Accord de traitement des données (DPA)
NOTES DE RECHERCHE — PAS UN CONSEIL JURIDIQUE — À FAIRE RELIRE PAR UN AVOCAT AVANT SIGNATURE
Le Sous-traitant
Renaud Patris, entrepreneur individuel (personne physique) exerçant sous la dénomination commerciale Red Panda Studio, inscrit à la Banque-Carrefour des Entreprises sous le numéro 1043.832.341 (TVA BE 1043.832.341 — unité d'établissement 2.395.215.357), Rue Entre-Deux-Portes 108, 4500 Huy, Belgique. Contact : privacy@ordavena.app.
Le Responsable de traitement
[Nom de la société du client] — [numéro d'entreprise] — [adresse] — [pays]. Contact DPA : [adresse email du DPO ou représentant légal].
Ensemble les « Parties ».
Préambule
Le Sous-traitant fournit au Responsable de traitement le service Ordavena (outil de gestion en ligne : devis, factures, paiements, relances, assistant IA) en vertu des Conditions d'utilisation. Dans ce cadre, le Sous-traitant est amené à traiter des données à caractère personnel pour le compte du Responsable de traitement, au sens de l'article 4(8) du Règlement (UE) 2016/679 (RGPD). Le présent accord (« DPA ») encadre ce traitement conformément à l'article 28 RGPD. En cas de conflit avec les Conditions d'utilisation, le présent DPA prévaut pour tout ce qui concerne le traitement des données personnelles.
1. Objet et durée
Le Sous-traitant traite les données à caractère personnel décrites ci-après, pour le compte et sur instruction du Responsable de traitement, aux fins de fourniture du service Ordavena. Le présent DPA prend effet à la date de souscription aux Conditions d'utilisation et reste en vigueur tant que le Sous-traitant traite des données pour le compte du Responsable de traitement. Il prend fin automatiquement à l'expiration ou à la résiliation du contrat de service.
2. Nature, finalité et type de traitement
Nature : collecte, stockage, structuration, consultation, modification, export et suppression de données dans le cadre de la fourniture du service Ordavena. Finalités : (a) création et gestion de devis, factures et avoirs pour le compte du client ; (b) suivi des paiements et envoi de relances aux contacts du client ; (c) assistance à la rédaction et à l'analyse par IA ; (d) tenue du journal d'activité et fourniture d'exports comptables. Le Sous-traitant ne traite pas les données à d'autres fins sans instruction préalable du Responsable de traitement.
3. Catégories de données et personnes concernées
Catégories de données traitées : données d'identification (nom, dénomination sociale, numéro de TVA), données de contact (adresse postale, email, téléphone), données financières (montants, conditions de paiement, statuts de règlement), données documentaires (devis, factures, avoirs au format PDF), données de communication (contenu des emails de relance), extraits de données transmis au fournisseur d'IA pour rédaction et analyse. Aucune donnée de catégorie spéciale (art. 9 RGPD) n'est traitée. Personnes concernées : clients, prospects et contacts commerciaux du Responsable de traitement, ainsi que leurs représentants légaux.
4. Instructions documentées (Art. 28(3)(a))
Le Sous-traitant traite les données personnelles uniquement sur instruction documentée du Responsable de traitement. Les Conditions d'utilisation et le présent DPA constituent les instructions initiales ; toute instruction complémentaire est transmise par écrit (email ou interface de paramétrage). Si une obligation légale de l'Union ou du droit belge impose au Sous-traitant un traitement non couvert par ces instructions, il en informe le Responsable de traitement préalablement, sauf si la loi interdit cette information.
5. Confidentialité du personnel (Art. 28(3)(b))
Le Sous-traitant s'assure que les personnes autorisées à traiter les données personnelles (collaborateurs, prestataires) sont soumises à une obligation de confidentialité appropriée, contractuelle ou statutaire, qui subsiste après la fin de leurs fonctions.
