Version : 6 octobre 2026 · Article 28 du RGPD
Accord de sous-traitance des données
Le présent accord (« Accord de traitement ») complète les Conditions MONEYBACK. Il s’applique lorsque le client transmet à MONEYBACK des données à caractère personnel dont il détermine les finalités et moyens essentiels afin que MONEYBACK les traite pour exécuter l’audit ou l’accompagnement convenu.
Les informations de facturation et de contact collectées avant le paiement — raison sociale, identité et fonction du contact professionnel, e-mail, téléphone, SIRET et adresse de facturation — sont traitées par MONEYBACK pour la gestion du dossier client, la facturation, l’exécution et les communications liées à l’audit, la sécurité et la preuve contractuelle. Pour ces finalités propres, MONEYBACK agit comme responsable du traitement ; ces données ne deviennent des données traitées pour le compte du client au titre du présent accord que lorsqu’elles figurent également dans les documents ou instructions confiés pour l’audit.
1. Objet et durée du traitement
MONEYBACK traite les données confiées uniquement afin de fournir les prestations commandées : réception et sécurisation des fichiers, extraction, normalisation, rapprochement et analyse des données fournisseurs, détection et documentation d’anomalies, génération des résultats, gestion des preuves, assistance au suivi des opportunités et support lié au dossier.
Le traitement dure pendant l’exécution de la mission puis pendant la période strictement nécessaire à la restitution, au support, à la sécurité, à la preuve du service et aux obligations légales applicables. À l’issue, les données sont supprimées ou restituées selon l’article 10 ci-dessous, sous réserve des obligations légales de conservation.
2. Nature des opérations et données concernées
| Élément | Description |
|---|---|
| Opérations | Collecte par dépôt, hébergement, consultation contrôlée, extraction, structuration, comparaison, rapprochement, calcul, classification, génération de résultats, journalisation de sécurité, suppression et, lorsque nécessaire, transmission technique aux sous-traitants ultérieurs autorisés. |
| Catégories de données | Données professionnelles d’identification et de contact, données fournisseurs, références de factures et commandes, montants et dates, informations comptables et contractuelles, historiques de paiement, échanges professionnels et justificatifs liés aux opportunités ou récupérations. |
| Personnes concernées | Collaborateurs et représentants du client, contacts professionnels de fournisseurs ou partenaires, signataires et autres personnes mentionnées dans les pièces transmises. |
MONEYBACK n’exige pas de catégories particulières de données au sens de l’article 9 du RGPD pour exécuter le service. Le client s’engage à ne pas transmettre de données sensibles ou sans lien avec la mission, sauf nécessité documentée et instruction expresse.
3. Instructions documentées
MONEYBACK ne traite les données que sur instructions documentées du client, telles qu’elles résultent du contrat, du présent accord, des paramètres du dossier et des demandes écrites du client. Si MONEYBACK estime qu’une instruction enfreint le RGPD ou une autre règle applicable en matière de protection des données, il en informe le client dans les meilleurs délais, sauf interdiction légale.
MONEYBACK n’utilise pas les données confiées pour une finalité propre incompatible avec la mission et ne les réutilise pas pour le compte d’un autre client.
4. Confidentialité
MONEYBACK veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité appropriée et n’accèdent qu’aux informations nécessaires à leurs fonctions.
5. Sécurité
MONEYBACK met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment : contrôle et limitation des accès, séparation des secrets et environnements, chiffrement des communications, liens d’accès protégés ou limités dans le temps lorsque le service le prévoit, journalisation des opérations sensibles, mesures contre les accès non autorisés et procédures de gestion des incidents.
Le niveau de sécurité tient compte de l’état des connaissances, des coûts de mise en œuvre, de la nature des données et des risques pour les personnes concernées.
