Accord de traitement des données à caractère personnel

Convention de sous-traitance au sens de l’article 28 du Règlement (UE) 2016/679, annexe aux conditions générales de vente de la plateforme Onelia (DCNG SRL), version 4 du 8 octobre 2026

Le présent accord de traitement des données à caractère personnel (ci-après l’« Accord ») fait partie intégrante des conditions générales de vente (ci-après les « CGV ») conclues entre DCNG SRL et le Client pour l’utilisation de la plateforme Onelia. Il encadre le traitement des données à caractère personnel que DCNG SRL réalise pour le compte du Client dans le cadre de la fourniture du Service. Il est accepté par le Client lors de la création de son compte, en même temps que les CGV, et s’applique pendant toute la durée de la relation contractuelle.

Article 1. Parties et rôles

1.1. DCNG SRL, société à responsabilité limitée de droit belge dont le siège social est établi Avenue de l’Abbaye d’Aywiers 25, à 1410 Waterloo (Belgique), inscrite à la Banque-Carrefour des Entreprises sous le numéro 0780.406.273 (RPM Brabant wallon), éditrice de la plateforme commercialisée sous le nom Onelia (ci-après « Onelia » ou le « Sous-traitant »), agit en qualité de sous-traitant.

1.2. Le Client, personne physique ou morale agissant exclusivement à des fins professionnelles, identifié lors de la création de son compte (ci-après le « Client » ou le « Responsable du traitement »), agit en qualité de responsable du traitement à l’égard des données à caractère personnel qu’il encode, importe ou fait générer dans le Service.

1.3. Lorsque le Client fait usage du Service en qualité de sous-traitant pour le compte d’un tiers, il garantit disposer des autorisations nécessaires pour confier le traitement à Onelia en qualité de sous-traitant ultérieur et le présent Accord s’applique mutatis mutandis.

Article 2. Définitions

2.1. Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « destinataire », « personne concernée », « violation de données à caractère personnel », « autorité de contrôle » et « sous-traitant ultérieur » ont le sens que leur donne le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après le « RGPD »).

2.2. Le « Service » désigne la plateforme Onelia, composée d’une application mobile pour systèmes iOS et Android, avec fonctionnement hors connexion, et d’un portail web de gestion, permettant notamment la gestion des clients, des interventions, des chantiers, des devis, des factures, y compris la facturation électronique par le réseau Peppol, du stock, de l’agenda et des équipes.

2.3. Les « Données du Client » désignent l’ensemble des données à caractère personnel traitées par Onelia pour le compte du Client dans le cadre du Service, telles que décrites à l’Annexe 1.

2.4. Les « Utilisateurs » désignent les personnes physiques auxquelles le Client ouvre un accès au Service.

2.5. La « Législation applicable » désigne le RGPD, la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel ainsi que, le cas échéant, les dispositions nationales en matière de protection des données applicables au Client en France ou au Luxembourg.

Article 3. Objet et articulation avec les autres documents contractuels

3.1. Le présent Accord a pour objet de définir les conditions dans lesquelles Onelia traite les Données du Client pour le compte de celui-ci, conformément à l’article 28 du RGPD. Il se compose du présent corps de texte, de l’Annexe 1 (description du traitement) et de l’Annexe 2 (mesures techniques et organisationnelles de sécurité).

3.2. L’Annexe 3 (liste des sous-traitants ultérieurs) est un document distinct, auquel le présent Accord renvoie et que Onelia tient à jour en dehors du corps de celui-ci. Elle est publiée en permanence à l’adresse onelia.be/sous-traitants et ses mises à jour suivent la procédure prévue à l’article 9. La version en vigueur à la date d’acceptation du présent Accord est réputée connue et acceptée par le Client. La version de l’Annexe 3 en vigueur à la date du présent Accord est reproduite en fin de document à titre documentaire.

3.3. En cas de contradiction entre le présent Accord et les CGV ou tout autre document contractuel en matière de protection des données à caractère personnel, le présent Accord prévaut. Pour le surplus, les CGV demeurent pleinement applicables, en particulier leurs dispositions relatives à la durée, à la résiliation et à la responsabilité. La politique de confidentialité d’Onelia constitue une information publiée et non un document contractuel ; sa mise à jour n’emporte aucune modification du présent Accord.

