Accord de sous-traitance des données personnelles
Comment FORMALITES ONLINE traite, pour votre compte et sur vos instructions, les données des personnes de votre dossier : sécurité, confidentialité, sous-traitants, droits des personnes, conservation et suppression (article 28 du RGPD).
Ce que cet accord vous garantit
Vos instructions, rien d’autre
Nous ne traitons les données de votre dossier que pour la formalité commandée, sur vos instructions, avec des accès cloisonnés et des personnes tenues à la confidentialité.
Des documents protégés
Coffre-fort privé hors médiathèque, noms de fichiers imprévisibles, téléchargement contrôlé, échanges chiffrés, aucune pièce jointe dans les e-mails.
Des sous-traitants identifiés
Formalistes partenaires liés par contrat, hébergement dans l’Union européenne : la liste complète figure en annexe B et toute évolution vous est signalée.
Une fin de vie maîtrisée
Accès à vos documents trois mois après la clôture, puis suppression des fichiers à l’échéance du calendrier de conservation, avec préavis. Copie sur demande à rgpd@formalitesonline.fr.
1. Objet et parties
- Dénomination : FORMALITES ONLINE, SAS au capital de 500 €
- Siège : Bureau 326, 59 rue de Ponthieu, 75008 Paris
- RCS Paris : 108 656 976
- TVA intracommunautaire : FR15 108 656 976
- Président : Monsieur Ahmed HACENE
- Contact données personnelles : rgpd@formalitesonline.fr
Le présent accord (« l’Accord ») fixe les conditions dans lesquelles FORMALITES ONLINE (« le Sous-traitant ») traite des données à caractère personnel pour le compte et sur les instructions documentées du client professionnel qui commande une prestation de formalité sur le Site (« le Responsable de traitement » ou « le Client »), conformément à l’article 28 du RGPD.
Il complète les Conditions générales de vente et la Politique de confidentialité. Il s’applique à chaque commande passée sur le Site dès sa validation ; la case d’acceptation des Conditions générales de vente et la case de consentement au traitement des données valent acceptation de l’Accord par le Client.
Lorsque FORMALITES ONLINE détermine elle-même les finalités et les moyens d’un traitement (gestion commerciale, facturation, sécurité de ses services, relation avec ses formalistes partenaires), elle agit comme responsable de traitement et la Politique de confidentialité s’applique seule.
2. Description du traitement
- Nature et finalité : préparation, vérification, dépôt et suivi des formalités juridiques et administratives d’entreprise commandées par le Client (création, modification, transfert, dissolution, radiation, dépôt des comptes, bénéficiaires effectifs, annonces légales) auprès des greffes, du Guichet unique de l’INPI et des administrations compétentes ; mise à disposition des documents définitifs dans l’espace client ; échanges avec le Client par la messagerie du dossier.
- Durée : le temps du traitement de la formalité et de son suivi, puis la durée de conservation fixée à l’article 9.
- Catégories de personnes concernées : représentants légaux, dirigeants, associés, bénéficiaires effectifs, liquidateurs, mandataires et interlocuteurs du Client mentionnés dans le dossier.
- Catégories de données : identité et coordonnées ; date et lieu de naissance, nationalité, situation matrimoniale ; numéro de sécurité sociale lorsque le Guichet unique l’exige (gérant affilié, associé indéfiniment responsable) ; qualité dans l’entreprise et parts détenues ; pièces d’identité, justificatifs de domicile et d’occupation du siège, statuts, procès-verbaux, attestations et déclarations ; données de commande et de facturation ; contenu des échanges relatifs au dossier.
Le Client ne transmet que les documents utiles à la prestation. Aucune donnée dite sensible au sens de l’article 9 du RGPD n’est demandée en dehors de ce que la formalité impose.
3. Instructions du Responsable de traitement
Le Sous-traitant ne traite les données que sur instruction documentée du Client. La commande, le questionnaire du dossier, les pièces déposées et les messages échangés dans l’espace client constituent ces instructions.
Si le Sous-traitant estime qu’une instruction contrevient au RGPD ou à une autre disposition applicable, il en informe le Client sans délai et peut suspendre l’exécution de l’instruction concernée.
Le Sous-traitant informe le Client si une obligation légale lui impose un traitement non prévu, sauf interdiction pour des motifs importants d’intérêt public.
4. Confidentialité
Les personnes autorisées à traiter les données (personnel de FORMALITES ONLINE et formalistes partenaires) s’engagent à la confidentialité par contrat et ne reçoivent que les informations nécessaires à leur intervention.
La plateforme cloisonne les accès : chaque formaliste partenaire n’accède qu’aux dossiers qui lui sont confiés ; il ne voit ni le prix payé par le Client ni ses coordonnées directes (adresse e-mail, téléphone), les échanges passant par la messagerie du dossier.
