Accord de sous-traitance des données personnelles

1. Parties et rôles respectifs

L'Abonné détermine seul les finalités et les moyens du traitement des données qu'il saisit : il choisit ses clients, les informations qu'il enregistre à leur sujet et la durée pendant laquelle il les conserve dans le service. Canehan Digital Solutions ne traite ces données que pour le compte de l'Abonné, aux seules fins de faire fonctionner le service.

Traitements exclus du présent accord :pour les données propres au compte de l'Abonné (identité du dirigeant, adresse e-mail de connexion du titulaire du compte, facturation de l'abonnement, mesure d'audience du site), Canehan Digital Solutions agit comme responsable de traitement et non comme sous-traitant. Ces traitements sont décrits dans les mentions légales.

2. Objet, durée, nature et finalité du traitement

Objet :définir les conditions dans lesquelles Canehan Digital Solutions traite, pour le compte de l'Abonné, les données à caractère personnel nécessaires à l'exécution du service Doma.

Durée :le présent accord prend effet à la souscription de l'abonnement et reste en vigueur pendant toute sa durée, puis jusqu'à la restitution ou la suppression complète des données dans les conditions de l'article 9 ci-dessous.

Finalité :fournir à l'Abonné un logiciel de gestion commerciale et de suivi de chantiers — gestion des clients et prospects, devis et factures, planning, chantiers et photos, catalogue et fournisseurs, suivi de rentabilité, signature électronique des devis, envoi des documents et des relances par e-mail.

Nature des opérations réalisées :

• collecte des données saisies ou importées par l'Abonné ;
• enregistrement, structuration et conservation en base de données ;
• consultation et restitution à l'Abonné et aux utilisateurs qu'il a invités ;
• calculs et mises en forme (totaux, marges, documents PDF) ;
• transmission par e-mail aux destinataires désignés par l'Abonné (ses clients) ;
• hébergement des fichiers déposés (photos de chantier, logo, documents) ;
• effacement, sur instruction de l'Abonné ou à l'échéance prévue.

Aucune donnée traitée pour le compte de l'Abonné n'est utilisée à des fins propres à Canehan Digital Solutions, n'est revendue, n'est louée, ni exploitée à des fins publicitaires ou d'entraînement de modèles d'intelligence artificielle.

3. Personnes concernées et catégories de données

Catégories de personnes concernées :

• les clients et prospects de l'Abonné, particuliers ou professionnels ;
• les interlocuteurs désignés chez ces clients (contact d'une affaire, signataire d'un devis) ;
• les contacts des fournisseurs enregistrés par l'Abonné ;
• les collaborateurs de l'Abonné disposant d'un accès au service ou apparaissant dans le planning.

Catégories de données traitées :

• Identification et coordonnées : nom, raison sociale, forme juridique, SIRET, adresse postale, ville, téléphone, adresse e-mail.
• Relation commerciale : devis, factures, avoirs, montants, échéances, statuts de paiement, historique des relances, origine du contact, notes libres saisies par l'Abonné.
• Chantiers : adresse et description du chantier, planning d'intervention, photos déposées.
• Preuve de signature électronique d'un devis : nom saisi par le signataire, horodatage, adresse IP, agent utilisateur du navigateur et empreinte du document signé — données conservées à titre de preuve de l'engagement.
• Données de connexion des utilisateurs de l'Abonné, hors titulaire du compte (collaborateurs invités) : adresse e-mail, empreinte du mot de passe, dates de connexion.

Données exclues :le service n'est pas conçu pour traiter des données relevant de l'article 9 du RGPD (santé, opinions, appartenance syndicale, données biométriques…) ni des données relatives à des condamnations. L'Abonné s'engage à ne pas en saisir, en particulier dans les champs de notes libres, et à ne pas déposer de photographies révélant de telles données.

4. Traitement sur instructions documentées (art. 28.3.a)

Canehan Digital Solutions ne traite les données que sur instruction documentée de l'Abonné. Constituent ses instructions documentées : les présentes stipulations, les Conditions Générales de Vente, les actions réalisées par l'Abonné et ses utilisateurs dans l'interface du service, et toute demande écrite adressée à contact@domabtp.com.

Si une instruction paraît constituer une violation du RGPD ou d'une autre disposition relative à la protection des données, Canehan Digital Solutions en informe immédiatement l'Abonné et peut suspendre son exécution.

