Accord de sous-traitance des données (DPA)

1. Objet et cadre juridique

Le présent Accord de sous-traitance des données (ci-après, le «DPA») régit le traitement de données à caractère personnel qu'Alastia SLU (le «Sous-traitant» ou «Tributs») effectue pour le compte du Client (le «Responsable du traitement») dans le cadre de la fourniture du service Tributs.

Il est conclu en application de l'article 31 de la Llei 29/2021, du 28 octobre, qualifiée relative à la protection des données personnelles (LQPD), qui exige que tout traitement effectué pour le compte d'autrui soit régi par un contrat. Il fait partie intégrante des Conditions du service et prévaut sur celles-ci en ce qui concerne le traitement des données personnelles de tiers.

2. Rôles des parties

Le Client est le responsable du traitement des données personnelles de tiers (ses clients, fournisseurs, salariés et contacts) qu'il saisit ou télécharge dans le service. Il détermine les finalités et les moyens du traitement.

Alastia SLU est le sous-traitant : il ne traite ces données que pour fournir le service et selon les instructions documentées du Responsable du traitement. (Pour les données du compte et de la facturation de l'abonnement, en revanche, Alastia est responsable du traitement : voir la Politique de confidentialité.)

3. Objet, durée, nature et finalité

Objet : le traitement de données personnelles nécessaire à la fourniture du service Tributs (gestion comptable, fiscale, de facturation, bancaire et de paie).

Durée : pendant la durée de l'abonnement, majorée de la période de conservation et des opérations de restitution ou de suppression prévues à la section 11.

Nature et finalité : stockage, organisation, consultation, calcul, génération de documents et de déclarations, extraction de données de factures et communication aux sous-traitants ultérieurs indiqués, toujours pour la fourniture du service et jamais pour les finalités propres du Sous-traitant.

4. Types de données et catégories de personnes concernées

Catégories de personnes concernées : clients, fournisseurs, salariés, administrateurs et contacts du Responsable du traitement.

Types de données : données d'identification (nom, NRT/NIF), de contact (adresse, courriel, téléphone), économiques et bancaires (IBAN, moyens de paiement, mouvements), fiscales (factures, bases, retenues) et, dans le cas des paies, données professionnelles et de cotisation (salaire, numéro d'affiliation à la CASS, retenues IRPF/IRNR). Le service n'est pas conçu pour traiter des catégories particulières de données ; le Responsable du traitement s'abstient d'en saisir.

5. Obligations du Sous-traitant (art. 31.4 LQPD)

a) Instructions : il ne traitera les données que selon les instructions documentées du Responsable du traitement (y compris celles relatives aux transferts internationaux), sauf si une obligation légale l'exige autrement ; dans ce cas, il en informera le Responsable du traitement. S'il estime qu'une instruction enfreint la réglementation, il le lui signalera sans délai.

b) Confidentialité : il garantira que les personnes autorisées à traiter les données se sont engagées à en respecter la confidentialité.

c) Sécurité : il appliquera les mesures techniques et organisationnelles appropriées exigées par l'art. 35 de la LQPD (voir la section 7).

d) Sous-traitants ultérieurs : il respectera les conditions de la section 8 pour recourir à d'autres sous-traitants.

e) Assistance — droits : il assistera le Responsable du traitement, dans la mesure du possible et par des mesures techniques et organisationnelles appropriées, afin qu'il puisse répondre aux demandes d'exercice des droits des personnes concernées (Chapitre 3 de la LQPD).

f) Assistance — conformité : il aidera le Responsable du traitement à satisfaire aux obligations d'analyse d'impact, de sécurité et de notification de violation de données (arts. 32, 35, 36 et 37 de la LQPD).

g) Suppression ou restitution : au choix du Responsable du traitement, il supprimera ou lui restituera les données à la fin du service (section 11).

h) Audit : il mettra à la disposition du Responsable du traitement les informations nécessaires pour démontrer sa conformité et permettra des audits (section 12).

6. Confidentialité

Le Sous-traitant et son personnel maintiendront la confidentialité des données même après la fin de la relation. L'accès du personnel est limité à ce qui est strictement nécessaire pour fournir le service.

