Contrat de sous-traitance

Projet – vérification par un avocat requise. Le présent contrat n’a pas encore fait l’objet d’un examen juridique. Il décrit la manière dont nous traitons vos données dans FUBEXA ONE. Vous recevez le contrat de sous-traitance signé avec votre contrat FUBEXA ONE.

Cette traduction est fournie à titre indicatif ; en cas de divergence, la version allemande prévaut.

Parties

Responsable du traitement (« client ») : l’entreprise qui conclut avec nous un contrat portant sur FUBEXA ONE (« contrat principal », avec nos conditions générales), y compris pendant la période d’essai gratuite.

Sous-traitant (« FUBEXA », « nous ») : FUBER LTD, 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Royaume-Uni ; immatriculée auprès de Companies House (England and Wales) 14783209.
Contact protection des données : hello@fubexa.com

§ 1 Objet et durée

1. Le présent contrat régit les obligations des parties dans la mesure où nous traitons des données à caractère personnel pour le compte du client dans le cadre du contrat principal (art. 28 du RGPD). Il s’applique à la plateforme FUBEXA ONE (web et application), à ses connexions aux systèmes du client, à la période d’essai gratuite, au scan d’erreurs et au support.
2. Le contrat commence avec le contrat principal – en cas d’essai gratuit, au début de l’essai – et prend fin avec lui. Les obligations qui se prolongent au-delà, notamment en matière de restitution, de suppression et de confidentialité, restent en vigueur jusqu’à leur exécution.
3. En cas de contradiction entre le présent contrat et le contrat principal, le présent contrat prévaut pour les questions de protection des données.

§ 2 Nature et finalité du traitement

1. Nous mettons FUBEXA ONE à la disposition du client en tant que logiciel accessible par internet (software as a service). Le traitement comprend la collecte via l’interface, l’application et les connexions ; l’enregistrement, l’organisation, le rapprochement, l’analyse et l’affichage ; la transmission aux destinataires choisis par le client (par exemple par e-mail ou sous forme d’export) ; la sauvegarde et la suppression.
2. La seule finalité est la fourniture des prestations convenues : les modules de la formule choisie (par exemple Vente, Entrepôt, Finances, Personnel et Cockpit), la connexion aux systèmes du client, le support, la sauvegarde des données et la protection de la plateforme contre les abus.
3. Nous nous connectons à JTL-Wawi et à DATEV uniquement en lecture seule. Nous n’y modifions aucune donnée.
4. Nous n’utilisons pas les données du client à nos propres fins, notamment pas à des fins publicitaires, et ne les transmettons qu’aux sous-traitants ultérieurs visés au § 8.

§ 3 Types de données à caractère personnel

Selon les modules utilisés par le client :

• Données clients : nom, adresse, coordonnées, contrats de vente, signatures, livraisons, réclamations ;
• Données des collaborateurs : nom, rôle, magasin et coordonnées des salariés du client ;
• Données du personnel : dossier du personnel, y compris numéro d’identification fiscale, numéro de sécurité sociale et coordonnées bancaires (IBAN), congés et planning ;
• Données de temps et de paie : heures de travail (arrivée et départ), corrections et leurs motifs, données de préparation de la paie ;
• Données fournisseurs : interlocuteurs chez les fournisseurs et les fabricants, commandes, confirmations de commande ;
• Données de paiement : paiements, acomptes, encours, livre de caisse et écritures lues dans DATEV ;
• Comptes utilisateurs : nom, e-mail de connexion, mot de passe (uniquement sous forme de hash), paramètres d’authentification à deux facteurs, sessions, adresses IP, informations sur l’appareil et journaux d’activité ;
• Contenus : fichiers et textes que le client télécharge ou saisit lui-même, par exemple photos, documents PDF et messages au support.

Le client décide lui-même s’il enregistre des catégories particulières de données à caractère personnel (art. 9 du RGPD), par exemple des informations sur les jours de maladie. Les mesures de l’annexe 1 s’appliquent également à ces données.