3.4. L’acceptation du présent Accord par voie électronique lors de la création du compte, par la personne qui déclare être habilitée à engager le Client, vaut acceptation écrite au sens de l’article 28, paragraphe 9, du RGPD. Onelia conserve la preuve de cette acceptation, en ce compris la version de l’Accord acceptée ainsi que la date et l’heure de l’acceptation, et la met à la disposition du Client sur demande.

Article 4. Description du traitement

4.1. L’objet, la nature, la finalité et la durée du traitement, les catégories de personnes concernées et les catégories de données à caractère personnel traitées sont décrits à l’Annexe 1. Le Client détermine seul les finalités et les moyens du traitement des Données du Client et demeure responsable de la licéité de la collecte des données qu’il confie à Onelia, de l’information des personnes concernées et du respect de ses propres obligations légales, notamment en matière comptable, fiscale et de facturation électronique.

4.2. Le Client s’engage à ne pas encoder dans le Service de catégories particulières de données à caractère personnel au sens de l’article 9 du RGPD ni de données relatives à des condamnations pénales ou à des infractions au sens de son article 10, le Service n’étant pas conçu à cette fin. Le Client veille en particulier à ce que les photographies, croquis et notes de chantier se limitent à ce qui est nécessaire à la documentation de la prestation.

Article 5. Instructions documentées du Responsable du traitement

5.1. Onelia ne traite les Données du Client que sur instruction documentée du Client, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu’elle ne soit tenue d’y procéder en vertu du droit de l’Union européenne ou du droit d’un État membre auquel elle est soumise. Dans ce cas, Onelia informe le Client de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public.

5.2. Constituent des instructions documentées du Client : les CGV, le présent Accord, le paramétrage du Service par le Client et ses Utilisateurs, ainsi que toute utilisation des fonctionnalités du Service conformément à sa documentation. Toute instruction complémentaire est adressée par écrit à l’adresse privacy@dcng.be. Onelia peut refuser une instruction qui excède les fonctionnalités du Service ou qui entraînerait un coût supplémentaire, à défaut d’accord sur les modalités et la rémunération de sa mise en œuvre.

5.3. Onelia informe immédiatement le Client si, selon elle, une instruction constitue une violation du RGPD ou d’autres dispositions du droit de l’Union européenne ou du droit national relatives à la protection des données. Onelia peut alors suspendre l’exécution de l’instruction concernée jusqu’à ce que le Client la confirme ou la modifie.

5.4. Onelia n’utilise pas les Données du Client à ses propres fins. Elle ne les vend pas, ne les loue pas, ne les analyse pas à des fins commerciales et ne les utilise pas pour entraîner ou améliorer des modèles d’intelligence artificielle, les siens ou ceux de tiers. Les statistiques d’usage et la télémétrie technique du Service sont conçues pour ne pas contenir de données à caractère personnel.

Article 6. Fonctions d’export et destinataires choisis par le Client

6.1. Le Service met à la disposition du Client et de ses Utilisateurs des fonctions permettant de transmettre des Données du Client à des destinataires que le Client choisit lui-même, en particulier l’envoi de documents par courrier électronique, l’export de données et l’abonnement d’un agenda externe au planning tenu dans le Service.

6.2. S’agissant de l’abonnement d’agenda, le Service met un fichier d’agenda à disposition derrière une adresse contenant un secret, que l’Utilisateur communique au logiciel d’agenda de son choix. C’est ce logiciel qui vient lire le fichier ; Onelia n’adresse aucune donnée de sa propre initiative au fournisseur concerné et n’entretient avec lui aucune relation contractuelle. L’activation de cette fonction par le Client ou par un de ses Utilisateurs constitue une instruction documentée du Client au sens de l’article 5.

