Accord de sous-traitance des données personnelles

Article 28 du règlement (UE) 2016/679 (RGPD). Document type, mis à jour le 17 octobre 2026.

Ce document organise la relation entre le client de vaelt, qui utilise le service pour suivre ses relances de devis et d’impayés, et vaelt, qui traite pour son compte les données de ses propres clients et débiteurs. Il complète la politique de confidentialité. Il s’applique entre les parties lorsqu’il est signé ou accepté par écrit par le client (par exemple par courriel à support@vaelt.fr).

Les parties

Le client (responsable de traitement): la personne ou la société titulaire du compte vaelt, identifiée dans le formulaire de signature ci-dessous.
vaelt (sous-traitant): Sébastien Robert Jean Ternisien, entrepreneur individuel, SIREN 944691005, 100 Chemin des Jardins, 31370 Bérat. Contact : support@vaelt.fr.

Article 1. Objet

vaelt héberge et traite, pour le compte du client et sur ses instructions, les données personnelles que le client dépose dans son espace pour que le service de relance de devis et de relance d’impayés puisse être rendu. Pour les données de son propre compte (courriel, mot de passe, connexion), vaelt agit en son nom propre comme responsable de traitement, conformément à la politique de confidentialité : ces données ne sont pas visées par cet accord.

Article 2. Durée

L’accord prend effet à sa signature ou à son acceptation écrite et dure aussi longtemps que le client utilise le service. Il prend fin à la suppression du compte, à la résiliation du contrat de service ou, à défaut, à la suppression automatique du compte (voir l’article 8). Les obligations de confidentialité et de suppression survivent à sa fin tant que vaelt détient des données du client.

Article 3. Nature et finalités du traitement

Les opérations réalisées par vaelt sont : l’enregistrement et la conservation des dossiers, des fichiers PDF et des messages ; leur consultation et leur mise à jour par l’équipe de vaelt pour assurer le suivi de la procédure (étape, statut, historique) ; la mise à disposition au client de ces informations ; l’export et la suppression des données.

La seule finalité est la fourniture du service de suivi de relance de devis et d’impayés. vaelt n’utilise ces données ni pour son propre compte, ni à des fins publicitaires, ni pour constituer des fichiers de prospection.

Article 4. Données et personnes concernées

Personnes concernées: les clients, prospects et débiteurs du client (personnes physiques, ou représentants et contacts de sociétés), ainsi que toute personne dont le nom figure dans les documents déposés.
Catégories de données: identité et coordonnées (nom, adresse, courriel, téléphone), références et montants de devis et de factures, dates, notes libres, messages échangés avec l’équipe, et le contenu des fichiers PDF déposés.
Données exclues: le client s’interdit de déposer des données sensibles au sens de l’article 9 du RGPD (santé, opinions, origine, etc.) ou relatives à des condamnations ou infractions. Le service n’est pas conçu pour les traiter.

Article 5. Obligations de vaelt

5.1 Instructions documentées

vaelt traite les données uniquement sur instruction documentée du client, qui résulte du contrat de service, de cet accord et de l’usage que le client fait de l’interface (dépôt, modification, suppression). vaelt informe immédiatement le client s’il estime qu’une instruction viole le RGPD ou une autre règle de protection des données.

5.2 Confidentialité

vaelt veille à ce que les personnes autorisées à accéder aux données, y compris lui-même, soient tenues à une obligation de confidentialité. L’accès aux données du client est limité à ce qui est nécessaire au suivi des dossiers et au support.

5.3 Sécurité

vaelt met en œuvre des mesures techniques et organisationnelles appropriées au sens de l’article 32 du RGPD, décrites à l’annexe 2. Elles sont revues lorsque le service évolue.

5.4 Sous-traitants ultérieurs

Le client donne une autorisation générale à vaelt de recourir aux sous-traitants ultérieurs listés à l’annexe 3, notamment Cloudflare, Inc. (hébergement, base de données, stockage de fichiers) et IONOS (nom de domaine et messagerie). vaelt informe le client de tout ajout ou remplacement d’un sous-traitant ultérieur au moins 15 jours à l’avance, par courriel ou dans l’espace client, et le client peut s’y opposer pour un motif raisonnable lié à la protection des données dans ce délai. vaelt impose à chaque sous-traitant ultérieur des obligations équivalentes à celles de cet accord et reste responsable à l’égard du client de leur exécution.

5.5 Assistance pour les droits des personnes

Si une personne concernée s’adresse à vaelt pour exercer ses droits sur des données traitées pour le compte du client, vaelt la renvoie vers le client et lui transmet la demande dans un délai de 5 jours ouvrés, sans y répondre lui-même sauf instruction contraire. Compte tenu de la nature du traitement, vaelt assiste le client, par des mesures techniques (export, modification, suppression de dossiers) et par une aide raisonnable, pour qu’il puisse répondre à ces demandes dans les délais légaux.

5.6 Assistance générale

vaelt aide le client à respecter ses obligations relatives à la sécurité, à la notification des violations, à l’analyse d’impact et à la consultation préalable de l’autorité de contrôle (articles 32 à 36 du RGPD), compte tenu de la nature du traitement et des informations dont il dispose.