6. Mesures de sécurité (Art. 28(3)(c) et Art. 32 RGPD)
Le Sous-traitant met en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque : isolation des données de chaque entreprise au niveau de la base de données (sécurité au niveau des lignes) ; chiffrement des échanges en transit (TLS) ; contrôle d'accès par rôle et authentification multifacteur disponible ; journalisation de chaque accès, y compris les interventions de support, visible dans le journal d'activité du Responsable de traitement ; sauvegardes chiffrées toutes les six heures sur un volume distinct de la base de données, conservées 35 jours, avec test de restauration automatisé quotidien ; procédure documentée de gestion des incidents de sécurité. Sur demande, le Sous-traitant communique une description actualisée de ses mesures de sécurité.
7. Sous-traitants ultérieurs (Art. 28(2), (3)(d) et (4))
Autorisation générale : le Responsable de traitement accorde au Sous-traitant une autorisation générale de recourir aux sous-traitants ultérieurs listés à l'Annexe A. Le Sous-traitant leur impose des obligations équivalentes à celles du présent DPA et demeure pleinement responsable de leurs manquements. Modifications : le Sous-traitant informe le Responsable de traitement de toute addition ou remplacement de sous-traitant avec un préavis minimum de 30 jours, par email à l'adresse du compte Ordavena. Le Responsable de traitement peut s'y opposer par écrit motivé dans ce délai ; à défaut d'accord, il peut résilier le contrat sans pénalité.
8. Assistance droits des personnes (Art. 28(3)(e))
Le Sous-traitant assiste le Responsable de traitement, dans la mesure du possible, pour l'exercice des droits des personnes concernées (accès, rectification, effacement, portabilité, limitation, opposition — art. 15–22 RGPD). Les données exportables depuis l'interface (CSV, archive complète) permettent au Responsable de traitement de répondre directement à la majorité des demandes. Pour les demandes d'assistance spécifiques : privacy@ordavena.app, traitées dans un délai permettant au Responsable de traitement de respecter ses délais légaux.
9. Assistance obligations RGPD Art. 32–36 (Art. 28(3)(f))
Le Sous-traitant assiste le Responsable de traitement dans le respect des obligations relatives à : la sécurité du traitement (art. 32) ; la notification des violations de données (art. 33–34) ; l'analyse d'impact relative à la protection des données (art. 35) ; la consultation préalable de l'autorité de contrôle (art. 36) — compte tenu de la nature du traitement et des informations dont le Sous-traitant dispose.
10. Restitution et suppression des données (Art. 28(3)(g))
Export à tout moment : le Responsable de traitement peut exporter l'intégralité de ses données (CSV et archive complète) depuis l'interface Ordavena pendant toute la durée du contrat. Suppression : à la fin du contrat, ou à tout moment sur demande du Responsable de traitement depuis l'interface ou par email, le Sous-traitant supprime les données à caractère personnel à l'issue d'un délai de grâce de 30 jours (pendant lequel la demande est annulable et l'export reste disponible) ; les données disparaissent des sauvegardes au plus tard 35 jours plus tard. La conservation légale des documents comptables du Responsable de traitement lui incombe et est satisfaite par l'export ; le Sous-traitant ne conserve pas ses données à ce titre. Sur demande, une attestation écrite de suppression est fournie dans les 15 jours suivant sa réalisation.
11. Audit et information (Art. 28(3)(h))
Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect du présent DPA. Les demandes d'audit doivent être adressées à privacy@ordavena.app avec un préavis minimum de 30 jours. En première instance, le Sous-traitant répond par la fourniture de documentation écrite. Les audits physiques éventuels sont soumis à des conditions de confidentialité protégeant les données des autres clients.