6.3. Les fournisseurs d’agenda ainsi sollicités, de même que tout autre destinataire auquel le Client choisit d’adresser des Données du Client au moyen du Service, agissent à l’égard du Client en qualité de destinataires et, selon le cas, de responsables du traitement autonomes ou de sous-traitants du Client. Ils ne sont pas des sous-traitants ultérieurs d’Onelia et ne figurent pas à l’Annexe 3. Il appartient au Client de disposer d’une base juridique pour cette communication, d’en informer les personnes concernées conformément aux articles 13 et 14 du RGPD, de vérifier les conditions du fournisseur retenu, en ce compris la localisation des données et les éventuels transferts hors de l’Union européenne, et d’encadrer cette communication lorsque cela est requis.

6.4. Onelia informe l’Utilisateur, au sein de l’interface, de la nature des données exposées par le lien d’abonnement, du caractère strictement personnel de celui-ci et de la possibilité de le révoquer à tout moment. Onelia n’est pas responsable des traitements opérés par le destinataire choisi, ni des conséquences d’une divulgation du lien par l’Utilisateur.

Article 7. Confidentialité des personnes autorisées

7.1. Onelia veille à ce que les personnes autorisées à traiter les Données du Client, en ce compris son gérant, ses éventuels collaborateurs et les prestataires intervenant sous sa responsabilité, s’engagent à respecter la confidentialité de ces données ou soient soumises à une obligation légale appropriée de confidentialité, et ne traitent ces données que dans la mesure nécessaire à l’exécution du Service.

7.2. L’accès d’Onelia aux Données du Client est limité aux opérations de maintenance, de support et de sécurité. Les comptes d’administration d’Onelia auprès de ses hébergeurs et de ses prestataires sont protégés par une authentification à deux facteurs, appliquée directement ou par l’intermédiaire d’un compte lui-même ainsi protégé. Ces accès sont tracés par les journaux tenus par les hébergeurs et prestataires concernés.

Article 8. Sécurité du traitement

8.1. Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes concernées, Onelia met en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, conformément à l’article 32 du RGPD. Ces mesures sont décrites à l’Annexe 2. Elles comprennent notamment l’isolation stricte des données de chaque Client au niveau du moteur de base de données, le chiffrement des données en transit et au repos, la mise à disposition d’une authentification à deux facteurs activable par chaque Utilisateur, la gestion des accès par rôles et capacités, des sauvegardes quotidiennes chiffrées avant de quitter l’infrastructure d’hébergement et une surveillance automatisée avec alertes.

8.2. Onelia peut faire évoluer ces mesures pour tenir compte de l’évolution des techniques et des risques, à condition que le niveau de sécurité global n’en soit pas réduit. Le Client demeure responsable de la sécurité de son propre environnement, notamment de la gestion des accès de ses Utilisateurs, du caractère nominatif des comptes, de la solidité des mots de passe, de l’activation de l’authentification à deux facteurs par ses Utilisateurs, de la sécurité des appareils mobiles sur lesquels l’application est installée, de la maîtrise des liens d’abonnement d’agenda et de la révocation des accès des Utilisateurs qui quittent son organisation.

Article 9. Sous-traitants ultérieurs

9.1 Autorisation générale

Le Client autorise de manière générale Onelia à recourir à des sous-traitants ultérieurs pour l’exécution d’activités de traitement spécifiques dans le cadre du Service, conformément à l’article 28, paragraphe 2, du RGPD. Les sous-traitants ultérieurs autorisés à la date d’acceptation du présent Accord sont ceux qui figurent dans la version de l’Annexe 3 en vigueur à cette date.

9.2 Liste versionnée et publication

L’Annexe 3 indique, pour chaque sous-traitant ultérieur, son identité, son rôle, les catégories de données concernées, le lieu de traitement et, le cas échéant, le mécanisme de transfert applicable. Elle est publiée en permanence, avec la date de sa version, à l’adresse onelia.be/sous-traitants. Conformément à l’article 3.2, cette liste n’est pas incorporée au corps du présent Accord : ses mises à jour, opérées selon la procédure de l’article 9.3, n’emportent aucune modification de l’Accord, dont le texte demeure inchangé, et n’appellent aucune nouvelle acceptation de la part du Client.

