Accord de sous-traitance des données (DPA)

1. Objet et rôles des parties

Le présent accord encadre le traitement, par 3B Agency SAS (« le Sous-traitant », éditeur d'oryBat), des données à caractère personnel pour le compte de l'artisan abonné (« le Responsable de traitement »).

L'artisan reste responsable de traitement des données personnelles de ses propres clients et de ses salariés qu'il saisit dans oryBat (clients, devis, factures, bons de livraison, chantiers, photos, membres de l'équipe). 3B Agency agit exclusivement comme sous-traitant sur ces données, sur instruction documentée du Responsable, dans le seul but de fournir le service. 3B Agency reste par ailleurs responsable de traitement pour les données du compte (identité de l'abonné, abonnement, facturation) — voir la politique de confidentialité.

2. Nature, finalité et durée du traitement

• Finalité : héberger et faire fonctionner le service de gestion (devis, factures, chantiers, planning, e-facturation, assistant IA).
• Catégories de données : identité et coordonnées des clients de l'artisan, données de facturation, photos de chantier, données des salariés.
• Personnes concernées : clients finaux, prospects et salariés de l'artisan.
• Durée : le temps de l'abonnement, puis 90 jours après résiliation avant suppression (les documents comptables sont conservés selon la durée légale applicable).

3. Obligations du sous-traitant

• Ne traiter les données que sur instruction documentée du Responsable et pour les finalités ci-dessus ;
• Garantir la confidentialité (personnel habilité tenu à la confidentialité) ;
• Mettre en œuvre les mesures de sécurité de l'article 32 (chiffrement HTTPS/TLS, isolation multi-tenant, authentification, sauvegardes chiffrées) ;
• Assister le Responsable pour répondre aux demandes d'exercice de droits des personnes concernées et pour ses obligations de sécurité et de notification ;
• Notifier au Responsable toute violation de données dans les meilleurs délais après en avoir pris connaissance ;
• Au terme du contrat, restituer ou supprimer les données au choix du Responsable (voir §6).

4. Sous-traitants ultérieurs

Le Responsable autorise le recours aux sous-traitants ultérieurs suivants, tenus par des garanties équivalentes :

3B Agency informe le Responsable de tout changement de sous-traitant ultérieur, lui laissant la possibilité de s'y opposer.

5. Transferts hors Union européenne

Les transferts vers des sous-traitants situés hors UE (Stripe, Google/Firebase, Groq — États-Unis) sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par des mesures supplémentaires appropriées.

6. Sort des données en fin de contrat

À la résiliation, le Responsable peut exporter ses données. Passé un délai de 90 jours, les données sont supprimées, à l'exception des documents devant être conservés au titre d'une obligation légale. Une demande de suppression anticipée peut être exercée à tout moment (voir suppression de compte).

7. Audit

3B Agency met à disposition du Responsable les informations nécessaires pour démontrer le respect de l'article 28 et contribue aux audits raisonnables diligentés par le Responsable ou un tiers mandaté.

8. Acceptation & contact

Le présent accord est accepté par le Responsable lors de la création de son compte, en même temps que les CGV et la politique de confidentialité. Pour toute question : gestion@3bagency.re.