Accord de traitement des données (DPA).

1. Parties et qualités

Dans le cadre de l'utilisation du Service Sylenss, le Client (le commerçant qui souscrit l'abonnement) agit en tant que responsable du traitement pour les données à caractère personnel qu'il traite via le Service (ses clients et son personnel). Sylenss, ci-dessous identifié, agit en tant que sous-traitant au sens de l'article 28 du RGPD.

FUSE SOLUTIONS BV, éditeur du logiciel Sylenss
E-mail : info@sylenss.be
Numéro d'entreprise / TVA : BE 1027.949.184
Siège : Steenweg op Ruisbroek 257, 1620 Drogenbos, Belgique

2. Objet et instructions

Le sous-traitant traite les données à caractère personnel décrites ci-dessous exclusivement pour le compte du responsable du traitement, dans le seul but de fournir, exploiter, maintenir et sécuriser le Service Sylenss, et sur instruction documentée du responsable du traitement telle qu'elle résulte de sa configuration et de son utilisation du Service. Le sous-traitant n'utilise ces données à aucune autre fin (notamment aucune revente, aucun profilage publicitaire, aucun transfert commercial à des tiers).

3. Catégories de personnes concernées

• les clients du responsable du traitement (fiches clients, acheteurs enregistrés dans le Service) ;
• le personnel du responsable du traitement autorisé à utiliser le Service (comptes utilisateurs : administrateurs et caissiers).

4. Catégories de données traitées

Le Service traite, selon l'usage qu'en fait le Client :

• Données des clients du Client : identité (nom, raison sociale), coordonnées (e-mail, téléphone, adresse), numéro de TVA et identifiant Peppol le cas échéant, historique d'achats et de crédit client, documents commerciaux associés (devis, bons de commande, bons de livraison, factures, notes de crédit, retours) ;
• Données du personnel du Client : identifiant de connexion, nom complet, e-mail, téléphone, rôle (administrateur / caissier), statistiques de vente liées à l'activité de caisse, et identifiants de connexion protégés (mot de passe et code PIN, uniquement sous forme de hachage salé — jamais en clair) ;
• Données de facturation Peppol transmises pour le compte du Client via le réseau Peppol lorsque cette fonctionnalité est utilisée.

Aucune catégorie particulière de données (article 9 RGPD) n'est traitée par le Service dans son usage normal.

5. Durée du traitement

Le sous-traitant traite les données pendant toute la durée de l'abonnement du Client. À la résiliation, les données sont traitées selon les modalités de conservation et de suppression décrites à l'article 9 ci-dessous et dans la politique de confidentialité.

6. Mesures de sécurité

Le sous-traitant met en œuvre les mesures techniques et organisationnelles suivantes, proportionnées au risque :

• une instance (application et données) dédiée et isolée par client, sans mutualisation des données entre clients ;
• authentification par session, avec un cookie de session signé et exclusivement accessible côté serveur (HttpOnly), sans base de sessions partagée ;
• mots de passe et codes PIN jamais stockés en clair : hachage salé (scrypt) à sens unique ;
• gestion des rôles (administrateur / caissier) limitant l'accès aux fonctions selon le profil de l'utilisateur ;
• sauvegardes quotidiennes des données de chaque client, conservées 14 jours ;
• vérification cryptographique de l'origine des notifications de paiement (signature du prestataire de paiement) avant toute mise à jour de l'état de l'abonnement.

Le sous-traitant ne revendique aucune certification de sécurité (ISO 27001 ou équivalent) : les mesures ci-dessus décrivent ce qui est effectivement mis en œuvre à ce jour, pas un engagement de conformité à une norme tierce.

7. Sous-traitants ultérieurs

Le responsable du traitement autorise de manière générale le recours par Sylenss aux sous-traitants ultérieurs suivants, nécessaires à la fourniture du Service :

• Stripe — traitement des paiements par carte et des prélèvements de l'abonnement (Union européenne / États-Unis). Stripe agit comme sous-traitant ultérieur pour les seules données de paiement transmises lors de la souscription ou du renouvellement de l'abonnement ;
• Peppyrus (Belgique) — point d'accès au réseau Peppol, pour l'envoi et la réception des factures électroniques du Client lorsque celui-ci utilise cette fonctionnalité ;
• Hébergement — le Service est hébergé sur une infrastructure serveur (VPS) exploitée par Sylenss, située dans l'Union européenne ; les coordonnées du fournisseur d'infrastructure physique sous-jacent sont communiquées sur demande.

Sylenss informe le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, lui donnant la possibilité de s'y opposer pour des motifs raisonnables liés à la protection des données.

8. Transferts internationaux

Les données sont hébergées et traitées par principe au sein de l'Espace économique européen. Dans la mesure où un sous-traitant ultérieur (notamment Stripe) implique un traitement en dehors de l'EEE, ce transfert repose sur les garanties appropriées prévues par le RGPD (notamment les clauses contractuelles types de la Commission européenne).

9. Sort des données à la fin du contrat

À la résiliation de l'abonnement, le responsable du traitement reçoit, sur simple demande et sans frais, un export complet des données traitées pour son compte (produits, clients, ventes, documents).

Après résiliation effective de l'instance, les données sont archivées. Les documents à caractère comptable et fiscal (factures, notes de crédit, pièces justificatives) sont conservés archivés pendant 10 ans à compter de l'archivage, conformément à l'obligation légale belge de conservation des documents comptables et fiscaux, puis détruits définitivement. Aucune donnée n'est conservée au-delà de cette période, sauf obligation légale contraire.

10. Notification de violation de données

En cas de violation de données à caractère personnel affectant les données traitées pour le compte du responsable du traitement, le sous-traitant en informe celui-ci sans délai injustifié après en avoir eu connaissance, et au plus tard dans les 48 heures, en lui communiquant les informations raisonnablement disponibles pour lui permettre de respecter ses propres obligations de notification (article 33 et 34 RGPD).

11. Assistance et droit d'audit du responsable du traitement

Le sous-traitant assiste le responsable du traitement, dans une mesure raisonnable compte tenu de la nature du traitement, pour répondre aux demandes d'exercice des droits des personnes concernées et pour ses obligations relatives à la sécurité, aux violations de données et, le cas échéant, aux analyses d'impact.

Le responsable du traitement peut demander au sous-traitant les informations nécessaires pour démontrer le respect des obligations du présent article et, moyennant un préavis raisonnable et pendant les heures ouvrables, faire réaliser un audit ou une inspection portant sur le traitement de ses propres données, dans une mesure qui ne compromet pas la sécurité ou la confidentialité des données des autres clients de Sylenss.

12. Contact

Pour toute question relative au présent DPA ou à la protection des données : info@sylenss.be ou via la page contact. Voir également notre politique de confidentialité.