Accord de traitement des données (DPA)

1. Objet

Le présent accord encadre le traitement de données personnelles par Vnesium LLC pour le compte du Client dans le cadre de la prestation Bouclier Dirigeant (CGV en vigueur).

2. Durée

La durée du contrat de prestation. À la fin du contrat, l'article 9 s'applique.

3. Nature et finalités

Préparation de devis, factures et relances, gestion de la messagerie, suivi des paiements, demandes d'avis, accompagnement opérationnel du Client (question, blocage, orientation vers le bon interlocuteur), notes vocales et rapports, exclusivement selon les instructions documentées du Client.

4. Catégories de données et de personnes

• Personnes : clients, prospects, fournisseurs et salariés du Client.
• Données : identité, coordonnées professionnelles, adresses, données de facturation et de paiement (hors numéros de carte), contenus d'e-mails et de messages, notes vocales.
• Aucune donnée sensible (article 9 du RGPD) n'est demandée. Le Client ne doit pas en transmettre.

5. Obligations de Vnesium LLC

• Traiter les données uniquement sur instruction documentée du Client.
• Garantir que les personnes autorisées sont tenues à la confidentialité.
• Mesures décrites : HTTPS pour le site, limitation du nombre d'envois du formulaire, accès restreint aux dossiers, consignes de confidentialité. Les dossiers du Client sont conservés sur l'ordinateur de l'Éditeur (disque chiffré), actuellement situé en Indonésie. Le gérant se déplace en Asie : le pays peut changer. La politique de confidentialité est alors mise à jour et le Client est informé. Les sauvegardes WhatsApp (iCloud, Google Drive) sont désactivées.
• Informer le Client si une instruction paraît illicite, et ne pas l'exécuter tant qu'elle n'est pas confirmée ou modifiée.
• Aider le Client pour la sécurité du traitement et pour les violations de données.
• Aider le Client à répondre aux demandes d'exercice de droits des personnes concernées.
• Les notes vocales sont transcrites sur l'ordinateur de l'Éditeur par faster-whisper, sans envoi de l'audio à un service en ligne. Cet outil ne rédige pas les documents. Un outil d'intelligence artificielle pourra être ajouté plus tard, uniquement pour préparer un brouillon, après inscription dans la Politique de confidentialité et préavis de trente (30) jours. Les données du Client ne sont pas utilisées pour entraîner un modèle public. Le brouillon reste soumis à la validation prévue aux CGV.
• Tenir un registre des activités de traitement effectuées pour le compte du Client.

6. Sous-traitants ultérieurs

Autorisés à la date de signature pour des données confiées par le Client : WhatsApp / Meta Platforms, Inc. (messagerie de la prestation) et Proton AG, Suisse (boîte contact@vnesium.com). Le traitement par ces prestataires est soumis à leurs conditions et à leurs engagements publics de protection des données.

Vercel, Resend et Stripe traitent le site, l'acheminement du formulaire et les paiements de Vnesium LLC. Ils ne sont pas le lieu de stockage des dossiers clients, conservés sur l'ordinateur de l'Éditeur.

Vnesium LLC informe le Client de tout changement de sous-traitant au moins trente (30) jours à l'avance. Le Client peut s'y opposer ou résilier. Les outils du Client (logiciel de facturation, messagerie) restent sous son contrôle.

7. Violation de données

Vnesium LLC notifie le Client sans délai et au plus tard dans les quarante-huit (48) heures après en avoir eu connaissance, avec les informations disponibles. Le Client dispose de 72 heures pour notifier l'autorité : le délai du sous-traitant est plus court.

8. Transferts hors UE

Le transfert des données du Client vers Vnesium LLC est couvert par les clauses contractuelles types de la Commission européenne, décision d'exécution (UE) 2021/914, module 2 (responsable de traitement vers sous-traitant). Elles sont incorporées au présent accord. Le texte qui fait foi est celui publié au Journal officiel de l'Union européenne (CELEX:32021D0914). Il n'est pas recopié ici.

Options retenues, parmi celles que les clauses ouvrent au module 2 :

• Clause 9, option 2 : autorisation générale des sous-traitants de l'annexe III, avec information écrite au moins trente (30) jours avant un ajout ou un remplacement, comme à l'article 6.
• Clause 17, option 1 : les clauses sont soumises au droit français, qui admet la stipulation pour autrui.
• Clause 18 : les tribunaux compétents sont les tribunaux français.
• Clause 7 (amarrage) : non activée.

