Accord de sous-traitance des données personnelles

Dernière mise à jour : 12 octobre 2026

Le présent accord encadre le traitement des données personnelles effectué dans le cadre de l'utilisation de Rapprocha, conformément à l'article 28 du Règlement général sur la protection des données (RGPD).

1. Parties et objet

Le présent accord est conclu entre :

Le responsable du traitement : le client professionnel qui utilise Rapprocha et détermine les finalités et les moyens du traitement des données personnelles contenues dans les fichiers qu'il importe.
Le sous-traitant : l'exploitant de Rapprocha, exploitant de Rapprocha.

E-mail: rapprocha.support@gmail.com

L'identité complète de l'exploitant figure dans les mentions légales.

Dans le cadre de la fourniture du service, le sous-traitant traite certaines données personnelles pour le compte du responsable du traitement et conformément à ses instructions documentées.

Le présent accord complète les conditions générales applicables au service. Il s'applique lorsque l'utilisation de Rapprocha implique le traitement de données personnelles pour le compte du client.

2. Objet, durée, nature et finalité du traitement

Le traitement a pour objet de permettre au client de rapprocher ses transactions bancaires et ses factures à l'aide de Rapprocha.

Les opérations de traitement peuvent comprendre :

La réception et l'importation des fichiers transmis par le client.
La lecture et l'analyse des données contenues dans ces fichiers.
La mise en correspondance des transactions et des factures.
La détection des opérations nécessitant une vérification.
La génération et l'export des résultats, notamment au format CSV et PDF.
Le stockage des données nécessaires au fonctionnement du service.
La suppression des données conformément aux règles de conservation applicables.

Le traitement est effectué pendant la durée d'utilisation du service, sous réserve des obligations légales applicables et des durées techniques nécessaires à la suppression des données.

3. Catégories de données et personnes concernées

Les données susceptibles d'être traitées comprennent notamment :

Les dates et montants des transactions.
Les libellés et références des opérations bancaires.
Les noms et coordonnées éventuellement présents dans les fichiers.
Les noms des clients, fournisseurs et autres contreparties.
Les références et numéros de facture.
Les informations nécessaires à l'identification des paiements et des factures correspondantes.

Les personnes concernées peuvent notamment être les clients, fournisseurs, salariés, représentants et autres personnes physiques dont les données figurent dans les fichiers importés.

Le client s'engage à ne transmettre que les données nécessaires à l'utilisation du service et à disposer d'une base légale appropriée pour leur traitement.

Il lui appartient également d'informer les personnes concernées lorsque la réglementation l'exige.

4. Obligations du sous-traitant

Le sous-traitant s'engage à :

Traiter les données personnelles uniquement sur instruction documentée du responsable du traitement, sauf obligation légale contraire.
Veiller à ce que les personnes autorisées à accéder aux données soient soumises à une obligation de confidentialité appropriée.
Mettre en œuvre des mesures techniques et organisationnelles adaptées afin de protéger les données contre la perte, l'accès non autorisé, la divulgation ou l'altération.
Aider le responsable du traitement, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées.
Apporter une assistance raisonnable au responsable du traitement pour les obligations relatives à la sécurité, aux violations de données et aux analyses d'impact, lorsque cela est nécessaire.
Informer le responsable du traitement de toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance.
Mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations et permettre les audits prévus par l'article 28 du RGPD.
Ne pas transférer les données vers un pays situé hors de l'Espace économique européen sans respecter les conditions prévues par la réglementation applicable.

Mesures de sécurité mises en œuvre à ce jour :

Chiffrement des échanges : l'accès au service se fait exclusivement en HTTPS (redirection automatique, HSTS) et les cookies de session sont réservés aux connexions sécurisées.
Cloisonnement : chaque rapprochement n'est accessible qu'au compte qui l'a créé, vérifié à chaque requête.
Authentification : elle est déléguée à Google ; Rapprocha ne stocke aucun mot de passe de ses clients.
Hébergement : l'application et sa base de données PostgreSQL sont hébergées par Render à Francfort (Union européenne) ; l'accès à la base passe par le réseau privé de l'hébergeur. Le chiffrement au repos est assuré par les hébergeurs selon leurs propres conditions.
Sauvegardes : copies quotidiennes de la base de données dans un stockage objet privé (Cloudflare R2), accessible par une clé dédiée et conservées 30 jours au plus.
Contrôle des fichiers importés : vérification du format, de la taille et du nombre de lignes, et neutralisation des formules dans les exports CSV.
Aucune intelligence artificielle tierce : les fichiers ne sont envoyés à aucun service d'IA et ne servent pas à entraîner de modèle.
Accès restreint : l'accès aux données par l'exploitant est limité à l'administration et au support du service, et les décisions de rapprochement sont tracées.

