ACCORD DE SOUS-TRAITANCE DES DONNÉES (DPA)

Dernière mise à jour : 26 octobre 2026

Le présent accord de sous-traitance (le « DPA ») complète les Conditions générales d'utilisation (les « CGU ») conclues entre :

• Bewizit, SARL au capital de 2 500 €, dont le siège est situé 2 rue de Vienne, 75008 Paris, immatriculée au RCS de Paris sous le numéro 813 538 956, éditrice d'Order Invoicer (« Bewizit » ou le « Sous-traitant ») ; et
• la personne morale ou le professionnel qui utilise les Services (le « Client » ou le « Responsable de traitement »).

Il s'applique dès l'acceptation des CGU, sans autre formalité. En cas de contradiction avec les CGU sur la protection des données personnelles, le DPA prévaut.

Seule la version française du DPA fait foi.

1. DÉFINITIONS

Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données » ont le sens que leur donne le règlement (UE) 2016/679 (le « RGPD »).

• Données Client : les données personnelles que Bewizit traite pour le compte du Client dans le cadre des Services, décrites à l'Annexe 1.
• Plateformes connectées : les logiciels tiers que le Client relie à Order Invoicer (plateformes e-commerce, logiciels de facturation ou de comptabilité, prestataires de paiement).
• Sous-traitant ultérieur : tout tiers auquel Bewizit confie un traitement de Données Client.
• Réglementation applicable : le RGPD, la loi n° 78-17 du 6 janvier 1978 (« Informatique et Libertés ») et toute réglementation qui les complète ou les remplace.

2. RÔLE DES PARTIES

2.1. Pour les Données Client, le Client est responsable de traitement et Bewizit son sous-traitant au sens de l'article 28 du RGPD. Lorsque le Client agit lui-même pour le compte d'un tiers (agence, expert-comptable, intégrateur), Bewizit est sous-traitant ultérieur et le Client garantit disposer de l'autorisation de ce tiers.

2.2. Bewizit traite en qualité de responsable de traitement les données relatives au compte du Client et à ses utilisateurs (identité, e-mail, facturation, support, journaux de connexion). Ce traitement relève de notre Politique de confidentialité, et non du présent DPA.

3. INSTRUCTIONS DU CLIENT

3.1. Bewizit ne traite les Données Client que sur instruction documentée du Client. Les CGU, le présent DPA et le paramétrage des connecteurs par le Client dans Order Invoicer (choix des Plateformes connectées, règles de synchronisation, envoi des factures) constituent ces instructions.

3.2. Bewizit informe le Client sans délai si une instruction lui paraît contraire à la Réglementation applicable. Elle peut alors en suspendre l'exécution.

3.3. Bewizit s'interdit de vendre les Données Client, de les utiliser à des fins publicitaires ou pour son propre compte, et de les combiner avec des données d'autres clients.

3.4. Bewizit peut produire des statistiques agrégées et anonymisées sur l'utilisation des Services (volumes de commandes, taux d'erreur), à partir desquelles aucune personne ne peut être identifiée.

4. OBLIGATIONS DU CLIENT

Le Client :

• garantit disposer d'une base légale pour faire traiter les Données Client, et avoir informé les personnes concernées (notamment ses propres clients) de ce traitement ;
• est seul responsable de l'exactitude des Données Client et du paramétrage de ses Plateformes connectées ;
• ne transmet pas aux Services de données relevant de l'article 9 ou 10 du RGPD ;
• sécurise ses accès (identifiants, clés d'API, jetons des Plateformes connectées).

Les Plateformes connectées sont choisies par le Client et contractent directement avec lui : elles ne sont pas des sous-traitants ultérieurs de Bewizit.

5. CONFIDENTIALITÉ ET PERSONNEL

Bewizit limite l'accès aux Données Client aux personnes qui en ont besoin pour fournir les Services ou le support, et s'assure qu'elles sont tenues à une obligation de confidentialité qui survit à la fin de leur mission. Un accès aux données d'un Client pour le support n'a lieu qu'à sa demande ou pour résoudre un incident l'affectant.

6. SÉCURITÉ

Bewizit met en œuvre les mesures techniques et organisationnelles décrites à l'Annexe 2, appropriées au risque au sens de l'article 32 du RGPD. Elle peut les faire évoluer, à condition de ne pas réduire le niveau de protection global.

7. SOUS-TRAITANTS ULTÉRIEURS

7.1. Le Client autorise de manière générale Bewizit à recourir à des Sous-traitants ultérieurs. Ceux en place à la date du DPA sont listés à l'Annexe 3.