9.3 Information préalable et droit d’objection

Onelia informe le Client de tout projet d’ajout ou de remplacement d’un sous-traitant ultérieur au moins quinze jours calendrier avant que ce sous-traitant ne commence à traiter des Données du Client. Cette information est donnée par deux canaux cumulatifs : l’envoi d’un courriel à l’administrateur du compte du Client, accompagné de la version mise à jour de l’Annexe 3, et la publication datée de cette version à l’adresse onelia.be/sous-traitants. Le Client s’engage à maintenir l’adresse électronique de son administrateur à jour.

Le Client peut, dans ce délai de quinze jours, s’opposer au changement envisagé pour des motifs raisonnables et documentés tenant à la protection des données à caractère personnel, en adressant son objection par écrit à l’adresse privacy@dcng.be. À défaut d’objection dans ce délai, le changement est réputé accepté. En cas d’objection, les parties se concertent de bonne foi pour trouver une solution. Si aucune solution raisonnable ne peut être trouvée dans un délai de trente jours à compter de l’objection, le Client peut résilier la partie du Service qui requiert le recours au sous-traitant ultérieur contesté, ou l’intégralité du Service si celui-ci ne peut être fourni sans ce sous-traitant, moyennant un préavis écrit et sans indemnité de rupture, les sommes payées d’avance pour la période postérieure à la résiliation étant remboursées au prorata.

Le remplacement d’un sous-traitant ultérieur rendu nécessaire en urgence par un incident de sécurité ou par la défaillance d’un fournisseur peut intervenir sans respecter le délai de quinze jours ; Onelia en informe alors le Client sans retard et le droit d’objection s’exerce dans les quinze jours de cette information.

9.4 Obligations imposées aux sous-traitants ultérieurs

Onelia impose à chaque sous-traitant ultérieur, par contrat ou par un autre acte juridique au titre du droit de l’Union européenne ou du droit d’un État membre, les mêmes obligations en matière de protection des données que celles fixées dans le présent Accord, en particulier l’obligation de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Lorsqu’un sous-traitant ultérieur ne remplit pas ses obligations, Onelia demeure pleinement responsable envers le Client de l’exécution par celui-ci de ses obligations.

Certains sous-traitants ultérieurs recourent eux-mêmes à des prestataires. Onelia veille à ce que ses sous-traitants ultérieurs publient ou lui communiquent la liste de ces prestataires et l’informent des changements qui y sont apportés. Les références à ces listes figurent à l’Annexe 3.

Article 10. Localisation des données et transferts hors de l’Union européenne

10.1. Les Données du Client sont hébergées et traitées par défaut au sein de l’Union européenne. Onelia ne transfère pas de Données du Client vers un pays tiers ou une organisation internationale, et ne permet pas un tel transfert par un sous-traitant ultérieur, sauf dans les cas identifiés à l’Annexe 3 et dans le respect du chapitre V du RGPD.

10.2. Lorsqu’un transfert vers un pays tiers ne bénéficiant pas d’une décision d’adéquation de la Commission européenne est nécessaire, Onelia s’assure qu’il repose sur des garanties appropriées au sens de l’article 46 du RGPD, notamment les clauses contractuelles types adoptées par la Commission européenne par la décision d’exécution (UE) 2021/914, assorties, lorsque l’évaluation du niveau de protection dans le pays de destination le requiert, de mesures supplémentaires. Les transferts vers des organisations établies aux États-Unis d’Amérique et certifiées dans le cadre du Data Privacy Framework UE-États-Unis reposent sur la décision d’adéquation de la Commission européenne du 10 juillet 2023, sans préjudice des clauses contractuelles types conclues à titre subsidiaire. Onelia tient à la disposition du Client, sur demande, une copie des garanties applicables et des évaluations d’impact des transferts qu’elle a réalisées.

10.3. Le Client donne instruction à Onelia de procéder aux transferts identifiés à l’Annexe 3 dans les conditions qui y sont décrites. Si une garantie de transfert cesse d’être valable, Onelia en informe le Client et met en œuvre, dans un délai raisonnable, une garantie alternative ou une solution de traitement au sein de l’Union européenne.

10.4. Les communications que le Client opère lui-même vers des destinataires de son choix, dans les conditions de l’article 6, ne relèvent pas du présent article ; il appartient au Client d’en apprécier les conséquences au regard du chapitre V du RGPD.

