Objet, qualification et durée
La présente annexe fait partie intégrante des conditions générales de vente de T&T Gestion. Elle constitue le contrat exigé par l'article 28.3 du règlement (UE) 2016/679 entre le client et l'éditeur.
Les rôles. Pour les données de votre activité — vos factures, vos pièces d'achat, vos clients, vos fournisseurs, les personnes que vous invitez — vous êtes responsable du traitement et l'éditeur est sous-traitant. Vous déterminez les finalités ; l'éditeur ne traite ces données que pour exécuter le service que vous avez souscrit.
Pour les données de votre propre compte — votre adresse électronique, votre nom, vos identifiants, la facturation de votre abonnement — l'éditeur est lui-même responsable du traitement, et c'est la politique de confidentialité qui s'applique, non la présente annexe.
⚠️ Cette distinction n'est pas un détail de rédaction. Elle détermine à qui une personne concernée adresse sa demande, qui répond d'un manquement, et qui doit notifier une violation à la CNIL. Deux régimes coexistent sur le même service, et il faut savoir lequel s'applique à quoi.
Durée. La présente annexe s'applique pendant toute la durée du contrat principal, et survit à sa résiliation jusqu'à l'exécution complète des obligations de la rubrique « Sort des données à la fin du traitement ».
Nature du traitement, données et personnes concernées
Nature et finalité. Héberger, conserver, structurer, afficher, exporter et transmettre — sur votre instruction — les données nécessaires à l'établissement de vos factures, au suivi de vos achats et de vos règlements, et à la mise à disposition de vos pièces auprès des personnes que vous désignez.
Catégories de personnes concernées :
| Qui | À quel titre |
|---|---|
| Vous-même et les personnes que vous invitez sur votre dossier | utilisateurs du service |
| Les personnes physiques identifiées sur vos factures émises | clients ou acheteurs |
| Les personnes physiques identifiées sur vos pièces d'achat | fournisseurs |
| Les collaborateurs du cabinet comptable auquel vous donnez accès | tiers autorisés par vous |
Types de données à caractère personnel : noms et raisons sociales, adresses postales et électroniques, numéros de téléphone, numéros SIRET et de TVA intracommunautaire, coordonnées bancaires destinées à figurer sur vos propres factures, montants et libellés des opérations, et les pièces justificatives que vous déposez — dont le contenu échappe par nature à une énumération close.
⚠️ Aucune donnée sensible au sens de l'article 9 n'est requise par le service, et aucune fonction ne demande d'en saisir. Si une pièce que vous déposez en contient, elle sera traitée comme le reste du document, sous votre responsabilité de responsable du traitement.
⚠️ Aucune coordonnée bancaire de vos fournisseurs n'est détenue par l'éditeur, et aucune fonction ne permet d'en enregistrer.
Instructions du responsable du traitement
L'éditeur ne traite les données que sur instruction documentée du client (article 28.3.a). Constituent cette instruction :
- les présentes conditions et la présente annexe ;
- les gestes que vous posez dans le service — émettre, déposer, exporter, donner un accès, accorder ou retirer un consentement de transmission ;
- toute demande écrite adressée au contact de l'éditeur.
Ce que l'éditeur ne fait pas de sa propre initiative : il n'exploite vos données d'activité pour aucune finalité qui lui soit propre — ni statistique, ni commerciale, ni d'amélioration de ses modèles. Les données ne sont ni vendues, ni louées, ni cédées.
L'éditeur informe le client s'il estime qu'une instruction constitue une violation du règlement, et peut suspendre son exécution jusqu'à confirmation écrite.
Les transmissions vers un autre service Table & Terroir ne sont pas de la sous-traitance. Lorsque vous consentez à transmettre des faits de votre activité à T&T Full ou à T&T Data, le destinataire les traite pour ses propres finalités : il est alors responsable du traitement, et non sous-traitant ultérieur de l'éditeur. Ces transmissions n'ont lieu que sur votre consentement exprès, portée par portée, et chaque retrait est enregistré, daté et transmis au destinataire.
⚠️ Votre organisation est identifiée en clair auprès de T&T Data, par son numéro SIRET et son identifiant d'organisation, sur chacun des flux transmis. C'est ce qui rend possibles les rapprochements que vous autorisez. En revanche, sur les lignes de facture d'achat, vos fournisseurs sont remplacés avant transmission par un pseudonyme stable pour votre organisation et non recoupable avec celui d'un autre client.
