Accord de traitement des données

Version du 29 octobre 2026 · article 28 du règlement (UE) 2016/679 (RGPD)

Le présent accord fait partie intégrante du contrat conclu entre le cabinet client (le « Client », responsable de traitement) et Benjamin Mahier, entrepreneur individuel (EI) exerçant sous le nom commercial « VotreCRM », 32 rue Paul Bert, 69003 Lyon, contact@votrecrm.fr (l'« Éditeur », sous-traitant) pour l'utilisation du service VotreCRM, régi par les conditions générales de vente. Il est accepté lors de l'inscription et s'applique aux données personnelles que le Client enregistre dans le service.

1. Description du traitement

2. Obligations de l'Éditeur

L'Éditeur s'engage à :

1. ne traiter les données que sur instruction documentée du Client, constituée par le contrat et l'utilisation du service, et l'informer immédiatement s'il estime qu'une instruction constitue une violation de la réglementation ;
2. ne pas utiliser les données pour son propre compte, ne pas les vendre ni les communiquer à des tiers, hors sous-traitants ultérieurs autorisés ou obligation légale ;
3. garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
4. mettre en œuvre les mesures de sécurité décrites en annexe 2 (article 32 du RGPD) ;
5. aider le Client, dans la mesure du possible, à répondre aux demandes d'exercice des droits des personnes concernées, notamment au moyen des fonctions de consultation, de modification, d'export, de suppression et d'anonymisation irréversible du service, et lui transmettre sans délai toute demande reçue directement ; l'export du droit d'accès d'une personne, remis par le Client depuis sa fiche, comprend les données de la fiche, celles de l'espace assuré lorsqu'il est ouvert (accès et actions, demandes de modification, demandes de documents et leur suivi, sans identifiant de fichier ni auteur, conversations, réclamations déposées depuis l'espace avec la note interne du Client, que celui-ci peut occulter en partie, documents partagés), les preuves de consentement et d'opposition et les documents du dossier, y compris ceux déposés par la personne ; il exclut les informations commerciales internes du Client (commissions et taux) ;
6. aider le Client à garantir le respect des obligations des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact, consultation préalable), compte tenu de la nature du traitement et des informations dont il dispose ; à ce titre, des modèles d'analyse d'impact relatifs à l'espace assuré (messagerie, profil et préférences, réclamations ; dépôt de pièces par l'assuré, fonction prévue, pas encore ouverte) sont tenus à la disposition du Client, qui les adapte à sa situation et en reste responsable ;
7. tenir un registre des traitements effectués pour le compte du Client (article 30.2 du RGPD).

