Accord de traitement des données à caractère personnel (DPA)

Le présent Accord de traitement des données (ci-après « DPA », Data Processing Agreement) est conclu en application de l'article 28 du Règlement (UE) 2016/679 (« RGPD ») entre :

• Le Client, personne morale ou physique titulaire d'un abonnement Mary, agissant en qualité de responsable de traitement pour les données personnelles qu'il traite via la plateforme (ci-après « le Responsable ») ;
• MARY, société par actions simplifiée unipersonnelle, RCS Pointe-à-Pitre 102 589 546, siège social Salle d'Asile, 97139 Les Abymes (Guadeloupe), éditeur de la plateforme Mary, agissant en qualité de sous-traitant (ci-après « le Sous-traitant »).

Il complète les Conditions Générales d'Utilisation et de Vente et prévaut sur elles pour tout ce qui concerne le traitement des données personnelles. L'acceptation des CGU/CGV et l'utilisation du service emportent acceptation du présent DPA.

1. Objet et durée

Le Sous-traitant traite les données personnelles pour le compte du Responsable, exclusivement afin de fournir les fonctionnalités de la plateforme Mary (CRM, facturation, caisse, e-commerce, pré-compta, messagerie, agenda). Le traitement dure le temps de la relation contractuelle, augmenté des durées de conservation légales (notamment la conservation des pièces comptables et de caisse).

2. Nature et finalité des traitements

Hébergement, stockage, structuration, consultation, sauvegarde, transmission et suppression des données saisies par le Responsable dans le cadre de la gestion de son activité, ainsi que l'envoi des communications déclenchées par le Responsable (devis, factures, relances, e-mails transactionnels).

3. Catégories de données et de personnes concernées

• Personnes concernées : clients, prospects et contacts du Responsable, ses salariés utilisateurs, ses fournisseurs.
• Catégories de données : identité et coordonnées (nom, adresse, e-mail, téléphone), données de facturation et de transaction, historique commercial, données de connexion. Aucune catégorie particulière de données (article 9 RGPD) n'est requise par le service ; le Responsable s'interdit d'en saisir sans base légale appropriée.

4. Obligations du Sous-traitant

• Ne traiter les données que sur instruction documentée du Responsable (le paramétrage et l'usage de la plateforme valant instructions), sauf obligation légale ;
• Garantir la confidentialité : seules les personnes habilitées, tenues à une obligation de confidentialité, accèdent aux données ;
• Mettre en œuvre les mesures de sécurité de l'article 5 ci-dessous ;
• Aider le Responsable à répondre aux demandes d'exercice de droits des personnes (accès, rectification, effacement, portabilité) via les fonctions d'export et de suppression intégrées ;
• Aider le Responsable à respecter ses obligations de sécurité, de notification de violation et d'analyse d'impact (articles 32 à 36 RGPD) ;
• Notifier au Responsable toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous 48 heures.

5. Mesures de sécurité

Hébergement dans l'Union européenne (AWS, région Paris eu-west-3) ; chiffrement des données en transit (TLS) et des secrets sensibles au repos ; contrôle d'accès par rôles et isolation stricte des données entre organisations (architecture multi-tenant) ; sauvegardes chiffrées et régulières ; journalisation des accès ; surveillance et gestion des incidents.

6. Sous-traitants ultérieurs

Le Responsable autorise le Sous-traitant à recourir aux sous-traitants ultérieurs listés ci-dessous pour l'exécution du service. Le Sous-traitant impose à chacun des obligations de protection équivalentes à celles du présent DPA et informe le Responsable de tout changement, lui laissant la possibilité d'émettre des objections légitimes.

Assistant d'intelligence artificielle. L'assistant fonctionne en BYOK (« apportez votre clé ») : le Responsable renseigne sa propre clé d'API auprès du fournisseur de modèle de son choix. Ce fournisseur est alors un sous-traitant ultérieur du Responsable, contracté directement par lui, et non du Sous-traitant. Sans clé renseignée, aucune donnée n'est transmise à un fournisseur d'IA.

7. Sort des données en fin de contrat

À l'expiration de la relation contractuelle, le Sous-traitant conserve les données pendant 90 jours, durée pendant laquelle le Responsable peut en exporter l'intégralité, puis les supprime. Font exception les pièces soumises à une obligation légale de conservation (documents comptables et données de caisse), conservées pour la durée légale puis détruites. Ce délai est identique à celui de l'article 14 des CGU/CGV.

8. Audit

Le Sous-traitant met à disposition du Responsable les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d'audits, y compris des inspections, par le Responsable ou un tiers mandaté, dans des conditions raisonnables et sous réserve d'un préavis et d'un engagement de confidentialité.

9. Contact

Toute demande relative au présent DPA ou à la protection des données peut être adressée à govinda.delannay@marydesk.com.