Accord de traitement des données (DPA)
Conforme au RGPD — Article 28 | Dernière mise à jour : 20 avril 2026
1. Objet et durée
Le présent accord définit les conditions dans lesquelles Kontia (ci-après « le Sous-traitant ») traite les données à caractère personnel pour le compte du cabinet d'expertise comptable (ci-après « le Responsable de traitement »). Cet accord est en vigueur pendant toute la durée de la relation contractuelle.
2. Nature et finalité du traitement
Le traitement porte sur la fourniture d'une plateforme d'intelligence artificielle dédiée à l'assistance comptable et fiscale. Les finalités incluent : l'analyse de documents comptables, la recherche juridique et fiscale, la génération de rapports, et l'assistance conversationnelle.
3. Types de données traitées
- Données comptables et financières (bilans, comptes de résultat, écritures)
- Données fiscales (déclarations, liasses fiscales, TVA)
- Données d'identité des utilisateurs (nom, prénom, e-mail, fonction)
- Données de connexion (logs, adresses IP, horodatages)
- Contenus des conversations avec l'assistant IA
4. Catégories de personnes concernées
Utilisateurs du cabinet : experts-comptables, collaborateurs, stagiaires ayant accès à la plateforme.
Clients du cabinet : personnes physiques ou morales dont les données comptables et fiscales sont traitées via la plateforme.
5. Obligations du Sous-traitant (Kontia)
- Instruction documentée — Traiter les données uniquement sur instruction documentée du Responsable de traitement.
- Confidentialité du personnel — Garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité.
- Mesures de sécurité — Mettre en œuvre les mesures techniques et organisationnelles appropriées (AES-256, TLS 1.3, isolation par tenant).
- Sous-traitance ultérieure — Ne pas recruter de sous-traitant ultérieur sans autorisation préalable écrite.
- Assistance — Aider le Responsable de traitement à répondre aux demandes d'exercice des droits des personnes concernées.
- Fin de contrat — Supprimer ou restituer toutes les données à caractère personnel au terme de la prestation, selon le choix du Responsable.
6. Sous-traitants ultérieurs
Cette liste est produite depuis le registre lib/sous-traitants.ts, tenu avec le code : un service tiers appelé par la plateforme ne peut pas en être absent, et aucune entrée ne peut y figurer sans appel réel. Les entrées « Activé par le cabinet » ne sont sollicitées que si le cabinet a branché ses propres identifiants.
Modèles Claude : réponses de l’assistant, analyse des documents et des écritures soumis dans la conversation.
Données transmises : Contenu des conversations, extraits de documents comptables et fiscaux transmis au modèle.
États-Unis — transferts encadrés par les clauses contractuelles types.
Base de données PostgreSQL, authentification et stockage des fichiers du cabinet.
Données transmises : Dossiers, écritures, documents déposés, comptes utilisateurs, journaux d’audit.
Union européenne — Francfort (aws eu-central-1).
Hébergement de l’application, exécution des routes serveur et diffusion des pages.
Données transmises : Requêtes HTTP et journaux techniques (horodatage, route appelée, code de retour).
Union européenne — Francfort (région fra1 déclarée dans vercel.json).
Cache Redis des réponses et limitation de débit des routes.
Données transmises : Clés de cache (identifiant de cabinet, empreinte de requête) et compteurs par utilisateur.
Union européenne.
Envoi des e-mails sortants (invitations, rappels d’échéance, livrables). L’hôte réel est celui de SMTP_HOST, smtp.office365.com à défaut ; le cabinet peut y substituer son propre serveur.
Données transmises : Adresse e-mail du destinataire, objet et corps du message, pièces jointes envoyées.
Dépend du serveur configuré. Sur le relais Microsoft 365 par défaut : Union européenne et États-Unis, transferts encadrés par les clauses contractuelles types.
Recherche d’informations légales publiques sur une entreprise (identité, dirigeants, comptes déposés).
Données transmises : Numéro SIREN ou SIRET recherché, ou raison sociale saisie.
