Accord de sous-traitance des données à caractère personnel
Annexe aux conditions générales de vente et d'utilisation
Version v4-2026-10-11 — en vigueur depuis le 11/10/2026
Article 1 — Objet
Le présent accord encadre le traitement, par BeatCount, SAS au capital de 1 000 euros, immatriculée au RCS de Toulon sous le numéro 130 182 413, dont le siège social est situé 661 chemin de Châteauvallon, 83190 Ollioules, France (ci-après « le Sous-traitant »), des données à caractère personnel pour le compte du Client (ci-après « le Responsable de traitement »), dans le cadre de la fourniture du service BeatCount.
Il fait partie intégrante des conditions générales et est accepté avec elles.
Il ne s'applique qu'aux données traitées pour le compte du Client. Les données relatives au compte du Client lui-même — identité, abonnement, paramètres — relèvent d'un traitement dont le Sous-traitant est responsable, décrit dans sa politique de confidentialité.
Article 2 — Description du traitement
Objet : import des rapports de transactions Amazon Seller Central du Responsable de traitement et génération des écritures comptables correspondantes dans son compte Pennylane.
Durée : celle de l'abonnement, augmentée des durées de conservation de l'article 9.
Nature des opérations : collecte, enregistrement, structuration, consultation, transmission à Pennylane, conservation, effacement.
Finalité : automatisation de la saisie comptable.
Catégories de personnes concernées et catégories de données : voir annexe 1.
Article 3 — Instructions
Le Sous-traitant ne traite les données que sur instruction documentée du Responsable de traitement. L'acceptation des conditions générales, la configuration du compte et l'usage des fonctions du service constituent ces instructions.
Le Sous-traitant informe le Responsable de traitement s'il estime qu'une instruction constitue une violation du RGPD.
Le Sous-traitant n'utilise les données pour aucune finalité propre, notamment aucune finalité statistique, commerciale ou d'amélioration de produit.
Article 4 — Confidentialité
Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité et ne traitent que ce qui est nécessaire à l'exploitation et au support.
Article 5 — Sécurité
Le Sous-traitant met en œuvre les mesures techniques et organisationnelles décrites en annexe 2.
Il notifie au Responsable de traitement toute violation de données le concernant dans les meilleurs délais et au plus tard quarante-huit (48) heures après en avoir pris connaissance, avec les éléments permettant au Responsable de traitement de satisfaire à sa propre obligation de notification.
Article 6 — Sous-traitants ultérieurs
Le Responsable de traitement autorise le Sous-traitant à recourir aux sous-traitants ultérieurs listés en annexe 3.
Toute adjonction ou remplacement est notifié au moins trente (30) jours à l'avance. Le Responsable de traitement peut s'y opposer par écrit dans ce délai, pour un motif légitime tenant à la protection des données ; à défaut d'accord, il peut résilier sans pénalité.
Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes aux présentes et demeure responsable de leur exécution.
Article 7 — Droits des personnes concernées
Le Responsable de traitement traite lui-même les demandes d'exercice de droits émanant des personnes concernées.
Le Sous-traitant l'assiste par les moyens techniques dont il dispose, dans la mesure du possible, et lui transmet sans délai toute demande qu'il recevrait directement.
Article 8 — Assistance
Le Sous-traitant assiste le Responsable de traitement pour la sécurité des traitements, la notification des violations, les analyses d'impact et la consultation préalable de l'autorité de contrôle, compte tenu de la nature du traitement et des informations dont il dispose.
Article 9 — Sort des données en fin de contrat
À la résiliation, le Sous-traitant cesse tout traitement, à l'exception de la conservation prévue ci-après.
Les données de synchronisation sont conservées douze (12) mois à compter de la résiliation, puis supprimées, afin de permettre au Responsable de traitement de reprendre son abonnement sans perte d'historique et de justifier des traitements effectués. Les données nécessaires au respect d'obligations légales, notamment comptables, sont conservées pour la durée prévue par ces obligations.
Le Responsable de traitement peut demander la suppression anticipée de ses données à contact@beatcount.fr.
Article 10 — Registre et documentation
Le Sous-traitant tient le registre des catégories d'activités de traitement effectuées pour le compte du Responsable de traitement, conformément à l'article 30.2 du RGPD.
Article 11 — Audit
Le Sous-traitant met à disposition du Responsable de traitement les informations nécessaires pour démontrer le respect des présentes.
Le Responsable de traitement peut réaliser un audit, à ses frais, une fois par an, moyennant un préavis raisonnable de trente (30) jours, dans des conditions n'entravant pas l'activité du Sous-traitant et sans accéder aux données d'autres clients.
