Accord de traitement des données (DPA)

Le présent accord est conclu entre le Client, l’organisation qui souscrit au service Plyq (le « Responsable de traitement »), et GETBATCH SAS, éditeur de Plyq, 18 rue de Dakar, 31500 Toulouse, RCS Toulouse 992 053 926 (le « Sous-traitant »).

Il fait partie des conditions générales de vente et s’applique automatiquement dès leur acceptation, sans signature séparée. En cas de contradiction sur la protection des données, le présent accord prévaut.

1. Objet

Le présent accord encadre les traitements de données personnelles que le Sous-traitant réalise pour le compte du Responsable de traitement dans le cadre du service Plyq :

• envoi de demandes de documents à ses clients, par un lien de dépôt sans compte ;
• relances automatiques par email ;
• vérification automatique des documents déposés par intelligence artificielle, comme aide à la revue ;
• mise à disposition de documents à télécharger ou à signer, et signature électronique simple par code envoyé par email ;
• transfert des documents vers le Drive du Responsable de traitement (Google Drive, OneDrive, SharePoint), s’il active cette intégration ;
• accès aux données par l’API, si le Responsable de traitement crée des jetons d’accès.

La description des traitements figure en annexe 1.

2. Rôles

Le Client est responsable de traitement pour les données de ses propres clients qu’il saisit, importe ou fait déposer dans Plyq. Il garantit disposer d’une base légale pour ces traitements et avoir informé les personnes concernées.

GETBATCH SAS est responsable de traitement, et non sous-traitant, pour les données de compte, de facturation, d’usage et de support des utilisateurs du Client, traitées selon la politique de confidentialité.

3. Instructions

Le Sous-traitant traite les données uniquement sur instruction documentée du Responsable de traitement. Constituent ces instructions : les CGV, le présent accord, et les réglages effectués par le Client dans le service (pièces demandées, relances, durée de rétention, mode zéro-stockage, intégration Drive, jetons d’API).

Si une instruction lui paraît contraire au RGPD, le Sous-traitant en informe le Client. Il peut suspendre son exécution jusqu’à sa confirmation ou sa modification. Toute instruction qui sort du fonctionnement standard du service peut faire l’objet d’un devis.

4. Confidentialité

Le Sous-traitant veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité. L’accès de l’équipe Plyq aux comptes clients est réservé au support et à l’administration de la plateforme.

5. Sécurité

Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en annexe 2. Il peut les faire évoluer, à condition de ne pas réduire le niveau global de sécurité.

6. Sous-traitants ultérieurs

Le Client donne une autorisation générale au recours aux sous-traitants ultérieurs listés en annexe 3. Le Sous-traitant l’informe de tout ajout ou remplacement par email ou par une mention dans l’application, au moins 15 jours avant. Le Client peut s’y opposer pendant ce délai, pour un motif sérieux lié à la protection des données. À défaut d’accord, sa seule faculté est de résilier son abonnement sans pénalité, avec un remboursement au prorata de la période payée et non utilisée.

Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations de protection des données équivalentes pour l’essentiel à celles du présent accord.

7. Transferts hors de l’Union européenne

Les documents déposés et la base de données sont hébergés dans l’Union européenne. Si un sous-traitant ultérieur traite des données hors de l’UE (annexe 3), ce transfert est encadré par une décision d’adéquation, dont le Data Privacy Framework UE-États-Unis, ou par les clauses contractuelles types de la Commission européenne.

8. Assistance

Dans la mesure du raisonnable et compte tenu de la nature du traitement, le Sous-traitant aide le Client à :

• répondre aux demandes d’exercice des droits des personnes. Le service permet au Client de le faire lui-même : consulter et télécharger les documents d’une demande, modifier la fiche d’un client, supprimer une demande avec ses fichiers, supprimer un client avec toutes ses demandes et leurs fichiers. Si le Sous-traitant reçoit directement une telle demande, il la transmet au Client sans y répondre ;
• réaliser une analyse d’impact, en lui fournissant les informations disponibles sur le service (le présent accord et ses annexes).

