Accord de sous-traitance

1. Parties et portée

Cet accord lie chaque cabinet qui utilise Alpboard, responsable du traitement des données de ses mandats (le « cabinet »), et l’éditeur d’Alpboard, qui les traite pour son compte (le « sous-traitant »).

Il complète le contrat qui lie le cabinet à l’éditeur et s’applique dès l’ouverture des accès du cabinet. Un exemplaire signé est remis sur simple demande à contact@alpboard.com. Les données que l’éditeur traite pour lui-même (site public, demandes de démonstration, sécurité du service) relèvent de la politique de confidentialité, pas de cet accord.

2. Description du traitement (annexe 1)

• Objet : fournir au cabinet le logiciel Alpboard, ses applications et l’assistant Alppy.
• Durée : celle du contrat, puis le temps de restituer et d’effacer les données (clause 8).
• Nature des opérations : hébergement, conservation, consultation, classement, contrôle des fichiers comptables, lecture et extraction des pièces par intelligence artificielle, rédaction proposée au collaborateur, transmission aux personnes que le cabinet habilite.
• Finalité : permettre au cabinet de conduire ses missions et d’en documenter les travaux.
• Données : identité et coordonnées professionnelles des collaborateurs et des intervenants habilités ; données des entités contrôlées, de leurs dirigeants, associés, salariés, clients et fournisseurs, telles qu’elles figurent dans les pièces et les fichiers comptables déposés ; pièces d’identité des dirigeants et des bénéficiaires effectifs recueillies au titre de la lutte contre le blanchiment ; contenus saisis (tickets, messages, notes, conversations avec Alppy).
• Personnes concernées : collaborateurs du cabinet, clients du cabinet et leurs représentants, et toute personne citée dans les pièces d’un mandat.

3. Obligations du sous-traitant

• Instructions. Il ne traite les données que sur les instructions documentées du cabinet : l’usage du logiciel et ses réglages en tiennent lieu. Il l’informe sans délai si une instruction lui paraît contraire au RGPD.
• Confidentialité. Seules les personnes qui en ont besoin pour fournir le service accèdent aux données, et elles sont tenues à la confidentialité.
• Sécurité. Il met en œuvre les mesures de l’article 32 décrites en annexe 2 et n’en abaisse pas le niveau pendant la durée du contrat.
• Intelligence artificielle. Les prestataires d’intelligence artificielle qui lisent les pièces et les fichiers des mandats ne conservent pas les données et ne les utilisent pas pour entraîner leurs modèles. Ce que propose un modèle est relu par un collaborateur avant de produire un effet ; le détail figure sur la page Intelligence artificielle.
• Transferts. Aucune donnée n’est transférée hors de l’Union européenne, sinon aux sous-traitants ultérieurs de l’annexe 3, sous le cadre de protection des données UE-États-Unis ou les clauses contractuelles types de la Commission européenne.
• Registre. Il tient le registre des traitements effectués pour le compte des cabinets (article 30.2).

4. Sous-traitants ultérieurs

Le cabinet autorise le recours aux sous-traitants ultérieurs listés en annexe 3. Le sous-traitant leur impose, par contrat, des obligations de protection équivalentes à celles de cet accord, et reste responsable de leur exécution.

Tout ajout ou remplacement est annoncé aux administrateurs de chaque cabinet par email, et sur cette page, au moins trente jours avant de prendre effet. Le cabinet peut s’y opposer pour un motif légitime tenant à la protection des données ; à défaut de solution trouvée ensemble, il peut résilier le contrat sans frais avant la prise d’effet.

5. Droits des personnes

Le cabinet répond lui-même aux demandes des personnes concernées, à l’aide des fonctions du logiciel (consultation, rectification, export, suppression). Le sous-traitant l’y aide sur demande et lui transmet sans délai toute demande qui lui parviendrait directement, sans y répondre lui-même.

6. Violations de données

Le sous-traitant notifie au cabinet toute violation de données le concernant dans les meilleurs délais, et au plus tard quarante-huit heures après en avoir pris connaissance. La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables et les mesures prises ou proposées. Il aide le cabinet à notifier la CNIL et, le cas échéant, à informer les personnes concernées.

7. Analyses d’impact

Le sous-traitant fournit au cabinet les informations dont il a besoin pour mener une analyse d’impact relative à la protection des données ou consulter la CNIL au préalable.

8. Fin du contrat

À la fin du contrat, le sous-traitant restitue au cabinet, sur sa demande et dans les trente jours, les pièces dans leur format d’origine et les données dans un format ouvert. Il efface ensuite les données dans les quatre-vingt-dix jours, sauvegardes comprises au terme de leur cycle, sauf obligation légale de les conserver.

9. Documentation et audits

Le sous-traitant met à la disposition du cabinet les informations nécessaires pour démontrer le respect de cet accord. Le cabinet peut faire mener un audit, par lui-même ou par un auditeur tenu au secret qu’il mandate, une fois par an, avec un préavis de trente jours et à ses frais, sans accès aux données des autres cabinets.

10. Obligations du cabinet

Le cabinet s’assure que les traitements qu’il confie reposent sur une base légale, informe les personnes concernées, ne dépose que les données utiles à ses missions et règle les accès de ses collaborateurs.

Annexe 2 : mesures de sécurité

Les mesures techniques et organisationnelles sont décrites dans la section « Mesures de sécurité » de la page Sécurité et conformité, qui fait partie de cet accord.

Annexe 3 : sous-traitants ultérieurs

Pennylane et Qonto ne reçoivent des données que si le cabinet active la liaison correspondante.

Historique de la liste. 13 octobre 2026 : première publication dans cet accord. 26 octobre 2026 : Mistral AI transmet à son moteur de recherche la requête d’Alppy quand il cherche sur le web, sans chiffre ni fait d’un dossier.