1. Parties, objet et durée
Entre le Cabinet identifié dans le contrat ou la commande acceptée, en sa qualité de responsable de traitement ou selon son rôle dûment établi, et Hugo Montiel EI (SIREN 920 958 238), 2 rue de Vienne, 75008 Paris, contact@suivipatrimoine.com, cet accord encadre le traitement sur instructions documentées pour fournir le Service pendant le contrat et les opérations de sortie. Si le Cabinet est lui-même sous-traitant, vérifier et adapter la chaîne d’autorisation avant activation.
2. Périmètre
Personnes : clients, prospects autorisés, utilisateurs et participants aux dossiers. Données : identités, coordonnées, références de contrats, statuts documentaires, millésimes fiscaux, événements email, données utiles aux remboursements, étapes et communications.
Opérations : import, rapprochement, consultation, mise à jour, détection d’événements, communications autorisées, export et suppression. Finalités : suivi des dossiers et exécution des instructions du Cabinet. Les sources, permissions, données et durées sont annexées. Aucun archivage des pièces clients n’est inclus dans le périmètre cible.
3. Instructions et confidentialité
L’Éditeur agit uniquement sur les instructions documentées, y compris pour les transferts, sauf obligation légale qu’il signale lorsque permis. Il informe le Cabinet d’une instruction qui lui paraît contraire au droit des données personnelles. Il limite les personnes habilitées et garantit leur confidentialité.
4. Sécurité
L’annexe sécurité recense les mesures effectivement déployées et leurs preuves : séparation des cabinets, authentification, habilitations, protection des secrets, chiffrement, sauvegardes, restauration, journalisation et incidents. L’Éditeur adapte les mesures au risque. Une exigence non vérifiée n’est pas présentée comme un contrôle attesté.
5. Prestataires et transferts
Les prestataires concernés et les conditions de leur autorisation sont précisés dans les annexes contractuelles acceptées par les parties. Tout ajout ou remplacement est annoncé selon le préavis qui y est convenu, permettant une objection motivée et l’examen d’une solution ou de la fin du service concerné. L’Éditeur impose les protections équivalentes et reste responsable de ses obligations relatives à la sous-traitance.
Les transferts hors EEE sont identifiés et encadrés par un mécanisme valable et, si nécessaire, des mesures complémentaires. Hébergement, sauvegarde, journaux et support sont documentés distinctement.
6. Assistance
L’Éditeur assiste le Cabinet pour traiter les demandes des personnes, rechercher, corriger, exporter, limiter et supprimer les données, ainsi que pour la sécurité, les analyses d’impact et consultations préalables selon les informations disponibles. Il transmet rapidement les demandes reçues sans répondre au nom du Cabinet sans autorisation, sauf obligation légale.
7. Violations
L’Éditeur alerte le Cabinet sans retard injustifié après connaissance d’une violation, avec les faits disponibles, catégories et volumes estimés, conséquences, mesures et contact. Il complète les informations au fil de l’enquête et coopère. Le délai de notification du responsable à l’autorité, lorsqu’elle est requise, n’est pas un délai d’attente pour prévenir le Cabinet.
8. Restitution et suppression
Au choix documenté du Cabinet, l’Éditeur restitue ou supprime les données et copies à la fin du service, sauf conservation requise par la loi. À l’issue d’un essai gratuit non suivi d’une souscription ou à la résiliation d’un abonnement, les accès métier et les envois automatisés doivent être interrompus. Sous réserve du choix documenté du Cabinet et des obligations légales applicables, la politique commerciale prévoit une suppression des données opérationnelles au plus tard douze mois après la fin de l’accès. Pendant cette période, les données doivent rester inactives et le Cabinet doit pouvoir demander leur restitution ou leur suppression anticipée. L’Éditeur informe le Cabinet avant la date prévue de purge et confirme sa réalisation. Les sauvegardes suivent un calendrier de rotation documenté et les données légalement conservées sont isolées. Cette politique est subordonnée à la mise en place et à la vérification des contrôles techniques correspondants. Les données légalement conservées sont isolées, leur usage limité. La restauration d’une sauvegarde réapplique les suppressions intervenues depuis.
9. Démonstration et audits
L’Éditeur fournit les informations nécessaires pour démontrer ses obligations et permet les audits et inspections du Cabinet ou de son auditeur mandaté. Les modalités pratiques protègent les autres cabinets et la sécurité sans neutraliser ce droit. Les constats donnent lieu aux corrections nécessaires.
10. Obligations du Cabinet et annexes
Le Cabinet documente ses instructions, finalités, justifications, information des personnes et droits sur les sources. Il vérifie les garanties et fournit les informations utiles à l’assistance.
Avant activation avec des données clients réelles, le contrat et ses annexes doivent préciser les opérations exactes, permissions email, mesures de sécurité testées, prestataires et pays, garanties de transfert, contacts pour incidents et droits, modalités de sortie, délais de sauvegarde et choix de restitution ou suppression. La politique de douze mois ne remplace pas ces exigences. Sans ces annexes, le projet n’est pas un DPA opérationnel complet.
Annexe 1 — Description détaillée du traitement
Responsable du traitement : le Cabinet abonné, pour les traitements qu'il détermine ; le rôle de chaque acteur doit être confirmé lorsqu'un réseau ou un mandant intervient. Sous-traitant : l'éditeur du service, Hugo Montiel EI, 2 rue de Vienne, 75008 Paris, contact@suivipatrimoine.com.