Une assistance qui demande un travail spécifique au-delà de ces éléments peut être facturée au temps passé, sur devis préalable.

9. Violation de données

Le Sous-traitant notifie au Client toute violation de données personnelles le concernant dans les meilleurs délais après en avoir pris connaissance, et si possible dans les 48 heures. La notification contient les informations disponibles à ce moment : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou envisagées. Les informations manquantes sont communiquées dès qu’elles sont connues.

Il revient au Client, en tant que responsable de traitement, de notifier la CNIL et, le cas échéant, les personnes concernées.

10. Audit

Le Sous-traitant met à disposition du Client les informations nécessaires pour démontrer le respect du présent accord, d’abord sous forme documentaire : le présent accord, ses annexes et les réponses à un questionnaire de sécurité raisonnable. Si ces éléments sont insuffisants, le Client peut demander un audit, aux conditions suivantes :

• au plus une fois par an, sauf violation de données avérée ou demande d’une autorité de contrôle ;
• avec un préavis écrit d’au moins 30 jours ;
• par le Client ou un auditeur indépendant tenu au secret, qui ne soit pas un concurrent du Sous-traitant ;
• pendant les heures ouvrées, sans perturber le service, sans accès aux données des autres clients ni aux systèmes des sous-traitants ultérieurs ;
• aux frais du Client, y compris le temps passé par le Sous-traitant.

11. Conservation et suppression

Pendant l’abonnement, les documents déposés sont supprimés selon la durée de rétention configurée par le Client, par un traitement automatique mensuel. La même durée s’applique aux documents fournis par le Client et aux documents signés avec leur certificat, une fois la demande terminée ou archivée. Les fichiers déposés mais jamais envoyés par la personne concernée sont supprimés après 30 jours. Le Client peut aussi supprimer à tout moment une demande, ou un client avec toutes ses demandes : les fichiers correspondants sont alors effacés immédiatement.

En mode zéro-stockage (plan Team), les documents déposés ne sont conservés chez le Sous-traitant que le temps du dépôt : ils sont effacés dès leur transfert dans le Drive du Client. Si le transfert échoue, par exemple parce que le Drive est déconnecté, ils restent stockés chez le Sous-traitant jusqu’au transfert suivant réussi, ou jusqu’à la purge des fichiers jamais envoyés. Les documents signés et leur certificat restent également conservés chez le Sous-traitant, pour que le signataire puisse télécharger son exemplaire.

Les journaux sont conservés 30 jours pour le journal d’activité (12 mois sur le plan Team) et 12 mois pour les journaux d’envoi d’emails et d’appels à l’API. Chaque durée de cet article s’entend jusqu’à la purge mensuelle qui suit son échéance.

Les documents transférés dans le Drive du Client ou téléchargés par lui ne relèvent plus du Sous-traitant.

À la fin du contrat, le Client récupère ses documents depuis le service ou son Drive. La suppression de son compte, depuis l’application ou sur demande à support@plyq.fr, efface l’organisation, ses clients, ses demandes et leurs fichiers ; une demande par email est traitée sous 30 jours. La fin d’un abonnement payant ne supprime pas le compte : il repasse sur le plan gratuit et les données restent soumises à la durée de rétention de ce plan. Les données que la loi oblige à conserver ne sont pas concernées.

12. Responsabilité

La responsabilité de chaque partie au titre du présent accord est soumise aux limitations prévues par les CGV, notamment le plafond fixé à leur article 8 : les sommes versées par le Client au cours des 12 derniers mois.

Le Sous-traitant n’est pas responsable des traitements réalisés sur instruction du Client, des pièces qu’il choisit de demander, ni de l’usage qu’il fait des documents une fois transférés dans son Drive ou téléchargés. La vérification automatique est une aide : la décision de valider ou de rejeter une pièce appartient toujours au Client.

