RGPD & sous-traitance

Données de compte et d’administration InvoicePilot (identité de connexion, facturation d’abonnement, logs produit) : InvoicePilot agit en responsable de traitement.

Données de facturation électronique et de clients finaux saisies ou synchronisées dans le Service : l’Utilisateur / l’Organisation est responsable de traitement ; InvoicePilot agit en sous-traitant au sens de l’article 28 du RGPD, pour la durée du contrat et selon les instructions documentées dans le produit.

Le sous-traitant ne traite les données métier que pour fournir le Service (hébergement, validation, affichage, export, connecteurs, API selon le plan). Toute instruction incompatible avec le Service ou illicite pourra être refusée avec motivation.

• Contrôle d’accès et authentification (session, 2FA e-mail)
• Isolation logique multi-tenant par organisation (SIREN)
• Clés API et journalisation des actions sensibles
• Chiffrement des flux (TLS) en production
• Politique de moindre privilège pour le personnel habilité
• Procédure de notification d’incident de sécurité

InvoicePilot peut recourir à des sous-traitants ultérieurs (hébergement, e-mail, paiement Stripe, monitoring). Une information sera fournie avant tout changement substantiel lorsque le DPA l’exige. Les sous-traitants sont tenus à des obligations de protection équivalentes.

InvoicePilot assiste le responsable (cabinet, entreprise, éditeur) pour répondre aux demandes d’exercice des droits portant sur les données hébergées dans le Service, dans la mesure des moyens techniques du produit et dans des délais raisonnables.

En cas de violation de données personnelles affectant les données traitées pour le compte du responsable, InvoicePilot s’engage à informer le responsable dans les meilleurs délais après en avoir pris connaissance, avec les éléments utiles à l’évaluation et à la notification éventuelle à l’autorité et aux personnes.

Un DPA détaillé (instructions, localisation, sous-traitants, audits, sort des données en fin de contrat) est disponible pour les cabinets, ETI et éditeurs sur demande.

Demande : page Contact ou e-mail contact@invoicepilot.ai (objet « DPA »).

À la fin du contrat, selon les options du produit et du DPA : restitution exportable des données métier puis suppression ou anonymisation dans un délai raisonnable, sauf obligation légale de conservation (ex. factures d’abonnement InvoicePilot).

Demandes RGPD : contact@invoicepilot.ai. Un délégué à la protection des données (DPO) sera désigné et publié ici lorsque l’organisation de production l’exigera.