Article 12 — Transferts hors Union européenne
La base de données contenant les données traitées pour le compte du Responsable de traitement est hébergée dans l'Union européenne (Francfort), chez Render Services, Inc. Les services applicatifs (backend, frontend) qui accèdent à ces données sont également hébergés dans l'Union européenne.
Render Services, Inc. étant une société établie aux États-Unis, tout accès aux données depuis les États-Unis — pour l'exploitation de l'infrastructure comme, le cas échéant, parce qu'un service applicatif y est hébergé — constitue un transfert international. L'accord de traitement des données de Render Services, Inc. encadre ce transfert par le Data Privacy Framework UE–États-Unis ; si ce mécanisme ne s'applique pas ou cessait d'être disponible, les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914). Ces garanties sont complétées des mesures techniques décrites en annexe 2 (chiffrement en transit et au repos, cloisonnement).
Les autres sous-traitants ultérieurs listés en annexe 3 n'accèdent pas aux données traitées pour le compte du Responsable de traitement : les transferts les concernant portent sur les seules données du compte du Client (identité, adresse électronique). Leur localisation et le mécanisme de transfert applicable à chacun sont précisés en annexe 3.
Le Sous-traitant tient à la disposition du Responsable de traitement, sur demande, une copie des garanties applicables à chacun de ces transferts.
Annexe 1 — Données traitées
1. Catégories de personnes concernées
- Les acheteurs finaux du Responsable de traitement, c'est-à-dire les personnes ayant passé commande sur les places de marché Amazon.
2. Catégories de données traitées
| Donnée | Usage |
|---|---|
| Pays de destination de la vente | Détermination du régime de TVA applicable |
| Ville et code postal de destination | Détermination du régime de TVA applicable |
| Identifiant de commande Amazon | Rapprochement comptable |
| Référence produit, montant, devise, date | Écriture comptable |
| Qualité professionnelle ou particulière de l'acheteur | Détermination du régime de TVA (B2B / B2C) |
Aucune donnée sensible au sens de l'article 9 du RGPD n'est traitée. Aucune donnée bancaire d'acheteur, aucun contenu de communication.
3. Données présentes dans les fichiers source et non traitées
Les rapports Amazon peuvent contenir le nom et l'adresse complète des acheteurs. Ces champs sont écartés avant tout enregistrement et ne sont ni conservés, ni exploités, ni transmis.
4. Données transmises à Pennylane
Aucune donnée individuelle d'acheteur. Les écritures créées dans Pennylane font référence à un client agrégé par place de marché et par régime — par exemple « Ventes AMAZON.FR — Clients particuliers » — avec une adresse générique.
Annexe 2 — Mesures de sécurité
Les mesures ci-dessous distinguent celles mises en œuvre par le Sous-traitant lui-même de celles garanties par son hébergeur, Render Services, Inc. — ces dernières sont explicitement attribuées comme telles, ce ne sont pas des mesures du Sous-traitant.
| Domaine | Mesure |
|---|---|
| Chiffrement au repos — clés d'accès applicatives | Clés d'accès aux services tiers (Amazon, Pennylane) chiffrées en AES-256-GCM avec vecteur d'initialisation aléatoire et vérification d'intégrité |
| Chiffrement en transit — application | HTTPS sur l'ensemble des communications |
| Mots de passe | Hachage irréversible (bcrypt) |
| Authentification | Jetons à durée limitée, jeton d'accès de 15 minutes, rotation du jeton de rafraîchissement |
| Cloisonnement | Séparation stricte des données par client, contrôle systématique au niveau applicatif |
| Accès internes | Limités à l'exploitation et au support ; les secrets chiffrés ne sont pas exposés par les interfaces d'administration |
| Journalisation | Journaux d'accès et d'erreurs conservés 12 mois chez OVHcloud (France), en plus des 7 jours de rétention de l'hébergeur |
| Chiffrement au repos — infrastructure (garantie Render Services, Inc.) | chiffrement AES au repos |
| Chiffrement en transit — infrastructure (garantie Render Services, Inc.) | TLS 1.2 ou supérieur en transit |
| Audits et certifications (garantie Render Services, Inc.) | audits SOC 2 et ISO 27001 réalisés annuellement, complétés de tests de sécurité continus menés par un tiers indépendant |
| Sauvegardes (garantie Render Services, Inc.) | Assurées par Render Services, Inc., plan Basic-256mb : récupération à un instant T (point-in-time recovery) sur les 3 derniers jours ; exports logiques manuels conservés au moins 7 jours |
| Hébergement | Render Services, Inc. (fournisseur professionnel). Union européenne (Francfort) — services applicatifs et base de données |
Annexe 3 — Sous-traitants ultérieurs
Le tableau ci-dessous précise, pour chaque sous-traitant ultérieur, la catégorie de données qu'il traite. Render traite l'ensemble des données, y compris les données à caractère personnel des acheteurs finaux du Responsable de traitement contenues dans les rapports Amazon importés. Stripe, Resend et Google ne traitent que des données du compte du Client lui-même (identité, adresse électronique, identifiants techniques) — aucune donnée relative à un acheteur final ne leur est transmise. OVHcloud ne reçoit que les journaux techniques de l'application — adresse IP, horodatage, ressource consultée — à l'exclusion de toute donnée comptable, de toute donnée d'acheteur final et de tout secret.