Pour un Client établi en Suisse, ces clauses visent le RGPD. L'adaptation à la nLPD n'est pas rédigée ici. Elle est renvoyée aux CGV applicables à ce Client, où elle sera ajoutée lorsqu'elle existera.

Annexe I — Parties et description du traitement

Exportateur. Le Client, tel qu'identifié à la souscription par le nom, l'adresse et l'e-mail collectés au premier paiement. Rôle : responsable de traitement. La case cochée au paiement (« J'accepte les Conditions d'utilisation du service et la Politique de confidentialité de VNESIUM LLC », version 1.16 du 9 octobre 2026) tient lieu de signature. Le lien des conditions mène aux CGV, qui incluent le présent DPA et les clauses contractuelles types par incorporation.

Importateur. Vnesium LLC, Limited Liability Company de l'État du Wyoming (États-Unis). Adresse : 30 N Gould St, STE R, Sheridan, WY 82801, États-Unis. Contact : contact@vnesium.com. William BOZIN, Managing Member. Rôle : sous-traitant. Activité : prestation Bouclier Dirigeant.

Personnes concernées. Clients, prospects, fournisseurs et salariés du Client.

Données. Identité, coordonnées professionnelles, adresses, données de facturation et de paiement hors numéros de carte, contenus d'e-mails et de messages, notes vocales. Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée.

Fréquence. Pendant la durée du contrat.

Nature et finalité. Préparation de devis, factures et relances, messagerie, suivi des paiements, demandes d'avis, accompagnement opérationnel (question, blocage, orientation vers le bon interlocuteur), transcription locale des notes vocales et rapports, selon les instructions documentées du Client.

Conservation. Durée du contrat, puis restitution et suppression dans les trente (30) jours, sauf obligation légale de conservation. Les factures se conservent dix ans.

Autorité de contrôle. Celle prévue par la clause 13, soit l'autorité de l'État membre où le Client est établi. Lorsque le Client est établi en France : la CNIL.

Annexe II — Mesures de sécurité

• HTTPS pour le site, limitation du nombre d'envois du formulaire.
• Accès restreint aux dossiers, consignes internes de confidentialité.
• Double authentification activée sur WhatsApp, Proton et Stripe.
• Gestionnaire de mots de passe pour les accès de la prestation.
• Mises à jour des logiciels utilisés pour la prestation.
• Dossiers du Client sur l'ordinateur de l'Éditeur, disque chiffré, actuellement en Indonésie. Si le pays change, la politique de confidentialité est mise à jour et le Client est informé.
• Sauvegardes WhatsApp (iCloud, Google Drive) désactivées.
• Notes vocales transcrites localement par faster-whisper. L'audio n'est pas envoyé à un service en ligne. Cet outil ne rédige pas les documents.
• Pas de stockage des dossiers chez un archivage tiers ni chez Google.

Annexe III — Sous-traitants

Données confiées par le Client :

• WhatsApp / Meta Platforms, Inc. et Meta Platforms Ireland Limited : messagerie de la prestation. Transfert possible vers les États-Unis.
• Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Suisse : boîte contact@vnesium.com.

Site, formulaire et paiements de Vnesium LLC, qui ne sont pas le lieu de stockage des dossiers clients :

• Vercel Inc. — 440 N Barranca Avenue, n° 4133, Covina, CA 91723, États-Unis : hébergement du site.
• Resend : acheminement des messages du formulaire de contact.
• Stripe, Inc. : encaissement des paiements. Les numéros de carte complets restent chez Stripe.

9. Fin de contrat

Dans un délai de trente (30) jours, Vnesium LLC restitue les données au Client dans un format courant, puis les supprime, sauf obligation légale de conservation. Sur demande écrite, elle atteste de la suppression.

10. Audit

Le Client peut demander par e-mail les informations nécessaires pour démontrer le respect du présent accord. Une visite sur place n'a lieu que d'un commun accord, sur préavis raisonnable, et seulement sur le traitement couvert par cet accord.

11. Loi applicable

Celle du contrat principal.