5. Confidentialité des personnes autorisées (art. 28.3.b)

L'accès aux données de production est strictement limité aux personnes qui en ont besoin pour exploiter le service ou pour traiter une demande d'assistance. Ces personnes sont soumises à une obligation contractuelle de confidentialité qui survit à la fin de leur mission. À la date de la présente version, cet accès est limité à l'éditeur lui-même. Aucun accès n'est ouvert à un tiers en dehors des sous-traitants ultérieurs listés à l'article 7.

6. Mesures de sécurité (art. 28.3.c et art. 32)

Compte tenu de l'état des connaissances, des coûts et de la nature des données, les mesures techniques et organisationnelles suivantes sont mises en œuvre :

• Chiffrement des échanges : l'intégralité du service est servie en HTTPS/TLS ; aucun accès en clair n'est possible.
• Chiffrement au repos : la base de données et les fichiers déposés sont chiffrés au repos par l'infrastructure d'hébergement.
• Cloisonnement des comptes : l'isolation entre abonnés est imposée par le moteur de base de données lui-même (politiques de sécurité au niveau des lignes), et non par le seul code applicatif ; une requête ne peut donc pas atteindre les données d'un autre abonné, même en cas de défaut applicatif.
• Authentification : mots de passe stockés uniquement sous forme d'empreinte, jamais en clair ; sessions signées ; réinitialisation par lien à usage unique et à durée limitée.
• Accès aux fichiers : les photos et documents ne sont accessibles que par des liens signés à durée de validité limitée, jamais par une adresse publique devinable.
• Limitation de débit sur les points d'entrée publics du service (signature de devis, formulaires, invitations d'équipe) afin de contenir les tentatives automatisées ; pour la connexion et l'inscription, cette limitation est assurée par le fournisseur d'authentification.
• Traçabilité : les événements sensibles (signature, rétractation, actions d'administration, exécution des traitements automatiques) sont journalisés et conservés.
• Aucune donnée bancaire n'est stockée par Canehan Digital Solutions : les paiements sont traités par Stripe, prestataire certifié PCI-DSS.
• Sauvegardes assurées par l'hébergeur de la base de données, avec restauration à un instant donné selon les capacités du plan de service souscrit.
• Minimisation : les documents transmis à un tiers signataire ne contiennent pas les données internes de l'Abonné (prix d'achat, marges, identifiants techniques).

Ces mesures peuvent évoluer, sans que le niveau de sécurité global puisse être réduit.

7. Sous-traitants ultérieurs (art. 28.2 et 28.3.d)

L'Abonné donne une autorisation générale écriteau recours aux sous-traitants ultérieurs listés ci-dessous. Chacun est lié par un accord imposant des obligations de protection équivalentes à celles du présent document ; Canehan Digital Solutions demeure pleinement responsable envers l'Abonné de leur exécution.

Transferts hors Union européenne :ces prestataires sont susceptibles de traiter des données en dehors de l'Union européenne. Ces transferts sont encadrés par les clauses contractuelles typesadoptées par la Commission européenne, complétées le cas échéant par les mesures supplémentaires prévues par chaque prestataire. La région précise d'hébergement de la base de données est communiquée sur demande.

Changement de sous-traitant :tout ajout ou remplacement est notifié à l'Abonné par e-mail au moins trente (30) joursavant sa mise en œuvre. L'Abonné dispose de ce délai pour s'y opposer par écrit en motivant son opposition sur des considérations de protection des données. À défaut de solution alternative, il peut résilier son abonnement sans frais ni pénalité ; par exception à la règle de non-remboursement au prorata prévue aux CGV, la fraction d'abonnement déjà réglée et non consommée lui est alors remboursée.

8. Assistance à l'Abonné (art. 28.3.e et 28.3.f)

Droits des personnes concernées.Le service permet à l'Abonné de répondre lui-même, et sans notre intervention, aux demandes d'accès, de rectification, d'effacement et de portabilité : il consulte, modifie et supprime les fiches concernées et exporte ses données au format tableur (.xlsx) depuis l'application. Lorsque cela ne suffit pas, Canehan Digital Solutions apporte son assistance technique.

Si une personne concernée s'adresse directement à Canehan Digital Solutions, celle-ci ne donne aucune suite de son propre chef: elle transmet la demande à l'Abonné dans les cinq (5) jours ouvréset l'informe de cette transmission.