Cloudflare occupe une place à part, et le Sous-traitant la décrit précisément plutôt que de la ranger avec les précédentes : assurant la terminaison du chiffrement TLS, Cloudflare voit le trafic en clair, donc l'intégralité des requêtes et des réponses qui transitent par le Service, et non seulement des métadonnées. Ce traitement est en transit : Cloudflare ne conserve pas ce contenu pour le compte du Sous-traitant.
| Sous-traitant (entité contractante) | Rôle | Données concernées | Localisation et encadrement du transfert |
|---|---|---|---|
| Render Services, Inc. (États-Unis) | Hébergement de l'application et de la base de données | Ensemble des données traitées, y compris les données à caractère personnel des acheteurs finaux du Responsable de traitement | Union européenne (Francfort) — services applicatifs et base de données. Société établie aux États-Unis : tout accès depuis les États-Unis est encadré par le Data Privacy Framework UE–États-Unis ; si ce mécanisme ne s'applique pas ou cessait d'être disponible, les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914). |
| OVHcloud (OVH SAS) (France) | Conservation et analyse des journaux techniques de l'application, aux fins de sécurité et d'enquête sur incident | Journaux techniques uniquement : adresse IP de la connexion, agent utilisateur, référent, ressource consultée (les secrets éventuellement présents dans l'adresse étant masqués avant journalisation), identifiant technique de compte, horodatage — aucune donnée d'acheteur final, aucune donnée comptable, aucun secret, aucune donnée bancaire | Hébergement et traitement dans l'Union européenne. OVH SAS étant une société établie en France, aucun transfert hors de l'Union européenne n'est effectué et aucun mécanisme de transfert n'est donc nécessaire. Conservation : 12 mois. |
| Cloudflare, Inc. (États-Unis) | Protection contre les attaques par déni de service, pare-feu applicatif, terminaison du chiffrement TLS et acheminement du trafic entrant | Tout le trafic HTTP(S) du Service : adresse IP de la connexion, agent utilisateur, référent, adresse complète de la ressource, en-têtes, ainsi que le contenu des requêtes et des réponses — lequel peut comporter, en transit uniquement, des données du compte du Client et des données comptables. Aucune conservation de ce contenu pour le compte du Sous-traitant | Réseau mondial : le trafic est traité par le point de présence le plus proche du visiteur, y compris hors de l'Union européenne. Transfert encadré par les clauses contractuelles types de la Commission européenne (décision d'exécution 2021/914), incorporées à l'accord de traitement des données de Cloudflare, et par la certification de Cloudflare au Data Privacy Framework UE–États-Unis |
| Stripe Payments Europe, Limited (Irlande), et les sociétés de son groupe dont Stripe, Inc. (États-Unis) | Traitement des paiements de l'abonnement | Données du compte du Client uniquement (identité, adresse électronique, identifiant de compte, statut d'abonnement) — aucune donnée d'acheteur final ; aucune donnée de carte bancaire ne transite par le Sous-traitant | Traitement principalement aux États-Unis. Transfert encadré, d'après le DPA de Stripe, selon la même hiérarchie : en priorité par le Data Privacy Framework UE–États-Unis ; à défaut, par les clauses contractuelles types de la Commission européenne. |
| Plus Five Five, Inc., exploitant le service Resend (États-Unis) | Envoi des e-mails transactionnels (vérification d'adresse, fin de période d'essai, réacceptation des conditions, alerte de connexion expirée) | Adresse électronique du destinataire et contenu du message — aucune donnée d'acheteur final | Traitement aux États-Unis. Transfert encadré par le Data Privacy Framework UE–États-Unis et les clauses contractuelles types de la Commission européenne. |
| Google Ireland Limited (Irlande) et Google LLC (États-Unis) | Authentification « Se connecter avec Google », lorsque le Client choisit cette méthode | Adresse électronique, nom et identifiant Google du Client — aucune donnée d'acheteur final. Pour cette opération, Google agit en qualité de responsable de traitement indépendant. | Transfert encadré par le Data Privacy Framework UE–États-Unis et les clauses contractuelles types de la Commission européenne. |
Amazon et Pennylane ne sont pas des sous-traitants ultérieurs du Sous-traitant : ce sont des services tiers dont le Responsable de traitement est lui-même client et dont il fournit les accès.