Accord de traitement des données
Accord de sous-traitance au sens de l'article 28 du RGPD (règlement UE 2016/679). Annexe indissociable des conditions générales, il encadre le traitement des données à caractère personnel réalisé par ANDRO MEDA, en qualité de sous-traitant, pour le compte du cabinet client, responsable de traitement.
Le Responsable de traitement : le cabinet (avocat, société ou association d'avocats) titulaire de l'abonnement Horace (ci-après le « Client »).
Le Sous-traitant : ANDRO MEDA, SAS au capital de 1 000 euros, 21 avenue de la Liberté, 67000 Strasbourg (RCS Strasbourg 108 452 657, TVA FR01 108 452 657), éditeur du logiciel Horace (ci-après « ANDRO MEDA »).
Article 1 — Objet et documents contractuels
Le présent accord précise les conditions dans lesquelles ANDRO MEDA traite les données à caractère personnel pour le compte du Client, dans le cadre de la fourniture du service Horace. Il fait partie intégrante des conditions générales. En cas de contradiction relative au traitement des données à caractère personnel, le présent accord prévaut.
Article 2 — Description du traitement
La nature, la finalité, la durée du traitement, les catégories de données et de personnes concernées sont décrites à l'Annexe 1. Le traitement est effectué pour la seule finalité de permettre au Client d'utiliser Horace (gestion du temps, des honoraires, de la facturation, des encaissements, des dossiers et des obligations professionnelles associées).
Article 3 — Instructions documentées
ANDRO MEDA traite les données à caractère personnel uniquement sur instructions documentées du Client, y compris en matière de transfert hors Union européenne. Les conditions générales, le paramétrage du service par le Client et l'usage qu'il en fait constituent ses instructions initiales ; toute instruction complémentaire est adressée par écrit à donneespersonnelles@horace.legal. Si ANDRO MEDA estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable, elle en informe immédiatement le Client.
Article 4 — Confidentialité
ANDRO MEDA veille à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et reçoivent la formation nécessaire. ANDRO MEDA a conscience que ces données sont susceptibles d'être couvertes par le secret professionnel de l'avocat et met en œuvre les mesures propres à en préserver la confidentialité.
Article 5 — Sécurité
ANDRO MEDA met en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, conformément à l'article 32 du RGPD. Ces mesures sont décrites à l'Annexe 3 et peuvent évoluer, sans diminution du niveau de sécurité.
Article 6 — Sous-traitants ultérieurs
Le Client autorise ANDRO MEDA à recourir aux sous-traitants ultérieurs listés à l'Annexe 2. ANDRO MEDA impose à tout sous-traitant ultérieur les mêmes obligations de protection des données que celles prévues au présent accord, par contrat. ANDRO MEDA demeure pleinement responsable, à l'égard du Client, de l'exécution par ces sous-traitants de leurs obligations.
En cas de changement (ajout ou remplacement d'un sous-traitant ultérieur), ANDRO MEDA en informe le Client au préalable, par tout moyen écrit, dans un délai raisonnable lui permettant de formuler des objections. Le Client peut s'opposer pour un motif légitime tenant à la protection des données dans un délai de trente (30) jours ; à défaut d'accord, le Client peut résilier la partie du service concernée dans les conditions des conditions générales.
Article 7 — Assistance : droits des personnes concernées
Dans la mesure du possible, ANDRO MEDA aide le Client, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, opposition, portabilité). Lorsqu'une personne s'adresse directement à ANDRO MEDA au sujet de données figurant dans un dossier du Client, ANDRO MEDA la réoriente vers le Client et en informe ce dernier sans délai.
Article 8 — Assistance : sécurité, violations et analyses d'impact
ANDRO MEDA aide le Client à garantir le respect de ses obligations en matière de sécurité (art. 32), de notification des violations (art. 33 et 34) et d'analyse d'impact (art. 35 et 36), compte tenu de la nature du traitement et des informations dont elle dispose.
ANDRO MEDA notifie au Client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, afin de permettre au Client, le cas échéant, de procéder à la notification à la CNIL dans le délai de 72 heures. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées.
Article 9 — Sort des données à la fin de la prestation
Au terme de la prestation relative au traitement, ANDRO MEDA, selon le choix du Client exprimé au plus tard à cette date :
- restitue au Client l'ensemble des données à caractère personnel, dans un format structuré et couramment utilisé (réversibilité / export) ; puis
- supprime les données existantes et leurs copies, sauf obligation légale de conservation.
