Accord de sous-traitance (DPA)
Dernière mise à jour : 2 octobre 2026
Annexe aux Conditions Générales d'Utilisation et de Vente, dont elle fait partie intégrante. Elle est acceptée en même temps qu'elles et n'appelle aucune signature séparée. En cas de contradiction sur un point relevant de l'article 28 du RGPD, le présent accord prévaut sur les CGU/CGV.
1. Objet et périmètre
Le Service permet au Client d'enregistrer et de traiter des données personnelles concernant ses propres clients et les personnes qui valident ses comptes rendus d'activité.
Pour ces données uniquement :
- le Client (freelance ou société utilisatrice du Service) est responsable de traitement ;
- 19.5 est sous-traitant au sens de l'article 28 du RGPD.
Le présent accord ne couvre pas les données du compte du Client lui-même (identité, coordonnées, authentification, facturation, journaux techniques). Pour celles-là, 19.5 est responsable de traitement, et le traitement est décrit dans la Politique de confidentialité.
2. Durée
Le présent accord s'applique tant que le Client dispose d'un compte, et jusqu'à l'achèvement des opérations de suppression prévues à l'article 10.
3. Nature, finalité et données traitées
| Nature des opérations | Collecte, enregistrement, organisation, conservation, consultation, mise à disposition par lien d'accès, modification, effacement. |
| Finalité | Celle que le Client détermine : gestion de ses clients et projets, suivi du temps, production et validation de comptes rendus d'activité, transmission de documents. |
| Catégories de personnes | Clients du Client et leurs contacts ; valideurs et destinataires de comptes rendus d'activité. |
| Catégories de données | Identité de contact, société, adresse e-mail, numéro de TVA, adresse postale ; intitulés de projets, tâches, contrats, montants, taux, références, notes ; saisies de temps et comptes rendus d'activité. |
| Données sensibles | Aucune. Le Service n'est pas conçu pour recevoir des données relevant de l'article 9 du RGPD, ni des données d'infraction. Le Client s'engage à ne pas en saisir, notamment dans les champs libres (descriptions, notes). |
4. Instructions du responsable de traitement
19.5 ne traite les données que sur instructions documentées du Client. Constituent de telles instructions : les présentes conditions, les actions réalisées par le Client dans le Service, et toute demande écrite adressée à support@9five.app.
19.5 informe le Client si une instruction lui paraît constituer une violation du RGPD ou d'une autre disposition relative à la protection des données.
Si une obligation légale impose à 19.5 un traitement non prévu par ces instructions, le Client en est informé avant le traitement, sauf interdiction légale de cette information.
19.5 n'utilise pas les données couvertes par le présent accord pour ses propres finalités : ni prospection, ni analyse statistique à son profit, ni entraînement de systèmes d'intelligence artificielle, ni revente ou cession à un tiers.
5. Confidentialité
Les personnes autorisées à traiter les données sont limitées à celles dont les fonctions l'exigent. Elles sont tenues à une obligation de confidentialité, contractuelle ou légale, qui survit à la fin de leurs fonctions.
6. Sécurité
Compte tenu de l'état des connaissances, des coûts et de la nature du traitement, 19.5 met en œuvre notamment :
- Cloisonnement par organisation au niveau de la base de données (Row-Level Security PostgreSQL, refus par défaut) : une organisation ne peut techniquement pas lire les données d'une autre.
- Mots de passe hachés, jamais stockés en clair.
- Chiffrement des secrets applicatifs au repos et chiffrement des échanges (HTTPS/TLS).
- Accès aux comptes rendus par lien tokenisé à durée de vie limitée, sans compte permanent, révocable par le Client.
- Journalisation minimale, et purge automatique des journaux anti-abus au bout de 24 heures.
- Sauvegardes de la base de données.
Ces mesures peuvent évoluer ; elles ne seront pas abaissées en deçà du niveau décrit ici.
7. Sous-traitants ultérieurs
Le Client autorise de façon générale le recours aux sous-traitants ultérieurs suivants :
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Hostinger International Ltd | Hébergement du serveur et de la base de données | France (UE) |
| Brevo (Sendinblue SAS) | Envoi des e-mails (liens de validation, transmission des CRA) | France (UE) |
Chacun est lié par des obligations de protection des données équivalentes à celles du présent accord.
En cas d'ajout ou de remplacement, 19.5 en informe le Client au moins 30 jours à l'avance, par e-mail et par mise à jour de cette annexe. Le Client peut s'y opposer, pour un motif raisonnable tenant à la protection des données, dans ce délai ; à défaut d'accord, il peut résilier son abonnement sans pénalité.
Stripe ne figure pas dans cette liste : il traite les données de facturation du Client lui-même, pour lesquelles 19.5 est responsable de traitement, et n'a accès à aucune donnée couverte par le présent accord.
8. Transferts hors de l'Union européenne
Aucun transfert hors de l'Union européenne n'est réalisé. Si un sous-traitant ultérieur venait à en opérer un, il serait encadré par un mécanisme conforme au chapitre V du RGPD (décision d'adéquation ou clauses contractuelles types), et le Client en serait informé selon l'article 7.
9. Assistance au Client
Compte tenu de la nature du traitement et des informations à sa disposition, 19.5 aide le Client à :
- Répondre aux demandes d'exercice des droits des personnes concernées. Le Service permet au Client d'accéder, rectifier, exporter et supprimer lui-même les données concernées ; lorsque ses propres moyens n'y suffisent pas, 19.5 l'assiste sur demande.
- Notifier une violation de données. 19.5 informe le Client sans délai injustifié et au plus tard 48 heures après en avoir pris connaissance, avec les éléments dont il dispose : nature de la violation, catégories et volume approximatifs de données et de personnes concernées, conséquences probables, mesures prises. La notification à l'autorité de contrôle et aux personnes concernées incombe au Client, responsable de traitement.
- Mener une analyse d'impact et la consultation préalable de l'autorité, lorsqu'elles sont requises.
Une demande transmise directement à 19.5 par une personne concernée est renvoyée vers le Client, sans y être répondue sur le fond.
10. Sort des données en fin de contrat
À la clôture du compte, les données couvertes par le présent accord sont conservées 3 mois, puis supprimées définitivement, sauvegardes comprises dans les délais de rotation de celles-ci.
Pendant ces 3 mois, le Client peut en demander la restitution dans un format structuré et lisible par machine. L'export reste également possible depuis le Service avant la clôture.
Le Client peut demander par écrit la suppression immédiate, sans attendre le terme des 3 mois.
Aucune donnée n'est conservée au-delà, sauf obligation légale de conservation — laquelle ne porte, en pratique, que sur les documents comptables de 19.5, qui ne relèvent pas du présent accord.
11. Audit et documentation
19.5 met à disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 : la présente annexe, la Politique de confidentialité, et toute précision utile sur demande écrite.
Le Client peut demander un audit, une fois par an au maximum, sous réserve d'un préavis de 30 jours, aux frais du Client, pendant les heures ouvrées, sans perturber l'exploitation et dans le respect de la confidentialité des données des autres clients. Un audit supplémentaire est admis à la suite d'une violation de données avérée.
12. Responsabilité du Client
Le Client reste responsable de la licéité des données qu'il saisit, de l'information des personnes concernées, de la base légale de ses propres traitements, et de l'exactitude des adresses e-mail auxquelles il fait adresser des comptes rendus d'activité.
13. Contact
Toute question ou demande relative au présent accord : support@9five.app.