1. Objet et portée
Le présent accord de traitement des données, ou DPA, fait partie du contrat ArtiSimple. Il s’applique lorsque l’utilisateur confie à ArtiSimple des données personnelles pour son propre compte dans le cadre du service.
L’utilisateur est le responsable de traitement, ArtiSimple le sous-traitant et les prestataires mobilisés par ArtiSimple sont des sous-traitants ultérieurs.
2. Durée et finalité
Le traitement dure pendant la fourniture du service puis pendant les opérations limitées de restitution, suppression, sauvegarde et défense de droits prévues au contrat.
Il a pour finalité l’hébergement, l’organisation, la consultation, la génération de documents, la sauvegarde, l’assistance, la sécurisation et la maintenance des fonctions choisies par l’utilisateur.
ArtiSimple ne vend ni ne loue les données personnelles des artisans et des personnes dont ils enregistrent les données dans le service. ArtiSimple ne les utilise pas à des fins de publicité, de ciblage publicitaire ou de prospection commerciale, pour son propre compte ou celui de tiers, et ne les transmet pas à des tiers pour leur propre prospection ou publicité.
ArtiSimple ne réutilise pas les données confiées pour constituer ou enrichir des fichiers de prospection pour son propre compte ou celui de tiers.
3. Nature, catégories et personnes
Les opérations peuvent comprendre la collecte, l’enregistrement, l’organisation, la conservation, la consultation, la modification, l’extraction, la transmission sur instruction, la limitation et la suppression.
Les personnes concernées peuvent être les clients, prospects, fournisseurs, contacts, salariés et intervenants de l’utilisateur. Les données peuvent inclure identité, coordonnées, informations professionnelles, adresses, documents commerciaux, données de paiement déclarées, notes, photos et pièces jointes. Les données sensibles ne sont pas prévues et ne doivent pas être déposées sans nécessité, base légale et mesures adaptées.
4. Instructions
ArtiSimple ne traite les données que sur les instructions documentées résultant du contrat, des réglages et actions de l’utilisateur, sauf obligation légale contraire. Dans ce cas, ArtiSimple informe l’utilisateur avant le traitement sauf interdiction légale.
ArtiSimple avertit l’utilisateur si une instruction lui paraît violer la réglementation, sans se substituer à son conseil juridique.
5. Confidentialité et habilitations
ArtiSimple veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité, reçoivent une sensibilisation adaptée et n’accèdent qu’aux données nécessaires à leur mission.
6. Sécurité
Compte tenu de l’état de l’art, des coûts, de la nature du traitement et des risques, ArtiSimple met en œuvre des mesures appropriées : contrôle d’accès, authentification, séparation logique des comptes, restrictions au niveau de la base, chiffrement disponible en transit et au repos chez les prestataires, sauvegardes, journalisation utile, maintenance et gestion des incidents.
L’utilisateur configure ses accès, protège ses terminaux et évite de déposer des informations inutiles. Les mesures peuvent évoluer sans réduire matériellement le niveau global de protection.
7. Sous-traitants ultérieurs
L’utilisateur donne une autorisation générale au recours aux prestataires nécessaires. Les principaux prestataires sont FlutterFlow Inc., Supabase Inc., OVH SAS et, pour le site public, OpenAI/Sites et Cloudflare. Les fournisseurs de boutiques mobiles ou de messagerie interviennent uniquement lorsque la fonction correspondante est utilisée.
BCSolutions, SARL au capital de 12 000 euros, SIREN 445 023 427, siège social 1330 avenue Gautier de la Lauzière, Europarc de Pichaury Bâtiment C9, 13290 Aix-en-Provence, devient sous-traitant ultérieur et opérateur de la Plateforme Agréée eas’Invoice seulement lorsque cette intégration est activée pour le Client. Ses traitements couvrent alors l’onboarding, l’adressage, les factures et statuts, le e-reporting, l’hébergement, la sauvegarde, la restitution et le support.
