Accord de traitement des données (DPA)

Version 1.0 · en vigueur au 1er août 2026

1. Parties et objet

Le présent accord (art. 28 RGPD) est conclu entre la société cliente ayant créé un espace WeDoc (le « Responsable du traitement ») et BKH Tech BV (Belgique, TVA BE 0792.957.182) (le « Sous-traitant »). Il est accepté par l'administrateur de l'espace au nom de sa société lors de l'inscription et complète les CGU. Il régit le traitement, par WeDoc, des données à caractère personnel que le Responsable enregistre dans son espace (« Données Client »).

2. Nature du traitement

Objet : hébergement et mise à disposition de la plateforme WeDoc.
Durée : la durée de l'abonnement, plus 30 jours de restitution.
Nature : stockage, affichage, sauvegarde, envoi d'emails transactionnels.
Données concernées: celles que le Responsable choisit d'enregistrer — typiquement identités et coordonnées de ses clients et contacts, contenus de documents, tâches et fichiers.
Personnes concernées : clients, prospects, collaborateurs et contacts du Responsable.

3. Obligations du Sous-traitant

Ne traiter les Données Client que sur instruction documentée du Responsable (l'utilisation du service vaut instruction) ;
Garantir la confidentialité — le personnel autorisé est soumis à une obligation de confidentialité ;
Mettre en œuvre les mesures techniques et organisationnelles de l'art. 32 (chiffrement TLS, cloisonnement par espace, contrôle d'accès par rôles et licences, sauvegardes, journalisation) ;
Assister le Responsable pour l'exercice des droits des personnes et les analyses d'impact raisonnablement demandées ;
Notifier le Responsable de toute violation de Données Client dans les meilleurs délais, au plus tard 48 heures après en avoir eu connaissance ;
À la fin du contrat : restituer les Données Client (export) puis les supprimer sous 30 jours, sauf obligation légale de conservation.

4. Sous-traitants ultérieurs

Le Responsable autorise de manière générale le recours aux sous-traitants ultérieurs suivants, liés par des obligations équivalentes :

OVH (UE) — hébergement, emails.
Stripe — paiements (données de facturation uniquement).
Google / Microsoft — authentification OAuth, si activée par les utilisateurs.

Tout changement de cette liste sera notifié (email aux administrateurs) au moins 30 jours à l'avance ; à défaut d'objection motivée, le changement est réputé accepté.

5. Localisation et transferts

Les Données Client sont hébergées dans l'Union européenne. Tout transfert hors UE s'appuie sur les garanties du chapitre V du RGPD (clauses contractuelles types des prestataires concernés).

6. Audit

Sur demande écrite raisonnable (au plus une fois par an), WeDoc met à disposition les informations nécessaires pour démontrer le respect du présent accord.

7. Contact

Toute question relative au présent DPA : privacy@wedoc.io.