Accord de traitement des données à caractère personnel

Le présent accord régit le traitement des données à caractère personnel que Dodana vrijednost d.o.o. effectue pour l’utilisateur du service Puls. Il est conclu sur le fondement de l’article 28 du règlement (UE) 2016/679, le règlement général sur la protection des données, ci-après le RGPD. Si votre société utilise Puls, c’est vous qui êtes le responsable du traitement, et nous sommes le sous-traitant qui traite les données selon vos instructions.

1. Parties au contrat

Le responsable du traitement est l’utilisateur du service Puls, la personne morale qui a ouvert un espace de travail dans l’application et qui détermine les finalités et les moyens du traitement des données qu’elle saisit dans Puls.

Le sous-traitant est Dodana vrijednost d.o.o., Ribnjak 56, 10000 Zagreb, Croatie, OIB 28795267248, immatriculée au registre judiciaire du Tribunal de commerce de Zagreb. L’adresse pour les questions relatives à la protection des données est info@puls-value.com.

Le sous-traitant traite les données à caractère personnel exclusivement pour le compte du responsable du traitement et n’a pas le droit de décider des finalités du traitement.

2. Objet et durée du traitement

L’objet du présent accord est le traitement des données à caractère personnel nécessaire à la fourniture du service Puls, tel que ce service est décrit dans les Conditions d’utilisation.

Le traitement dure aussi longtemps que l’abonnement à Puls. Cela comprend la période d’essai et la période pendant laquelle l’accès à l’espace de travail est verrouillé alors que le compte utilisateur existe encore. À la fin du service, il est procédé conformément à l’article 13 du présent accord.

3. Nature et finalité du traitement

La finalité du traitement est la fourniture du service Puls. Elle comprend l’hébergement et le traitement des chiffres financiers, des utilisateurs et des documents du responsable du traitement aux fins de la présentation du plan et du réalisé, des indicateurs, de la structure des charges, du commentaire mensuel et du document de plan d’affaires, ainsi qu’aux fins de la gestion des comptes utilisateurs, de la facturation de l’abonnement et de l’assistance technique.

Lorsque le responsable du traitement connecte sa comptabilité par l’intermédiaire d’e-Računi ou charge une liste de postes ouverts, le sous-traitant établit à partir de ces postes ouverts l’ancienneté des créances et des dettes par client et par fournisseur jusqu’au niveau du document, ainsi qu’une liste des clients en retard de paiement, aux fins des relances. Avec la connexion à e-Računi, il établit également à partir des mêmes postes une liste des principaux clients et fournisseurs pour le dossier destiné à la banque, ainsi qu’un aperçu des engagements et des encaissements attendus arrivant à échéance dans les 14 prochains jours, qui comporte un total par jour et par type d’engagement ainsi que les noms des principaux clients et fournisseurs.

Les opérations de traitement sont la collecte, l’enregistrement, la conservation, la consultation, le calcul, la présentation, l’exportation à la demande de l’utilisateur, la réalisation de copies de sauvegarde et l’effacement.

Le sous-traitant n’utilise pas les données du responsable du traitement à ses propres fins, ne les vend pas et ne les utilise pas à des fins de profilage.

4. Types de données à caractère personnel

• Les nom et prénom ainsi que l’adresse électronique professionnelle des utilisateurs de l’espace de travail.
• Les données de connexion et les journaux d’accès.
• Les données relatives à la société et à la facturation, y compris la dénomination, l’adresse, l’OIB et les données relatives aux factures émises.
• Les données à caractère personnel susceptibles de figurer dans les libellés des écritures comptables, dans les noms des partenaires commerciaux et dans la donnée relative à l’effectif.
• Les noms des dix principaux clients et des dix principaux fournisseurs au plus par année, avec le chiffre d’affaires, le solde des postes ouverts et l’échéancier, pour l’année en cours et l’année précédente. Parmi eux peuvent figurer des artisans et d’autres personnes physiques. Seul le nom est conservé, sans code partenaire ni OIB, et seulement le dernier relevé.
• Les noms des clients et des fournisseurs du responsable du traitement avec leurs postes ouverts, issus de la connexion à e-Računi ou de la liste de postes ouverts que le responsable du traitement charge. Parmi eux peuvent figurer des artisans et d’autres personnes physiques. Seul le nom est conservé, sans code partenaire ni OIB, et seulement le dernier relevé.
• Les adresses électroniques des clients auxquels l’utilisateur envoie une relance et l’enregistrement de l’envoi.
• Le contenu des documents et des fichiers que le responsable du traitement charge dans Puls ou rédige dans Puls.
• Les questions que l’utilisateur saisit dans le consultant IA et les réponses du consultant. Seul l’utilisateur qui a posé la question voit la conversation, et celle-ci peut contenir des données financières de la société et des données à caractère personnel que l’utilisateur saisit. Les délais d’effacement figurent à la section 13.