3. Obligations du Client

• Disposer d'une base légale pour chaque traitement et informer les personnes concernées.
• Ne pas enregistrer de données de santé ni d'autres catégories particulières de données, dans aucun champ, aucune note ni aucun document déposé : le service n'est pas hébergé par un hébergeur certifié « données de santé » (HDS) et n'est pas conçu pour ces données. Les informations médicales liées aux contrats santé, prévoyance ou emprunteur doivent être conservées dans un outil adapté. Seule exception, strictement limitée : la question facultative « Êtes-vous fumeur ? » du recueil de besoins prévoyance (article 1, mise en garde), à laquelle le client final répond lui-même après information, et que le Client ne traite que pour l'étude de prévoyance demandée, sur le fondement du consentement explicite de la personne (article 9, paragraphe 2, point a, du RGPD) ; le Client en demeure seul responsable de traitement. L'Éditeur peut retirer cette question du modèle à tout moment, sans que cela constitue une modification du contrat.
• Gérer les accès de ses utilisateurs et leurs rôles, et veiller à la confidentialité de leurs identifiants.
• Répondre aux demandes des personnes concernées, l'Éditeur lui apportant son aide.
• Fonction prévue, pas encore ouverte. Pour les fonctionnalités prévues qu'il active : informer les personnes concernées (clients, assurés, personnes recommandées, demandeurs de devis, apporteurs, collaborateurs) et documenter, lorsqu'elle est requise, l'analyse d'équilibre de son intérêt légitime (ventes croisées) ; ne soumettre à la lecture automatique aucun document comportant des informations de santé et ne saisir dans l'Assistant IA aucune donnée de santé ; informer ses collaborateurs avant qu'ils relient leur boîte de messagerie ; conclure avec l'éditeur de tout outil relié par l'API l'accord prévu à l'article 28 du RGPD. Espace assuré, dépôt de pièces : ne demander par l'espace aucun document contenant des données de santé et supprimer tout dépôt qui en contiendrait ou qui concernerait une autre personne ; vérifier chaque document déposé avant de le classer, avec les moyens de protection de son poste de travail (aucune analyse antivirus n'est effectuée par l'Éditeur) ; ne pas tenir le dépôt d'une pièce d'identité pour une vérification d'identité et appliquer ses propres mesures de vigilance.
• Espace assuré : compléter le texte d'information affiché aux assurés (identité du Cabinet, immatriculation ORIAS, réclamations et médiation) avant d'ouvrir l'espace ; informer ses clients de ces traitements (des modèles d'analyse d'impact sont fournis, article 2) ; ne traiter aucune donnée de santé dans la messagerie ni dans les réclamations et supprimer ou clore tout message qui en contiendrait ou qui concernerait une autre personne ; répondre aux réclamations dans les délais qui lui sont applicables ; ne donner aucun conseil engageant par la messagerie ; informer ses collaborateurs, en qualité d'employeur, que leur nom apparaît dans les messages, les décisions et l'export remis à l'assuré.
• Pièces déposées par ses clients (liens sécurisés, recueil de besoins et, à l'ouverture, espace assuré) : informer ses clients du filigrane apposé sur chaque fichier, de la limite de quatre fichiers par dépôt et de l'absence de conservation des fichiers d'origine, le texte affiché par le Service au moment du dépôt y contribuant sans l'en dispenser ; accepter de ne disposer que de la copie filigranée et apprécier, au regard de ses obligations, notamment de vigilance, si elle lui suffit, à défaut recueillir un exemplaire par un autre moyen ; ne pas tenir le filigrane pour une garantie contre la réutilisation ou l'usurpation ; vérifier la lisibilité de chaque pièce filigranée avant de la classer.

4. Propriété des données et assistance à distance

Les données enregistrées par le Client sont et restent sa propriété exclusive. L'Éditeur n'a pas accès aux bases clients enregistrées : son espace d'administration ne présente que les informations d'abonnement des cabinets.

Une assistance nécessitant de voir l'espace du Client n'est possible qu'avec un code à usage unique, envoyé par email aux administrateurs du Cabinet lorsque l'Éditeur déclenche la demande, et valable 30 minutes. L'accès n'est ouvert que si un administrateur communique ce code : sans code, aucune intervention n'a lieu. La session dure 30 minutes au plus, est signalée par un bandeau permanent, peut être arrêtée à tout moment par le Client et est consignée dans un journal. Elle ne permet pas de modifier l'identité, l'adresse email ou le mot de passe des utilisateurs.

5. Sous-traitants ultérieurs

Le Client autorise de manière générale l'Éditeur à recourir aux sous-traitants ultérieurs listés en annexe 1. L'Éditeur informe le Client de tout ajout ou remplacement au moins 30 jours à l'avance, par email ou dans le service ; le Client peut s'y opposer pour un motif légitime et, à défaut d'accord, résilier le contrat sans pénalité. L'Éditeur impose à chaque sous-traitant ultérieur des obligations de protection des données au moins équivalentes à celles du présent accord et demeure responsable de leur exécution. La liste des sous-traitants ultérieurs en vigueur est celle de l'annexe 1 de la version publiée sur le site votrecrm.fr ; les sous-traitants signalés « (prévu) » n'y reçoivent aucune donnée tant que la fonction correspondante n'est pas ouverte. L'information préalable précise la dénomination du sous-traitant, la prestation confiée, les catégories de données transmises, le lieu de traitement et la garantie du transfert hors Union européenne le cas échéant ; elle est accompagnée du projet d'annexe 1 modifiée. Une fonctionnalité qui repose sur un nouveau sous-traitant ultérieur n'est pas ouverte au Client qui s'y est opposé tant qu'un accord n'est pas trouvé ; à défaut, le Client peut résilier sans pénalité.