6. Sous-traitants ultérieurs
Le client accorde une autorisation générale à MONEYBACK pour recourir aux sous-traitants ultérieurs nécessaires au service, sous réserve qu’ils soient liés par des obligations de protection des données compatibles avec le présent accord. MONEYBACK informe le client de tout changement prévu concernant l’ajout ou le remplacement d’un sous-traitant ultérieur afin de lui permettre d’émettre une objection motivée.
| Prestataire | Fonction |
|---|---|
| Supabase | Base de données, stockage et services applicatifs. |
| Vercel | Hébergement et mise à disposition de l’application web. |
| Resend | Envoi des e-mails transactionnels liés au dossier. |
| OpenAI API | Fonctions d’extraction ou d’assistance à l’analyse lorsque la fonction appelée le nécessite, avec transmission limitée aux données nécessaires. |
Les prestataires utilisés pour des traitements dont MONEYBACK détermine lui-même les finalités, notamment le paiement ou la mesure d’audience, relèvent de la politique de confidentialité et ne sont pas inclus dans cette liste lorsqu’ils n’interviennent pas comme sous-traitants ultérieurs des données d’audit confiées par le client.
7. Transferts hors Espace économique européen
Lorsqu’un sous-traitant ultérieur traite des données hors de l’Espace économique européen, MONEYBACK veille à ce qu’un mécanisme de transfert valable soit utilisé lorsqu’il est requis, notamment une décision d’adéquation, des clauses contractuelles types ou tout autre mécanisme reconnu par le chapitre V du RGPD. Les informations utiles sur les garanties applicables peuvent être demandées à contact@moneybackaudit.com.
8. Assistance au client
Compte tenu de la nature du traitement, MONEYBACK aide raisonnablement le client à répondre aux demandes d’exercice des droits des personnes concernées et, dans la mesure applicable, à satisfaire à ses obligations relatives à la sécurité, aux violations de données, aux analyses d’impact et aux consultations préalables. MONEYBACK ne répond pas à une personne concernée au nom du client sans instruction, sauf obligation légale.
9. Violation de données
MONEYBACK informe le client dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles affectant des données traitées pour son compte. L’information disponible précise, dans la mesure du possible, la nature de l’incident, les catégories de données et de personnes concernées, les conséquences probables et les mesures prises ou proposées.
10. Sort des données en fin de mission
À la fin de la prestation, MONEYBACK supprime ou restitue, au choix du client lorsque cela est matériellement possible, les données personnelles traitées pour son compte et supprime les copies restantes, sauf lorsqu’une règle applicable impose ou justifie leur conservation. Les sauvegardes résiduelles sont supprimées selon leur cycle normal de rotation et restent protégées jusqu’à leur suppression.
11. Information, contrôle et audit
MONEYBACK met à la disposition du client les informations raisonnablement nécessaires pour démontrer le respect des obligations de l’article 28 du RGPD. Le client peut demander un contrôle documentaire ou, lorsque cela est justifié, un audit raisonnable, organisé avec un préavis suffisant, dans des conditions qui ne compromettent ni la sécurité du service ni la confidentialité des autres clients.
12. Obligations du client
Le client garantit qu’il dispose d’une base juridique appropriée pour collecter et transmettre les données, qu’il fournit les informations nécessaires aux personnes concernées lorsque cela lui incombe, qu’il limite les données à ce qui est nécessaire et qu’il documente ses instructions. Il reste responsable de la licéité des finalités qu’il détermine.
13. Hiérarchie contractuelle et entrée en vigueur
Le présent accord fait partie intégrante des Conditions MONEYBACK pour toute mission impliquant un traitement de données personnelles pour le compte du client. Il entre en vigueur à la date d’acceptation des Conditions applicables à la commande et reste applicable pendant toute la durée du traitement concerné. En cas de contradiction portant spécifiquement sur la protection des données traitées pour le compte du client, le présent accord prévaut.
14. Contact
Questions relatives à cet accord ou à la protection des données : contact@moneybackaudit.com.