1. Parties et objet
Le « Client » est l’entreprise professionnelle titulaire du compte Ouvralis. Pour les données métier qu’il dépose dans le logiciel, il agit comme responsable de traitement. Mathéo Jules Hugo Jolly, entrepreneur individuel — Ouvralis, SIREN 105 051 478, 38 chemin de la Solitude, 85300 Challans, agit comme sous-traitant.
Le présent accord fixe les instructions générales du Client et les obligations d’Ouvralis au titre de l’article 28 du règlement (UE) 2016/679 (« RGPD »). Il dure aussi longtemps qu’Ouvralis traite des données personnelles pour fournir le service, y compris pendant les opérations de restitution et de suppression.
2. Description des traitements confiés
| Objet et finalité | Héberger et permettre la gestion de l’activité du Client : CRM, chantiers, planning, équipe, devis, factures, documents, stock, finances, communication, imports, exports, support et fonctions optionnelles activées. |
|---|---|
| Nature des opérations | Collecte par saisie ou import, enregistrement, organisation, structuration, conservation, consultation, calcul, génération de documents, communication sur instruction, rapprochement, export, limitation et suppression. |
| Personnes concernées | Clients et prospects du Client, représentants et contacts, salariés, apprentis, candidats, fournisseurs, sous-traitants, partenaires et utilisateurs autorisés. |
| Types de données | Identité, coordonnées, entreprise, relation commerciale, chantiers, interventions, planning, temps, absences, documents professionnels ou sociaux, devis, factures, paiements, dépenses, produits, messages, photos, signatures, comptes utilisateurs, journaux et autres données choisies par le Client. |
| Données particulières | Ouvralis ne demande pas de données sensibles par défaut. Le Client ne doit en déposer que si cela est strictement nécessaire, licite, proportionné et accompagné des garanties requises. |
| Durée | Durée d’utilisation du service puis période nécessaire à l’export, la suppression, la rotation des sauvegardes et aux obligations légales applicables. |
3. Obligations et instructions du Client
Le Client garantit qu’il dispose d’une base juridique et a fourni les informations nécessaires aux personnes concernées. Il configure les habilitations, respecte la minimisation, l’exactitude, les durées de conservation et la sécurité de ses appareils. Il documente toute instruction complémentaire transmise à Ouvralis.
Les CGV / CGU, les réglages effectués, les actions des utilisateurs autorisés et les demandes adressées au support forment les instructions documentées du Client. Ouvralis informe le Client si une instruction paraît violer le RGPD ou une autre règle applicable et peut en suspendre l’exécution le temps d’une clarification.
Le Client demeure seul responsable du choix de traiter une catégorie de données, de l’usage métier des résultats, des destinataires et de la légalité des messages ou documents qu’il transmet.
4. Obligations d’Ouvralis
Ouvralis s’engage à :
- ne traiter les données que sur instruction documentée du Client, sauf obligation légale, auquel cas Ouvralis l’en informe avant le traitement si la loi le permet ;
- veiller à ce que les personnes autorisées soient tenues à la confidentialité et n’accèdent qu’aux données nécessaires ;
- tenir à disposition les informations raisonnablement nécessaires pour démontrer le respect du présent accord ;
- aider le Client, compte tenu de la nature du traitement et des informations disponibles, à répondre aux droits, analyses d’impact, consultations et obligations de sécurité ;
- ne pas vendre les données du Client ni les utiliser pour une finalité commerciale propre sans base juridique distincte ;
- maintenir un point de contact à contact@ouvralis.fr.
5. Mesures de sécurité
En tenant compte de l’état des connaissances, des coûts, de la nature des données et des risques, Ouvralis applique notamment :
- chiffrement HTTPS des communications et hachage robuste des mots de passe ;
- séparation logique des organisations, contrôles d’accès par rôle et permissions ;
- protection ou chiffrement des secrets d’intégration pris en charge ;
- journalisation des actions sensibles, limitation des tentatives et contrôles de session ;
- restriction des accès administratifs et procédures de support ;
- mesures de sauvegarde, de restauration, de surveillance et de mise à jour proportionnées ;
- export des données et procédures de gestion des incidents.
Les mesures évoluent avec les risques. Le Client reconnaît qu’une sécurité absolue n’existe pas et doit contribuer à la sécurité par ses propres configurations et pratiques.
6. Violation de données
Ouvralis notifie au Client, dans les meilleurs délais après en avoir pris connaissance, toute violation de données personnelles affectant les données traitées pour son compte. La notification fournit progressivement les informations disponibles utiles : nature de l’incident, catégories de personnes et données, conséquences probables, mesures prises et point de contact.