6. Localisation et transferts

Les données et les fichiers sont stockés dans l'Union européenne (région de Francfort). Certains sous-traitants ultérieurs étant établis aux États-Unis, un accès depuis ce pays ne peut être exclu (assistance et administration par le prestataire) et les emails sont acheminés par un prestataire établi aux États-Unis. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne (décision (UE) 2021/914) intégrées à l'accord de traitement de chaque prestataire et, lorsque le prestataire figure sur la liste officielle des organisations certifiées (dataprivacyframework.gov) à la date du transfert, sur la décision d'adéquation relative au cadre de protection des données UE-États-Unis (décision (UE) 2023/1795). L'Éditeur vérifie l'état de certification de ses sous-traitants ultérieurs à chaque mise à jour de l'annexe 1 et tient à la disposition du Client, sur demande, la copie des garanties applicables et son analyse des transferts.

7. Violation de données

L'Éditeur notifie au Client toute violation de données personnelles sans retard injustifié après en avoir pris connaissance. Il s'efforce d'adresser une alerte initiale dans les vingt-quatre (24) heures, par e-mail à l'adresse de l'administrateur du Cabinet, puis de transmettre des mises à jour au fur et à mesure que les informations sont connues. Le rapport complet est transmis au plus tard quarante-huit (48) heures après la prise de connaissance de la violation : il précise, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou envisagées. Il appartient au Client de notifier, le cas échéant, l'autorité de contrôle et les personnes concernées.

Une donnée, un document, un message ou une réclamation rendu accessible à une personne autre que celle qu'il concerne constitue une violation de données au sens de l'article 4, point 12, du RGPD, quelle qu'en soit la cause. La responsabilité en est répartie entre les parties selon l'origine de la violation, conformément aux articles 28 et 82 du RGPD et à l'article 15 des conditions générales de vente : a) lorsque la violation a pour origine le Client, ses Utilisateurs ou les personnes auxquelles il a donné accès au service (erreur de manipulation, envoi d'un lien ou d'un document à une mauvaise adresse, enregistrement sur une mauvaise fiche, identifiant non protégé, accès ou rôle attribué à tort, instruction contraire au présent accord), le Client en répond seul ; l'Éditeur l'en informe s'il en a connaissance et l'assiste dans les conditions de l'article 2 ; b) lorsque la violation a pour origine un manquement de l'Éditeur à ses obligations de sous-traitant (défaut du service, faille de sécurité, mauvaise configuration, mesure de l'annexe 2 non appliquée, traitement en dehors des instructions du Client), l'Éditeur en répond envers le Client, dans les limites de l'article 15 des conditions générales de vente ; c) lorsque la violation a pour origine un sous-traitant ultérieur de l'annexe 1, l'Éditeur en répond envers le Client dans les mêmes conditions que de son propre fait (article 28, paragraphe 4, du RGPD et article 5) et exerce son recours contre ce sous-traitant ; le Client n'a pas à agir contre lui. L'Éditeur est déchargé de toute responsabilité s'il établit que le fait qui a provoqué la violation ne lui est nullement imputable (article 82, paragraphe 3) ; lorsque plusieurs causes ont concouru à la violation, chaque partie en répond à proportion de sa part. Cette répartition ne modifie ni l'obligation du Client, responsable de traitement, de notifier l'autorité de contrôle et les personnes concernées dans les délais des articles 33 et 34 du RGPD, quelle que soit l'origine de la violation, ni les droits des personnes concernées, à l'égard desquelles la responsabilité de chaque partie reste fixée par l'article 82 du RGPD ; la partie qui a indemnisé une personne concernée au-delà de sa part dispose d'un recours contre l'autre à hauteur de la part de celle-ci (article 82, paragraphe 5).

Espace assuré : relèvent du cas a) la réponse adressée au mauvais fil de messagerie, la validation d'un champ de profil ou d'une demande de coordonnées qui concerne une autre personne et la communication d'une réclamation à un autre assuré que son auteur ; relèvent du cas b) ou du cas c) l'accès d'un assuré à un message ou une réclamation qui ne lui est pas destiné par suite d'un défaut des contrôles décrits à l'annexe 2 (session, fiche, Cabinet, choix du Client).

