Convention de traitement des données

Annexe aux Conditions générales d’utilisation · en vigueur à compter du 2026-10-06 · Traduction française ; seule la version tchèque fait foi

La présente convention, conclue en application de l’article 28 du règlement (UE) 2016/679 (le « RGPD »), est passée entre l’Organisation qui utilise la plateforme Negotiq (le « Responsable du traitement ») et SynQflows, s.r.o., n° d’identification 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (le « Sous-traitant »), et fait partie intégrante des Conditions générales d’utilisation. Elle est conclue par l’acceptation des Conditions générales d’utilisation et demeure en vigueur pendant toute la durée du Contrat. Les termes commençant par une majuscule ont le sens qui leur est donné dans les Conditions générales d’utilisation.

1. Objet et étendue du traitement

2. Instructions du Responsable du traitement

1. Le Sous-traitant ne traite les données à caractère personnel que sur instruction documentée du Responsable du traitement, y compris en ce qui concerne les transferts vers des pays tiers. Les instructions résultent des Conditions générales d’utilisation, de la présente convention et des paramètres de la Plateforme ; en configurant une Intégration (Adresse de réception, connexion ERP, Webhook, Clé API pour un agent tiers), le Responsable du traitement donne instruction de procéder au traitement dans la mesure requise par l’Intégration. Les autres instructions sont données par l’Administrateur de l’Organisation sous forme textuelle.
2. Si le Sous-traitant considère qu’une instruction constitue une violation du RGPD ou d’autres dispositions relatives à la protection des données, il en informe immédiatement le Responsable du traitement et n’est pas tenu d’exécuter l’instruction tant que celui-ci n’a pas répondu.
3. Lorsque le droit de l’Union ou le droit de l’État membre impose au Sous-traitant de traiter les données, celui-ci en informe préalablement le Responsable du traitement, sauf si ce droit l’interdit (article 28, paragraphe 3, point a), du RGPD).
4. Le Sous-traitant ne traite pas les données à caractère personnel du Responsable du traitement pour ses propres finalités. Les statistiques anonymisées et agrégées (article 11, paragraphe 2, des Conditions générales d’utilisation) ne contiennent aucune donnée à caractère personnel. Les entrées de la Chaîne d’audit, les Confirmations et les Enregistrements AP2 sont traités par le Sous-traitant en qualité de responsable du traitement distinct conformément à la Politique de protection des données personnelles, et non en vertu de la présente convention.
5. Le Responsable du traitement est responsable de la licéité du traitement, de l’information des personnes concernées et du fait qu’il est en droit de placer les données à caractère personnel sur la Plateforme et d’accorder l’accès aux systèmes connectés.

3. Obligations du Sous-traitant

1. Le Sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
2. Le Sous-traitant met en œuvre les mesures techniques et organisationnelles prévues à l’article 32 du RGPD et décrites à l’annexe 1. Il peut les modifier à condition de ne pas réduire le niveau global de sécurité.
3. Le Sous-traitant aide le Responsable du traitement à donner suite aux demandes des personnes concernées, principalement au moyen des outils de la Plateforme (export des données au format JSON, rectification, suppression d’un compte d’Utilisateur ou de l’Organisation). Il transmet sans retard injustifié au Responsable du traitement toute demande reçue directement d’une personne concernée et n’y répond pas lui-même sur le fond.
4. Le Sous-traitant aide le Responsable du traitement à respecter les obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d’impact et consultation préalable), compte tenu de la nature du traitement et des informations à sa disposition.