Le Client décide des notifications à la CNIL et aux personnes concernées. Ouvralis l’assiste raisonnablement. Une notification d’incident ne vaut pas reconnaissance de faute.
7. Demandes de droits et coopération
Si Ouvralis reçoit directement une demande relative aux données métier, il la transmet au Client ou invite la personne à le contacter, sauf interdiction légale. Les fonctions de recherche, correction, export et suppression permettent au Client de traiter de nombreuses demandes de manière autonome.
Une assistance inhabituelle, volumineuse ou spécifiquement développée peut faire l’objet d’un devis lorsqu’elle résulte du choix ou de la configuration du Client, sans facturation des obligations qui incombent directement à Ouvralis.
8. Sous-traitants ultérieurs
Le Client donne une autorisation générale à Ouvralis pour recourir aux sous-traitants nécessaires. À la date de cette version, les catégories et prestataires principaux sont :
| Prestataire | Service | Zone principale connue |
|---|---|---|
| Hostinger International Ltd. | Hébergement | Serveur Ouvralis configuré en France ; société établie à Chypre |
| Stripe Payments Europe, Ltd. | Paiement et abonnement | EEE et opérations internationales encadrées par ses garanties |
| Sendinblue SAS (Brevo) | E-mails transactionnels | EEE, selon sa documentation |
| OpenAI Ireland Ltd. | Assistant IA par API | EEE et traitements internationaux encadrés |
| Google Ireland Ltd. / Microsoft Ireland Operations Ltd. | OAuth et messagerie si connectés | EEE et traitements internationaux encadrés |
| Perspecteev SAS (Bridge) | Connexion bancaire si activée | France / EEE selon le service |
| SUPER PDP (superpdp.tech) | Facturation électronique, vérifications KYC/KYB, conversion et validation Factur-X, transmission, réception, cycle de vie et e-reporting lorsque le Client l’active | France / EEE selon le contrat et la documentation du prestataire |
| Cobrowse.io | Co-navigation si autorisée | Selon le contrat et la configuration du prestataire |
Ouvralis impose à chaque sous-traitant des obligations de protection adaptées à la prestation. Un changement important de sous-traitant est annoncé par mise à jour de cette liste ou notification dans un délai raisonnable. Le Client peut formuler une objection motivée par un risque concret pour les données. Les parties recherchent une solution ; si aucune mesure raisonnable ne suffit, le Client peut cesser d’utiliser la fonction concernée ou résilier pour l’avenir selon les CGV, sans effacer les sommes déjà dues pendant un engagement ferme.
9. Transferts hors Espace économique européen
Ouvralis ne réalise un transfert international que si une garantie reconnue est applicable : décision d’adéquation, cadre de protection reconnu, clauses contractuelles types accompagnées si nécessaire de mesures supplémentaires, ou autre mécanisme légal. Le Client autorise ces transferts dans la mesure nécessaire aux services optionnels qu’il active.
10. Restitution et suppression
Le Client peut exporter ses données depuis les fonctions prévues. Il doit réaliser cet export avant la suppression définitive du compte. À la fin de la prestation, Ouvralis supprime ou rend les données au Client selon son choix et les fonctions disponibles, puis supprime les copies restantes à l’issue des cycles techniques, sauf obligation légale de conservation.
Les données conservées pour une obligation légale, la preuve ou un litige sont isolées, à accès limité et ne sont plus utilisées pour fournir le service courant.
11. Informations et audit
Ouvralis fournit sur demande les documents raisonnables permettant d’évaluer le respect du présent accord. Si ces éléments ne suffisent pas, le Client peut demander un audit au maximum une fois par an, sauf incident ou demande d’une autorité. L’audit est réalisé pendant les heures ouvrées, avec préavis, par un auditeur indépendant soumis à confidentialité, sans compromettre les données d’autres clients ni la sécurité du service.
Les coûts sont supportés par le Client, sauf si l’audit révèle un manquement substantiel imputable à Ouvralis. Les parties privilégient un audit documentaire ou à distance lorsqu’il permet de répondre au besoin.
12. Priorité contractuelle et droit applicable
En cas de contradiction sur la protection des données métier, le présent accord prévaut sur les CGV / CGU. Les clauses contractuelles types éventuellement conclues prévalent pour le transfert qu’elles encadrent. Le droit français s’applique, sans priver une autorité de contrôle de ses compétences.
← Revenir aux CGV / CGU