Contrat de sous-traitance de données personnelles (article 28 du RGPD)

1. Parties, rôles et objet

• Sous-traitant : AceFisc, éditeur de la plateforme AceFisc (informations d’identification dans les mentions légales). Contact : cedric@acefisc.lu.
• Responsable du traitement : le Cabinet, c’est-à-dire l’organisation pour laquelle l’espace AceFisc a été créé, représentée par l’administrateur qui accepte ce contrat (son nom, la date et la version acceptée sont enregistrés).

Pour les données que le Cabinet enregistre dans AceFisc (ses clients, leurs dirigeants et bénéficiaires effectifs, ses contacts, ses collaborateurs, les personnes dont il saisit les données), le Cabinet est responsable du traitement et AceFisc son sous-traitant. Pour la gestion du compte, la facturation de l’abonnement, la sécurité de la plateforme et la relation commerciale, AceFisc agit pour son propre compte (voir la politique de confidentialité) : ces traitements ne relèvent pas de ce contrat.

Objet : AceFisc met à disposition du Cabinet la plateforme AceFisc (CRM, KYC et vigilance LBC/FT, missions, temps, facturation, documents, synchronisation avec BOB50, assistant Ace AI…) et traite à ce titre des données personnelles pour le compte du Cabinet.

2. Durée

Ce contrat s’applique tant qu’AceFisc traite des données pour le compte du Cabinet : pendant l’abonnement, puis jusqu’à la suppression des données (section 11).

3. Description des traitements

La nature, la finalité, les catégories de données et de personnes concernées et la durée de chaque traitement sont décrites à l’annexe 1. Le Cabinet détermine les données qu’il saisit. AceFisc n’a pas pour finalité de traiter des catégories particulières de données (article 9 du RGPD) ; des données relatives à des infractions ou à des sanctions peuvent toutefois figurer dans le cadre de la vigilance LBC/FT que le Cabinet doit exercer.

4. Instructions

AceFisc traite les données uniquement sur instructions documentées du Cabinet, y compris pour les transferts hors de l’Union : ce contrat, les conditions d’utilisation, l’usage de la plateforme par les utilisateurs du Cabinet et les paramètres que le Cabinet choisit constituent ses instructions. Si le droit de l’Union ou d’un État membre impose un traitement différent, AceFisc en informe le Cabinet avant le traitement, sauf interdiction légale.

AceFisc informe immédiatement le Cabinet si une instruction lui paraît contraire au RGPD.

5. Confidentialité et secret professionnel

Les personnes qu’AceFisc autorise à traiter les données du Cabinet sont tenues à la confidentialité. Leur accès est limité à ce qui est nécessaire au fonctionnement du service, à l’assistance demandée par le Cabinet et à la sécurité.

Le Cabinet informe AceFisc que certaines données sont couvertes par le secret professionnel auquel il est tenu. AceFisc les traite avec le même niveau de confidentialité et impose cette obligation à ses sous-traitants ultérieurs.

6. Sécurité

AceFisc met en œuvre les mesures techniques et organisationnelles décrites à l’annexe 2 (article 32 du RGPD) et les maintient à un niveau au moins équivalent pendant toute la durée du contrat. Toute évolution ne peut pas en réduire le niveau global de protection.

7. Sous-traitants ultérieurs

Le Cabinet donne à AceFisc une autorisation générale de recourir aux sous-traitants ultérieurs listés à l’annexe 3. AceFisc informe le Cabinet de tout ajout ou remplacement au moins 30 jours avant sa mise en œuvre, par un message adressé aux administrateurs du Cabinet et une mise à jour de l’annexe 3, avec les mêmes informations (identité, finalité, localisation, garanties).

Le Cabinet peut s’y opposer, pour des motifs raisonnables tenant à la protection des données, pendant ce délai. Les parties cherchent alors une solution de bonne foi ; à défaut, le Cabinet peut mettre fin au service concerné.

AceFisc impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles de ce contrat, et reste pleinement responsable envers le Cabinet de leur exécution.

8. Transferts hors de l’Espace économique européen

AceFisc héberge et traite les données dans l’Union européenne. Les seuls transferts hors de l’Espace économique européen, ou accès depuis l’extérieur, sont ceux de l’annexe 3 ; chacun est encadré par des garanties appropriées (article 46 du RGPD) : clauses contractuelles types de la Commission européenne (décision 2021/914) ou cadre de protection des données UE–États-Unis. Le Cabinet autorise ces transferts. Sur demande, AceFisc fournit au Cabinet les informations dont il a besoin pour évaluer ces transferts.

9. Assistance au Cabinet

AceFisc aide le Cabinet, compte tenu de la nature du traitement :

• pour répondre aux demandes d’exercice des droits des personnes (accès, rectification, effacement, limitation, portabilité, opposition) : AceFisc transmet au Cabinet toute demande qu’il reçoit directement ; le Cabinet dispose des outils d’export et d’anonymisation de la plateforme (Paramètres › Conformité RGPD) et, pour le reste, de l’aide d’AceFisc sur demande ;
• pour garantir la sécurité du traitement, notifier les violations de données et réaliser les analyses d’impact et consultations préalables (articles 32 à 36 du RGPD) : AceFisc fournit les informations nécessaires sur ses traitements, ses sous-traitants et ses mesures, notamment pour l’analyse d’impact relative aux fonctions d’IA.