Fonction prévue, pas encore ouverte. Espace assuré, documents et dépôt de pièces : relèveront du cas a) le partage d'un document sur une mauvaise fiche et la validation d'un dépôt qui concerne une autre personne ; du cas b) ou du cas c) l'accès d'un assuré à un document qui ne lui est pas destiné par suite d'un défaut des mêmes contrôles.

8. Audit

L'Éditeur met d'abord à la disposition du Client un dossier de preuves (mesures de sécurité de l'annexe 2, liste et garanties des sous-traitants ultérieurs de l'annexe 1, registre des traitements) et répond par écrit aux demandes raisonnables d'information. Si ces éléments ne suffisent pas, le Client peut, à ses frais et au plus une fois par an, faire réaliser un audit par un auditeur indépendant tenu au secret, moyennant un préavis écrit de 30 jours. Un audit exceptionnel peut en outre être demandé, avec un préavis de cinq (5) jours ouvrés, en cas de violation de données, de manquement sérieux à l'accord établi ou soupçonné de façon motivée, ou de demande d'une autorité de contrôle ; ses frais sont supportés par l'Éditeur lorsqu'un manquement est établi. Tout audit est proportionné, ne porte pas atteinte à la sécurité du service ni à la confidentialité des données des autres clients.

9. Fin du contrat : restitution et suppression

Pendant toute la durée du contrat, le Client peut exporter ses données depuis le service, par un administrateur ayant activé la double authentification ; à défaut, ou lorsque l'accès au service n'est plus possible, son représentant légal peut en demander la remise par e-mail à contact@votrecrm.fr, accompagnée d'une copie de sa pièce d'identité et d'un courrier manuscrit, daté et signé par lui ; l'Éditeur remet l'archive par un moyen sécurisé au plus tard un (1) mois après la réception d'un dossier complet (conditions générales de vente, article 13). À la fin du contrat (suppression du Cabinet, ou Cabinet en formule Gratuite supprimé après 24 mois sans connexion et préavis de 30 jours), les données restent accessibles en lecture et à l'export pendant 90 jours. Elles sont ensuite supprimées, leurs copies de sauvegarde étant effacées selon le cycle de renouvellement de l'hébergeur, sauf obligation légale de conservation. Par exception, et sur instruction du Client donnée par l'acceptation du présent accord, le registre des réclamations, lorsque le Client l'a activé, est conservé cinq (5) ans après la clôture de chaque réclamation, y compris après la suppression du Cabinet. Après la suppression du Cabinet, le registre ne désigne plus le Cabinet que par son identifiant et sa raison sociale (qui peut être le nom de l'exploitant lorsque le Cabinet est une entreprise individuelle), nécessaires pour répondre à une demande de l'autorité de contrôle ou d'une personne concernée ; les comptes des Utilisateurs du Cabinet sont supprimés, et seul reste, dans le journal de chaque réclamation, le nom de l'Utilisateur qui a effectué chaque action, avec sa date. Ces éléments ne sont utilisés à aucune autre fin. Cette durée est fixée par le Client pour lui permettre de justifier du traitement de ses réclamations auprès de ses clients et des autorités : les intermédiaires d'assurance doivent traiter les réclamations de leurs clients et en garder la trace (article L. 521-1 et suivants du Code des assurances ; recommandation de l'ACPR 2022-R-01 du 9 mai 2022 sur le traitement des réclamations, qui prévoit un enregistrement et un suivi des réclamations), et la durée de cinq ans correspond au délai de prescription des obligations nées à l'occasion de leur commerce entre commerçants, ou entre commerçants et non-commerçants (article L. 110-4 du Code de commerce), et au délai de prescription de droit commun des actions personnelles (article 2224 du Code civil). Aucun texte n'impose à l'Éditeur cette durée : le Client, responsable de traitement, peut y mettre fin pour son Cabinet en demandant par écrit, après avoir exporté son registre, la suppression anticipée des réclamations clôturées ; l'Éditeur y procède dans les trente (30) jours. Le registre est remis au Client dans l'export de ses données avant la suppression du Cabinet. L'Éditeur confirme la suppression par écrit sur demande.