Ces mesures sont complétées par celles décrites dans la politique de confidentialité. Aucun système n'étant infaillible, le sous-traitant ne garantit pas l'absence totale d'incident, mais s'engage à les traiter conformément au présent accord.

5. Sous-traitants ultérieurs

Le sous-traitant peut faire appel à des prestataires externes pour fournir le service, notamment pour l'hébergement et le stockage des données.

Prestataires traitant les données des fichiers importés :

Render Services, Inc. — hébergement de l'application et de la base de données (centre de données de Francfort, Union européenne).
Cloudflare, Inc. — stockage objet privé (Cloudflare R2) : sauvegardes quotidiennes de la base de données et, lorsque ce stockage est activé pour les fichiers, fichiers importés.

Stripe (paiement des abonnements) et Google (authentification) traitent les données de compte et de facturation en qualité de responsables de traitement distincts ; ils ne reçoivent pas le contenu des fichiers importés. À ce jour, aucun service d'envoi d'e-mails, d'analyse d'audience ou de publicité n'est utilisé.

La liste à jour des prestataires, leur rôle et la localisation des données figurent dans la politique de confidentialité.

Le recours à ces prestataires est encadré conformément à l'article 28 du RGPD. Le sous-traitant veille à ce qu'ils soient soumis à des obligations de protection des données au moins équivalentes à celles qui lui incombent pour les opérations concernées.

En cas de changement prévu concernant l'ajout ou le remplacement d'un sous-traitant ultérieur, le responsable du traitement en est informé dans les conditions prévues par le RGPD et peut formuler une objection motivée selon les modalités communiquées.

6. Conservation et suppression des données

Le client peut supprimer ses données lui-même, à tout moment, au moyen des fonctionnalités de Rapprocha :

Suppression d'un rapprochement : en un clic. Les fichiers importés, les transactions, les factures, les résultats et les rapports qui lui sont rattachés sont effacés immédiatement de l'application. L'opération est irréversible.
Suppression du compte : depuis les paramètres de sécurité. L'ensemble des rapprochements et de leurs fichiers, ainsi que les données du compte, sont effacés immédiatement. Les données de facturation sont conservées selon les durées légales applicables.
Les correspondances entre libellés bancaires et noms de fournisseurs que le service mémorise pour les rapprochements suivants sont rattachées au compte ; elles ne sont pas supprimées avec un rapprochement mais le sont avec le compte.
Le client peut à tout moment exporter ses données depuis les paramètres de sécurité.

Sauvegardes : les données supprimées peuvent subsister dans les sauvegardes quotidiennes de la base de données pendant 30 jours au plus, puis sont définitivement effacées. Ces sauvegardes ne contiennent pas les fichiers CSV importés, seulement les données enregistrées dans la base. L'hébergeur de la base de données peut conserver ses propres sauvegardes pendant une durée limitée fixée par sa politique.

À la fin de la relation contractuelle, le sous-traitant supprime ou restitue les données personnelles traitées pour le compte du client, selon les modalités convenues, sauf si leur conservation est imposée par une obligation légale.

Le sous-traitant ne conserve pas les données au-delà de ce qui est nécessaire aux finalités prévues, sous réserve des obligations légales applicables.

7. Responsabilités du client

Le client demeure responsable :

De la licéité de la collecte et de l'importation des données.
De l'information des personnes concernées lorsque cela est requis.
De la détermination des finalités et de la base légale du traitement.
De l'exactitude des fichiers transmis et de la limitation des données au strict nécessaire.
De la gestion des accès à son compte et de la confidentialité de ses identifiants.

Le client s'engage à ne pas importer de données qui ne sont pas nécessaires au rapprochement des transactions et des factures.

8. Contact et demandes

Pour toute question relative au présent accord ou à la protection des données personnelles, le client peut contacter l'exploitant de Rapprocha :

E-mail : rapprocha.support@gmail.com

Il peut aussi utiliser la page Contact.

9. Entrée en vigueur

Le présent accord s'applique pendant toute la durée du traitement des données personnelles effectué pour le compte du client.

Il complète les conditions générales d'utilisation et de vente de Rapprocha et doit être interprété conformément au RGPD et au droit applicable.