5. Catégories de personnes concernées

• Les utilisateurs de l’espace de travail du responsable du traitement.
• Les salariés du responsable du traitement.
• Les clients, les fournisseurs et les autres partenaires commerciaux mentionnés dans la comptabilité.
• Les personnes mentionnées dans les documents que le responsable du traitement charge dans Puls ou rédige dans Puls.

6. Instructions documentées

Le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement. Sont considérés comme des instructions le présent accord, les Conditions d’utilisation et toute opération que l’utilisateur lance lui-même dans l’application, par exemple l’import de données, l’établissement d’un plan, la demande d’un commentaire ou un export. Les instructions couvrent également le transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, qui n’est autorisé que s’il est prévu par le présent accord ou s’il est exigé par le droit de l’Union européenne ou de la République de Croatie.

Si le droit de l’Union européenne ou le droit de la République de Croatie oblige le sous-traitant à effectuer un traitement en dehors de ces instructions, le sous-traitant en informe le responsable du traitement avant le traitement, sauf si ce droit interdit expressément une telle information.

Le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction constitue une violation du RGPD ou d’une autre disposition relative à la protection des données.

7. Confidentialité

Seules les personnes pour lesquelles l’accès est nécessaire à l’exercice de leurs fonctions ont accès aux données du responsable du traitement. Toutes ces personnes sont tenues à la confidentialité par contrat ou par une obligation légale, et cette obligation subsiste après la fin de leur engagement.

8. Sécurité du traitement conformément à l’article 32 du RGPD

Le sous-traitant applique les mesures techniques et organisationnelles suivantes.

• Tout le trafic entre le navigateur et l’application passe par une connexion chiffrée (TLS).
• Les données de chaque entreprise sont séparées de sorte qu’un espace de travail ne peut pas voir les données d’un autre, et seul l’utilisateur qui a posé la question voit les conversations avec le consultant IA.
• Les mots de passe sont conservés sous une forme qui ne permet pas de les lire. Les clés d’accès aux services connectés sont conservées sous forme chiffrée.
• Les données sont conservées et traitées sur des serveurs situés dans l’Union européenne.
• La base de données fait l’objet de sauvegardes automatiques régulières et d’une procédure de restauration documentée.
• Les connexions et les accès aux données sont consignés dans des journaux tenus séparément de ces données.
• La règle du moindre privilège s’applique. Chaque personne et chaque composant du système ne reçoit que les droits nécessaires au travail qu’il accomplit.
• L’accès aux serveurs est limité aux personnes autorisées et protégé.
• Le développement est séparé de la production et ne touche pas aux données de production. Les systèmes reçoivent régulièrement des mises à jour de sécurité.

9. Sous-traitants ultérieurs

Le responsable du traitement donne une autorisation préalable générale pour le recrutement de sous-traitants ultérieurs. La liste des sous-traitants ultérieurs recrutés à la date de la version du présent accord figure à l’Annexe 1.

Avec chaque sous-traitant ultérieur, le sous-traitant convient d’obligations en matière de protection des données qui ne sont pas moins strictes que les obligations du présent accord, et il répond envers le responsable du traitement de l’activité du sous-traitant ultérieur comme de la sienne propre.

Le sous-traitant informe le responsable du traitement de son intention d’ajouter ou de remplacer un sous-traitant ultérieur au moins 30 jours à l’avance, par e-mail adressé au propriétaire de l’espace de travail et par la publication de l’Annexe 1 modifiée sur la présente page. Dans ce délai, le responsable du traitement peut formuler une objection motivée. Si l’objection n’est pas résolue, le responsable du traitement peut résilier l’abonnement avant que le changement ne prenne effet, et l’accès reste actif jusqu’à la fin de la période payée.

10. Transferts hors de l’Espace économique européen

Les données sont traitées dans l’Union européenne. Un transfert vers un pays tiers n’a lieu qu’au profit des sous-traitants ultérieurs mentionnés à l’Annexe 1 et uniquement sur la base des clauses contractuelles types de la Commission européenne.

Si, pour un transfert, ces mesures cessent d’être suffisantes, le sous-traitant suspend le transfert et en informe le responsable du traitement.

11. Assistance au responsable du traitement

Compte tenu de la nature du traitement, le sous-traitant aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes des personnes concernées au titre du chapitre III du RGPD, c’est-à-dire aux demandes d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité et d’opposition.

Si une demande d’une personne concernée parvient directement au sous-traitant, celui-ci la transmet sans délai au responsable du traitement et n’y donne pas suite de sa propre initiative.

Le sous-traitant aide également le responsable du traitement à respecter les obligations prévues aux articles 32 à 36 du RGPD, c’est-à-dire en matière de sécurité du traitement, de notification des violations, d’analyse d’impact relative à la protection des données et de consultation préalable de l’autorité de contrôle, dans la mesure où les informations sont à la disposition du sous-traitant.