12. Notification de violation de données (Art. 33(2) RGPD)
Le Sous-traitant notifie le Responsable de traitement sans délai injustifié et au plus tard dans les 48 heures après avoir pris connaissance d'une violation de données le concernant. La notification est adressée à l'email du compte Ordavena et contient, dans la mesure du possible : la nature de la violation et les catégories et volumes approximatifs de données et de personnes concernées ; les coordonnées du point de contact du Sous-traitant ; les conséquences probables ; les mesures prises ou envisagées pour y remédier. Le Sous-traitant assiste le Responsable de traitement dans ses propres obligations de notification à l'autorité de contrôle et aux personnes concernées.
13. Transferts internationaux (Art. 28(3) et Chapitre V RGPD)
L'ensemble des données est hébergé et traité dans l'Union européenne. L'hébergement, sauvegardes comprises, est assuré par OVHcloud SAS (France). L'assistance IA est fournie par Mistral AI SAS (Paris, France) via son point d'accès européen (api.eu.mistral.ai). Le Sous-traitant n'effectue aucun transfert hors de l'EEE. Les accès éventuels depuis un pays tiers par les propres sous-traitants de Mistral AI (sécurité, réseau de distribution) sont encadrés par le DPA de Mistral AI conformément au chapitre V du RGPD. Tout autre transfert futur serait notifié conformément à l'article 7.
14. Responsabilité (Art. 82 RGPD)
Chaque Partie est responsable des dommages causés par un traitement non conforme au RGPD qui lui est imputable. Le Sous-traitant n'est responsable que s'il n'a pas respecté les obligations du RGPD spécifiquement applicables aux sous-traitants, ou s'il a agi en dehors ou contrairement aux instructions licites du Responsable de traitement. La responsabilité financière du Sous-traitant au titre du présent DPA est plafonnée conformément aux Conditions d'utilisation.
15. Dispositions finales
Forme : le présent DPA est établi par écrit, y compris sous forme électronique (art. 28(9) RGPD). Modifications : toute modification fait l'objet d'un accord écrit. Le Sous-traitant peut modifier le DPA pour se conformer à de nouvelles obligations légales, avec un préavis de 30 jours. Droit applicable : droit belge. Juridictions : tribunaux de l'arrondissement judiciaire de Liège (Belgique), sans préjudice du droit de toute Partie de saisir l'autorité de contrôle compétente. Autorité de contrôle du Sous-traitant : Autorité de Protection des Données (APD) — autoriteprotectiondonnees.be — 35 rue de la Presse, 1000 Bruxelles, Belgique.
Annexe A — Sous-traitants ultérieurs autorisés
Liste des sous-traitants ultérieurs autorisés au titre de l'article 7 du présent DPA. Toute modification donne lieu à une notification préalable de 30 jours conformément à l'article 7.
| Sous-traitant / Sub-processor | Rôle / Role | Localisation / Location | Garantie / Safeguard |
|---|---|---|---|
| OVHcloud SAS (RCS Lille Métropole 424 761 419)DPA du sous-traitant ↗ | Hébergement (serveur dédié), sauvegardes chiffrées comprises | France (Union européenne) | Données dans l'UE — aucun transfert hors EEE |
| Mistral AI SAS (RCS Paris 952 418 325)DPA du sous-traitant ↗ | Assistance IA (rédaction, analyse sur extraits de données) et lecture des justificatifs | Union européenne (point d’accès api.eu.mistral.ai) | Traitement dans l'UE ; accès éventuels hors EEE de ses propres sous-traitants (sécurité, réseau) encadrés par le DPA Mistral (chapitre V RGPD) |
Liste mise à jour disponible sur demande à privacy@ordavena.app.
Signatures
Pour le Sous-traitant — Renaud Patris (Red Panda Studio)
Qualité : entrepreneur individuel, titulaire de l'entreprise
Date : _______________
Signature : _______________
Pour le Responsable de traitement — [Nom société]
Représenté par : _______________
Qualité : _______________
Date : _______________
Signature : _______________
Version du 22 octobre 2026. Ce DPA est accepté avec les conditions d'utilisation lors de la souscription. Pour le recevoir signé : privacy@ordavena.app.