Durée : pendant la fourniture du service, puis uniquement le temps nécessaire aux opérations de réversibilité et aux obligations légales précisées dans la commande et la politique de rétention.
Finalités : gestion de la relation clients, suivi des pièces réglementaires, rappels et communications autorisées, suivi des remboursements de produits structurés et des dossiers de financement, rapprochement des événements avec les dossiers, traçabilité des actions.
Personnes : clients et prospects du Cabinet, représentants, conseillers, destinataires des messages et tiers de dossiers (emprunteurs, co-emprunteurs, courtiers, notaires, interlocuteurs bancaires).
Catégories : identité, coordonnées, références des dossiers et contrats, historiques de statuts documentaires, renseignements fiscaux relatifs aux avis suivis, informations sur remboursements et financements, événements de correspondance et historique des actions. Des données financières ou patrimoniales détaillées peuvent apparaître dans des imports et messages ; elles exigent une minimisation et des droits appropriés.
Opérations : collecte à l'initiative du Cabinet, import, consultation, classement, rapprochement, envoi de messages à des destinataires sélectionnés, hébergement, export, suppression. Le contenu et les pièces jointes éventuellement reçus doivent être recensés dans le périmètre réel du service avant activation.
Annexe 2 — Mesures techniques et organisationnelles
L'accès est cloisonné par identifiant de cabinet dans les sessions et les règles métier. Les comptes administrateurs requièrent un mot de passe et un code TOTP ; les tentatives sont limitées par des compteurs partagés en base. Les secrets de l'application doivent être stockés dans les variables serveur de Railway et ne doivent jamais apparaître dans le code source. Les communications HTTP doivent utiliser HTTPS.
Le Cabinet choisit les personnes habilitées, leurs rôles et les automatismes. Les journaux et événements métier doivent limiter les informations superflues et permettre de rechercher les anomalies. Les protections de sauvegarde, de restauration, de chiffrement au repos et de conservation des journaux devront être confirmées dans l'inventaire des contrôles et les documents des prestataires.
Ces mesures décrivent une architecture et des fonctionnalités à vérifier ; elles ne constituent ni une certification, ni une garantie de conformité intégrale. Les résultats de tests et leurs dates seront conservés dans un registre de vérification.
Annexe 3 — Sous-traitants ultérieurs et transferts
Les catégories de services identifiées dans l'architecture comprennent : hébergement applicatif et base de données via Railway Corporation (États-Unis), routage transactionnel via Brevo (stockage annoncé dans l’Union européenne), et, selon les fonctionnalités activées, services de messagerie Google ou Microsoft. Stripe n’intervient comme fournisseur de paiement que si son intégration est effectivement activée. Selon la configuration déclarée par l’Éditeur au 29 octobre 2026, l’application est déployée sur Railway en région EU West (Amsterdam, Pays-Bas) et la base PostgreSQL utilise également une région européenne. Cette localisation ne garantit pas à elle seule que les sauvegardes, journaux, sous-traitants ou opérations de support restent exclusivement dans l’EEE ; ces éléments doivent être confirmés dans les conditions du prestataire et la configuration effective. Références : https://railway.com/legal/dpa et https://help.brevo.com/hc/en-us/articles/360001005510-Data-storage-location. Avant toute mise en production contractuelle, la liste nominative doit préciser pour chacun l'entité juridique, le rôle, la localisation de traitement et des sauvegardes, l'accès support, les sous-traitants propres et les garanties de transferts éventuels hors EEE.
Une autorisation générale de sous-traitance n'est envisagée qu'avec information préalable par écrit et possibilité d'objection motivée ; son préavis et la procédure de traitement d'une objection doivent être convenus dans la version signée. Aucun pays de traitement n'est supposé sur la seule base du nom d'un prestataire.
Annexe 4 — Violations, droits et fin de contrat
Le sous-traitant notifie au Cabinet sans retard injustifié toute violation de données personnelles portée à sa connaissance, communique progressivement la nature des faits, les données et personnes concernées, les conséquences estimées et les mesures correctives, et assiste le Cabinet pour ses notifications réglementaires. Le Cabinet conserve la responsabilité de décider, selon le droit applicable, si une notification à la CNIL ou aux personnes est requise.
Les demandes d'accès, de rectification, de limitation, de suppression ou de portabilité reçues par l'Éditeur et relatives à des données confiées sont transmises au Cabinet, sans décider à sa place. Au terme du contrat, l'éditeur restitue ou supprime les données sur instruction du Cabinet, sauf conservation légale, selon un format, un délai de purge et une expiration des sauvegardes expressément convenus et documentés.
Un droit d'audit proportionné doit permettre au Cabinet de vérifier le respect des engagements sans compromettre les autres clients ou la sécurité de l'infrastructure, avec communication de pièces et plans d'actions appropriés.
Annexe 5 — Informations obligatoires non encore confirmées
À compléter avant signature : identité légale et contacts des parties ; localisation effective des données, sauvegardes et accès du support ; inventaire daté des prestataires ; mécanismes de transferts internationaux ; délais de rétention, restitution et suppression ; format d'export ; contact de notification ; procédures de gestion des incidents ; contrôles de sécurité testés et preuve ; éventuelles instructions particulières du Cabinet.
Le présent projet ne peut pas être assimilé aux clauses contractuelles types de la Commission européenne dans leur rédaction officielle. Les parties peuvent préférer signer les clauses types 2021/915 et compléter leurs annexes après revue juridique.