Annexe 1 : sous-traitants ultérieurs

Stripe intervient pour le paiement des abonnements en qualité de responsable de traitement distinct ; il n'a pas accès aux données que le Client enregistre dans le service.

Sous-traitants ultérieurs des fonctionnalités prévues

Les sous-traitants ci-dessous ne reçoivent aucune donnée du Client tant que la fonction correspondante n'est pas ouverte. Chaque ouverture est précédée de l'information de l'article 5 (trente jours, droit d'opposition), qui précise la dénomination exacte, la localisation et la garantie du transfert lorsqu'elles sont indiquées ici comme « à désigner » ou « précisées à l'ouverture » ; la mention « (prévu) » est alors retirée.

Annexe 2 : mesures de sécurité

• Chiffrement des échanges entre le navigateur et le service (HTTPS, HSTS) et entre le service et la base de données (TLS).
• Séparation logique des données de chaque Cabinet, contrôlée par le serveur à chaque requête ; rôles administrateur et collaborateur.
• Mots de passe stockés sous forme d'empreinte irréversible ; sessions dans des cookies non lisibles par les scripts ; limitation des tentatives de connexion.
• Protection contre la falsification de requêtes intersites (CSRF) et politique de sécurité du contenu (CSP).
• Espace d'administration réservé à l'Éditeur, sur un sous-domaine dédié, protégé par mot de passe, double authentification par code à usage unique et limitation des tentatives ; journalisation des actions d'administration et des assistances à distance, ouvertes uniquement avec le code communiqué par le Client.
• Sauvegardes de la base de données assurées par l'hébergeur : restauration à un instant donné sur une fenêtre de 6 heures, et copies de sauvegarde ponctuelles créées avant les évolutions majeures du service.
• Secrets d'accès conservés uniquement dans la configuration du serveur.
• Recueils de besoins : liens de remplissage à jeton aléatoire conservé uniquement sous forme d'empreinte, à usage unique et expirant à 30 jours ; PDF signé rangé dans la GED du Client avec empreinte d'intégrité SHA-256 ; logo importé contrôlé par le serveur (PNG ou JPEG, 300 Ko au plus).
• Double authentification obligatoire des utilisateurs (code à usage unique d'une application d'authentification, codes de secours), à l'exception des comptes de démonstration et des sessions d'assistance du support : un utilisateur qui ne l'a pas activée est invité à le faire à sa prochaine connexion, avant tout autre accès (export compris, possible dès l'activation).
• Journalisation des exports de données de chaque cabinet.
• Documents de la gestion électronique des documents et pièces jointes : enregistrés dans la base de données (annexe 1), jamais à une adresse publique ; tout nouveau fichier est enregistré en mode privé, quel que soit le support de stockage ; le navigateur n'y accède que par le serveur, après contrôle de la session et du cabinet. Pièces déposées par les clients du Client : formats PDF, PNG et JPEG uniquement, contrôle du contenu réel de chaque fichier, 4 Mo au plus par fichier, quatre fichiers au plus par dépôt, filigrane « Usage exclusif pour : » suivi du nom du Cabinet apposé à l'enregistrement de chaque fichier, fichiers d'origine non conservés, métadonnées des images supprimées, PDF protégés ou signés refusés, traitement en mémoire sans transmission à un tiers, nombre de traitements simultanés limité ; aucun nom de fichier ni contenu dans les journaux techniques.
• Fonction prévue, pas encore ouverte. Stockage des fichiers chez le prestataire distinct de l'annexe 1 : fichiers enregistrés dans un magasin à accès privé, à une adresse non listée et non devinable (identifiant aléatoire), jamais transmise au navigateur, avec le même contrôle par le serveur ; jeton d'accès du magasin conservé uniquement dans la configuration du serveur.
• Fonction prévue, pas encore ouverte. Messagerie liée : jetons d'accès aux boîtes chiffrés avec une clé dédiée, jamais transmis au navigateur, effacés à la déliaison ; connexions distinctes pour le courrier et l'agenda ; aucune lecture humaine par l'Éditeur ; aucun message d'un correspondant inconnu du Cabinet enregistré.