Article 11. Assistance dans le respect des droits des personnes concernées

11.1. Compte tenu de la nature du traitement, Onelia aide le Client, par des mesures techniques et organisationnelles appropriées, à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits prévus au chapitre III du RGPD.

11.2. À cette fin, le Service met à la disposition des Utilisateurs habilités du Client des fonctionnalités en libre-service permettant notamment de consulter et de rectifier les données d’un client final, d’exporter l’intégralité du dossier d’un client final dans un format structuré et couramment utilisé, et de procéder à l’effacement des données d’un client final par anonymisation, cette dernière opération effaçant l’identité de la personne dans l’ensemble du Service tout en préservant, sous forme figée, les documents dont la conservation est imposée au Client par une obligation légale, conformément à l’article 17, paragraphe 3, point b), du RGPD. L’effacement est réservé aux Utilisateurs disposant du rôle d’administrateur du Client.

11.3. Si une personne concernée adresse directement à Onelia une demande relative à des Données du Client, Onelia ne répond pas sur le fond, sauf instruction contraire du Client, et transmet la demande au Client dans un délai de cinq jours ouvrables, en invitant la personne concernée à s’adresser au Client. Onelia fournit au Client, sur demande et dans la mesure du possible, l’assistance complémentaire nécessaire à l’exécution de ses obligations ; cette assistance peut donner lieu à une rémunération raisonnable lorsqu’elle excède l’usage des fonctionnalités du Service.

Article 12. Assistance en matière de sécurité, d’analyse d’impact et de consultation préalable

12.1. Onelia aide le Client à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à sa disposition. Elle fournit notamment au Client, sur demande, les informations relatives aux mesures de sécurité mises en œuvre, aux sous-traitants ultérieurs et aux transferts, nécessaires à la réalisation d’une analyse d’impact relative à la protection des données ou à la consultation préalable de l’autorité de contrôle.

12.2. Onelia tient un registre des catégories d’activités de traitement effectuées pour le compte du Client, conformément à l’article 30, paragraphe 2, du RGPD, et coopère, sur demande, avec l’autorité de contrôle compétente dans l’exécution de ses missions.

Article 13. Violations de données à caractère personnel

13.1. Onelia notifie au Client toute violation de données à caractère personnel affectant les Données du Client dans les meilleurs délais et au plus tard quarante-huit heures après en avoir pris connaissance. La notification est adressée par courriel à l’administrateur du compte du Client et contient, dans la mesure où ces informations sont disponibles, la description de la nature de la violation, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés, les conséquences probables de la violation, les mesures prises ou proposées pour y remédier et en atténuer les effets, ainsi que le point de contact auprès duquel des informations complémentaires peuvent être obtenues. Lorsque ces informations ne peuvent être fournies en même temps, elles sont communiquées de manière échelonnée sans retard indu.

13.2. Cette notification permet au Client, le cas échéant, de notifier la violation à l’autorité de contrôle compétente dans le délai de septante-deux heures prévu à l’article 33 du RGPD et d’en informer les personnes concernées conformément à l’article 34 du RGPD. Onelia documente toute violation, ses effets et les mesures prises pour y remédier dans un registre interne des violations, et coopère avec le Client dans le cadre de l’investigation et de la remédiation. La notification d’une violation par Onelia ne constitue pas une reconnaissance de responsabilité.

Article 14. Durée du traitement, restitution et effacement des données

14.1. Onelia traite les Données du Client pendant la période d’essai et pendant toute la durée du contrat conclu avec le Client. Pendant cette durée, le Client dispose à tout moment, en libre-service et sans intervention d’Onelia, d’une fonctionnalité d’export complet de ses données, comprenant l’ensemble des tables et des fichiers accompagnés d’un manifeste de complétude, dans un format structuré, couramment utilisé et lisible par machine.

