Accord de sous-traitance des données (DPA)
Mise à jour : 18 septembre 2026
Version 1.0
Objet et parties
Le présent accord de sous-traitance (art. 28 du règlement général sur la protection des données, RGPD) encadre les traitements de données personnelles que nous réalisons pour votre compte lorsque vous utilisez AvantPaie. Vous, la société cliente titulaire du compte, êtes responsable du traitement des données que vous saisissez dans le service et des bulletins que vous nous transmettez. Vanguard IT B.V., société de droit néerlandais, dont le siège est Kabelweg 57, 1014 BA Amsterdam, Pays-Bas, agit en qualité de sous-traitant. Dans la suite du texte, « vous » désigne la société cliente et « nous » le sous-traitant.
Ce que cet accord couvre
Cet accord porte sur les données que vous nous confiez pour votre activité : les simulations lancées par vos utilisateurs et les bulletins de paie que vous nous envoyez pour paramétrer ou calibrer votre société. Les données de votre propre compte (identité des utilisateurs, facturation, correspondance avec nous) sont traitées sous notre responsabilité et sont décrites sur la page Confidentialité ; elles ne relèvent pas de cet accord.
Nature, finalité et durée du traitement
Le traitement consiste à calculer, à la demande, des simulations de bulletins de portage salarial et à les restituer à l’écran et en PDF. Sa finalité est la vôtre : chiffrer une mission pour un prospect ou un salarié porté. Il dure le temps de votre contrat de service et cesse avec lui.
Données traitées et personnes concernées
Les données traitées sont celles d’une simulation : l’identité, facultative, du prospect ou du salarié porté, le taux journalier ou le salaire, les jours, les frais, les options choisies et les résultats calculés ; ainsi que les bulletins de paie que vous nous transmettez par la Ligne directe pour paramétrer ou calibrer votre société. Les personnes concernées sont vos prospects et vos salariés portés, et les personnes que vous nommez dans votre correspondance avec nous. Le service ne comporte aucun champ de numéro de sécurité sociale.
Ce que le service ne conserve pas
Une simulation est calculée puis rendue, jamais enregistrée : ni la saisie, ni le résultat, ni le PDF. Pendant l’essai, seul un décompte des simulations restantes est tenu, sans leur contenu. Un bulletin joint à un message de la Ligne directe transite directement vers notre boîte de réception, sans être écrit dans le produit ; il ne reste en base que son nom, sa taille, sa date et un identifiant d’envoi : aucun bulletin n’est conservé par le service. La copie reçue par e-mail sert au seul paramétrage de votre société et est détruite une fois ce paramétrage posé, au plus tard trois mois après réception. Masquez le nom et le numéro de sécurité sociale du salarié avant l’envoi : seuls les montants nous servent.
Durées de conservation
Les e-mails que le service vous adresse (connexion, sécurité, notifications) passent par un transporteur, Brevo, qui les garde un mois, pour tous les expéditeurs, et n’en garde aucun aperçu (un aperçu stockerait le corps du message, donc un bulletin joint). Les fils de la Ligne directe sont conservés douze mois après le dernier échange, puis supprimés ; le contexte technique joint à un message (un instantané de la simulation en cours, sans nom ni bulletin) est effacé après quatre-vingt-dix jours. Le journal d’audit de votre compte (qui a changé quel paramétrage, et quand) est conservé douze mois, puis purgé au fil de l’eau.
Vos instructions
Nous ne traitons vos données que sur vos instructions documentées : l’usage que vous faites du service, les messages que vous nous adressez et le présent accord. Si une instruction nous paraît contraire au RGPD ou à une autre règle de protection des données, nous vous en informons sans délai.
Confidentialité des personnes autorisées
Les personnes que nous autorisons à traiter vos données sont tenues à une obligation de confidentialité, contractuelle ou légale. Nous sommes une petite équipe : l’accès à votre correspondance et à votre paramétrage est limité à ce que le fonctionnement du service, le paramétrage de votre société et le support exigent.