• Espace assuré : lien de connexion à jeton aléatoire conservé sous forme d'empreinte, à usage unique, expirant à 15 minutes ; limitation des demandes de lien par adresse ; aucune modification directe de la fiche par l'assuré (coordonnées et profil validés par un Utilisateur du Client ; préférences de contact de gestion écrites dans la fiche avec leur historique ; aucun accord ni refus de propositions commerciales recueilli dans l'espace) ; aucune coordonnée d'une personne recommandée visible avant son accord ; sessions fermées après 30 minutes sans activité et 12 heures au plus, cookie non lisible par les scripts ; messagerie et réclamations : plafonds de messages par heure, par jour et par conversation, longueur limitée, aucune pièce jointe, refus automatique des numéros de carte bancaire, IBAN et de sécurité sociale, texte masqué au support de l'Éditeur pendant une assistance à distance (les métadonnées restent visibles) ; e-mails de notification sans contenu ; journal des actions de l'espace sans adresse IP, navigateur ni contenu, liste fermée des actions présentées au Client.
• Fonction prévue, pas encore ouverte. Espace assuré, documents et dépôts : documents partagés non visibles par défaut, accessibles uniquement par un lien signé de deux minutes après contrôle de la session, de la fiche, du Cabinet et du choix du Client, les pièces d'identité, relevés d'identité bancaire et justificatifs rangés dans leurs emplacements n'étant jamais partageables ; confirmation demandée à l'Utilisateur du Client lors du premier partage de sa session de travail ; dépôts de l'espace assuré : contrôle du type réel de chaque fichier (PDF, PNG, JPEG) et de sa taille (4 Mo au plus par fichier), filigrane du Cabinet dans les conditions du point « Documents de la gestion électronique des documents et pièces jointes » ci-dessus, limitation du nombre de fichiers déposés par heure (60 par assuré), un dépôt par demande, de quatre fichiers au plus, contrainte en base de données interdisant la visibilité d'un dépôt non vérifié par l'assuré, téléchargement forcé avec politique de sécurité de contenu isolante tant que le dépôt n'est pas vérifié, partage dans l'espace, envoi par e-mail et lien de partage refusés tant que le dépôt n'est pas vérifié, suppression de tous les fichiers du dépôt au refus, décision (validation ou refus motivé) tracée dans l'historique de la fiche avec le nom de l'Utilisateur ; aucune analyse antivirus des fichiers déposés n'est effectuée par l'Éditeur en l'état : le Client vérifie chaque fichier avec les moyens de protection de son poste de travail avant de le classer. Si l'Éditeur recourt ultérieurement à un service d'analyse antivirus, il s'agira d'un sous-traitant ultérieur soumis à l'information préalable de trente (30) jours de l'article 5 et inscrit à l'annexe 1.
• Fonction prévue, pas encore ouverte. Option Assistant IA : liste fermée des champs transmis, contrôlée par le serveur ; masquage des numéros de sécurité sociale et IBAN reconnus dans les textes saisis ; aucun contenu (fiche, demande, texte généré) dans les journaux ; plafond mensuel et limiteurs de demandes ; arrêt immédiat possible pour tous les Cabinets.
• Fonction prévue, pas encore ouverte. Lecture automatique des avis d'échéance : fichier seul transmis au prestataire (ni nom ni identifiant), texte reconnu jamais enregistré ni journalisé, validation humaine obligatoire avant toute écriture dans la fiche, plafonds de lectures par utilisateur et par Cabinet.
• Fonction prévue, pas encore ouverte. API et webhooks : clés affichées une seule fois et conservées sous forme d'empreinte, valables douze mois, révocables à tout moment, limitées à soixante requêtes par minute ; notifications signées ; journal technique sans adresse IP ni contenu.
• Fonction prévue, pas encore ouverte. Signature électronique d'autres documents : document figé avec empreinte SHA-256, code de signature par e-mail (cinq essais, quinze minutes), journal des événements en ajout seul, lien à usage unique.
• Fonction prévue, pas encore ouverte. Portail des apporteurs : comptes distincts de ceux du Cabinet, identifiants de connexion conservés sous forme d'empreinte, limitation des tentatives, affichage limité, pour l'apporteur connecté, à la référence abrégée de ses dossiers, à leur état d'avancement et au montant de sa part (liste fermée contrôlée par le serveur).