Accord de traitement des données (RGPD art. 28)

Dreilex traite des données à caractère personnel pour votre compte dans le seul but de fournir Kwintio : créer, envoyer et recevoir des factures, notes de crédit et offres via Peppol, archiver, exporter et effectuer des sauvegardes. L'accord dure aussi longtemps que les Conditions d'utilisation et ensuite aussi longtemps que Dreilex conserve des données pour votre compte (article 10).

• Traitement : stockage, affichage, génération de documents PDF/UBL, envoi et réception via Peppol, export, sauvegarde, suppression.
• Personnes concernées : vos clients, fournisseurs et leurs personnes de contact ; vos utilisateurs (collaborateurs, comptable).
• Données : noms, adresses, adresses e-mail, numéros de téléphone, numéros d'entreprise/TVA, IBAN, contenu et montants des factures, identifiants Peppol. Les catégories particulières de données (article 9 RGPD) et les données relatives aux condamnations pénales ne sont pas prévues ; ne les encodez pas.

• Vous déterminez la finalité du traitement et êtes responsable de sa licéité (notamment de l'information de vos clients).
• Dreilex ne traite les données que sur vos instructions documentées – cet accord, les Conditions d'utilisation et vos actions dans l'application –, y compris en ce qui concerne les transferts vers des pays tiers, sauf si le droit de l'UE ou belge l'impose autrement ; Dreilex vous en informe alors au préalable, sauf si la loi l'interdit. Dreilex vous informe immédiatement si, selon elle, une instruction constitue une violation du RGPD.
• Dreilex n'utilise pas les données de vos clients à ses propres fins. Seul le nombre de documents Peppol envoyés est utilisé par Dreilex, en tant que responsable du traitement, pour la facturation (voir la Politique de confidentialité).

Les personnes autorisées par Dreilex à traiter les données sont tenues à la confidentialité.

Dreilex prend les mesures techniques et organisationnelles de l'Annexe 1 (article 32 RGPD) et les adapte à l'état de la technique.

• Vous donnez une autorisation générale pour les sous-traitants ultérieurs de l'Annexe 2.
• Dreilex vous informe au moins 30 jours avant l'ajout ou le remplacement d'un sous-traitant ultérieur. Vous pouvez vous y opposer pour des motifs raisonnables dans ce délai ; si nous ne trouvons pas de solution, vous pouvez résilier l'accord sans frais, avec remboursement au prorata de la partie payée et non utilisée.
• Dreilex impose contractuellement à ses sous-traitants ultérieurs des obligations de protection des données en substance identiques et reste pleinement responsable envers vous de leurs actes.

La base de données et les documents sont stockés dans l'UE. Si un sous-traitant ultérieur peut accéder à des données ou les traiter depuis l'extérieur de l'EEE, cela se fait uniquement sur la base d'une décision d'adéquation (p. ex. le Data Privacy Framework UE-États-Unis, pour les destinataires certifiés) ou des clauses contractuelles types de l'UE (décision d'exécution (UE) 2021/914).

Compte tenu de la nature du traitement, Dreilex vous aide pour les demandes des personnes concernées (l'application permet déjà l'accès, la rectification et l'export), pour la sécurité, la notification des violations, les analyses d'impact et les consultations préalables (articles 32 à 36 RGPD). Dreilex vous transmet sans délai toute demande reçue directement d'une personne concernée.

Dreilex vous notifie une violation affectant vos données dans les meilleurs délais et au plus tard dans les 48 heures après en avoir pris connaissance, avec les informations de l'article 33, paragraphe 3 RGPD disponibles à ce moment, et les complète dès que davantage d'éléments sont connus.

• À la fin de l'accord, vous pouvez exporter toutes vos données (voir l'article 10 des Conditions d'utilisation).
• Votre choix (lors de la clôture du compte dans l'application, ou par e-mail) : sauf si vous donnez à Dreilex l'instruction de tout effacer, Dreilex conserve les factures et notes de crédit émises, reçues et importées (avec le fichier UBL original) en lecture seule pour votre compte, jusqu'à la fin du délai légal de conservation de 7 ans à compter du 1er janvier de l'année qui suit la date d'émission (article 60, § 3 du Code de la TVA) du document le plus récent, sans frais supplémentaires, puis les efface. Vous restez responsable de votre propre obligation de conservation.
• Toutes les autres données (et, en cas de choix « tout effacer », également les factures) sont effacées 90 jours après la clôture ; d'ici là, vous pouvez tout exporter. Les sauvegardes sont écrasées dans les délais de l'Annexe 1. Dreilex confirme l'effacement par écrit sur demande.
• Si Dreilex arrête Kwintio, elle vous en informe au moins 3 mois à l'avance afin que vous puissiez tout exporter.

Dreilex met à disposition les informations nécessaires pour démontrer le respect de ses obligations (cet accord, Annexes 1 et 2, certifications et accords de traitement des sous-traitants ultérieurs). Un audit par vous ou par un auditeur indépendant tenu au secret est possible une fois par an (et en outre après une violation ou à la demande d'une autorité de contrôle), à vos frais, moyennant un préavis de 30 jours.

L'article 12 (responsabilité) des Conditions d'utilisation s'applique, sans préjudice de l'article 82 RGPD. Le droit belge est applicable ; l'article 14 des Conditions d'utilisation (tribunal compétent) s'applique.

• Hébergement chez Cloudflare ; base de données et stockage des documents sous juridiction UE ; chiffrement en transit (TLS) et au repos.
• Mots de passe : hachage salé PBKDF2-SHA256 ; sessions dans un cookie __Host- (HttpOnly, Secure, SameSite=Lax) ; jeton CSRF pour chaque requête d'écriture ; confirmation de l'adresse e-mail.
• Séparation par entreprise : chaque requête est vérifiée par rapport à l'entreprise active et au rôle de l'utilisateur (propriétaire, membre, comptable en lecture seule).
• Limitation de débit sur la connexion et l'inscription ; journaux de sécurité conservés 30 jours maximum.
• Sauvegardes : restauration à un instant donné de la base de données 30 jours ; exports mensuels chiffrés de la base de données dans un stockage objet UE, supprimés après 90 jours ; documents dans un stockage objet UE ; fichiers UBL originaux conservés sans modification.
• Secrets (clés API) uniquement dans le coffre de secrets de l'hébergeur, jamais dans le code source.
• Accès administratif limité à l'exploitant de Dreilex, protégé par une authentification forte. Aucun accès aux données de production pour des outils ou prestataires non repris à l'Annexe 2. Les outils de développement (y compris les outils d'IA) fonctionnent uniquement dans un environnement de test distinct avec des données fictives et n'ont pas accès aux données de production ; ce ne sont pas des sous-traitants ultérieurs.
• Tests automatisés à chaque modification ; modifications consignées dans un registre des changements.

En cas de divergence entre les versions linguistiques, la version néerlandaise prévaut.