lieu de traitement et transferts hors Union
Toutes les données traitées pour le compte du Responsable du traitement sont conservées exclusivement sur des serveurs situés à Falkenstein, en Allemagne, donc au sein de l'Union européenne.
Le Sous-traitant est établi en Allemagne. L'ensemble des traitements de données à caractère personnel pour le compte du Responsable du traitement, y compris tout accès par le Sous-traitant, a lieu au sein de l'Union européenne. Aucune donnée n'est transférée vers un pays tiers et aucune garantie au titre du chapitre V du RGPD n'est donc requise. Si le Sous-traitant envisage à l'avenir un traitement en dehors de l'Espace économique européen, il en informe préalablement le Responsable du traitement conformément à la section 6 et met en place au préalable des garanties appropriées au titre du chapitre V du RGPD.
13. Responsabilité et dispositions finales
La responsabilité au titre du présent Accord est régie par l'article 82 du RGPD. Les limitations de responsabilité convenues dans les conditions générales s'appliquent à titre complémentaire, dans la mesure permise par la loi, sans toutefois limiter la responsabilité de l'une ou l'autre partie envers les personnes concernées ou les autorités de contrôle.
Si une stipulation du présent Accord est nulle, la validité des autres stipulations n'en est pas affectée. En cas de contradiction entre le présent Accord et les conditions générales, le présent Accord prévaut en matière de protection des données. En cas de contradiction entre le présent Accord et les clauses contractuelles types, ces dernières prévalent.