7.2. Bewizit impose à chacun des obligations de protection des données au moins équivalentes à celles du présent DPA et demeure responsable envers le Client de leur exécution.

7.3. Bewizit informe le Client de tout ajout ou remplacement d'un Sous-traitant ultérieur par e-mail à l'adresse du compte, au moins 15 jours avant qu'il ne traite des Données Client. Le Client peut s'y opposer par écrit, pour des motifs raisonnables liés à la protection des données, dans ce délai. Les parties cherchent alors une solution de bonne foi ; à défaut, le Client peut résilier sans frais les Services concernés, et Bewizit lui rembourse au prorata les sommes payées d'avance pour la période non consommée.

7.4. En cas d'urgence (défaillance ou incident de sécurité d'un Sous-traitant ultérieur), Bewizit peut procéder au remplacement immédiatement et en informe le Client dans les meilleurs délais, le droit d'opposition restant ouvert.

8. TRANSFERTS HORS DE L'UNION EUROPÉENNE

8.1. Les Données Client sont principalement stockées dans l'Union européenne (base de données Supabase, région UE ; fonctions Vercel, région Paris).

8.2. Certains Sous-traitants ultérieurs listés à l'Annexe 3 traitent des Données Client depuis les États-Unis. Ces transferts sont encadrés par le Data Privacy Framework UE–États-Unis (décision d'adéquation du 10 juillet 2023) lorsque le destinataire est certifié, et à défaut par les Clauses contractuelles types de la Commission européenne (décision 2021/914, module 3, de sous-traitant à sous-traitant).

9. DROITS DES PERSONNES CONCERNÉES

9.1. Si Bewizit reçoit directement une demande d'une personne concernée relative aux Données Client, elle la transmet au Client sous 5 jours ouvrés et n'y répond pas elle-même, sauf pour indiquer qu'elle l'a transmise.

9.2. Bewizit aide le Client, par les fonctions des Services ou sur demande, à répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Cette assistance est gratuite dans la limite d'un effort raisonnable ; au-delà (demandes répétées ou volumineuses), elle peut être facturée sur devis préalable, sans que ce coût ne fasse obstacle à l'exercice des droits des personnes.

10. VIOLATION DE DONNÉES

10.1. Bewizit notifie au Client toute violation de Données Client sans délai injustifié et, si possible, dans les 48 heures après en avoir eu connaissance, à l'adresse e-mail du compte.

10.2. La notification indique, dans la mesure du possible : la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables, les mesures prises ou envisagées, et un contact. Les informations indisponibles sont transmises au fur et à mesure.

10.3. La notification à la CNIL et aux personnes concernées incombe au Client, que Bewizit assiste. Bewizit ne communique pas publiquement sur une violation affectant le Client sans s'être concertée avec lui, sauf obligation légale.

10.4. La notification n'emporte pas reconnaissance de responsabilité.

11. ASSISTANCE

Bewizit fournit au Client, à sa demande et dans la mesure où il n'y a pas accès par lui-même, les informations raisonnablement nécessaires pour réaliser une analyse d'impact (AIPD) ou consulter la CNIL au sujet des traitements réalisés au moyen des Services.

12. AUDIT

12.1. Bewizit met à disposition du Client, sur demande, les informations nécessaires pour démontrer le respect du présent DPA : réponse à un questionnaire de sécurité raisonnable, documentation de ses mesures de sécurité, et rapports de certification de ses Sous-traitants ultérieurs (par exemple SOC 2) lorsque ceux-ci en autorisent la communication.

12.2. Si ces informations ne suffisent pas à établir la conformité, ou à la demande de la CNIL, le Client peut faire réaliser un audit, au plus une fois par an, avec un préavis écrit de 30 jours, pendant les heures ouvrées, sans perturber l'exploitation des Services. L'audit est conduit à ses frais, par lui-même ou par un auditeur indépendant non concurrent de Bewizit, tenu à la confidentialité. Il ne porte pas sur les données des autres clients ni sur les infrastructures des Sous-traitants ultérieurs, dont la conformité est démontrée par leurs propres rapports.

12.3. Les résultats de l'audit sont confidentiels. Bewizit remédie aux non-conformités constatées dans un délai convenu entre les parties.

13. DURÉE, RESTITUTION ET SUPPRESSION

13.1. Le DPA s'applique tant que Bewizit traite des Données Client.

13.2. Les Données Client sont conservées pendant toute la durée de l'abonnement.

13.3. La suppression d'un connecteur par le Client vaut instruction de supprimer les Données Client qui s'y rattachent. Bewizit les supprime immédiatement de sa base de données. Les copies résiduelles (sauvegardes, caches, journaux de ses Sous-traitants ultérieurs) disparaissent à l'expiration de leur cycle de rotation, et restent soumises au présent DPA jusque-là.

