Accord de sous-traitance RGPD

1. Objet

Le présent accord de sous-traitance (Data Processing Agreement - DPA) encadre le traitement de données personnelles effectué par MonAssoCompta pour le compte des associations utilisatrices, conformément à l'article 28 du RGPD (UE 2016/679).

2. Rôles et responsabilités

• Responsable du traitement : l'association utilisatrice du service, qui détermine les finalités et les moyens du traitement des données de ses adhérents, donateurs, clients, etc.
• Sous-traitant : MonAssoCompta, édité par Joe Muller, entrepreneur individuel (EI), qui traite les données exclusivement pour le compte du responsable et selon ses instructions.

3. Nature des traitements

Les traitements réalisés par le sous-traitant portent sur :

• Stockage et gestion des données d'adhérents (noms, coordonnées, cotisations)
• Suivi des dons et génération de reçus fiscaux (Cerfa)
• Écritures comptables et états financiers
• Gestion des clients, devis et factures

Les catégories de personnes concernées sont : adhérents, donateurs, clients, membres du bureau.

Durée du traitement : le traitement dure aussi longtemps que le compte de la structure existe, de l'inscription jusqu'à la suppression du compte ou à la purge pour inactivité prolongée. Le sort des données à cette échéance est décrit à l'article 8.

4. Obligations du sous-traitant

• Traiter les données uniquement sur instruction documentée du responsable
• Garantir la confidentialité des données traitées
• Mettre en œuvre les mesures techniques et organisationnelles appropriées (cf. article 5)
• Ne pas faire appel à un autre sous-traitant sans autorisation préalable (cf. article 6)
• Aider le responsable à répondre aux demandes d'exercice des droits des personnes
• Notifier le responsable de toute violation de données dans les meilleurs délais après en avoir pris connaissance, et au plus tard sous 24 heures, afin de lui laisser le temps de procéder à sa propre notification à la CNIL dans les 72 heures prévues par l'article 33 du RGPD. La notification précise la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises
• Aider le responsable à assurer la sécurité des traitements et, le cas échéant, à mener une analyse d'impact (articles 32 à 36 du RGPD)
• Informer le responsable de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, avec un préavis lui permettant de s'y opposer (cf. article 6)

5. Mesures de sécurité

• Chiffrement des communications (HTTPS / TLS)
• Mots de passe hachés (PBKDF2)
• Accès restreints par rôles et permissions
• Sauvegardes régulières de la base de données
• Pare-feu, mises à jour de sécurité, monitoring
• Hébergement dans l'Union européenne : serveurs en France, sauvegardes quotidiennes aux Pays-Bas (cf. article 6)

6. Sous-traitants ultérieurs

Le responsable du traitement autorise le recours aux sous-traitants ultérieurs suivants :

Hostinger International Ltd - Hébergeur - Serveurs situés en France. Hostinger assure l'infrastructure serveur (stockage, réseau, alimentation) ainsi que la sauvegarde automatique quotidienne du serveur, conservée dans un centre de données situé aux Pays-Bas.

OVH SAS - Stockage des fichiers de l'espace documents au-delà d'un seuil de volume - Serveurs situés en France (région de Paris).

Stripe Payments Europe Ltd - Traitement des paiements d'abonnement - Irlande (Union européenne).

HelloAsso - Uniquement si l'association connecte son compte HelloAsso. La lecture des paiements encaissés se fait dans un seul sens : aucune donnée n'est transmise à HelloAsso par MonAssoCompta - France (Union européenne).

Google LLC et Microsoft Corporation - Uniquement pour les utilisateurs qui choisissent de lier leur compte afin de se connecter. Seuls l'adresse email et un identifiant technique sont concernés - États-Unis (cf. article 7).

Toute modification de cette liste est portée à la connaissance du responsable du traitement, qui dispose d'un délai pour s'y opposer et, le cas échéant, résilier son abonnement.

7. Transferts hors Union européenne

Les données saisies dans le service (adhérents, dons, écritures comptables, factures, documents) sont hébergées dans l'Union européenne et ne quittent pas l'Espace économique européen.

Une seule exception, à la seule initiative de l'utilisateur : la connexion via un compte Google ou Microsoft transmet l'adresse email et un identifiant technique à Google LLC ou à Microsoft Corporation, aux États-Unis. Ces deux sociétés adhèrent au Data Privacy Framework, qui fait l'objet d'une décision d'adéquation de la Commission européenne du 10 juillet 2023. Cette liaison est facultative et réversible à tout moment.

8. Fin du contrat

Trois échéances distinctes, à ne pas confondre :

• Résiliation de l'abonnement : l'accès aux fonctionnalités payantes cesse au terme de la période déjà réglée. Les données de la structure ne sont pas supprimées pour autant, et restent exportables.
• Suppression du compte, ou purge après 3 ans d'inactivité : les données sont alors effacées de manière définitive et irréversible.
• Parrainage : la ligne reliant une association invitée à celle qui l'a invitée est supprimée 90 jours après le dernier mois offert, ou 90 jours après la fin de l'essai si l'invitée ne s'est jamais abonnée. Elle subsiste jusque-là même si l'invitée supprime son compte.

Ce que la suppression emporte. Tout : écritures, fiches, documents déposés, journaux de traçabilité, et jusqu'aux reçus fiscaux déjà émis.

Les reçus fiscaux sont à exporter avant. L'obligation de les conserver six ans (article L102 B du Livre des procédures fiscales) pèse sur l'association, pas sur nous. Nous, l'article 28.3.g du RGPD nous impose l'inverse : supprimer vos données au terme de la prestation. Nous devons donc effacer ce que vous devez garder - récupérez-les avant de fermer votre compte.

Une seule exception : les adresses de courriel en échec. Lorsqu'un message envoyé pour votre compte nous revient en échec (adresse inexistante, boîte fermée), nous notons l'adresse pour cesser de la solliciter. Cette liste est commune à toutes les structures, parce qu'une adresse qui n'existe plus n'existe pour personne.

• À la fermeture de votre compte : les adresses que vous étiez seul à utiliser partent avec vos données. Seule reste celle qu'une autre structure écrit encore - sinon celle-ci se remettrait à écrire dans le vide.
• Ce que l'entrée contient : l'adresse, le motif du refus, ses dates. Rien d'autre.
• Combien de temps : deux ans après le dernier échec, puis suppression automatique. Vous pouvez en demander l'effacement immédiat.

L'utilisateur peut exporter ses données à tout moment, et il lui est recommandé de le faire avant toute clôture.

9. Audit

Le responsable du traitement peut demander au sous-traitant toute information nécessaire pour démontrer le respect des obligations prévues au présent accord.

10. Droit applicable

Le présent accord est régi par le droit français et le RGPD. Dernière mise à jour : 13 octobre 2026. Une version antérieure peut vous être communiquée sur demande à contact@monassocompta.fr.