Confidentialité des personnes autorisées
L'éditeur veille à ce que les personnes autorisées à traiter les données (article 28.3.b) :
- n'y accèdent que dans la mesure nécessaire à l'exécution du service ;
- soient soumises à une obligation de confidentialité, contractuelle ou légale, qui survit à la fin de leurs fonctions ;
- reçoivent la formation nécessaire en matière de protection des données.
⚠️ À ce jour, l'éditeur est une société à associé unique dont le président est la seule personne physique ayant un accès d'administration. Nous l'écrivons plutôt que de laisser supposer une organisation qui n'existe pas encore : toute personne qui s'ajouterait relèverait des obligations ci-dessus.
L'accès d'administration au dossier d'un client est encadré par le service lui-même, et non par une simple règle interne :
| Ce qui est imposé | Comment |
|---|---|
| Un motif déclaré | l'ouverture est impossible sans motif saisi |
| Une durée limitée | l'accès expire automatiquement |
| Une trace que vous lisez | qui a regardé, quand, et pour quelle raison, depuis votre espace |
| Un second facteur d'authentification | un mot de passe seul n'ouvre aucun dossier |
Sous-traitants ultérieurs
Le client donne à l'éditeur une autorisation écrite générale de recourir aux sous-traitants ultérieurs suivants (article 28.2), tous situés dans l'Union européenne :
| Qui | Pour quoi | Où |
|---|---|---|
| Scaleway SAS | hébergement des serveurs et des sauvegardes | France |
| Resend | acheminement des courriers électroniques du service | Union européenne |
| Sellsy | gestion de la relation client de l'éditeur | France |
L'éditeur informe le client de tout changement envisagé — ajout ou remplacement — par courrier électronique à l'adresse du compte, au moins trente jours avant sa mise en œuvre. Le client peut s'y opposer par écrit dans ce délai ; à défaut d'accord, il peut résilier le contrat principal sans indemnité ni pénalité.
L'éditeur impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection équivalentes à celles de la présente annexe, et demeure pleinement responsable de leur exécution devant le client (article 28.4).
Sécurité du traitement
Les mesures ci-dessous sont celles réellement en place, et non une liste de bonnes pratiques (article 32).
| Mesure | État |
|---|---|
| Chiffrement des échanges (TLS), avec en-tête HSTS | actif |
| Politique de sécurité de contenu, cadre d'affichage interdit | active |
| Mots de passe conservés sous forme de condensé, jamais en clair | actif |
| Limitation de débit sur l'authentification | actif |
| Second facteur exigé de tout compte d'administration | actif |
| Second facteur disponible pour tout compte client | au choix du client |
| Cloisonnement des dossiers, éprouvé par des tests automatisés | actif |
| Journal des accès d'administration, lisible par le client | actif |
| Sauvegardes quotidiennes, et restauration éprouvée automatiquement | actif |
| Téléversements bornés en taille et en type | actif |
| Aucune requête construite par concaténation de chaînes | vérifié en continu |
| Recensement quotidien des vulnérabilités des composants | actif |
⚠️ Ce que l'éditeur ne promet pas. Il n'existe à ce jour aucun engagement de niveau de service ni de disponibilité — la rubrique correspondante des conditions générales le dit également. Le service est exploité par une société à associé unique, sans astreinte permanente. La surveillance automatique s'exécute quotidiennement ; elle n'est pas une surveillance continue par une personne.
⚠️ Les données ne sont pas chiffrées au repos au niveau applicatif. Elles le sont au niveau des volumes de l'hébergeur. Nous le précisons parce que « chiffrement des données » est une formule que l'on trouve partout et qui ne dit pas à quel niveau.
Assistance aux droits des personnes concernées
L'éditeur aide le client à satisfaire les demandes d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité (article 28.3.e).
Concrètement :
- les données de votre dossier sont exportables par vous-même, à tout moment, dans des formats réutilisables ;
- si une personne concernée s'adresse directement à l'éditeur, celui-ci ne répond pas à sa place : il transmet la demande au client sans délai, en l'informant qu'il n'est que sous-traitant ;
- pour toute opération que le service ne permet pas d'accomplir seul, l'éditeur l'exécute sur demande écrite, dans un délai de dix jours ouvrés, de façon à laisser au client le temps de répondre dans le délai d'un mois qui lui est imparti.
Violation de données à caractère personnel
L'éditeur notifie le client de toute violation dont il a connaissance, sans délai injustifié et au plus tard soixante-douze heures après en avoir eu connaissance (article 33.2), par courrier électronique à l'adresse du compte.
La notification comprend, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, et les mesures prises ou envisagées.