§ 4 Catégories de personnes concernées

• clients et prospects du client ;
• salariés du client, y compris les anciens salariés ;
• utilisateurs de FUBEXA ONE chez le client ;
• interlocuteurs chez les fournisseurs, fabricants, prestataires et autres partenaires commerciaux du client.

§ 5 Instructions

1. Nous ne traitons les données que sur instruction documentée du client, y compris en ce qui concerne les transferts vers un pays tiers, à moins d’y être tenus en vertu du droit de l’Union ou du droit de l’État membre auquel nous sommes soumis. Dans ce cas, nous informons le client de cette obligation juridique avant le traitement, sauf si ce droit l’interdit pour des motifs importants d’intérêt public (art. 28, par. 3, point a, du RGPD).
2. Constituent des instructions le présent contrat, le contrat principal et les paramètres que le client définit dans FUBEXA ONE, par exemple concernant les utilisateurs, les rôles, les modules, les connexions, les suppressions et les exports. Le client donne toute autre instruction sous forme textuelle, par exemple par e-mail à hello@fubexa.com.
3. Sont habilités à donner des instructions le titulaire du compte client et les personnes qu’il désigne à cet effet.
4. Si une instruction constitue selon nous une violation du droit de la protection des données, nous en informons immédiatement le client. Nous pouvons en suspendre l’exécution jusqu’à ce qu’il la confirme ou la modifie.

§ 6 Confidentialité

1. Toutes les personnes qui, chez nous, ont accès aux données du client se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale de confidentialité (art. 28, par. 3, point b, du RGPD). Cette obligation perdure au-delà de la fin de leur activité.
2. Seules les personnes qui en ont besoin pour leur mission obtiennent un accès. Les collaborateurs de FUBEXA ne voient les données du client que dans des sessions de support journalisées et uniquement en lecture seule (annexe 1).

§ 7 Mesures techniques et organisationnelles

1. Nous prenons les mesures prévues à l’art. 32 du RGPD décrites à l’annexe 1.
2. Nous faisons évoluer ces mesures en fonction de l’état de la technique. Nous pouvons les modifier à condition que le niveau de protection ne diminue pas. Nous documentons les modifications importantes et en informons le client.

§ 8 Sous-traitants ultérieurs

1. Le client autorise les sous-traitants ultérieurs mentionnés à l’annexe 2.
2. Si nous souhaitons recourir à d’autres sous-traitants ultérieurs ou remplacer ceux existants, nous en informons le client sous forme textuelle au moins 30 jours à l’avance. Le client peut s’opposer à ce changement pour un motif sérieux lié à la protection des données. À défaut de solution, il peut résilier le contrat principal à la date du changement.
3. Nous imposons contractuellement à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles du présent contrat (art. 28, par. 4, du RGPD). Nous sommes responsables envers le client de leur respect.
4. Les fournisseurs des systèmes du client, tels que JTL-Wawi, DATEV ou les portails fabricants, ne sont pas nos sous-traitants ultérieurs. Le client conclut lui-même les contrats avec eux.

§ 9 Lieu du traitement et pays tiers

1. Notre siège est situé au Royaume-Uni. Nous stockons et traitons les données du client dans un centre de données d’Oracle Cloud Infrastructure à Londres. Nous conservons en outre une copie de sauvegarde chiffrée en AES-256 sur un serveur loué par nos soins à Istanbul (Turquie) ; la clé n’y est pas stockée et la copie est supprimée après 30 jours (annexes 1 et 2).
2. La Commission européenne a adopté une décision d’adéquation pour le Royaume-Uni au titre de l’art. 45 du RGPD ; elle est valable jusqu’au 27 décembre 2031. Si elle cesse de s’appliquer, les parties conviennent sans délai de garanties appropriées au titre de l’art. 46 du RGPD, par exemple les clauses contractuelles types de la Commission européenne.
3. Nous ne transférons des données vers d’autres pays tiers que si les conditions des art. 44 à 49 du RGPD sont remplies. L’annexe 2 indique la base applicable.