5. Sécurité
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées décrites en annexe A, notamment :
- chiffrement des échanges (HTTPS) et connexion sans mot de passe par code à usage unique reçu par e-mail, bloqué après cinq essais ;
- stockage des documents hors de la médiathèque du site, dans un dossier privé protégé, sous des noms de fichiers imprévisibles, avec téléchargement contrôlé (jeton, droits sur le dossier, contrôle du chemin) ;
- cloisonnement strict des accès par rôle (client, formaliste, administration) ;
- chiffrement des identifiants techniques stockés (comptes INPI, messagerie) ;
- journalisation des opérations du dossier (dépôts, mises à disposition, confirmations, clôtures, purges) ;
- pièces internes invisibles du Client tant qu’elles ne sont pas mises à disposition ; aucune pièce jointe ni contenu de message dans les e-mails de notification ;
- sauvegardes et hébergement décrits en annexe B.
Le Sous-traitant revoit ces mesures au regard de l’évolution des risques et des services.
6. Sous-traitants ultérieurs
Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés en annexe B (formalistes partenaires indépendants, hébergeur, services techniques). Le Sous-traitant informe le Client de tout ajout ou remplacement par la mise à jour de l’annexe B publiée sur le Site ; le Client dispose de quinze jours pour émettre une objection motivée. En cas d’objection, les parties recherchent une solution ; à défaut, le Client peut résilier la commande concernée sans frais pour les prestations non exécutées.
Le Sous-traitant impose à chaque sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles du présent Accord et reste pleinement responsable envers le Client de l’exécution de ces obligations.
Les greffes, l’INPI (Guichet unique, Registre national des entreprises), les journaux d’annonces légales et les administrations sont des destinataires légaux des données, responsables de leurs propres traitements ; ils ne sont pas des sous-traitants ultérieurs. Le prestataire de paiement traite les données de carte bancaire en qualité de responsable de traitement autonome.
7. Droits des personnes et assistance
Le Sous-traitant aide le Client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes d’exercice des droits des personnes (accès, rectification, effacement, limitation, opposition, portabilité). Toute demande reçue directement par le Sous-traitant est transmise au Client sans délai, sauf lorsque le Sous-traitant agit comme responsable de traitement.
Le Sous-traitant assiste le Client, compte tenu de la nature du traitement et des informations dont il dispose, pour le respect des obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable de l’autorité de contrôle.
8. Violation de données
Le Sous-traitant notifie au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir eu connaissance, et au plus tard dans les 48 heures, à l’adresse e-mail du compte client, avec les informations disponibles : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou proposées. Les informations sont complétées au fur et à mesure.
Le Sous-traitant documente les violations et coopère avec le Client pour la notification à la CNIL dans les 72 heures et, le cas échéant, l’information des personnes.
9. Sort des données à la fin de la prestation
Pendant le traitement du dossier et jusqu’à sa clôture, le Client accède à ses documents dans son espace client. Après clôture, les documents restent consultables et téléchargeables dans l’espace client pendant trois mois ; un rappel est adressé trente jours avant la fin de cet accès.
À l’issue de la durée de conservation fixée par le calendrier de conservation de FORMALITES ONLINE (durée indiquée dans la Politique de confidentialité et rappelée par e-mail au Client avant l’échéance), les fichiers du dossier (pièces d’identité, justificatifs, documents remis) et les questionnaires de formalité sont supprimés définitivement. Sont conservés, avec un accès restreint et pour la seule preuve de la prestation ou une obligation légale : le récapitulatif du dossier, la liste des pièces (nom, date, statut), les factures, les échanges et le journal des opérations.
Le Client peut demander à tout moment, avant la suppression, une copie de ses documents à rgpd@formalitesonline.fr ; la restitution s’effectue dans l’espace client ou par tout moyen sécurisé convenu. En cas de réclamation ou de litige, les seuls éléments nécessaires peuvent être conservés au-delà, pour la durée de la procédure.
10. Documentation et audit
Le Sous-traitant met à la disposition du Client les informations nécessaires pour démontrer le respect du présent Accord : description des traitements et des mesures de sécurité (annexes), journal des opérations du dossier consultable dans l’espace client, liste des sous-traitants ultérieurs.
Le Client peut, une fois par an au plus, sauf incident ou demande d’une autorité, faire réaliser un audit documentaire par lui-même ou par un auditeur indépendant soumis à la confidentialité, avec un préavis de trente jours et en dehors des périodes de forte activité. Les parties conviennent du périmètre, de la durée et des modalités ; l’audit ne porte pas sur les données des autres clients. Les frais sont à la charge du Client sauf manquement avéré.