4. Sous-traitants ultérieurs

1. Le Responsable du traitement accorde au Sous-traitant une autorisation générale de recourir à des sous-traitants ultérieurs. Liste actuelle :

   Sous-traitant ultérieur	Activité	Localisation, garanties
   Railway Corporation	hébergement de l’application et de la base de données, sauvegardes	États-Unis / UE ; clauses contractuelles types (module 3) ou EU-U.S. Data Privacy Framework
   Anthropic, PBC	conversion de listes de prix non structurées en tableaux (uniquement en cas d’utilisation de la fonctionnalité)	États-Unis ; clauses contractuelles types (module 3) ; aucun entraînement de modèles sur les données
   prestataire de réception des e-mails (le prestataire concerné sera ajouté à la présente liste avant le lancement de la fonctionnalité)	réception des messages envoyés aux Adresses de réception et transmission de ceux-ci à la Plateforme	sera précisé en même temps que le prestataire ; transferts hors de l’EEE uniquement moyennant des garanties conformes à l’article 7
   prestataire de service de messagerie électronique (SMTP)	envoi des factures, des relances et des messages de service (adresse du destinataire et contenu du message)	UE

2. Le Sous-traitant informe le Responsable du traitement de tout ajout ou remplacement envisagé d’un sous-traitant ultérieur au moins 14 jours à l’avance, sur la Plateforme ou par e-mail adressé à l’Administrateur de l’Organisation. Dans ce délai, le Responsable du traitement peut formuler une objection pour des motifs raisonnables tenant à la protection des données. Les parties s’efforcent de trouver une solution ; à défaut, le Responsable du traitement peut résilier le Contrat sans pénalité avec effet avant le recours au sous-traitant ultérieur.
3. Le Sous-traitant impose contractuellement aux sous-traitants ultérieurs les mêmes obligations en matière de protection des données que celles qui lui incombent en vertu de la présente convention, y compris des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles, et demeure pleinement responsable à l’égard du Responsable du traitement de l’exécution de leurs obligations (article 28, paragraphe 4, du RGPD).
4. Les systèmes choisis par le Responsable du traitement lui-même (systèmes ERP connectés, flux de produits, points de terminaison des Webhooks et agents tiers) ne sont pas des sous-traitants ultérieurs du Sous-traitant ; le Sous-traitant leur transmet les données sur instruction du Responsable du traitement.

5. Violation de données à caractère personnel

1. Le Sous-traitant notifie au Responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais et au plus tard dans les 48 heures après en avoir pris connaissance, par e-mail adressé à l’Administrateur de l’Organisation et sur la Plateforme.
2. La notification contient les informations visées à l’article 33, paragraphe 3, du RGPD dont dispose le Sous-traitant (nature de la violation, catégories et nombre approximatif de personnes concernées et d’enregistrements, point de contact, conséquences probables et mesures prises ou proposées) ; les informations qui ne sont pas encore connues sont communiquées de manière échelonnée.
3. Le Sous-traitant prend sans délai des mesures pour remédier à la violation et en atténuer les conséquences, coopère avec le Responsable du traitement et documente la violation. La notification ne vaut pas reconnaissance de responsabilité.

6. Informations et audits

1. Le Sous-traitant met à la disposition du Responsable du traitement les informations nécessaires pour démontrer le respect de l’article 28 du RGPD, principalement au moyen du document Sécurité et confiance et des réponses à un questionnaire de sécurité raisonnable.
2. Si ces informations ne suffisent pas, le Sous-traitant permet la réalisation d’un audit par le Responsable du traitement ou par un auditeur indépendant tenu à la confidentialité et qui n’est pas un concurrent du Sous-traitant, moyennant un préavis d’au moins 30 jours, au plus une fois par année civile (sauf en cas de violation ou à la demande d’une autorité de contrôle), aux frais du Responsable du traitement, sans accès aux données des autres clients et sans compromettre leur sécurité.
3. Les pouvoirs d’enquête des autorités de contrôle ne sont pas affectés.

7. Transferts hors de l’EEE

1. Les transferts vers des pays tiers n’ont lieu que moyennant des garanties conformes au chapitre V du RGPD.
2. Lorsque le Sous-traitant transfère des données à caractère personnel à un sous-traitant ultérieur situé dans un pays tiers ne faisant pas l’objet d’une décision d’adéquation (ou lorsque le destinataire n’est pas certifié au titre de l’EU-U.S. Data Privacy Framework), il conclut avec celui-ci les clauses contractuelles types prévues par la décision d’exécution (UE) 2021/914 de la Commission, module 3 (transfert de sous-traitant à sous-traitant), évalue l’environnement juridique du pays du destinataire et adopte des mesures supplémentaires (notamment le chiffrement en transit et au repos et la minimisation des données).
3. Le Responsable du traitement autorise par la présente de tels transferts. Le Sous-traitant fournit sur demande une copie des garanties ; les clauses commerciales peuvent y être occultées.