§ 10 Assistance au client

1. Nous aidons le client, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées (art. 12 à 22 du RGPD). Le client peut effectuer lui-même une grande partie de ces opérations dans FUBEXA ONE, par exemple l’accès, la rectification, l’effacement et l’export.
2. Si une personne concernée s’adresse directement à nous, nous transmettons sans délai sa demande au client. Nous ne lui répondons que sur instruction du client.
3. Nous aidons le client à respecter ses obligations au titre des art. 32 à 36 du RGPD (sécurité du traitement, notifications, analyse d’impact, consultation préalable), compte tenu des informations dont nous disposons.

§ 11 Notification des violations de données

1. Nous notifions au client toute violation de données à caractère personnel sans délai et au plus tard 48 heures après en avoir pris connaissance, sous forme textuelle à l’adresse e-mail du titulaire du compte.
2. La notification contient, dans la mesure où elles sont connues, les informations prévues à l’art. 33, par. 3, du RGPD. Nous communiquons les informations manquantes dès qu’elles sont disponibles.
3. Nous prenons sans délai des mesures pour remédier à la violation et en atténuer les conséquences, en concertation avec le client. Le client effectue les notifications à l’autorité de contrôle et aux personnes concernées ; nous l’assistons à cet effet.

§ 12 Export, restitution et suppression des données

1. Le titulaire du compte client peut demander à tout moment dans FUBEXA ONE un export complet des données de son entreprise : chaque table sous forme de fichier CSV et chaque fichier enregistré dans son format d’origine. Les données de connexion telles que les hash de mots de passe n’y figurent pas. Nous mettons l’export à disposition dans les 24 heures suivant la demande.
2. À la fin du contrat principal, nous restituons au client, à sa demande, ses données sous forme d’export conformément à l’alinéa 1. Nous supprimons les données du client 30 jours après la fin du contrat, sauf obligation de conservation en vertu du droit de l’Union ou du droit d’un État membre. Les copies figurant dans les sauvegardes sont supprimées à l’expiration programmée de celles-ci (annexe 1).
3. Si nous cessons d’exploiter FUBEXA ONE, nous mettons l’export complet visé à l’alinéa 1 à la disposition du client au moins 90 jours à l’avance.
4. Sur demande, nous confirmons la suppression au client sous forme textuelle.

§ 13 Justificatifs et droits d’audit

1. Sur demande, nous mettons à la disposition du client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’art. 28 du RGPD.
2. Le client, ou un auditeur mandaté par lui et tenu à la confidentialité, peut vérifier le respect du présent contrat après en avoir informé en temps utile, pendant les heures ouvrables habituelles et sans perturber l’exploitation de manière disproportionnée.
3. Les audits auprès de nos sous-traitants ultérieurs sont régis par leurs conditions. Lorsqu’ils sont disponibles, nous présentons à cet effet leurs certificats et rapports d’audit.

§ 14 Responsabilité

1. À l’égard des personnes concernées, les parties sont responsables conformément à l’art. 82 du RGPD.
2. Entre les parties, chacune supporte la part du dommage correspondant à sa part de responsabilité (art. 82, par. 5, du RGPD).
3. Pour le reste, les règles de responsabilité du contrat principal (§ 11 des conditions générales) s’appliquent, dans la mesure où l’art. 82 du RGPD ne s’y oppose pas.

§ 15 Dispositions finales

1. Toute modification ou tout complément au présent contrat doit être effectué sous forme textuelle. Il en va de même pour toute renonciation à cette exigence de forme.
2. Le droit de la République fédérale d’Allemagne est applicable. Dans la mesure où la loi le permet, le tribunal compétent est celui du siège du client.
3. Si une disposition du présent contrat est invalide, le reste du contrat demeure valable.