⚠️ Ce délai court à compter de la CONNAISSANCE, et la connaissance dépend de la détection. L'éditeur n'a pas d'astreinte permanente : sa surveillance automatique s'exécute quotidiennement. Une violation survenant en dehors de ces passages peut n'être connue qu'au suivant. Nous l'écrivons parce qu'un délai de notification annoncé sans dire de quoi il part laisse croire à une détection immédiate.
C'est au client qu'il appartient de notifier la CNIL et, le cas échéant, les personnes concernées : il est le responsable du traitement. L'éditeur lui fournit toute information utile à cette fin.
Analyse d'impact et consultation préalable
L'éditeur aide le client, au regard de la nature du traitement et des informations dont il dispose, à réaliser une analyse d'impact relative à la protection des données et, s'il y a lieu, à consulter préalablement l'autorité de contrôle (article 28.3.f, articles 35 et 36).
⚠️ Le service ne met en œuvre aujourd'hui aucun traitement qui rende une telle analyse obligatoire : ni profilage, ni décision automatisée produisant des effets juridiques, ni traitement à grande échelle de données sensibles, ni surveillance systématique d'une zone accessible au public. Si cela changeait, l'éditeur en informerait le client avant la mise en œuvre.
Sort des données à la fin du traitement
À la fin de la prestation, le client choisit entre la restitution et l'effacement de ses données (article 28.3.g). À défaut d'instruction, l'éditeur conserve les données pendant trente jours puis applique le paragraphe suivant.
La restitution est disponible à tout moment et sans intervention de l'éditeur : les fonctions d'export du service vous rendent vos données dans des formats réutilisables. Nous recommandons de l'exercer avant de demander un effacement.
L'effacement est exécuté sur demande écrite. Il porte sur les copies, y compris de sauvegarde, dans le délai de rotation de celles-ci.
⚠️ Aucune purge automatique n'est active à ce jour. Les durées de conservation annoncées dans la politique de confidentialité — dix ans pour les factures et les pièces justificatives, en application de l'article L123-22 du code de commerce, et les autres durées qui y figurent — sont déclarées et arrêtées, mais leur application automatique est suspendue tant que l'éditeur n'a pas vérifié qu'aucun effacement ne détruirait une pièce encore exigible. Vos données sont donc conservées au-delà de ces durées, jamais en deçà.
Nous l'écrivons ici et pas seulement dans la politique de confidentialité, parce que c'est une limite de l'obligation d'effacement que le présent contrat vous promet : l'effacement est réel mais manuel, et il ne s'exécute pas tout seul à l'échéance.
Les obligations légales de conservation prévalent. Lorsqu'une disposition impose à l'éditeur de conserver un élément — notamment les données de facturation de son propre abonnement — cet élément est conservé pour la seule durée requise, sous le régime de responsable du traitement, et non pour le compte du client.
Audit et mise à disposition des informations
L'éditeur met à la disposition du client toutes les informations nécessaires pour démontrer le respect de la présente annexe, et permet la réalisation d'audits (article 28.3.h).
| Moyen | Modalités |
|---|---|
| Documentation écrite et réponse à un questionnaire | sur demande, sans frais, sous trente jours |
| Registre des sous-traitants ultérieurs et de leurs localisations | publié dans la présente annexe |
| Journal des accès d'administration à votre dossier | consultable par vous, à tout moment, sans demande |
| Audit sur pièces ou sur place, par le client ou un tiers mandaté | après préavis écrit de trente jours, une fois par an, aux frais du demandeur |
Le tiers mandaté ne doit pas être un concurrent de l'éditeur et doit être soumis à une obligation de confidentialité. L'audit s'exerce pendant les heures ouvrables et sans perturber l'exploitation du service.
⚠️ Aucune certification ni audit de sécurité par un tiers n'a été réalisé à ce jour. L'éditeur ne revendique ni ISO 27001, ni SOC 2, ni HDS. Les mesures décrites à la rubrique « Sécurité du traitement » sont vérifiables sur pièces et par audit ; elles ne sont adossées à aucune attestation externe.
Transferts hors Union européenne
Aucun transfert de données hors de l'Union européenne n'a lieu, ni par l'éditeur, ni par les sous-traitants ultérieurs énumérés ci-dessus.
L'éditeur ne transfère aucune donnée vers un pays tiers ou une organisation internationale sans instruction écrite du client, sauf obligation légale — auquel cas il en informe le client au préalable, à moins que le droit applicable ne l'interdise (article 28.3.a).
Si un transfert devenait nécessaire, il ne serait mis en œuvre qu'après information préalable du client et sur le fondement d'une décision d'adéquation ou de garanties appropriées au sens du chapitre V du règlement.