Mesures de sécurité
Les mesures en place sont celles du service, et rien d’autre : base de données hébergée dans l’Union européenne (région Paris) ; chiffrement des échanges en transit ; comptes nominatifs ; double authentification optionnelle ; sessions révocables par leur titulaire ; mots de passe conservés sous forme hachée ; journal d’audit du paramétrage ; aucun stockage des simulations ; aucune adresse IP dans les tables de contact. Elles sont décrites plus en détail sur la page Confidentialité et peuvent évoluer sans réduire le niveau de protection.
Sous-traitants ultérieurs
Vous nous autorisez, de façon générale, à recourir à des sous-traitants ultérieurs. Leur liste, avec le rôle et le lieu d’hébergement de chacun, est publiée sur la page Confidentialité, section « Destinataires et sous-traitants », et fait partie de cet accord par référence. Tout ajout ou remplacement vous est notifié par e-mail, à l’adresse du propriétaire du compte, trente jours avant sa prise d’effet ; vous pouvez vous y opposer par écrit dans ce délai et, si nous ne trouvons pas de solution, résilier le contrat pour ce motif, aux conditions du contrat de service. Nous imposons à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles de cet accord. Un transfert hors de l’Union européenne n’a lieu qu’avec les garanties de l’art. 46 RGPD indiquées sur cette liste.
Assistance sur les droits des personnes et les obligations de sécurité
Si une personne exerce auprès de nous un droit sur des données que nous traitons pour votre compte, nous vous transmettons la demande sans retard injustifié et c’est vous qui y répondez ; nous vous aidons, dans la mesure de ce que le service permet, à y donner suite. Nous vous aidons de même, compte tenu de la nature du traitement et des informations dont nous disposons, à respecter vos obligations de sécurité, de notification et d’analyse d’impact (art. 32 à 36 RGPD). En cas de violation de données personnelles vous concernant, nous en informons le propriétaire du compte sans retard injustifié après en avoir eu connaissance, avec les éléments connus à ce moment, puis les compléments à mesure qu’ils sont établis.
Audit
Vous pouvez nous adresser un questionnaire écrit sur l’exécution de cet accord ; nous y répondons sous trente jours. Vous pouvez aussi faire réaliser, au plus une fois par an et avec un préavis de trente jours, un audit sur place ou à distance, à vos frais, par vous-même ou par un auditeur tenu à la confidentialité et qui n’est pas un concurrent. L’audit porte sur les traitements réalisés pour votre compte, pendant les heures ouvrées, sans perturber le service rendu aux autres clients.
Fin du contrat et réversibilité
Il n’y a aucune simulation à restituer : aucune n’est enregistrée. À la fin du contrat, nous vous remettons sur demande le paramétrage de votre société tel qu’il est enregistré dans le service ; aucun autre export n’est fourni. À la fermeture du compte, tout est supprimé : le compte, ses membres, ses entreprises, le journal, la correspondance, les logos. Les factures sont gardées le temps des obligations légales, sous une référence opaque, sans nom.
Articulation avec le contrat de service
Cet accord fait partie du contrat de service qui vous lie à nous (votre souscription et, dès leur publication, les conditions générales de service) et s’y incorpore par référence : il s’applique dès que vous utilisez AvantPaie pour votre société. La responsabilité de chaque partie, le droit applicable et le tribunal compétent sont ceux du contrat de service. Si vous avez besoin d’un exemplaire signé, écrivez-nous : vous recevez le même texte, contresigné, sans supplément. En cas de contradiction entre cet accord et un autre document contractuel, cet accord prévaut pour tout ce qui touche à la protection des données.
Délégué à la protection des données et contact
Nous n’avons pas désigné de délégué à la protection des données : les critères de l’art. 37 RGPD ne sont pas remplis (pas de suivi régulier et systématique à grande échelle, pas de données sensibles au cœur de l’activité). Pour toute question sur cet accord ou sur son exécution, écrivez à contact@avantpaie.fr ou depuis la Ligne directe de votre compte.
La liste des sous-traitants ultérieurs et les durées détaillées sont publiées sur la page Confidentialité.