Accord de sous-traitance des données (DPA)
Version 1.2 B2B du 12 octobre 2026, mise à jour le 12 octobre 2026. Service réservé aux professionnels. Les droits RGPD des personnes physiques restent intégralement applicables.
Article 1. Parties et objet
Le présent accord est conclu entre le client responsable de traitement, identifié dans la commande ou dans le compte professionnel (le « Client »), et Cédric LORMEL, entrepreneur individuel NUMALYTIX (le « Sous-traitant »). Il s'applique aux données personnelles des FEC et des restitutions traitées pour le compte du Client.
Si le Client agit lui-même comme sous-traitant d'un tiers, il garantit être autorisé à engager NUMALYTIX comme sous-traitant ultérieur.
Article 2. Description des traitements
- Objet : import, analyse automatisée et restitution des FEC, conservation temporaire des fichiers et stockage des résultats.
- Durée : utilisation du service et conservation selon le contrat.
- Opérations : réception, lecture, extraction, contrôle, comparaison, stockage, envoi, suppression, sauvegarde.
- Personnes concernées : salariés, dirigeants, clients, fournisseurs et tiers mentionnés dans les écritures.
- Catégories de données : identifiants, libellés, dates, flux, montants et éventuelles autres données figurant dans les fichiers.
Les catégories particulières de données, présentes par accident, doivent être évitées autant que possible.
Article 3. Instructions documentées
NUMALYTIX n'agit que sur instruction documentée du Client, sauf obligation légale impérative, dont il informe le Client lorsque cela est permis. Les instructions initiales sont la commande, les paramètres du compte et le présent accord. Toute instruction complémentaire est documentée. Une instruction manifestement contraire au RGPD est signalée au Client.
Article 4. Confidentialité
NUMALYTIX soumet les personnes autorisées à un engagement de confidentialité, légal ou contractuel, et limite les accès selon les besoins. Un accès administrateur aux résultats et aux rapports existe.
Article 5. Mesures techniques et organisationnelles
Les mesures déployées sont décrites à l'annexe 2. Elles comprennent le chiffrement des échanges (HTTPS), le stockage des mots de passe sous forme d'empreinte, la suppression du FEC dès la fin de l'analyse, l'accès aux rapports par des liens signés à durée limitée, la purge automatique des résultats à l'échéance et une sauvegarde quotidienne.
Article 6. Sous-traitants ultérieurs
Le Client autorise le recours aux sous-traitants ultérieurs ci-dessous. Stripe et Brevo peuvent intervenir sous des qualifications différentes selon les flux. Cette autorisation est générale : tout ajout ou remplacement est annoncé sur cette page et par email trente jours au moins avant sa mise en œuvre. Le Client peut s'y opposer pendant ce délai ; à défaut d'accord, il peut résilier le service.
| Prestataire | Pays | Rôle | Données reçues |
|---|---|---|---|
| OVH SAS | France | Hébergement des serveurs (centre de données de Strasbourg) et stockage des sauvegardes | Toutes les données du service. |
| Brevo | France | Envoi des emails du service : confirmation de compte, alertes, rapports | Adresse email du destinataire, contenu du message et rapport PDF en pièce jointe, qui contient les résultats de l'analyse d'un FEC. |
| Brevo | France | Emails d'information et suivi des contacts | Adresse email ; pour un compte : nom, société, palier, dates d'inscription et de dernière connexion, nombre d'analyses. Ni le score ni le nom du fichier analysé. |
| Stripe Payments Europe, Ltd. | Irlande | Paiement et facturation | Identité et coordonnées de facturation, moyen de paiement. Les numéros de carte ne transitent pas par FecAnalyzer. |
| Sentry (Functional Software, Inc.) | États-Unis | Diagnostic des erreurs techniques | Message et contexte technique de l'erreur, qui peuvent comporter le nom du fichier analysé. Ni le contenu du FEC, ni les variables du programme, ni le corps des requêtes. |
| IONOS SARL | France | Messagerie : réception des emails adressés à FecAnalyzer | Messages que vous nous écrivez et leurs pièces jointes. |
Des obligations équivalentes sont imposées aux sous-traitants ultérieurs.
Article 7. Transferts
L'hébergement, les sauvegardes, l'envoi des emails et la messagerie sont situés dans l'Union européenne. Stripe et Sentry appartiennent à des groupes établis aux États-Unis : des données peuvent y être transférées, dans le cadre des garanties prévues par leurs accords de traitement des données (clauses contractuelles types de la Commission européenne et, le cas échéant, cadre de protection des données UE–États-Unis).
Article 8. Assistance et droits
NUMALYTIX assiste le Client, compte tenu de la nature du traitement et des informations disponibles, dans la réponse aux demandes des personnes, l'analyse d'impact si elle est applicable, la sécurité, les notifications de violation et les consultations préalables.
Article 9. Violations de données
NUMALYTIX informe le Client dans les quarante-huit heures après avoir pris connaissance d'une violation concernant les données traitées pour son compte, avec les informations disponibles, puis les compléments successifs. La décision de notifier l'autorité et les personnes appartient au responsable de traitement.
Article 10. Sort des données
Les FEC sources sont effacés après l'analyse, avec une purge des fichiers temporaires sous une heure. Les résultats sans compte sont conservés trois jours et, avec un compte, trois ans, sous réserve des instructions du Client et des clauses légales.
À la fin de la prestation, le Client peut choisir entre la restitution et la suppression, hors conservation légale obligatoire. Les sauvegardes, quotidiennes, sont conservées au plus trois mois.
Article 11. Démonstration et audits
NUMALYTIX met à disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD et permet les audits et inspections dans des conditions raisonnables de confidentialité, de sécurité, de préavis et de proportionnalité.
Article 12. Annexes et priorité
- Annexe 1 : instructions, catégories et durée (articles 2 et 3 ci-dessus).
- Annexe 2 : mesures de sécurité, décrites sur la page Sécurité.
- Annexe 3 : sous-traitants ultérieurs (article 6 ci-dessus).
En cas de contradiction concernant la protection des données confiées, le présent accord prévaut sur les CGU et les CGV, sans préjudice du RGPD.