La restitution et la suppression interviennent dans un délai de trente (30) jours suivant la fin du contrat, les sauvegardes chiffrées résiduelles étant purgées selon leur cycle de rotation (au plus tard sous 90 jours). ANDRO MEDA atteste par écrit de la suppression sur demande du Client.
Article 10 — Information et audit
ANDRO MEDA met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations du présent article et de l'article 28 du RGPD. ANDRO MEDA permet la réalisation d'audits, y compris des inspections, par le Client ou un auditeur qu'il mandate, sous réserve d'un préavis raisonnable (au moins 15 jours), dans la limite d'une fois par an sauf incident de sécurité, pendant les heures ouvrées, et dans le respect de la confidentialité et de la sécurité des autres clients d'ANDRO MEDA.
Article 11 — Registre et documentation
ANDRO MEDA tient un registre de toutes les catégories d'activités de traitement effectuées pour le compte du Client, conformément à l'article 30.2 du RGPD.
Article 12 — Localisation des données et transferts
Les données sont hébergées et traitées au sein de l'Union européenne. ANDRO MEDA ne procède à aucun transfert de données à caractère personnel hors de l'Union européenne. Tout recours futur à un transfert serait subordonné à une instruction du Client et à la mise en place des garanties appropriées (art. 44 et suivants du RGPD).
Article 13 — Durée, responsabilité et droit applicable
Le présent accord s'applique pendant toute la durée de l'abonnement au service et jusqu'à la restitution et la suppression des données. Chaque partie assume les conséquences de ses manquements dans les conditions prévues par le RGPD (art. 82) et les conditions générales. Le présent accord est régi par le droit français ; tout litige relève des juridictions compétentes désignées par les conditions générales.
Annexe 1 — Description du traitement
| Élément | Précisions |
|---|---|
| Nature des opérations | Hébergement, stockage, structuration, consultation, sauvegarde, restitution et suppression des données saisies par le Client dans Horace. |
| Finalité | Permettre au Client d'assurer la gestion de son cabinet : temps et honoraires, facturation et encaissements, suivi des dossiers, débours, obligations professionnelles (KYC/LCB-FT, conflits) le cas échéant. |
| Durée | Durée de l'abonnement, puis restitution/suppression (article 9). |
| Catégories de personnes concernées | Clients du cabinet, prospects, parties adverses, tiers intervenant aux dossiers, contacts, ainsi que les collaborateurs et utilisateurs du cabinet. |
| Catégories de données | Identité et coordonnées, données professionnelles, données relatives aux dossiers et prestations, données financières et de facturation, et — lorsque le Client les saisit — pièces d'identité et informations KYC/LCB-FT. Ces données peuvent relever du secret professionnel. |
| Données sensibles | ANDRO MEDA ne requiert pas de catégories particulières de données ; le Client reste maître des informations qu'il saisit dans les champs libres et pièces jointes. |
Annexe 2 — Sous-traitants ultérieurs autorisés
| Sous-traitant | Prestation | Localisation |
|---|---|---|
| OVH SAS | Hébergement de l'infrastructure et des données (serveurs, stockage, sauvegardes) | France (Union européenne) |
Les outils de mesure d'audience (Matomo) et de supervision technique (Glitchtip) utilisés par ANDRO MEDA sont auto-hébergés sur cette même infrastructure OVH : ils ne constituent pas des sous-traitants tiers et n'entraînent aucune communication de données à un tiers. Le prestataire de paiement (Mollie) et l'outil de mesure d'audience du site vitrine (Matomo, auto-hébergé) n'interviennent que sur la relation d'abonnement entre ANDRO MEDA et le Client (données propres d'ANDRO MEDA, voir la politique de confidentialité) et n'accèdent pas aux données des dossiers du Client.
Annexe 3 — Mesures techniques et organisationnelles de sécurité
- Hébergement souverain : infrastructure située en France (OVH), aucun transfert hors UE.
- Cloisonnement : les données de chaque cabinet sont isolées (instance et base de données dédiées par cabinet).
- Chiffrement : transport chiffré (HTTPS/TLS) ; chiffrement au repos des pièces sensibles (documents d'identité / KYC) et des sauvegardes.
- Contrôle d'accès : authentification des utilisateurs, gestion des habilitations, sessions sécurisées ; accès administrateur restreint et tracé.
- Journalisation : traçabilité des actions sensibles réalisées dans l'espace d'administration.
- Sauvegardes : sauvegardes automatiques et chiffrées, permettant la restauration en cas d'incident.
- Supervision : surveillance de la disponibilité et des erreurs au moyen d'outils auto-hébergés.
- Minimisation et séparation : les données de production ne sont pas utilisées à d'autres fins ; environnements séparés.