Accord de sous-traitance (DPA)

Le présent accord de sous-traitance (« DPA ») complète les CGU lorsque BFAt SASU traite des données personnelles pour le compte de l'Entreprise utilisatrice au sens de l'article 28 du RGPD.

Il est accepté simultanément aux CGU lors de l'inscription. En cas de contradiction, le DPA prévaut pour les questions de protection des données.

Responsable de traitement	L'Entreprise utilisatrice, vis-à-vis de ses prestataires et des données du registre conformité
Sous-traitant	BFAt SASU, SIREN 944 393 388, éditeur de Proceda

Le Sous-traitant traite les données personnelles uniquement pour fournir le Service : gestion des prestataires, veille RNE, stockage de pièces, relances, registre de conformité, portail lien magique, récapitulatifs e-mail.

Le traitement est limité aux instructions documentées de l'Entreprise (paramétrage du compte, activation des prestataires, envoi des sollicitations). Si une instruction paraît contraire au RGPD, le Sous-traitant en informe l'Entreprise.

• Membres de l'équipe de l'Entreprise : identité, e-mail professionnel ;
• Contacts prestataires : nom, e-mail, le cas échéant téléphone ;
• Représentants légaux et dirigeants : données publiques RNE ;
• Données de prestataire : identifiants entreprise, statuts de conformité, documents PDF ou images ;
• Données techniques : journaux d'accès, horodatages, métadonnées de dépôt.

BFAt SASU s'engage à :

• traiter les données uniquement sur instruction de l'Entreprise ;
• garantir la confidentialité des personnes autorisées à traiter les données ;
• héberger les données de production exclusivement dans l'Union européenne (prestataire actuel : Hetzner Online GmbH, Union européenne (Finlande)) ;
• mettre en œuvre des mesures de sécurité appropriées (TLS en transit, chiffrement au repos sur l'infrastructure, accès restreints) ; voir Sécurité et conformité ;
• ne pas réutiliser les données de l'Entreprise ou de ses prestataires pour entraîner des modèles d'intelligence artificielle tiers, ni pour toute finalité incompatible avec le Service, sans anonymisation préalable et information de l'Entreprise ;
• ne pas recruter un sous-traitant ultérieur sans information de l'Entreprise (liste section 6) ;
• assister l'Entreprise pour répondre aux demandes d'exercice de droits, dans la limite du Service ;
• notifier l'Entreprise sans délai indu après prise de connaissance d'une violation de données ;
• supprimer ou restituer les données en fin de contrat, sous 30 jours, sauf obligation légale ;
• mettre à disposition les informations nécessaires pour démontrer la conformité.

Confidentialité renforcée : BFAt SASU, éditeur du Service, s'engage contractuellement à la confidentialité des données traitées pour le compte de l'Entreprise.

Liste indicative au 19 octobre 2026 :

Prestataire	Finalité	Localisation
Hetzner Online GmbH	Hébergement application et base de données	Union européenne (Finlande)
Brevo (Sendinblue)	Envoi SMTP des récapitulatifs, relances et e-mails d'accompagnement initiés par les utilisateurs autorisés	Union européenne
Stripe Payments Europe Ltd.	Encaissement de l'abonnement SaaS de l'Entreprise (prélèvement récurrent)	Union européenne
Qonto (Olinda SAS)	Émission des factures légales BFAt après encaissement Stripe	Union européenne

L'Entreprise est informée par mise à jour de cette page. En cas d'opposition motivée à un nouveau sous-traitant notifié, l'Entreprise peut résilier le contrat avant la prise d'effet du changement, sans pénalité pour la période non consommée le cas échéant.

Les API publiques de l'État (registre national, recherche entreprises) ne constituent pas des sous-traitants au sens RGPD pour les données qu'elles publient légalement.

Les données sont hébergées prioritairement dans l'Union européenne. Tout transfert hors EEE par un sous-traitant ultérieur fera l'objet de garanties appropriées (CCT, décision d'adéquation) et sera documenté.

Conservation pendant la durée du contrat, puis suppression ou restitution sous 30 jours après résiliation, sous réserve :

• export demandé par l'Entreprise dans un délai raisonnable ;
• conservation imposée par une obligation légale ;
• archives techniques limitées (logs, traces de retrait de pièces avec motif) selon la politique de confidentialité.

Les retraits de pièces effectués par l'administrateur de l'Entreprise sont traités sur instruction documentée de l'Entreprise. Proceda conserve la trace technique (horodatage, auteur, motif) pour permettre la gouvernance interne ; l'Entreprise décide quelles pièces actives figurent dans ses exports de conformité.

Les demandes reçues directement par BFAt SASU concernant des données traitées pour le compte d'une Entreprise sont transmises à l'Entreprise sans délai indu, sauf instruction expresse de l'Entreprise permettant une réponse technique limitée.

L'Entreprise peut adresser un questionnaire de conformité (maximum une fois par an calendaire), sauf incident de sécurité avéré imposant un contrôle supplémentaire. Les audits sur site sont possibles avec préavis raisonnable et aux frais de l'Entreprise, sauf manquement prouvé du Sous-traitant.

La responsabilité du Sous-traitant en matière de protection des données est régie par les CGU et le droit applicable. Le Sous-traitant n'est responsable que des manquements qui lui sont directement imputables dans le cadre de ses obligations d'article 28 RGPD.

Contact données et sous-traitance : pascal [at] proceda.fr.