Accord de sous-traitance (DPA) – Bulbiz

Le présent accord de sous-traitance (« DPA ») fait partie du contrat Bulbiz.

1. Parties et rôles

Le Client professionnel est responsable de traitement pour les données de ses clients, prospects, salariés et contacts qu’il confie à Bulbiz. LA RUCHE (BULBIZ), SAS au capital de 5 000 €, 2 Rue du Bocage, 69008 Lyon, SIREN 100 066 679, agit comme sous-traitant pour ces données. Contact : alexandre.p@bulbiz.fr.

Pour les données du compte Bulbiz, la sécurité, la facturation de l’abonnement, les obligations légales et la promotion de ses propres services, LA RUCHE peut agir comme responsable de traitement ; ces traitements sont décrits dans la Politique de confidentialité et ne relèvent pas du présent DPA.

2. Objet, durée, nature et finalités

Le traitement dure pendant le contrat puis pendant la période nécessaire à l’export, à la suppression et aux conservations légales. Il comprend, selon les fonctions utilisées, la collecte, l’enregistrement, l’organisation, l’hébergement, la consultation, la génération assistée, la transmission sur instruction, l’export, la sauvegarde, la restitution et la suppression.

Les finalités sont la gestion des demandes, clients, prospects, dossiers, chantiers, rendez-vous, messages, médias, devis, factures et relances ; les intégrations Gmail et Agenda ; les notifications ; et, lorsque le Client l’active, l’émission, la réception et le suivi de factures électroniques et des données réglementaires associées. Une activation ou un statut technique ne produit aucune conformité automatique et ne dispense pas le Client de ses propres vérifications.

3. Personnes et données

Les personnes concernées peuvent être les clients et prospects du Client, ses interlocuteurs, salariés, fournisseurs et toute personne dont il introduit licitement les données dans Bulbiz.

• identité, coordonnées, adresse, entreprise et identifiants professionnels ;
• demandes, rendez-vous, interventions, notes, messages et historique ;
• devis, factures, lignes, prix, TVA, paiement et statuts réglementaires ;
• photos, vidéos, fichiers et notes vocales ajoutés par le Client ;
• données nécessaires aux intégrations et aux notifications ;
• données de facturation électronique : parties, SIREN/SIRET, TVA, facture structurée, cycle de vie, transaction, paiement, Annuaire, mandat et accusés techniques.

Le Client n’introduit pas de données sensibles ou pénales sauf nécessité documentée, base légale, information adéquate et mesures supplémentaires convenues avec LA RUCHE.

4. Instructions documentées

LA RUCHE traite les données uniquement sur instructions documentées du Client, constituées par le contrat, le paramétrage du compte et les actions authentifiées dans le Service, y compris pour un transfert international. Si une règle impérative impose un autre traitement, LA RUCHE en informe le Client avant celui-ci, sauf interdiction légale. LA RUCHE informe immédiatement le Client si elle estime qu’une instruction viole le RGPD ou une règle applicable et peut suspendre l’instruction concernée.

5. Obligations du Client

• définir une finalité et une base légale, informer les personnes et respecter leurs droits ;
• limiter les données et accès, tenir son registre et fixer ses durées de conservation ;
• sécuriser ses comptes, contrôler ses utilisateurs et vérifier les destinataires avant envoi ;
• documenter toute instruction particulière, notamment pour les données sensibles ;
• vérifier les factures, identités fiscales, mandats et statuts avant de déclarer une obligation remplie.

6. Confidentialité et sécurité

LA RUCHE veille à ce que les personnes autorisées soient soumises à une obligation de confidentialité et n’accèdent aux données que selon le besoin d’en connaître. Elle met en œuvre des mesures appropriées au risque, notamment : chiffrement des échanges, contrôle d’accès et moindre privilège, séparation logique des comptes, protection des secrets et jetons, journalisation de sécurité, sauvegardes, gestion des vulnérabilités et procédure d’incident. Les mesures sont revues en fonction de l’état de l’art, des coûts et des risques.