5.7 Notification des violations de données

vaelt notifie au client toute violation de données personnelles affectant ses données dans un délai de 48 heures après en avoir pris connaissance, à l’adresse courriel du compte. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées. Les informations complémentaires sont transmises dès qu’elles sont disponibles.

5.8 Sort des données en fin de contrat

À la fin de l’accord, le client choisit la restitution ou la suppression de ses données. La restitution se fait par la fonction d’export de la page « Mon compte » (fichier JSON) et par le téléchargement des fichiers PDF. La suppression est effectuée par le client lui-même depuis son espace (suppression d’un dossier, d’un fichier ou du compte) ou par vaelt sur demande écrite. Elle efface les données de la base et du stockage de fichiers de vaelt ; les copies techniques de restauration de l’hébergeur disparaissent selon sa propre durée de rétention. vaelt peut conserver des données lorsque la loi l’impose, et le dit alors au client. vaelt confirme la suppression sur demande.

5.9 Documentation et audit

vaelt met à la disposition du client les informations nécessaires pour démontrer le respect de ses obligations, et tient le registre des catégories d’activités de traitement effectuées pour son compte (article 30.2 du RGPD). Le client peut faire réaliser un audit, par lui-même ou par un tiers tenu au secret, au plus une fois par an sauf violation avérée, avec un préavis de 30 jours, pendant les heures ouvrées, sans perturber le service et sans accès aux données d’autres clients. Les frais de l’audit sont à la charge du client. À titre de première réponse, vaelt peut fournir par écrit la description de ses mesures de sécurité et les attestations de ses sous-traitants ultérieurs.

Article 6. Obligations du client

Le client garantit qu’il dispose d’une base légale pour confier ces données à vaelt, qu’il a informé les personnes concernées du traitement (y compris du recours à un sous-traitant), que les données sont exactes et limitées à ce qui est nécessaire, et qu’il ne dépose pas de données exclues à l’article 4. Il donne ses instructions de façon licite et documentée, et répond aux demandes d’exercice de droits des personnes concernées.

Article 7. Transferts hors de l’Union européenne

Le sous-traitant ultérieur Cloudflare, Inc. est établi aux États-Unis et exploite un réseau mondial. La localisation des données en Europe de l’Ouest est demandée mais n’est pas garantie. Ces transferts reposent sur la certification de Cloudflare au cadre de protection des données UE-États-Unis et, à défaut, sur les clauses contractuelles types de la Commission européenne prévues dans son accord de traitement des données. vaelt ne transfère pas d’autres données hors de l’Union européenne.

Article 8. Durées de conservation

Sauf instruction contraire du client ou obligation légale, les données sont supprimées automatiquement : 12 mois après la clôture d’un dossier (fichier PDF, notes, historique et messages), et à la suppression du compte, qui intervient après 24 mois sans connexion. Le client peut demander une suppression plus rapide à tout moment. Lorsqu’une obligation légale impose de conserver un dossier, sa suppression est suspendue le temps nécessaire.

Article 9. Responsabilité

Chaque partie répond de ses manquements dans les conditions prévues par l’article 82 du RGPD et par le contrat de service qui lie les parties, qui détermine les éventuelles limitations de responsabilité.

Article 10. Droit applicable

Cet accord est soumis au droit français.

Annexe 1. Description du traitement

Objet: suivi des relances de devis et d’impayés
Durée: celle du compte du client (article 2)
Nature: enregistrement, conservation, consultation, mise à jour, export, suppression
Finalité: fournir le service de suivi au client
Données: identité, coordonnées, références et montants, notes, messages, fichiers PDF
Personnes: clients, prospects et débiteurs du client

Annexe 2. Mesures de sécurité

Chiffrement des échanges en transit (HTTPS, HSTS).
Mots de passe hachés (PBKDF2 avec sel unique), jamais conservés en clair.
Sessions par cookie HttpOnly, Secure, SameSite=Strict, d’une durée maximale de 7 jours, et jeton contre les requêtes frauduleuses.
Limitation des tentatives de connexion et des créations de compte.
Cloisonnement des données : chaque client n’accède qu’à ses dossiers, contrôlé côté serveur à chaque requête, y compris pour les fichiers.
Fichiers stockés dans un espace privé, non accessible publiquement, avec contrôle du type et de la taille à l’envoi.
Politique de sécurité de contenu stricte, textes saisis affichés sans interprétation, aucun script ni ressource tiers.
Accès d’administration réservé à un compte unique, créé au moyen d’un secret de configuration, sans compte par défaut.
Suppression automatique des données dont la durée de conservation est dépassée, et suppression à la demande du client.
Chiffrement au repos assuré par les prestataires d’hébergement, selon leurs déclarations.

Annexe 3. Sous-traitants ultérieurs autorisés

Cloudflare, Inc.: 101 Townsend St., San Francisco, California 94107, États-Unis : hébergement du site, base de données, stockage de fichiers, réseau.
IONOS: nom de domaine et messagerie support@vaelt.fr : échanges de support avec le client (les documents des dossiers ne transitent pas par la messagerie).

Signature

Pour le client: Nom, qualité, société : ______________________ Fait à ______________, le ______________ Signature :
Pour vaelt: Sébastien Robert Jean Ternisien. Fait à ______________, le ______________ Signature :

Document type, mis à jour le 17 octobre 2026.