France.
Recherche web sur l’actualité juridique et fiscale, en complément des sources officielles.
Données transmises : Texte de la requête envoyée à la recherche.
États-Unis — transferts encadrés par les clauses contractuelles types.
Vectorisation des textes de la base de connaissance pour la recherche sémantique. Inactif tant que OPENAI_API_KEY n’est pas configurée.
Données transmises : Extrait de texte à vectoriser, tronqué à 6 000 caractères.
États-Unis — transferts encadrés par les clauses contractuelles types.
Remontée des alertes techniques à l’équipe d’exploitation. Inactif tant que TELEGRAM_BOT_TOKEN n’est pas configuré.
Données transmises : Message d’alerte technique : route concernée, code d’erreur, horodatage.
Hors Union européenne.
Dépôt des sauvegardes de la base. Inactif tant que GOOGLE_SERVICE_ACCOUNT_JSON et GOOGLE_DRIVE_BACKUP_FOLDER_ID ne sont pas configurés.
Données transmises : Export de sauvegarde de la base du cabinet.
Union européenne et États-Unis — transferts encadrés par les clauses contractuelles types.
Lecture du calendrier, des e-mails et des fichiers du cabinet après autorisation explicite du compte Microsoft.
Données transmises : Rendez-vous, e-mails et documents des boîtes et espaces autorisés par le cabinet.
Union européenne et États-Unis — transferts encadrés par les clauses contractuelles types.
Lecture et tri de la boîte e-mail du cabinet après autorisation OAuth explicite.
Données transmises : En-têtes et contenus des messages des boîtes autorisées.
Union européenne et États-Unis — transferts encadrés par les clauses contractuelles types.
Signature électronique des lettres de mission et des documents envoyés aux clients du cabinet.
Données transmises : Document à signer, nom et adresse e-mail des signataires.
Union européenne par défaut (compte eu.docusign.net) ; dépend du compte DocuSign du cabinet.
Import des écritures, factures et journaux du dossier tenu dans Pennylane.
Données transmises : Écritures comptables, factures, identités des tiers du dossier importé.
France.
Import des dossiers, balances, journaux et grands livres tenus dans ACD.
Données transmises : Écritures comptables, balances, identités des clients et fournisseurs du dossier.
Dépend de l’adresse ACD configurée par le cabinet.
Import des dossiers tenus dans MEG.
Données transmises : Dossiers et écritures comptables du cabinet.
Dépend de l’adresse MEG configurée par le cabinet.
Dépôt et suivi des factures à destination du secteur public.
Données transmises : Factures émises, identités de l’émetteur et du destinataire public.
France.
Envoi des notifications du cabinet vers le canal que celui-ci a déclaré.
Données transmises : Texte de la notification : nom du dossier, nature de l’événement, horodatage.
Dépend du destinataire choisi par le cabinet.
7. Transferts hors Union européenne
Les sous-traitants situés hors Union européenne sont, à ce jour : Anthropic, Relais SMTP sortant, Perplexity, OpenAI, Telegram, Google Drive, Microsoft 365 — Graph (Outlook, OneDrive, SharePoint), Google Workspace — Gmail. Les transferts vers les États-Unis reposent sur les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne ; la section 6 indique, prestataire par prestataire, la localisation et l’encadrement retenus. Des mesures supplémentaires (chiffrement au repos et en transit, pseudonymisation) sont mises en œuvre conformément aux recommandations du CEPD.
8. Notification de violation
En cas de violation de données à caractère personnel, Kontia s'engage à notifier le Responsable de traitement dans un délai maximum de 48 heures après en avoir pris connaissance, en fournissant toutes les informations nécessaires à la notification auprès de la CNIL.
9. Droit d'audit
Le Responsable de traitement dispose d'un droit d'audit annuel, exercé à ses frais, avec un préavis de 30 jours. Kontia s'engage à mettre à disposition toutes les informations nécessaires pour démontrer le respect de ses obligations.
Pour toute question relative au présent DPA : dpo@kontia.fr