Annexe 1 : mesures techniques et organisationnelles (art. 32 du RGPD)

Séparation des clients

• Chaque entreprise dispose de sa propre base de données avec son propre rôle de base de données. Les données de clients différents ne se trouvent jamais dans la même base de données.
• Les tables communes de la plateforme, par exemple pour les comptes et la facturation, sont en outre séparées par entreprise grâce à la sécurité au niveau des lignes (row level security).

Chiffrement

• Toutes les connexions à la plateforme sont chiffrées (TLS).
• Les données sensibles du personnel, telles que le numéro d’identification fiscale, le numéro de sécurité sociale et l’IBAN, ainsi que les identifiants d’accès aux systèmes connectés sont en outre enregistrés sous forme scellée avec AES-256-GCM.
• Nous n’enregistrons les mots de passe que sous forme de hash.

Contrôle des accès

• Rôles et droits : chaque utilisateur ne voit et ne modifie que ce que son rôle autorise. Le client attribue les rôles.
• Authentification à deux facteurs : obligatoire pour les collaborateurs de FUBEXA, facultative pour les utilisateurs du client.
• Protection contre la devinette de mots de passe : après 5 tentatives infructueuses, le compte est bloqué pendant 15 minutes.
• Les collaborateurs de FUBEXA n’accèdent aux données du client que dans des sessions de support journalisées, uniquement en lecture seule.

Journalisation et intégrité

• Les connexions, tentatives infructueuses, modifications, exports et accès du support sont consignés dans un journal d’audit qui ne peut pas être modifié a posteriori.
• Les pointages ne peuvent pas être modifiés ; les corrections ne sont possibles qu’avec un motif et restent traçables.

Protection contre les attaques

• Un pare-feu applicatif (WAF) détecte les requêtes suspectes, par exemple des tentatives de connexion en masse ou des appels de pages inconnues, et bloque automatiquement leur source : de plus en plus longtemps, puis définitivement en cas de récidive.
• Cloudflare protège en outre la plateforme contre les attaques DDoS.

Connexions

• JTL-Wawi et DATEV sont connectés uniquement en lecture seule ; nous n’y modifions aucune donnée.

Disponibilité et sauvegarde

• Chaque nuit, nous sauvegardons toutes les bases de données et tous les fichiers enregistrés. La sauvegarde la plus récente est chiffrée en AES-256 sur le serveur de la plateforme, et une copie est conservée sur un second serveur loué par nos soins à Istanbul (Turquie). La clé de déchiffrement reste uniquement du côté de la plateforme, jamais sur ce serveur. Les copies à Istanbul sont supprimées après 30 jours.
• Si la dernière sauvegarde date de plus de 26 heures, nous sommes avertis automatiquement.
• La plateforme fonctionne dans un centre de données d’Oracle Cloud Infrastructure à Londres. La sécurité physique du centre de données est assurée par Oracle.

Suppression et conservation

• Données du client : supprimées 30 jours après la fin du contrat (§ 12).
• Sauvegardes sur le serveur de la plateforme : supprimées au bout de 14 jours.
• Copies de sauvegarde chiffrées à Istanbul : supprimées au bout de 30 jours.
• Fichiers d’export : supprimés 7 jours après leur mise à disposition.
• Journaux des requêtes adressées à la plateforme avec adresse IP : supprimés au bout de 30 jours.

Organisation et contrôle

• Les collaborateurs sont tenus à la confidentialité (§ 6) et ne reçoivent que les droits nécessaires à leur mission.
• Nous réexaminons régulièrement les mesures, en particulier après des modifications de la plateforme. Des tests automatisés vérifient notamment la séparation des entreprises et les droits des rôles.

Annexe 2 : sous-traitants ultérieurs

Par défaut, l’assistant IA utilise notre propre modèle de langage sur nos serveurs ; aucune donnée n’est transmise à des tiers. Un fournisseur d’IA externe n’est activé qu’en accord avec le client et est ajouté au préalable à la présente annexe conformément au § 8.

Version : projet du 18 octobre 2026