Accord de sous-traitance (DPA)

Préambule

Dans le cadre de l'utilisation du Service par l'entreprise (le « Responsable de traitement »), BZH Consulting Société à responsabilité limitée (SARL) (le « Sous-traitant » ou « Meinour ») traite, pour le compte de l'entreprise, des données à caractère personnel. Le présent accord en fixe les conditions ; il complète les CGV sans y déroger.

Article 1 — Objet, durée et nature du traitement

Meinour traite les données nécessaires à la fourniture du Service, pour le compte exclusif de l'entreprise, pendant toute la durée de l'abonnement et jusqu'au terme des obligations de conservation et de purge (article 8).

Finalités : hébergement de l'espace isolé de l'entreprise ; gestion de ses salariés (pointages, qualifications, habilitations, données de prévention) ; espace client pour ses clients ; stockage des documents et photos de chantier ; envoi d'e-mails en son nom ; export de ses données ; maintenance, sauvegarde et support encadré.

Personnes concernées : salariés de l'entreprise, clients finaux, fournisseurs et sous-traitants de l'entreprise. Catégories de données : identité et coordonnées, données professionnelles, données contractuelles et de facturation, documents et photos ; le registre des traitements en donne le détail.

Article 2 — Instructions documentées

Meinour ne traite les données que sur instruction documentée de l'entreprise : les présentes, les CGV et les paramètres de configuration du Service (durées de conservation, rôles, fonctions activées) valent instructions. Toute instruction complémentaire est formulée par écrit. Si une instruction paraît contraire au RGPD, Meinour en informe l'entreprise sans délai.

Article 3 — Confidentialité

Meinour ne divulgue les données à aucun tiers, hors sous-traitants ultérieurs autorisés (article 5) et obligation légale ou injonction judiciaire, auquel cas l'entreprise est informée sauf interdiction légale. Les personnes habilitées sont soumises à une obligation de confidentialité.

L'accès du support à l'espace de l'entreprise est conditionné à son consentement préalable, limité aux données métier, et intégralement journalisé au nom du membre du support, dans le journal consultable par l'entreprise.

Article 4 — Mesures techniques et organisationnelles

Meinour met en œuvre notamment :

• chiffrement en transit (TLS 1.2 minimum, HSTS) et au repos (base de données et stockage chiffrés par l'hébergeur) ;
• isolation entre entreprises par Row-Level Security PostgreSQL sur toutes les tables de données, rôle applicatif sans contournement, et suite de tests d'isolation bloquant tout déploiement ;
• secrets dans un coffre (Azure Key Vault), secrets d'authentification chiffrés applicativement ;
• authentification par hachage Argon2id, double authentification, limitation de débit et verrouillage progressif ;
• contrôle d'accès par rôle, vérifié côté serveur ;
• journal d'audit inaltérable ;
• sauvegardes quotidiennes chiffrées, objectifs de reprise : RPO ≤ 24 h, RTO ≤ 4 h.

Article 5 — Sous-traitants ultérieurs

L'entreprise autorise Meinour à recourir aux sous-traitants ultérieurs suivants :

• Microsoft Azure (Microsoft Ireland Operations Ltd) — hébergement, base de données, stockage, coffre de secrets — Union européenne (France Central) — ISO 27001, SOC 2, DPA Microsoft.
• Microsoft Azure Application Insights — télémétrie technique (traces de requêtes, erreurs), identifiants techniques seulement, jamais le contenu métier — Union européenne — conservation 90 jours.
• Stripe, Inc. — paiement des abonnements de Meinour uniquement (aucune donnée métier de l'entreprise) — données de carte traitées par Stripe, clauses contractuelles types pour les transferts hors UE — PCI-DSS niveau 1.
• Fournisseur d'e-mails transactionnels établi dans l'Union européenne — envoi des e-mails du Service ; son nom est communiqué sur demande et notifié comme tout changement de sous-traitant.
• Microsoft Azure OpenAI Service, région Union européenne — fonctions d'intelligence artificielle, uniquement si l'entreprise les active, sur les seules données qu'elle soumet (description de travaux, bons de livraison et factures fournisseurs, échanges clients, photos de chantier), après minimisation (adresses, téléphones, IBAN masqués ; photos sans métadonnées) ; données non utilisées pour l'entraînement.
• Google LLC et Microsoft — connexion « Continuer avec Google » ou « Microsoft 365 », au seul choix de l'utilisateur : le fournisseur transmet l'e-mail et le nom ; aucune donnée métier — clauses contractuelles types des fournisseurs.
• Google LLC — Google Cast, si l'entreprise diffuse un écran sur une télévision : seul l'identifiant public de l'application est transmis, les données affichées restent servies par Meinour.
• OpenStreetMap Foundation — fonds de carte : l'adresse IP du navigateur est vue par le serveur de tuiles ; aucune donnée métier — Royaume-Uni (décision d'adéquation) et Pays-Bas.
• Open-Meteo — prévisions de vigilance météo à partir des coordonnées des chantiers ; aucune donnée personnelle — Union européenne.
• INSEE (Sirene) et Base Adresse Nationale — vérification des SIRET et des adresses saisis (données publiques) — France.
• DGFiP, Chorus Pro et PISTE — transmission des factures adressées à des acheteurs publics, uniquement si l'entreprise active la facturation électronique — France.
• Lucca — synchronisation des heures vers la paie, uniquement si l'entreprise active cette intégration ; DPA à conclure entre l'entreprise et Lucca.

