Accord de traitement des données

Le présent accord est conclu entre la société cliente qui souscrit au service Equo expense (le « Client »), responsable du traitement, et FPF Tech, 61 rue de Lyon, 75012 Paris(l'« Éditeur »), sous-traitant au sens de l'article 28 du règlement (UE) 2016/679 (« RGPD »). Il complète les conditions générales de vente et s'applique pour toute la durée de l'abonnement, puis jusqu'à la suppression des données.

• Nature et finalité : hébergement et traitement des notes de frais du Client — saisie, lecture automatique des justificatifs, contrôle, validation, remboursement, archivage, exports comptables et bancaires, transmission des PDF aux destinataires choisis par le Client, notifications.
• Personnes concernées : les utilisateurs désignés par le Client (salariés, dirigeants, managers, comptables).
• Données: identité et coordonnées professionnelles, rôle et poste, dépenses et justificatifs, trajets et caractéristiques du véhicule pour les indemnités kilométriques, IBAN (chiffré), journal d'activité. Le Service n'est pas conçu pour des données sensibles au sens de l'article 9 du RGPD ; le Client veille à ne pas en déposer.
• Durée: celle de l'abonnement, puis la période de réversibilité prévue aux CGV.

L'Éditeur ne traite les données que sur instruction documentée du Client. Le présent accord, les CGV et le paramétrage de l'espace par ses Administrateurs constituent ces instructions. Si une instruction lui paraît contraire au RGPD, l'Éditeur en informe immédiatement le Client. Il n'utilise les données à aucune autre fin, notamment commerciale ou publicitaire.

Les personnes autorisées par l'Éditeur à accéder aux données sont soumises à une obligation de confidentialité et n'y accèdent que dans la mesure nécessaire au Service (assistance demandée par le Client, maintenance, incident).

Pour l'assistance, l'équipe de l'Éditeur ne consulte l'espace du Client qu'avec l'autorisation préalable d'un de ses Administrateurs, en lecture seule, pour la durée choisie par celui-ci (24 heures, 72 heures ou 7 jours). Cette autorisation est révocable à tout moment, et chaque consultation est inscrite au journal d'activité du Client.

L'Éditeur met en œuvre notamment les mesures suivantes :

• stockage des données et des justificatifs à Paris ;
• cloisonnement des sociétés appliqué par la base de données à chaque requête, et vérifié par des tests automatisés ;
• droits d'accès selon le rôle de chaque utilisateur ;
• chiffrement des IBAN (AES-256) avec une clé conservée hors de la base ; chiffrement des échanges (HTTPS) ;
• journal des actions sensibles, consultable et exportable par le Client ;
• conservation des justificatifs à l'identique, avec empreinte numérique de chaque fichier et horodatage électronique quotidien par une autorité d'horodatage indépendante (RFC 3161), qui ne reçoit que des empreintes ;
• perte immédiate de tout accès pour un compte désactivé.

Le détail est publié sur la page sécurité.

Le Client autorise l'Éditeur à recourir à des sous-traitants ultérieurs pour les tâches suivantes :

La liste nominative de ces sous-traitants (dénomination, siège, garanties) est communiquée au Client sur simple demande adressée au support.

L'Éditeur leur impose des obligations de protection des données équivalentes à celles du présent accord et reste responsable envers le Client de leur respect. Il informe les Administrateurs par email de tout ajout ou remplacement, au moins 30 jours à l'avance ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier son abonnement.

Certains sous-traitants ultérieurs sont établis aux États-Unis : les données peuvent y être accessibles même lorsqu'elles sont stockées en Europe. Ces transferts reposent sur le Data Privacy Framework UE–États-Unis et sur les clauses contractuelles types de la Commission européenne.

Le Service permet à chaque utilisateur d'exporter ses données et de demander la suppression de son compte, et au Client d'exporter l'ensemble des données de sa société. L'Éditeur transmet au Client, sans délai, toute demande qu'il reçoit directement d'une personne concernée, et l'aide à y répondre.

L'Éditeur notifie au Client toute violation de données personnelles dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par email aux Administrateurs. La notification décrit la nature de la violation, les données et personnes concernées, ses conséquences probables et les mesures prises, pour permettre au Client de notifier la CNIL dans le délai de 72 heures qui lui incombe.

L'Éditeur fournit au Client les informations nécessaires à ses analyses d'impact et à ses échanges avec la CNIL, pour ce qui concerne le Service.

À la fin de l'abonnement, le Client dispose de la période de réversibilité prévue aux CGV pour exporter ses données. À son terme, ou plus tôt sur demande écrite du Client, l'Éditeur supprime les données et leurs copies, sauf obligation légale de conservation.

L'Éditeur met à la disposition du Client les informations nécessaires pour démontrer le respect du présent accord. Le Client peut faire réaliser un audit, à ses frais, par un auditeur indépendant tenu au secret, moyennant un préavis de 30 jours et au plus une fois par an, sauf violation de données.

Pour toute question relative au présent accord : contact@equo-expense.com.