13. Durée et droit applicable

Le présent accord s’applique tant que le Sous-traitant traite des données pour le compte du Client. Il est soumis au droit français ; les litiges relèvent des juridictions désignées dans les CGV. Le Sous-traitant peut le modifier pour suivre l’évolution de la réglementation ou du service, en informant le Client au moins 30 jours avant l’entrée en vigueur d’une modification substantielle.

Contact protection des données : support@plyq.fr

Annexe 1 : description des traitements

• Finalité : collecter, vérifier, relancer et transmettre les documents demandés par le Client à ses propres clients ; mise à disposition et signature électronique de documents.
• Personnes concernées : clients du Client (particuliers ou représentants d’entreprises), signataires.
• Données : identité et coordonnées saisies par le Client (nom, email, téléphone, adresse, notes) ; documents déposés et leur contenu, qui peuvent contenir des données d’identité, financières, fiscales, professionnelles ou de logement ; dates de dépôt, d’ouverture du lien et statut des pièces ; suivi de remise des emails ; preuves de signature (nom, email, adresse IP, navigateur, horodatages, empreintes des documents, motif de refus éventuel).
• Données de santé : Plyq n’est pas un hébergeur certifié de données de santé (HDS) et ne doit pas servir à constituer des dossiers médicaux. Si le Client demande des pièces qui en contiennent (certificat médical, attestation de mutuelle…), il le fait sous sa seule responsabilité, en ne demandant que le strict nécessaire.
• Opérations : hébergement, envoi d’emails, lecture automatique des documents (reconnaissance de texte et analyse de conformité), transfert vers un Drive, suppression.
• Durée : durée de l’abonnement, dans la limite de la rétention configurée par le Client.

Annexe 2 : mesures de sécurité

• Chiffrement des échanges (HTTPS imposé, HSTS) et chiffrement au repos des fichiers et de la base, assuré par l’hébergeur.
• Base de données, fichiers et exécution de l’application dans l’Union européenne (Francfort).
• Cloisonnement strict entre organisations au niveau de la base de données (Row-Level Security).
• Liens de dépôt uniques et non devinables, valables jusqu’à la clôture ou l’archivage de la demande ; dépôt sans compte pour la personne concernée.
• Mots de passe hashés, refus des mots de passe connus comme compromis, sessions signées.
• Limitation du nombre de requêtes sur l’API et sur le portail de dépôt ; jetons d’API stockés sous forme hashée, avec portée et expiration configurables, révocables.
• Journal des événements critiques consultable par les administrateurs (plans Pro et Team).
• Accès de l’équipe Plyq limité aux administrateurs de la plateforme.
• Purge automatique mensuelle selon les durées de l’article 11 ; mode zéro-stockage optionnel (plan Team).
• Vérification automatique des documents et assistant intégré confiés à un prestataire européen, sans utilisation des données pour l’entraînement de ses modèles.
• Suivi des erreurs techniques avec texte affiché masqué et sans contenu de fichier.

Annexe 3 : sous-traitants ultérieurs

• Supabase Inc. : base de données et stockage des fichiers (UE, Francfort).
• Vercel Inc. : hébergement et exécution de l’application (UE, Francfort), mesure d’audience anonyme.
• Mistral AI SAS : vérification automatique des documents et assistant intégré (France, traitement dans l’UE).
• Resend Inc. : envoi des emails (transferts éventuels hors UE encadrés par le Data Privacy Framework ou les clauses contractuelles types).
• Google Ireland Ltd. / Microsoft Ireland Operations Ltd. : transfert vers le Drive du Client, uniquement s’il active l’intégration (selon la localisation de son propre compte).
• Functional Software Inc. (Sentry) : suivi des erreurs techniques (UE).

Stripe n’apparaît pas ici : il traite les données de facturation de GETBATCH SAS, pour lesquelles GETBATCH est responsable de traitement.