14.2. À l’expiration ou à la résiliation du contrat, pour quelque cause que ce soit, ou au terme d’une période d’essai non suivie d’un abonnement, le Client dispose d’un délai de nonante jours calendrier pendant lequel l’accès au Service est maintenu en lecture seule aux fins d’export de ses données (ci-après la « Période de restitution »). Le Client est seul responsable de la récupération de ses données pendant cette période et de l’archivage, pour la durée légale qui lui est applicable en Belgique, en France ou au Luxembourg, de ses livres, factures et pièces justificatives, en ce compris les factures électroniques structurées émises par l’intermédiaire du Service. Onelia n’assume aucune obligation d’archivage légal pour le compte du Client, ni pendant, ni après la Période de restitution.

14.3. À l’issue de la Période de restitution, Onelia supprime l’ensemble des Données du Client de ses systèmes de production dans un délai de trente jours calendrier, puis de ses sauvegardes au terme de leur cycle de rotation, lequel n’excède pas nonante jours. Les exports de restitution déposés sur l’espace de téléchargement dédié sont supprimés automatiquement sept jours après leur génération. Onelia délivre au Client, sur demande écrite formulée dans les trois mois suivant la fin du contrat, une attestation de suppression.

14.4. Par exception, Onelia peut conserver les Données du Client au-delà de ces délais dans la seule mesure où le droit de l’Union européenne ou le droit d’un État membre l’exige, pour la durée et aux fins prévues par ce droit, ainsi que les données strictement nécessaires à la preuve de l’exécution du contrat et à la défense de ses droits, ces dernières relevant de la responsabilité propre d’Onelia décrite dans sa politique de confidentialité.

Article 15. Information et audit

15.1. Onelia met à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD. Elle fournit à cette fin, sur demande écrite, la documentation de ses mesures de sécurité, les rapports ou certifications disponibles de ses sous-traitants ultérieurs et les réponses à un questionnaire raisonnable de sécurité et de conformité, au maximum une fois par an, sauf demande d’une autorité de contrôle ou survenance d’une violation de données affectant le Client.

15.2. Si ces informations ne suffisent pas à démontrer le respect des obligations d’Onelia, le Client, ou un auditeur indépendant qu’il a mandaté et qui est tenu à une obligation de confidentialité, peut réaliser un audit, y compris une inspection, moyennant un préavis écrit de trente jours, pendant les heures ouvrables, au maximum une fois par an et dans des conditions préservant la sécurité du Service, la confidentialité des données des autres clients d’Onelia et la continuité de ses activités. L’audit ne peut porter sur les infrastructures des sous-traitants ultérieurs, pour lesquelles les certifications et rapports de tiers tiennent lieu de vérification. Les frais raisonnables exposés par Onelia à l’occasion d’un audit sont à la charge du Client, sauf si l’audit révèle un manquement substantiel d’Onelia au présent Accord. Les constatations de l’audit sont communiquées à Onelia, qui remédie sans retard indu aux manquements constatés.

Article 16. Responsabilité

16.1. Chaque partie est responsable des dommages causés par un traitement qui ne respecte pas le RGPD dans les conditions prévues à l’article 82 du RGPD. Onelia n’est tenue pour responsable du dommage causé par le traitement que si elle n’a pas respecté les obligations prévues par le RGPD qui incombent spécifiquement aux sous-traitants ou si elle a agi en dehors des instructions licites du Client ou contrairement à celles-ci. Les limitations et exclusions de responsabilité prévues par les CGV s’appliquent au présent Accord dans la mesure permise par le droit applicable, sans préjudice du droit des personnes concernées à obtenir réparation.

16.2. Le Client garantit Onelia contre toute réclamation, sanction ou condamnation résultant du non-respect par le Client de ses obligations de responsable du traitement, notamment en ce qui concerne la licéité de la collecte des Données du Client, l’information des personnes concernées, l’encodage de données non autorisées au sens de l’article 4 et les communications qu’il opère vers des destinataires de son choix au sens de l’article 6.

Article 17. Modification de l’Accord

17.1. Onelia peut modifier le présent Accord lorsque l’évolution de la Législation applicable, des lignes directrices du Comité européen de la protection des données ou de l’Autorité de protection des données, ou des caractéristiques du Service le requiert. Toute modification est notifiée au Client par courriel au moins trente jours avant son entrée en vigueur. Si la modification réduit le niveau de protection des Données du Client, le Client peut résilier le contrat sans indemnité avant la date d’entrée en vigueur.