11. Transferts hors de l’Union européenne
Les données sont hébergées et traitées dans l’Union européenne (annexe B). Aucun transfert vers un pays tiers n’est réalisé sans instruction du Client ou sans garanties appropriées au sens du chapitre V du RGPD (décision d’adéquation, clauses contractuelles types), le Client en étant préalablement informé.
12. Obligations du Responsable de traitement
Le Client garantit qu’il dispose d’une base légale pour les traitements qu’il confie, qu’il a informé les personnes concernées (dirigeants, associés, bénéficiaires effectifs) de la communication de leurs données à FORMALITES ONLINE et aux destinataires légaux, et que les données transmises sont exactes et limitées à ce qui est nécessaire à la formalité.
Le Client documente ses instructions dans le dossier et signale sans délai toute demande d’exercice de droits ou toute instruction nouvelle affectant le traitement.
13. Durée, responsabilité et litiges
L’Accord s’applique pour chaque commande jusqu’à la suppression ou la restitution des données conformément à l’article 9, y compris après la clôture du dossier.
Chaque partie répond des dommages qu’elle cause par un manquement au RGPD qui lui est imputable ; la responsabilité du Sous-traitant est engagée dans les conditions de l’article 82 du RGPD et des Conditions générales de vente.
L’Accord est régi par le droit français. Tout différend est soumis, après recherche d’une solution amiable, aux tribunaux compétents de Paris. Les personnes concernées disposent d’un recours auprès de la CNIL.
14. Annexe A — Mesures techniques et organisationnelles
- Accès et authentification : connexion des clients et des formalistes par code à usage unique reçu par e-mail (code haché, expirant, bloqué après cinq essais) ; comptes administrateurs seuls autorisés à la connexion WordPress classique ; captcha et limitation des tentatives.
- Cloisonnement : un formaliste n’accède qu’aux dossiers qui lui sont assignés (listes, requêtes, accès direct par adresse) ; il ne voit ni les prix ni les coordonnées directes du client ; les échanges passent par la messagerie du dossier.
- Documents : dossier privé hors médiathèque protégé contre l’accès direct, noms de fichiers aléatoires, téléchargement et visionneuse contrôlés par jeton et droits, contrôle anti-traversée des chemins, formats limités (PDF, JPG, PNG), 10 Mo par pièce, pièces internes invisibles du client jusqu’à leur mise à disposition.
- Transmission à l’INPI : pièces transmises du serveur à la formalité par l’API du Guichet unique (chiffrement HTTPS, jeton), sans passer par une messagerie ; comptes techniques chiffrés en base ; signature des formalités de modification et de cessation par certificat qualifié de personne physique.
- Notifications : les e-mails ne contiennent jamais de pièce jointe ni le contenu des messages, seulement une invitation à se connecter ; envoi authentifié (SMTP) ; journal des envois.
- Traçabilité : journal des opérations de chaque dossier (dépôts, validations, mises à disposition, relances, confirmations, clôtures, purges) et journal global des purges.
- Conservation et suppression : accès du client aux documents pendant trois mois après clôture ; suppression automatique des fichiers et des questionnaires à l’échéance du calendrier de conservation, avec préavis ; conservation des seuls éléments de preuve.
- Organisation : administration réservée aux comptes autorisés ; mises à jour de sécurité de la plateforme ; contrôle automatisé des points d’entrée à chaque livraison ; sensibilisation des formalistes partenaires ; procédure de gestion des violations.
15. Annexe B — Sous-traitants ultérieurs et hébergement
- Formalistes partenaires indépendants : préparation et suivi des dossiers assignés ; France ; liés par le contrat de partenariat FORMALITES ONLINE comportant un engagement de confidentialité et de protection des données ; accès limité aux dossiers assignés, révocable à tout moment.
- Hostinger International Ltd. : hébergement du site, de la base de données et du dossier privé des documents, service d’envoi des e-mails (SMTP) ; centres de données situés dans l’Union européenne ; sauvegardes régulières.
- Automattic Inc. (Jetpack) : sécurité du site (protection des connexions, captcha) et statistiques d’audience soumises au consentement ; garanties de transfert : clauses contractuelles types.
- Stripe Payments Europe Ltd. : paiement par carte bancaire ; responsable de traitement autonome pour les données de paiement ; aucune donnée de carte n’est stockée par FORMALITES ONLINE.
- INPI (Guichet unique, Registre national des entreprises), greffes des tribunaux de commerce, journaux d’annonces légales, administrations : destinataires légaux des formalités, responsables de leurs propres traitements.
Toute mise à jour de cette annexe est publiée sur le Site et signalée aux clients disposant d’un dossier en cours.
Notre référent vous répond.
Exercice d’un droit, demande de copie des pièces, question sur un sous-traitant : écrivez à rgpd@formalitesonline.fr, nous répondons au plus tard sous un mois.