Violation de données.Canehan Digital Solutions notifie à l'Abonné toute violation de données à caractère personnel le concernant sans délai injustifié et au plus tard 48 heuresaprès en avoir pris connaissance, par e-mail à l'adresse du compte. La notification décrit la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises ou proposées. Ce délai permet à l'Abonné de tenir son propre délai de 72 heures envers la CNIL (article 33 du RGPD), dont la charge lui incombe en qualité de responsable de traitement.

Analyses d'impact.Canehan Digital Solutions fournit, sur demande et dans la limite des informations dont elle dispose, les éléments nécessaires à la réalisation d'une analyse d'impact relative à la protection des données et, le cas échéant, à la consultation préalable de l'autorité de contrôle (articles 35 et 36 du RGPD).

9. Sort des données à la fin du contrat (art. 28.3.g)

Restitution.Tant que le compte est ouvert, l'Abonné exporte lui-même ses données au format tableur (.xlsx) depuis l'application, sans frais et sans limitation de nombre. Sur demande formulée dans les trente (30) jours suivant la fin de l'abonnement, une copie de l'ensemble des données du compte lui est transmise dans un format structuré et couramment utilisé.

Suppression.La résiliation de l'abonnement met fin à l'accès au service à l'échéance de la période réglée, mais n'efface pas les données par elle-même: elles restent conservées, de sorte qu'un abonné qui revient retrouve son dossier intact. Sur demande de suppression adressée à contact@domabtp.com, le compte est immédiatement mis hors d'accès, puis définitivement supprimé soixante (60) jours plus tardpar un traitement automatique quotidien, avec l'intégralité des données associées — clients, chantiers, devis, factures, agenda et fichiers déposés. Ce délai de soixante jours existe pour permettre de revenir sur une suppression demandée par erreur ; il n'est pas prolongeable.

Copies subsistantes.Les sauvegardes de l'hébergeur, qui ne sont pas exploitables de façon nominative, disparaissent à l'expiration de leur propre cycle de rotation. Sont par ailleurs conservées les seules données que la loi impose de conserver à Canehan Digital Solutions pour son propre compte — notamment les factures d'abonnement, au titre de l'obligation comptable de dix ans. Une attestation de suppression est délivrée sur demande.

10. Documentation et audit (art. 28.3.h)

Canehan Digital Solutions met à la disposition de l'Abonné toutes les informations nécessaires pour démontrer le respect des obligations du présent accord, et répond aux questionnaires de conformité qui lui sont adressés dans un délai raisonnable.

L'Abonné peut faire réaliser un audit, par lui-même ou par un auditeur indépendant qu'il mandate et qui n'est pas un concurrent, une fois par période de douze (12) mois, sur préavis écrit de trente (30) jours, pendant les heures ouvrées, sans perturber l'exploitation du service et sous engagement de confidentialité. Les frais de l'audit sont à la charge de l'Abonné, sauf s'il révèle un manquement substantiel imputable à Canehan Digital Solutions. Un audit supplémentaire est de droit après une violation de données avérée.

11. Obligations de l'Abonné, responsable de traitement

L'Abonné s'engage à :

• ne saisir que des données dont la collecte repose sur une base légale valable et qui sont nécessaires à son activité ;
• informer ses propres clients du traitement de leurs données et des droits dont ils disposent, et répondre à leurs demandes ;
• documenter par écrit toute instruction particulière adressée au sous-traitant ;
• ne pas saisir de données sensibles au sens de l'article 9 du RGPD ;
• veiller à la confidentialité des identifiants de connexion, gérer les accès de ses collaborateurs et retirer sans délai ceux qui ne sont plus justifiés ;
• tenir son propre registre des activités de traitement (article 30.1 du RGPD).

Canehan Digital Solutions tient de son côté le registre des catégories d'activités de traitement effectuées pour le compte de ses abonnés, prévu à l'article 30.2 du RGPD.

12. Dispositions finales

Le présent accord est soumis au droit français et interprété conformément au RGPD et à la loi Informatique et Libertés. En cas de contradiction entre le présent accord et les Conditions Générales de Vente sur le traitement des données à caractère personnel, le présent accord prévaut.

Toute modification est publiée sur cette page avec une nouvelle version et notifiée par e-mail aux abonnés lorsqu'elle porte sur les engagements de fond.

Questions et demandes relatives au présent accord : contact@domabtp.com. Toute personne estimant que ses droits ne sont pas respectés peut saisir la CNIL (www.cnil.fr).