17.2. Les mises à jour de l’Annexe 3 suivent la procédure de l’article 9 et ne constituent pas une modification du présent Accord.

Article 18. Dispositions finales, droit applicable et juridiction

18.1. Le présent Accord entre en vigueur à la date de son acceptation par le Client et demeure en vigueur aussi longtemps qu’Onelia traite des Données du Client, y compris pendant la Période de restitution et jusqu’à la suppression complète des données. Les obligations de confidentialité et de suppression survivent à la fin du contrat. Si l’une des dispositions du présent Accord est déclarée nulle ou inapplicable, les autres dispositions conservent leur plein effet et les parties remplacent la disposition concernée par une disposition valable d’effet équivalent.

18.2. Le présent Accord est régi par le droit belge, sans préjudice des dispositions impératives de la Législation applicable au Client. Tout litige relatif à sa validité, à son interprétation ou à son exécution relève de la compétence exclusive des cours et tribunaux de l’arrondissement judiciaire du Brabant wallon, sans préjudice de la compétence des autorités de contrôle et du droit des personnes concernées d’introduire une réclamation ou un recours juridictionnel conformément aux articles 77 à 79 du RGPD.

18.3. Le présent Accord est rédigé en français. En cas de traduction, la version française prévaut.

Annexe 1 : description du traitement

1. Objet et nature du traitement

Hébergement, stockage, synchronisation, y compris hors connexion, organisation, consultation, modification, extraction, transmission par courriel, par notification et par le réseau Peppol, mise à disposition d’un fichier d’agenda dans les conditions de l’article 6, sauvegarde, restitution et effacement des Données du Client, au moyen de l’application mobile et du portail web Onelia, ainsi que les opérations de maintenance, de support et de sécurité qui y sont liées.

2. Finalité du traitement

Permettre au Client de gérer son activité professionnelle : gestion de sa clientèle et de ses contacts, planification des interventions et des chantiers, établissement et suivi des devis, bons d’intervention, factures et notes de crédit, facturation électronique, suivi des paiements et des relances, gestion du stock, de l’agenda et de ses équipes.

3. Durée du traitement

Durée du contrat conclu entre le Client et Onelia, prolongée de la Période de restitution et des délais de suppression prévus à l’article 14 de l’Accord.

4. Catégories de personnes concernées

Les Utilisateurs du Client, à savoir le gérant, les collaborateurs de bureau et les membres d’équipe sur le terrain ; les clients finaux du Client, qu’il s’agisse de personnes physiques ou de personnes de contact au sein de personnes morales ; les fournisseurs, prestataires et autres tiers dont les coordonnées sont encodées par le Client ; les personnes dont l’image ou les biens apparaissent incidemment sur les photographies et croquis de chantier.

5. Catégories de données à caractère personnel

Le Service n’est pas destiné au traitement de catégories particulières de données à caractère personnel au sens de l’article 9 du RGPD ni de données relatives aux condamnations pénales et aux infractions. Le Client s’interdit d’en encoder, conformément à l’article 4 de l’Accord.

Les données d’identification du représentant légal du Client communiquées lors de l’activation de la facturation électronique ne sont pas traitées par Onelia : elles sont fournies directement par le représentant légal à l’opérateur d’accès au réseau Peppol, qui procède à cette vérification pour ses propres obligations. Onelia ne reçoit que le résultat de la vérification.

Annexe 2 : mesures techniques et organisationnelles de sécurité

Les mesures ci-dessous décrivent le dispositif de sécurité mis en œuvre par Onelia à la date de la présente version. Elles peuvent évoluer conformément à l’article 8 de l’Accord.

1. Isolation des données entre clients

Chaque requête en base de données est confinée aux données du Client concerné par des règles de sécurité appliquées au niveau du moteur de base de données, et non par une simple convention applicative. Cette isolation est testée de manière régulière. Sur l’application mobile, la base de données locale est liée à un seul Utilisateur et purgée automatiquement lors d’un changement de compte sur l’appareil.