7. Mesures de sécurité

Le Sous-traitant applique, entre autres : le chiffrement en transit (TLS 1.3) ; l'isolement physique des données de chaque entreprise cliente dans une base de données propre (modèle multi-site) ; le contrôle d'accès avec authentification à double facteur pour le personnel interne ; des sauvegardes périodiques avec conservation rotative ; et la journalisation des accès. Les mesures sont adaptées au risque et peuvent être mises à jour pour maintenir un niveau de protection équivalent ou supérieur.

8. Sous-traitants ultérieurs

Le Responsable du traitement autorise de manière générale le Sous-traitant à recourir à des sous-traitants ultérieurs pour fournir le service. La liste en vigueur et à jour des sous-traitants ultérieurs —avec l'identité, la finalité, la localisation et la garantie de chacun, ainsi que la date de version— est publiée et tenue à jour sur cette page. Chacun a signé un contrat qui lui impose les mêmes obligations de protection des données (art. 31.5 LQPD), et le Sous-traitant répond envers le Responsable du traitement de leur respect.

Nous informerons le Responsable du traitement de tout ajout ou remplacement de sous-traitants ultérieurs avec un préavis d'au moins 30 jours, en publiant la version mise à jour sur la liste et en le notifiant par email. Pendant ce délai, le Responsable du traitement peut s'y opposer pour des motifs raisonnables liés à la protection des données (art. 31.3 LQPD) ; si l'opposition est fondée et qu'il n'existe pas d'alternative raisonnable, il pourra résilier le service sans pénalité pour la partie non consommée.

9. Transferts internationaux

Andorre est un pays reconnu par l'Union européenne comme offrant un niveau de protection adéquat (Décision 2010/625/UE de la Commission, du 19 octobre 2010, confirmée lors de la révision de 2024). Par conséquent, un Responsable du traitement établi dans l'UE/EEE peut confier le traitement à Alastia SLU sans garanties supplémentaires, comme s'il s'agissait d'une transmission intracommunautaire.

Lorsqu'un sous-traitant ultérieur se trouve hors de l'EEE (par exemple, aux États-Unis), le transfert est effectué sur la base des clauses contractuelles types (SCCs) approuvées par la Commission européenne et d'autres garanties appropriées (arts. 42 à 45 de la LQPD), tel qu'indiqué dans la liste des sous-traitants ultérieurs (section 8).

10. Violations de la sécurité

Si le Sous-traitant a connaissance d'une violation de la sécurité affectant des données traitées pour le compte du Responsable du traitement, il la lui notifiera sans délai (art. 36.2 LQPD), avec l'objectif pratique de le faire dans un maximum de 48 heures, en fournissant les informations dont il dispose afin que le Responsable du traitement puisse remplir, le cas échéant, son obligation de notifier l'APDA dans un délai maximum de 72 heures (art. 36.1) et, lorsqu'il y a lieu, les personnes concernées (art. 37).

11. Restitution ou suppression à la fin

À la fin de la fourniture du service, et au choix du Responsable du traitement, le Sous-traitant lui restituera les données dans un format standard (CSV pour les données structurées, PDF/image pour les pièces jointes) ou les supprimera, ainsi que les copies existantes, sauf si une obligation légale en exige la conservation. Le Responsable du traitement dispose d'outils d'exportation autonome avant la clôture du compte.

12. Audit et information

Le Sous-traitant mettra à la disposition du Responsable du traitement les informations nécessaires pour attester la conformité à l'art. 31 de la LQPD et permettra et contribuera aux audits, y compris aux inspections, réalisés par le Responsable du traitement ou par un auditeur qu'il mandate, moyennant un préavis raisonnable et dans le respect de la confidentialité et de la sécurité des autres clients.

13. Responsabilité

Chaque partie répond du manquement aux obligations qui lui incombent en vertu de la LQPD et du présent DPA. La limitation de responsabilité des Conditions du service s'applique également au présent accord, dans la mesure permise par la loi et sans porter atteinte aux droits des personnes concernées devant l'autorité de contrôle.

14. Contact et autorité de contrôle

Questions relatives au présent accord : hola@tributs.ad. L'autorité de contrôle compétente est l'Agència Andorrana de Protecció de Dades (APDA) : www.apda.ad.