12. Violation de données à caractère personnel

Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, et suffisamment tôt pour que le responsable du traitement puisse remplir son obligation de notification à l’autorité de contrôle.

La notification contient la description de la nature de la violation, le nombre approximatif de personnes concernées et d’enregistrements touchés, les conséquences probables, les mesures prises ou proposées ainsi que les coordonnées de la personne de contact auprès du sous-traitant auprès de laquelle des informations supplémentaires peuvent être obtenues.

Le sous-traitant tient un registre des violations et des mesures prises et le met à la disposition du responsable du traitement sur demande.

13. Effacement ou restitution des données

À la fin du service, le sous-traitant, selon le choix du responsable du traitement, restitue les données sous une forme lisible par machine ou les efface, ainsi que les copies existantes.

Le responsable du traitement communique son choix dans un délai de 30 jours à compter de la fin du service. À l’expiration de ce délai, et au plus tard 90 jours après la fin du service, le sous-traitant efface les données.

Tant que le compte utilisateur existe, les données restent conservées, y compris lorsque l’accès est verrouillé en raison de l’expiration de la période d’essai ou d’un abonnement impayé.

Les conversations avec le consultant IA n’attendent pas la fin du service. Chaque message d’une conversation est effacé 12 mois après sa création, et l’utilisateur peut l’effacer plus tôt. La suppression du compte utilisateur efface également toutes les conversations de cet utilisateur, et la fin de son accès à une société efface ses conversations relatives à cette société.

La liste des principaux clients et fournisseurs ne conserve pas d’historique. À chaque synchronisation avec e-Računi, elle est remplacée par un nouveau relevé, et elle est effacée en même temps que les autres données de la société.

Les postes ouverts des clients et des fournisseurs ne conservent pas d’historique. Chaque nouveau relevé, issu de la connexion à e-Računi ou de la liste chargée, remplace le précédent, et ils sont effacés en même temps que les autres données de la société.

Font exception à l’effacement les données que le sous-traitant est tenu de conserver en vertu de la réglementation, avant tout les factures émises et les données fiscales. Le sous-traitant les conserve jusqu’à l’expiration du délai légal et ne les traite à aucune autre fin.

Les données figurant dans les copies de sauvegarde sont effacées selon le cycle régulier de renouvellement de ces copies.

14. Audit et contrôle

Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD et permet la réalisation d’audits, y compris d’inspections, par le responsable du traitement ou par un auditeur mandaté par celui-ci.

L’audit est annoncé au moins 30 jours à l’avance et se déroule pendant les heures de travail, d’une manière qui ne perturbe pas le fonctionnement du service. L’audit ne peut pas porter sur les données d’autres utilisateurs. Les frais de l’audit sont à la charge du responsable du traitement, sauf si l’audit constate une violation substantielle du présent accord.

15. Responsabilité

La responsabilité des parties est régie par les Conditions d’utilisation du service Puls et par les dispositions impératives. Le présent accord n’étend ni ne restreint la limitation de responsabilité prévue par les Conditions d’utilisation, sauf lorsque le RGPD en dispose autrement.

16. Droit applicable

Le présent accord est régi par le droit de la République de Croatie et par le RGPD. Les litiges relèvent de la compétence du tribunal compétent à raison de la matière à Zagreb.

17. Acceptation, modifications et version

Le présent accord s’applique par l’acceptation des Conditions d’utilisation du service Puls. Le responsable du traitement l’accepte lors de l’ouverture du compte, par une confirmation qui porte la date de la version, et nous enregistrons qui a accepté quelle version et à quel moment. Aucune signature particulière n’est requise et il n’existe pas de procédure de signature distincte.

Une nouvelle version du présent accord entre en vigueur le jour de sa publication, qui est aussi la date de la version. Nous en informons le responsable du traitement par e-mail le jour même et par sa publication sur la présente page, et lors de la première connexion à compter de ce jour, Puls demande la confirmation de la nouvelle version. L’information relative au changement de sous-traitants ultérieurs est régie par la section 9.

Si une disposition du présent accord est contraire aux Conditions d’utilisation, le présent accord s’applique pour les questions de traitement des données à caractère personnel.

Version : 6 octobre 2026. Dans cette version, la description du traitement des postes ouverts des clients et des fournisseurs a été complétée (sections 3, 4 et 13), les listes des types de données et des personnes ont été modifiées (sections 4 et 5) et l’Annexe 1 a été mise à jour. La description des mesures de sécurité est désormais plus générale, et les mesures restent les mêmes (section 8). La section 10 relative aux transferts a été raccourcie. Le reste du texte est identique à celui de la version du 5 octobre 2026. La nouvelle version suit la modification des Conditions d’utilisation, car les deux documents sont acceptés ensemble.

Annexe 1. Liste des sous-traitants ultérieurs

La liste est valable à la date de la version du présent accord. Les modifications sont annoncées conformément à l’article 9 du présent accord.