Accord de traitement des données
Version en vigueur du 18 octobre 2026.
Version du
1. Rôles
Le cabinet (« le responsable ») décide pourquoi et comment il traite les données de ses clients. Fiplan (« le sous-traitant ») les traite pour son compte, uniquement pour lui fournir le logiciel.
2. Ce qui est traité
| Élément | Contenu |
|---|---|
| Objet | hébergement et traitement des données encodées par le cabinet dans Fiplan, pour établir et partager des plans financiers |
| Opérations | enregistrement, calcul, affichage, production de documents, partage dans l'espace client, envoi d'e-mails de notification, sauvegarde, suppression |
| Personnes concernées | clients du cabinet (entrepreneurs, dirigeants, associés et actionnaires), leurs contacts et les utilisateurs de l'espace client |
| Données | identité et coordonnées, numéros d'entreprise, données financières et fiscales, rémunérations des dirigeants, messages et documents échangés |
| Données sensibles | aucune attendue : le cabinet n'encode pas de données de santé, d'opinion ou d'autres catégories particulières (RGPD, art. 9) |
| Lieu | Union européenne (Francfort) ; transferts seulement par les sous-traitants ultérieurs de l'annexe 1 |
| Durée | celle de l'abonnement, plus les 30 jours d'export qui suivent sa fin |
3. Les engagements de Fiplan
- Ne traiter les données que sur les instructions documentées du cabinet (ce contrat et l'usage qu'il fait du logiciel), y compris pour un transfert hors de l'Union ; l'avertir si une instruction lui paraît contraire à la loi.
- Ne jamais utiliser ces données pour une autre fin : ni publicité, ni revente, ni entraînement d'un modèle d'intelligence artificielle.
- Faire respecter la confidentialité par toute personne autorisée à y accéder ; aucun accès au contenu d'un dossier sans l'autorisation du cabinet (accès du support : lecture seule, 48 heures au plus, journalisé). Fiplan respecte le secret professionnel auquel le cabinet est tenu.
- Appliquer les mesures de sécurité de l'annexe 2 et les tenir à jour.
- Aider le cabinet à répondre aux demandes des personnes concernées (accès, rectification, effacement, portabilité), notamment par les fonctions d'export et de suppression du logiciel.
- Notifier au cabinet toute violation de données le concernant sans retard injustifié et au plus tard 48 heures après en avoir pris connaissance, avec les informations utiles pour que le cabinet prévienne l'Autorité dans ses 72 heures.
- Aider le cabinet, dans la mesure du raisonnable, pour ses analyses d'impact et ses consultations de l'Autorité.
- À la fin du contrat, laisser le cabinet exporter ses données pendant 30 jours, puis les supprimer, sauvegardes comprises par rotation, sauf obligation légale de conservation.
- Mettre à disposition les informations qui démontrent le respect de cet accord, et permettre un audit : d'abord sur pièces ; sur place au plus une fois par an, annoncé 30 jours à l'avance, aux frais du cabinet, par un auditeur tenu au secret.
4. Sous-traitants ultérieurs
Le cabinet autorise les sous-traitants ultérieurs de l'annexe 1. Fiplan annonce par e-mail tout ajout ou remplacement au moins 30 jours à l'avance ; le cabinet qui s'y oppose pour un motif raisonnable peut résilier sans frais avant la date annoncée. Fiplan impose à chacun des obligations équivalentes à celles-ci et répond de lui envers le cabinet.
5. Les engagements du cabinet
Il dispose d'une base légale pour chaque donnée qu'il encode, informe ses clients (y compris de l'usage de Fiplan) et n'encode que les données nécessaires.
6. Responsabilité
Chaque partie répond de ses propres manquements à cet accord et au RGPD, dans les limites des conditions générales (A13 et B4), sauf là où la loi les interdit.
Annexe 1 — Sous-traitants ultérieurs
| Sous-traitant | Ce qu'il fait des données du cabinet | Localisation | Garantie de transfert |
|---|---|---|---|
| Supabase | stocke et traite toutes les données (base, fichiers, authentification) | Union européenne (Francfort) | sans objet |
| Cloudflare | achemine les pages et les échanges (chiffrés) ; ne stocke pas les dossiers | réseau mondial | cadre UE–États-Unis (prestataire certifié) ; clauses types en secours |
| Resend | envoie les e-mails de l'espace client (nom, adresse e-mail, objet) | États-Unis | cadre UE–États-Unis (prestataire certifié) ; clauses types en secours |
Annexe 2 — Mesures de sécurité
| Domaine | Mesure |
|---|---|
| Chiffrement | HTTPS (TLS) partout ; données chiffrées au repos par l'hébergeur (AES-256), lui-même certifié SOC 2 Type 2 et ISO 27001 |
| Cloisonnement | chaque cabinet ne voit que ses données, règle imposée par la base elle-même (sécurité au niveau des lignes), contrôlée par des audits automatiques à chaque version |
| Authentification | mots de passe hachés et règles de robustesse ; double authentification proposée à tous, obligatoire pour l'administration de Fiplan, exigée aussi côté serveur |
| Accès de Fiplan | l'administrateur ne voit que des compteurs, jamais le contenu ; accès du support sur autorisation du cabinet, 48 h, lecture seule, journalisé |
| Sauvegardes | sauvegardes quotidiennes de la base par l'hébergeur, conservées 7 jours (les fichiers déposés, comme les logos et les PDF, n'y sont pas inclus) ; restauration testée avant l'ouverture |
| Développement | tests automatiques et audits de droits avant chaque mise en ligne ; aucune donnée réelle dans les environnements de test |
| Incidents | procédure de notification (point 3.6) ; journaux techniques conservés pour l'enquête |