DPA HOLCO ↔ Cabinet

Le Cabinet agit comme responsable de traitement pour ses dossiers, ses clients et ses collaborateurs. HOLCO agit comme sous-traitant lorsqu'il opère le Service pour le compte du Cabinet : hébergement du compte, conservation chiffrée du token du logiciel comptable, routage des requêtes en lecture seule et journalisation technique limitée. La version signée précise la dénomination juridique exacte de HOLCO, son SIREN et son siège.

HOLCO traite les données uniquement sur instruction documentée du Cabinet. Le traitement est limité à la consultation et à l'analyse en lecture seule : HOLCO ne crée, ne modifie, ne valide ni ne supprime aucune écriture, facture, tiers ou dossier. Les instructions couvrent le périmètre des données accessibles, l'exclusion de toute réutilisation à d'autres fins, et les modalités de suppression en fin de service. Elles sont annexées et modifiables par accord écrit des parties.

Données comptables consultées en transit depuis le logiciel du Cabinet, données d'identification des collaborateurs autorisés, secrets techniques nécessaires au service et métadonnées d'usage. Les données comptables ne sont pas conservées durablement ; les logs techniques excluent le contenu des prompts et les données métier. Le Cabinet s'engage à ne pas transmettre de données sensibles au sens de l'art. 9 RGPD hors de ce qui est nécessaire.

Toute personne autorisée par HOLCO à traiter les données est soumise à une obligation de confidentialité (contractuelle ou légale). Les accès sont nominatifs, limités aux équipes techniques habilitées, tracés et révocables.

HOLCO ne recourt à un sous-traitant ultérieur qu'avec autorisation préalable du Cabinet (liste en Annexe 1, modifiable avec préavis raisonnable permettant l'objection), au moyen d'un contrat écrit imposant les mêmes obligations que le présent DPA (flow-down) et un niveau de sécurité équivalent (art. 32). L'Annexe 1 nomme chaque sous-traitant (par ex. l'éditeur comptable pour la source, l'hébergeur de l'infrastructure, le fournisseur d'IA retenu par le cabinet, le prestataire d'email transactionnel), son pays d'établissement et le mécanisme de transfert applicable.

Les données comptables sources restent chez l'éditeur du Cabinet et sont consultées en lecture. Les prompts transmis aux fournisseurs d'IA sont minimisés et dépourvus de secrets. Lorsqu'un transfert hors Union européenne est nécessaire (par ex. certains fournisseurs d'IA ou d'hébergement établis aux États-Unis), il est encadré par des clauses contractuelles types (SCC) ou le Data Privacy Framework, selon le prestataire, comme détaillé en Annexe 1. Des options de cantonnement UE (par ex. via Mistral) peuvent être retenues avec le Cabinet.

HOLCO reconnaît que les données peuvent être couvertes par le secret professionnel de l'expert-comptable (art. 21 de l'ordonnance n°45-2138 du 19 septembre 1945). En conséquence : l'accès est limité aux seules personnes habilitées et soumises à confidentialité ; les données ne sont divulguées à aucun tiers hormis sur instruction du Cabinet ou obligation légale impérative ; en cas de demande d'un tiers ou d'une autorité, HOLCO en informe le Cabinet dans les meilleurs délais lorsque la loi le permet, afin qu'il puisse faire valoir ses droits.

Les données comptables ne sont pas stockées durablement. Les logs techniques sont conservés 30 jours. À la fin du Service : HOLCO supprime les données en transit et révoque les accès (clé pp_live_…, tokens) sous 7 jours, sauf obligation légale de conservation, et fournit une attestation de suppression sur demande. La restitution ou la suppression de la mémoire cabinet est organisée selon le choix du Cabinet.

La validation dans ce parcours confirme la relecture du DPA par le référent du Cabinet et l'accord pour l'utiliser comme base de sous-traitance. La version signée précise l'entité juridique de HOLCO (dénomination, SIREN, siège), les référents et, le cas échéant, le DPO, la liste des sous-traitants (Annexe 1), le périmètre exact des accès et les fournisseurs d'IA retenus.