Article 5 bis — Intelligence artificielle

Les fonctions d'IA sont désactivées par défaut. L'entreprise les active fonction par fonction dans ses paramètres et peut les couper à tout moment avec effet immédiat. Chaque envoi est journalisé (utilisateur, fonction, fournisseur, volume, éléments masqués, statut) sans conserver le contenu ; le journal est consultable par l'entreprise et le volume est plafonné chaque mois. Les propositions de l'IA sont des brouillons soumis à validation humaine.

Meinour notifie tout ajout ou remplacement de sous-traitant ultérieur avec un préavis de trente jours ; l'entreprise peut s'y opposer par écrit, de façon motivée. Meinour impose à ses sous-traitants des obligations équivalentes au présent accord.

Article 6 — Assistance au responsable de traitement

Droits des personnes : export complet des données (CSV, JSON, documents) depuis l'application ; suppression ou anonymisation des comptes individuels ; purge de l'espace.

Violation de données : Meinour notifie l'entreprise par e-mail dans les soixante-douze heures suivant la prise de connaissance, en précisant la nature de la violation, les données concernées, les mesures prises et un point de contact. L'entreprise reste responsable de ses propres notifications à la CNIL et aux personnes.

Analyse d'impact et consultation préalable : Meinour fournit, sur demande, les informations nécessaires.

Article 7 — Réversibilité

À tout moment, l'entreprise peut déclencher un export complet de ses données dans un format ouvert et documenté (CSV UTF-8, JSON, documents), sans frais pendant la relation contractuelle et pendant la conservation.

Article 8 — Suppression et conservation

À la fin du contrat, l'espace est conservé quatre-vingt-dix jours en lecture seule (réactivation possible, rappels à J+30 et J+80), puis purgé de façon définitive, attestation de purge à l'appui. Un espace laissé en lecture seule subie pendant plus de cent quatre-vingts jours entre d'office dans ce cycle.

Exceptions légales : les factures d'abonnement émises par Meinour sont conservées dix ans. Par le présent accord, l'entreprise donne instruction à Meinour de conserver, à la purge, une copie d'archive des factures et avoirs qu'elle a émis à ses propres clients pendant dix ans, à seule fin de les lui remettre sur demande écrite ; elle peut révoquer cette instruction par écrit avant la purge.

Les comptes personnels qui ne sont rattachés à aucun espace relèvent de Meinour en qualité de responsable de traitement : inscription non confirmée supprimée à J+7, compte inactif depuis trois ans supprimé après préavis de trente jours.

Article 9 — Audit

L'entreprise peut demander un audit de conformité, à ses frais, avec un préavis de trente jours et au plus une fois par an sauf incident avéré. À défaut d'audit sur site, Meinour fournit les documents de conformité disponibles. Le journal d'audit de l'espace est consultable à tout moment dans l'application.

Article 10 — Transferts hors Union européenne

Les données de l'entreprise sont hébergées exclusivement dans l'Union européenne. Les transferts hors UE sont limités à Stripe, pour le paiement des abonnements de Meinour, et à Google ou Microsoft lorsqu'un utilisateur choisit de se connecter avec leur compte ; ils sont encadrés par les clauses contractuelles types de la Commission européenne. Les données métier de l'entreprise ne transitent par aucun de ces prestataires.

Article 11 — Contact

Tout exercice de droits, demande d'audit ou notification est adressé à BZH Consulting Société à responsabilité limitée (SARL), à l'adresse contact@meinour.fr. L'entreprise désigne son propre point de contact ; les coordonnées d'un éventuel délégué à la protection des données sont communiquées mutuellement.