8. Effacement et restitution des données

1. Pendant la durée du Contrat, le Responsable du traitement peut à tout moment exporter les données de l’Organisation au format JSON et effacer lui-même les données.
2. Au terme du Contrat, le Sous-traitant, au choix du Responsable du traitement, restitue (export) ou efface les données à caractère personnel, y compris les copies, dans un délai de 30 jours, à moins que la loi n’en exige la conservation. Les sauvegardes sont écrasées selon le cycle habituel dans un délai de 90 jours au plus ; d’ici là, elles sont protégées et ne sont pas utilisées.
3. Les messages reçus à l’Adresse de réception sont automatiquement supprimés au bout de 90 jours. Le Sous-traitant cesse d’utiliser les identifiants d’accès à un système connecté dès la suppression de la connexion et les efface au plus tard dans le délai prévu au paragraphe 2.
4. Le présent article ne s’applique pas aux enregistrements visés aux deuxième et troisième phrases de l’article 2, paragraphe 4.

9. Responsabilité, primauté et droit applicable

La responsabilité est régie par l’article 82 du RGPD et par les Conditions générales d’utilisation, y compris leurs limitations dans la mesure où la loi les autorise. En matière de protection des données à caractère personnel, la présente convention prévaut sur les Conditions générales d’utilisation. La présente convention est régie par le droit tchèque.

Annexe 1 — Mesures techniques et organisationnelles

• Chiffrement et pseudonymisation : chiffrement de l’ensemble des communications (TLS) et chiffrement des données stockées chez l’hébergeur ; identifiants d’accès aux systèmes connectés et secrets de signature des Webhooks chiffrés en AES-256-GCM ; mots de passe sous forme d’empreintes Argon2id ; codes de récupération, sessions de connexion et clés API conservés uniquement sous forme d’empreintes ; pseudonymisation des entrées de la Chaîne d’audit après la suppression d’un compte.
• Contrôle d’accès : accès fondé sur les rôles, géré par l’Administrateur de l’Organisation ; séparation des données des Organisations imposée au niveau de l’application ; pièces jointes accessibles uniquement aux personnes autorisées et toujours sous forme de téléchargement ; accès à l’environnement de production réservé au personnel habilité du Sous-traitant, tenu à la confidentialité.
• Protection des comptes et des sessions : cookies HttpOnly, Secure et SameSite ; contrôle de l’en-tête Origin pour les requêtes modifiant des données ; verrouillage temporaire du compte après des tentatives de connexion infructueuses répétées ; un changement de mot de passe met fin à toutes les sessions ; limitation du nombre de requêtes à l’API.
• Intégrité et vérifiabilité : Chaîne d’audit composée d’entrées liées cryptographiquement, dont la modification ou la suppression est bloquée par un déclencheur (trigger) de base de données ; signatures Ed25519 des Mandats, des Confirmations et des Enregistrements AP2 ; Webhooks signés en HMAC-SHA256.
• Disponibilité et restauration : sauvegardes régulières de la base de données ; sauvegardes écrasées dans un délai de 90 jours au plus.
• Minimisation et effacement : messages reçus à l’Adresse de réception : 90 jours ; journaux d’exploitation : 90 jours au maximum ; pour les fournisseurs potentiels, uniquement des coordonnées génériques d’entreprise ; import automatique d’e-mails uniquement en provenance d’Expéditeurs vérifiés.
• Développement sécurisé : tests automatisés des invariants de sécurité (séparation des Organisations, limites des Agents, confidentialité des limites) à chaque modification ; dépendances figées à des versions exactes ; les Agents ne traitent pas le contenu des fichiers comme des instructions.
• Incidents et réexamen : gestion et notification des incidents conformément à l’article 5 ; canal de signalement des vulnérabilités ; réexamen régulier de l’efficacité des mesures.

Une description plus détaillée figure dans le document Sécurité et confiance.