13.4. Les Services ne proposent pas d'export des Données Client : celles-ci proviennent des Plateformes connectées du Client, qui en conservent l'original. Il appartient au Client de récupérer auprès de ces plateformes les données dont il a besoin avant de supprimer un connecteur.

13.5. Les factures et pièces comptables émises par les Plateformes connectées restent dans ces plateformes et ne sont pas concernées par la suppression.

14. RESPONSABILITÉ

La responsabilité de chaque partie au titre du DPA est soumise aux limitations prévues par les CGU (section 14), sauf disposition impérative contraire, notamment l'article 82 du RGPD envers les personnes concernées.

15. DROIT APPLICABLE ET JURIDICTION

Le DPA est soumis au droit français. Tout litige relève de la compétence exclusive du Tribunal de commerce de Paris, dans les conditions des CGU.

16. MODIFICATIONS

Bewizit peut modifier le DPA pour suivre une évolution de la Réglementation applicable ou des Services. Elle en informe le Client au moins 30 jours à l'avance, sauf si la modification est imposée par la loi. Une modification ne peut pas réduire le niveau de protection des Données Client.

17. CONTACT

• Questions sur le DPA et notifications : privacy@orderinvoicer.com
• Délégué à la protection des données : dpo@orderinvoicer.com

ANNEXE 1 — DESCRIPTION DU TRAITEMENT

Objet et finalité. Synchroniser les commandes, remboursements, clients et paiements des plateformes e-commerce du Client vers ses logiciels de facturation et de comptabilité : création des clients, émission des factures et avoirs, rapprochement des paiements, envoi des factures aux clients finaux, suivi et reprise des erreurs de synchronisation.

Nature des opérations. Collecte auprès des Plateformes connectées (API et webhooks), enregistrement, structuration, transformation, transmission aux Plateformes connectées, envoi par e-mail, conservation, suppression.

Personnes concernées.

• Clients finaux du Client (acheteurs, particuliers ou professionnels) ;
• Destinataires et contacts de facturation ou de livraison ;
• Collaborateurs du Client lorsqu'ils figurent dans les données synchronisées.

Catégories de données.

• Identité : nom, prénom, raison sociale, numéro de TVA ou SIREN des clients professionnels ;
• Coordonnées : adresses de facturation et de livraison, e-mail, téléphone ;
• Commande : numéro, date, produits, quantités, prix, taxes, remises, frais de port, statut, notes de commande ;
• Paiement : moyen de paiement, montant, date, identifiant de transaction (jamais de numéro de carte complet) ;
• Documents : factures, avoirs et leurs PDF ;
• Données techniques : identifiants des objets dans les Plateformes connectées, journaux de synchronisation.

Données sensibles. Aucune n'est attendue. Des notes de commande librement saisies par les acheteurs peuvent en contenir à l'insu des parties.

Fréquence. Continue, au fil des événements des Plateformes connectées.

Durée. Toute la durée de l'abonnement ; suppression immédiate à la suppression du connecteur (article 13).

ANNEXE 2 — MESURES TECHNIQUES ET ORGANISATIONNELLES

Hébergement et chiffrement

• Base de données PostgreSQL hébergée dans l'Union européenne, chiffrée au repos (AES-256), sauvegardes quotidiennes chiffrées ;
• Communications chiffrées en TLS 1.2 ou supérieur ;
• Jetons et clés d'API des Plateformes connectées stockés dans la base de données chiffrée au repos.

Contrôle d'accès

• Isolation des données par organisation cliente, appliquée côté serveur sur chaque requête ;
• Accès des équipes de Bewizit limité au strict nécessaire, avec authentification forte (2FA) sur les outils d'administration ;
• Révocation des accès au départ d'un collaborateur.

Développement et exploitation

• Revue de code et tests automatisés avant chaque mise en production ;
• Supervision des erreurs et des performances, alertes en cas d'incident ;
• Journalisation des accès et des actions d'administration.

Organisation

• Engagement de confidentialité des collaborateurs et prestataires ;
• Procédure de gestion des violations de données ;
• Sélection des Sous-traitants ultérieurs sur la base de leurs garanties (DPA, certifications SOC 2 ou ISO 27001).

ANNEXE 3 — SOUS-TRAITANTS ULTÉRIEURS