Une modification substantielle de la liste ou de la finalité est annoncée par un moyen approprié avant sa prise d’effet. L’utilisateur peut formuler une objection motivée liée à la protection des données ; les parties recherchent alors une solution raisonnable. Lorsque la modification porte sur les dispositions minimales BCSolutions, le préavis est d’au moins trente jours et une nouvelle acceptation expresse est requise.
8. Transferts
ArtiSimple veille à ce que les transferts hors Espace économique européen réalisés par ses sous-traitants reposent sur un mécanisme valide au regard du chapitre V du RGPD, notamment décision d’adéquation ou clauses contractuelles types, avec mesures complémentaires lorsque nécessaire.
9. Aide à l’exercice des droits
Compte tenu de la nature du traitement, ArtiSimple aide raisonnablement l’utilisateur à répondre aux demandes d’accès, rectification, effacement, limitation, opposition ou portabilité. Une demande reçue directement concernant les données métier est transmise à l’utilisateur et n’est pas traitée sans son instruction, sauf obligation légale.
10. Violations de données
ArtiSimple notifie à l’utilisateur, sans retard indu après en avoir pris connaissance, toute violation de données personnelles le concernant, y compris lorsqu’elle lui est signalée par BCSolutions. La notification fournit progressivement les informations disponibles utiles : nature, catégories et volume approximatifs, conséquences probables, mesures prises ou proposées et point de contact.
Cette notification ne vaut pas reconnaissance de responsabilité. L’utilisateur demeure responsable de ses notifications à l’autorité de contrôle et aux personnes concernées, notamment du délai réglementaire de soixante-douze heures lorsqu’il s’applique.
11. Analyses et consultations
ArtiSimple fournit, dans la mesure raisonnablement disponible, les informations nécessaires aux analyses d’impact et consultations préalables liées au service. Les prestations spécifiques dépassant l’assistance standard peuvent faire l’objet d’un devis, sauf lorsqu’elles résultent d’un manquement d’ArtiSimple.
12. Restitution et suppression
Pendant la relation et avant la clôture, l’utilisateur peut demander un export assisté à support@artisimple.fr. À la fin du service, ArtiSimple restitue ou supprime les données actives selon le choix applicable et les capacités disponibles, sauf obligation de conservation.
Pour eas’Invoice, la demande de restitution peut être adressée à ArtiSimple jusqu’à trois mois après l’arrêt ou la résiliation du Service. BCSolutions y donne suite dans les trente jours, dans un format standard ouvert et documenté comprenant les factures d’origine et les statuts de cycle de vie. Aucune donnée réglementaire n’est supprimée avant la fin de sa durée de conservation ni avant l’exécution complète d’une demande recevable.
Les copies de sauvegarde sont isolées de l’usage courant et disparaissent selon leur cycle normal de rotation. Les sauvegardes eas’Invoice sont conservées au maximum quinze jours. Les données conservées pour une obligation légale ou la défense de droits restent protégées et limitées à cette finalité.
13. Informations et audit
ArtiSimple met à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent accord. Un audit est organisé d’abord sur pièces, avec un préavis raisonnable, pendant les heures ouvrées, sans compromettre la sécurité ni la confidentialité d’autres clients.
Sauf incident, demande d’une autorité ou indice sérieux de non-conformité, un audit sur place est limité à un par an. Ses coûts sont supportés par l’utilisateur, sauf non-conformité substantielle d’ArtiSimple constatée.
14. Sort des demandes publiques
Sauf interdiction légale, ArtiSimple informe l’utilisateur d’une demande contraignante d’une autorité portant sur ses données. ArtiSimple limite la communication à ce qui est légalement requis et peut contester une demande manifestement excessive lorsqu’il existe un fondement raisonnable.
15. Hiérarchie
En cas de contradiction sur la protection des données, le présent accord prévaut sur les CGU et CGV. Pour le reste, les définitions, limitations et règles de litige du contrat s’appliquent dans les limites permises par l’article 28 du RGPD.