Accord de sous-traitance des données

Le présent accord fait partie intégrante des conditions générales conclues entre le Client et TALIVEN SASU, SIREN 108 186 255, éditeur de la plateforme Valuence. Il encadre les traitements de données à caractère personnel réalisés par Taliven pour le compte du Client.

La répartition des rôles est la suivante, et elle est volontairement explicite parce qu'elle détermine qui répond de quoi :

Le présent accord ne régit que la première ligne. Les autres relèvent de la politique de confidentialité.

Nature et finalité : hébergement, extraction, structuration et analyse des documents comptables et financiers transmis par le Client, en vue de produire une estimation de valeur d'entreprise et les livrables associés.

Durée : celle du contrat, augmentée du délai de restitution prévu à l'article 9.

Catégories de personnes concernées : dirigeants et mandataires des sociétés évaluées, salariés dont la rémunération apparaît dans les documents transmis, personnes physiques mentionnées dans les pièces comptables ou dans les réponses au questionnaire.

Types de données : identité et fonction, éléments de rémunération, relations avec des parties liées, engagements et litiges mentionnés, et toute donnée personnelle que le Client choisit de transmettre.

Aucune donnée de l'article 9 du RGPD (santé, opinions, appartenance syndicale, données biométriques) ni donnée relative à des condamnations n'est requise par le service. Le Client s'engage à ne pas en transmettre.

Taliven ne traite les données que sur instruction documentée du Client. Constituent des instructions documentées : les présentes, les conditions générales, et les actions réalisées par le Client dans la plateforme.

Si Taliven est tenue de traiter des données en vertu du droit de l'Union ou du droit français, elle en informe le Client avant le traitement, sauf interdiction légale.

Taliven informe immédiatement le Client si une instruction lui paraît constituer une violation du RGPD, et peut suspendre son exécution jusqu'à clarification.

Taliven veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité, et limite l'accès aux seules personnes dont l'intervention est nécessaire.

Compte tenu de l'état des connaissances, des coûts et de la nature du traitement, Taliven met en œuvre les mesures suivantes :

• chiffrement des flux en transit (TLS 1.2 ou supérieur) ;
• authentification par mot de passe haché, double authentification disponible ;
• sessions par jetons à expiration automatique ;
• cloisonnement des données par organisation et règles d'accès au niveau des enregistrements ;
• journalisation des actions d'administration ;
• hébergement chez des prestataires disposant de certifications reconnues.

Ces mesures peuvent évoluer, sans que le niveau de protection puisse être diminué.

Le Client autorise Taliven à recourir aux sous-traitants ultérieurs listés dans la politique de confidentialité, qui vaut liste contractuelle et fait foi entre les parties.

Taliven informe le Client de tout ajout ou remplacement au moins trente jours avant sa mise en œuvre. Le Client peut s'y opposer, pour un motif tenant à la protection des données, dans ce délai ; à défaut d'accord, il peut résilier sans frais et obtenir le remboursement du prorata non consommé.

Taliven impose à ses sous-traitants ultérieurs des obligations équivalentes aux présentes et demeure responsable de leur exécution.

Certains sous-traitants ultérieurs sont établis hors de l'Union européenne. Ces transferts sont encadrés soit par une décision d'adéquation de la Commission européenne, soit par les clauses contractuelles types de la Commission, le cas échéant complétées du cadre de protection des données UE–États-Unis. Le détail par prestataire, y compris la localisation effective des serveurs, figure dans la politique de confidentialité.

Droits des personnes. Taliven met à disposition du Client les fonctionnalités d'export, de rectification et de suppression lui permettant de répondre lui-même aux demandes. Si une demande est adressée directement à Taliven, celle-ci la transmet au Client sans délai et sans y répondre sur le fond.

Violation de données. Taliven notifie le Client dans les 48 heures suivant la connaissance d'une violation affectant ses données, avec les éléments dont elle dispose : nature de la violation, catégories et volume approximatifs concernés, conséquences probables, mesures prises. Ce délai permet au Client de tenir le sien, de 72 heures, vis-à-vis de la CNIL.

Analyses d'impact et consultation préalable. Taliven fournit au Client, sur demande raisonnable, les informations nécessaires à la réalisation d'une analyse d'impact portant sur les traitements confiés.

À la fin du contrat, le Client dispose de trente jours pour exporter ses données depuis la plateforme. À l'expiration de ce délai, Taliven supprime les données traitées pour son compte, ainsi que les copies existantes.

Sont conservées au-delà, à raison d'obligations légales, les seules pièces comptables et de facturation, pendant dix ans (article L123-22 du code de commerce), ainsi que les données agrégées et anonymisées visées à l'article 7.5 des conditions générales, qui ne permettent pas d'identifier une personne.

Taliven met à la disposition du Client les informations nécessaires pour démontrer le respect des présentes.

Le Client peut réaliser un audit, par lui-même ou par un tiers indépendant non concurrent de Taliven, dans la limite d'une fois par an — sans limite en cas de violation de données avérée — moyennant un préavis de trente jours, pendant les heures ouvrables, et sans perturbation disproportionnée du service. Les frais sont à la charge du Client, sauf si l'audit révèle un manquement substantiel de Taliven.

Chaque partie répond des dommages causés par son propre manquement au RGPD. La limitation de responsabilité stipulée à l'article 11 des conditions générales s'applique aux présentes, sans préjudice de l'article 82 du RGPD, auquel il ne peut être dérogé.

Toute question ou notification relative au présent accord : rgpd@usevaluence.com.