10. Violations de données

AceFisc notifie le Cabinet, dans les meilleurs délais après en avoir pris connaissance, de toute violation de données personnelles affectant les données du Cabinet, à l’adresse de contact protection des données renseignée dans l’espace du Cabinet, ou à défaut à ses administrateurs. La notification décrit, autant que possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, les conséquences probables et les mesures prises ou proposées. AceFisc complète l’information au fur et à mesure et aide le Cabinet à remplir ses obligations de notification.

Le Cabinet reste responsable de la notification à l’autorité de contrôle (CNPD au Luxembourg, Autorité de protection des données en Belgique) et aux personnes concernées.

11. Fin du contrat

À la fin de l’abonnement, le Cabinet peut exporter ses données. AceFisc supprime ou anonymise ensuite les données du Cabinet dans un délai maximal de 90 jours, sauf obligation légale de conserver certaines données, et le confirme sur demande. Les copies de sauvegarde sont supprimées selon le cycle de conservation de l’hébergeur de la base de données. Les données conservées en vertu d’une obligation légale le sont sous la seule responsabilité du Cabinet.

12. Preuves de conformité et audit

AceFisc met à la disposition du Cabinet les informations nécessaires pour démontrer le respect de ce contrat. Le Cabinet, ou un auditeur qu’il mandate et qui est tenu à la confidentialité, peut réaliser un audit, avec un préavis raisonnable, au plus une fois par an sauf violation avérée, à ses frais, sans accéder aux données d’autres cabinets. AceFisc peut satisfaire d’abord à la demande par des preuves documentaires (descriptions des mesures, rapports et attestations de ses sous-traitants ultérieurs).

13. Obligations du Cabinet

Le Cabinet, responsable du traitement, s’engage à :

• disposer d’une base légale pour chaque traitement qu’il confie à AceFisc et informer les personnes concernées (ses clients, leurs dirigeants et bénéficiaires effectifs, ses collaborateurs), y compris de l’usage d’AceFisc, de ses sous-traitants ultérieurs et de l’intelligence artificielle ;
• ne donner que des instructions licites et ne saisir que les données nécessaires ;
• respecter le secret professionnel et, lorsqu’il y est soumis, obtenir de ses clients les accords que la loi exige avant de recourir à un prestataire tel qu’AceFisc ;
• pour les fonctions d’IA (Ace AI) : décider de leur activation, réaliser l’analyse d’impact lorsqu’elle est requise, informer son personnel avant tout usage des journaux à des fins de contrôle, ne transcrire une réunion qu’après avoir informé les participants et obtenu leur accord, et ne pas utiliser l’IA pour évaluer des personnes (solvabilité, recrutement, performance) ni pour analyser des émotions ;
• renseigner un contact protection des données dans AceFisc et le tenir à jour.

14. Responsabilité et droit applicable

La responsabilité de chaque partie est régie par les conditions d’utilisation d’AceFisc, sans préjudice des droits des personnes concernées (article 82 du RGPD).

Ce contrat est régi par le droit luxembourgeois, sans préjudice des dispositions impératives applicables aux cabinets établis en Belgique. Les parties s’interdisent d’y déroger par des conditions moins protectrices des données personnelles. Une nouvelle version est présentée à l’administrateur du Cabinet, qui doit l’accepter ; l’ancienne reste enregistrée comme preuve.

Questions : cedric@acefisc.lu.

Annexe 1 — Détail des traitements

Annexe 2 — Mesures de sécurité

• Hébergement dans l’Union européenne, en Allemagne (base de données : Francfort ; serveurs applicatifs : Nuremberg et Falkenstein).
• Isolation entre cabinets : chaque cabinet n’accède qu’à ses données, par des règles d’accès appliquées au niveau de la base de données (par organisation), des rôles et des permissions ; ces contrôles sont couverts par des tests automatisés.
• Authentification : mot de passe d’au moins 12 caractères (refus des mots de passe courants et de ceux construits sur l’identité), authentification à deux facteurs (code à usage unique) obligatoire pour les utilisateurs, expiration de la session après inactivité (4 h pour les administrateurs, 8 h pour les autres rôles).
• Chiffrement : communications chiffrées en transit (HTTPS) ; données les plus sensibles (IBAN, identifiants de connexion à la comptabilité) chiffrées au niveau applicatif (AES-256-GCM).
• Traçabilité : journal d’audit des actions sensibles et journal d’activité ; accès aux informations personnelles journalisé.
• Limitation du débit des requêtes et validation des données reçues.
• Sauvegardes : sauvegardes quotidiennes de la base de données par l’hébergeur ; plan de reprise après sinistre documenté.
• Effacement : anonymisation (et non suppression physique) des clients et des utilisateurs, dans le respect des durées légales de conservation.
• IA : traitement par Amazon Web Services dans l’Union européenne uniquement ; contenus non utilisés pour entraîner des modèles ; audio jamais enregistré ; aucune écriture ni envoi sans confirmation d’un collaborateur ; données d’IA non conservées plus de 365 jours ; accès subordonné à l’activation par le Cabinet et à l’acceptation d’une notice par chaque collaborateur.
• Gestion des incidents : procédure interne de qualification, de confinement et de retour d’expérience.

Annexe 3 — Sous-traitants ultérieurs

Hors contrat : Stripe traite les données de facturation de l’abonnement du Cabinet (AceFisc agit pour son propre compte) ; aucune donnée des clients du Cabinet ne lui est transmise.