7. Sous-traitants ultérieurs

Le Client donne une autorisation générale au recours aux sous-traitants listés dans le registre publié ou fourni par LA RUCHE. LA RUCHE informe le Client avant l’ajout ou le remplacement d’un sous-traitant afin qu’il puisse formuler une objection motivée liée à la protection des données. À défaut de solution raisonnable, le Client peut cesser d’utiliser la fonction concernée. LA RUCHE impose au sous-traitant des obligations au moins équivalentes et demeure responsable envers le Client de leur exécution dans les conditions de l’article 28 du RGPD.

Peuvent notamment intervenir, selon les fonctions réellement activées :

• Supabase : base de données, authentification et stockage ;
• Vercel : hébergement et diffusion de l’application web ;
• Resend : emails transactionnels ;
• Google : Gmail, Agenda, aide à l’adresse, Firebase et assistance Gemini selon la fonction ;
• Apple et Google Firebase Cloud Messaging : livraison des notifications ;
• SUPER G (SIREN 853 322 915), service SUPER PDP : uniquement lorsque le Client active la facturation électronique.

La liste versionnée communiquée au Client précise, sur la base des contrats en vigueur, l’identité juridique, le rôle, la localisation, les transferts et le périmètre réel de chaque fournisseur.

8. Transferts internationaux

LA RUCHE ne transfère les données hors de l’Espace économique européen que sur instruction ou lorsque le fonctionnement documenté du Service le nécessite, avec un mécanisme valide : décision d’adéquation, clauses contractuelles types et mesures complémentaires si nécessaire, ou autre garantie autorisée. Le registre des sous-traitants indique les pays et garanties réellement applicables. Une copie des garanties peut être demandée, sous réserve de la protection des informations confidentielles.

9. Droits des personnes

Compte tenu de la nature du traitement, LA RUCHE aide le Client, par les fonctions du Service et une assistance raisonnable, à répondre aux demandes d’accès, rectification, effacement, limitation, opposition et portabilité. Si LA RUCHE reçoit directement une demande concernant les données du Client, elle la transmet au Client sans y répondre, sauf instruction ou obligation légale.

10. Violation de données

LA RUCHE notifie au Client, dans les meilleurs délais après en avoir pris connaissance, toute violation affectant les données traitées pour son compte. Elle communique progressivement les informations disponibles : nature, catégories et volume approximatif, conséquences probables, mesures prises ou proposées et point de contact. Elle assiste le Client pour l’analyse, la notification à l’autorité et, le cas échéant, l’information des personnes.

11. Assistance sécurité, AIPD et autorités

LA RUCHE fournit les informations raisonnablement nécessaires pour les obligations des articles 32 à 36 du RGPD : sécurité, notification des violations, analyse d’impact et consultation préalable, compte tenu de la nature du traitement et des informations à sa disposition.

12. Audit et démonstration

LA RUCHE met à disposition la documentation nécessaire pour démontrer le respect de l’article 28. Le Client peut demander un audit raisonnable, en priorité documentaire, réalisé pendant les heures ouvrées, avec préavis, confidentialité et sans compromettre la sécurité ou les données d’autres clients. Un audit supplémentaire peut être demandé après une violation significative ou par une autorité. Les coûts excessifs causés par une demande non justifiée peuvent être facturés après accord préalable.

13. Retour et suppression

À la fin du Service, le Client choisit, dans la mesure techniquement disponible, la restitution puis la suppression, ou la suppression directe des données, sauf obligation légale de conservation. Les données sont retirées des systèmes actifs selon le cycle de purge documenté. Les copies de sauvegarde deviennent inaccessibles aux usages courants, restent protégées et sont écrasées à l’expiration de leur cycle. Les données conservées par obligation légale sont isolées, à accès restreint, et ne sont utilisées qu’à cette fin.

14. Durée et ordre de priorité

Le DPA s’applique tant que LA RUCHE traite des données pour le compte du Client. En cas de contradiction sur la protection de ces données, il prévaut sur les CGU. Les obligations qui, par nature, survivent à la fin du contrat restent applicables jusqu’à la suppression ou l’anonymisation effective.