2. Chiffrement

Les communications entre les applications, le portail web et l’infrastructure sont chiffrées en transit. Les données sont chiffrées au repos chez l’hébergeur principal. Les sauvegardes de la base de données et des fichiers sont chiffrées par Onelia avant de quitter l’infrastructure d’hébergement, y compris les noms des fichiers, de sorte que le prestataire de stockage des sauvegardes n’a accès qu’à des contenus chiffrés.

3. Contrôle des accès et authentification

L’authentification des Utilisateurs repose sur une adresse électronique et un mot de passe. Une authentification à deux facteurs fondée sur un code temporaire est proposée à tous les Utilisateurs ; son activation relève du choix de chaque Utilisateur et n’est liée à aucune opération particulière. Lorsqu’un Utilisateur l’a activée, elle lui est demandée à chaque connexion. Les droits sont attribués par rôle, à savoir administrateur, utilisateur et lecture seule, et par capacités déléguées. Les données financières agrégées, les encaissements et les relances sont réservés aux Utilisateurs disposant de la capacité correspondante, cette restriction étant appliquée jusqu’à la couche de synchronisation, de sorte que ces données ne sont pas transmises aux appareils des Utilisateurs non habilités. Les fichiers sont stockés dans des espaces privés et accessibles uniquement par des liens signés à durée limitée. Les comptes d’administration d’Onelia auprès de ses hébergeurs et prestataires sont protégés par une authentification à deux facteurs et limités au strict nécessaire.

4. Sauvegardes et continuité

La base de données fait l’objet d’une sauvegarde quotidienne chiffrée, conservée selon un cycle glissant de nonante jours. Les fichiers supprimés sont conservés pendant nonante jours dans une corbeille chiffrée et datée, puis purgés automatiquement. La suppression applicative des principales entités par les Utilisateurs passe par une corbeille restaurable ; certaines données, en particulier les rendez-vous et les photographies, sont supprimées définitivement dès la suppression applicative, sous la seule réserve de la copie figurant dans les sauvegardes pendant leur cycle de rotation. Les exports de restitution sont déposés dans un espace dédié, accessibles par un lien à durée limitée et purgés automatiquement après sept jours.

5. Surveillance, journalisation et gestion des incidents

L’état des composants et la fraîcheur des sauvegardes font l’objet d’une surveillance quotidienne automatisée avec alertes par courriel, complétée d’un signal hebdomadaire de bon fonctionnement destiné à détecter les pannes silencieuses. La disponibilité de la plateforme est mesurée par une sonde externe qui ne reçoit qu’un statut de fonctionnement. Les rapports d’erreurs techniques sont configurés pour ne contenir aucune donnée à caractère personnel. Les messages d’erreur présentés aux Utilisateurs ne divulguent aucun détail technique. Onelia applique une procédure interne de gestion des violations de données permettant la notification au Client dans le délai prévu à l’article 13 de l’Accord et tient un registre des violations.

6. Hébergement et localisation

Les données sont hébergées par défaut au sein de l’Union européenne : région Irlande pour la base de données, l’authentification et le stockage des fichiers, juridiction Union européenne pour les sauvegardes et les exports, et France pour le portail web et le site. Les exceptions et leur encadrement figurent à l’Annexe 3.

7. Mesures organisationnelles

Les secrets d’infrastructure sont conservés dans un coffre dédié et isolés par plateforme ; ils ne figurent jamais dans le code. Les personnes intervenant pour Onelia sont soumises à une obligation de confidentialité. Les sous-traitants ultérieurs sont sélectionnés sur la base de leurs garanties contractuelles et de leurs certifications et liés par un accord de traitement. Onelia tient un registre des traitements effectués pour le compte de ses clients et documente ses évaluations d’impact des transferts.

8. Fonctionnalités de protection des données intégrées

Le Service intègre des fonctionnalités permettant au Client d’exercer ses responsabilités : export du dossier complet d’un client final, effacement par anonymisation préservant les pièces à valeur légale, export complet du compte en libre-service avec manifeste de complétude, gestion des accès des Utilisateurs, et information de l’Utilisateur sur la portée du lien d’abonnement d’agenda avec possibilité de révocation immédiate.

Annexe 3 : liste des sous-traitants ultérieurs

Elle est publiée en permanence, avec la date de sa version, à l’adresse onelia.be/sous-traitants.