Version 2026-10-16.4 · SHA-256 8531331a63e00381a1e91bea58224a4f3cd04275222399f8ea032aa1afe13a41
Version 2026-10-16.4
Exploitant : Yanis SIDI BOULENOUAR EI, entrepreneur individuel, SIREN 937734622, SIRET 93773462200015, 23 rue de Sauve, 30900 Nîmes, France. KREDIA Finance est le nom commercial du logiciel, non une personne morale distincte.
TVA intracommunautaire : FR81937734622. Contact : yanis@krediafinance.fr. Téléphone : 07 66 29 30 11.
Accord de sous-traitance des données personnelles
Parties, objet et durée
Le client identifié dans la commande est responsable de traitement pour ses dossiers, ou responsable des instructions qu’il transmet dans une chaîne de sous-traitance autorisée. Le sous-traitant fournissant KREDIA Finance est Yanis SIDI BOULENOUAR EI, identifié ci-dessus. L’accord couvre la fourniture SaaS, pendant le contrat, la sortie de 90 jours et les conservations légalement justifiées, sans autoriser une finalité indépendante sur les dossiers.
Instructions et confidentialité
Les instructions documentées comprennent contrat, choix de méthodes, actions des utilisateurs autorisés, demandes d’assistance et paramètres validés. KREDIA traite uniquement sur ces instructions, y compris pour un transfert international, sauf obligation du droit de l’Union ou d’un État membre ; il informe le client de cette obligation lorsque la loi le permet. Il signale une instruction qu’il estime contraire au droit des données. Le client ne transmet pas de données illégitimes ou sensibles inutiles et vérifie sa base juridique.
Les personnes autorisées sont tenues à confidentialité et limitées au besoin de leur mission. Le sous-traitant applique les mesures techniques et organisationnelles de l’annexe, compte tenu du risque, de l’état des connaissances et de la nature des données. Les fonctions IA interprètent les résultats ; elles ne sont pas une autorisation de réutilisation des dossiers pour une finalité autonome.
Sous-traitants ultérieurs et transferts
La liste annexée fait l’objet d’une autorisation générale documentée avant entrée en vigueur. Tout ajout ou remplacement pertinent est communiqué préalablement, avec identité, service, données, lieux connus et garanties, et un délai raisonnable permettant une objection motivée. Les parties recherchent une mesure alternative ou une solution de sortie pour le périmètre concerné si l’objection justifiée ne peut être résolue ; cela n’autorise pas une transmission non approuvée. Un délai chiffré particulier doit être accepté humainement et effectivement soutenable.
KREDIA impose par contrat aux sous-traitants les obligations de protection requises et reste responsable envers le client de leur exécution conformément à l’article 28. Un transfert hors EEE requiert le mécanisme valable approprié, l’analyse et les mesures complémentaires nécessaires. La nationalité commerciale d’un prestataire ou l’implantation de la VM à Marseille ne suffit pas. Les contrats, leurs mécanismes d’incorporation et les limites de preuve sont suivis dans le registre de l’exploitant ; ils ne sont pas remplacés par une promesse d’hébergement intégralement français. Aucun nouveau transfert n’est autorisé par la seule consultation d’une documentation publique.
Assistance et incidents
Compte tenu des moyens et informations disponibles, KREDIA assiste le client pour les demandes de droits, sécurité, analyses d’impact et consultations préalables. Il transmet les demandes reçues pour compte du client et n’accorde pas à un demandeur un accès inter-organisations. Une instruction de correction/export/suppression doit être authentifiée et tracée.
Après connaissance d’une violation de données, KREDIA informe le client sans délai injustifié, avec nature, catégories et nombres approximatifs lorsqu’établis, conséquences possibles, mesures prises/proposées et contact. Il complète l’information progressivement ; il ne déclare pas une absence d’exfiltration sans preuve. Le responsable détermine ses notifications à l’autorité et aux personnes ; les obligations propres de KREDIA comme responsable sont distinctes. Aucun délai de notification contractuel chiffré ou astreinte 24/7 non qualifié n’est inventé.
Restitution, suppression et audits
En fin de service, KREDIA restitue ou supprime, au choix documenté du client, les données traitées pour son compte, puis les copies, sauf obligation légale de conservation. La sortie applicative permet export pendant 90 jours et purge active programmée à son terme. La rotation des sauvegardes suit trente jours glissants, avec au moins deux points récents vérifiés et les gels probatoires documentés ; elle n’est pas assimilée à la purge active immédiate. Les suppressions validées sont journalisées hors des snapshots de base et réappliquées avant ouverture de web et worker. Une sauvegarde antérieure à ce référentiel reste isolée pour rapprochement, sans destruction arbitraire ni réouverture directe. Les rétentions propres aux fournisseurs restent distinctes. Le journal indépendant, sa réplication et le contrôle de reprise sont activés en exploitation depuis le 16 octobre 2026. Un gel transitoire documenté maintient les nettoyages automatiques suspendus pendant la clôture contractuelle ; sa levée contrôlée et l’ordonnancement de la rotation précèdent l’ouverture des souscriptions. Ce gel n’autorise pas une conservation illimitée ni le refus d’une instruction de suppression justifiée.
KREDIA fournit les informations nécessaires pour démontrer ses obligations et permet/contribue aux audits, y compris inspections par le client ou un auditeur mandaté. Préavis, confidentialité et protection des autres organisations organisent ces audits sans supprimer le droit légal ; un contrôle urgent motivé par une violation ne peut être empêché par un préavis inadapté. Les modalités de coûts extraordinaires éventuels sont convenues séparément, pas ajoutées arbitrairement ici.
Annexe des traitements
Opérations : réception, structuration, chiffrement des contenus couverts, stockage, calcul, consultation contrôlée, commentaires, export, sauvegarde et suppression. Finalités : dossiers financiers, prévisionnels, scénarios, restitutions et assistance demandée. Personnes : collaborateurs, dirigeants, salariés, clients/fournisseurs et autres personnes présentes dans les pièces. Données : identité et coordonnées professionnelles, habilitations, données financières et comptables, pièces, méthodes, hypothèses, rapports, conversations et journaux nécessaires. Aucune catégorie de l’article 9 n’est recherchée ; un besoin exceptionnel requiert examen préalable.
Mesures : sessions sécurisées, CSRF, rôles et affectations, PostgreSQL RLS forcée, HTTPS, base privée, secrets hors code, chiffrement applicatif des champs couverts, sauvegardes privées et restauration isolée, contrôle des imports/exports, traçabilité et supervision. Aucun chiffrement intégral de chaque fichier/journal, certification ou SLA n’est revendiqué.
Prestataires : Oracle OCI (infrastructure et Object Storage ; région applicative Marseille), OpenAI API (contexte IA autorisé ; résidence UE non démontrée), Brevo (relais transactionnel), IONOS (boîte de réception/support), Microsoft 365/Graph (parcours facultatif selon tenant), Stripe (paiements et factures, responsabilités propres distinctes) et GitHub (code et QA fictive, pas dossiers clients). Les entités, rétentions, sous-traitants et accords sont dans le registre fournisseurs soumis à validation ; aucun accord n’est réputé signé par simple consultation en ligne.
Références d’adaptation : article 28 RGPD, clauses CNIL et décision (UE) 2021/915 de la Commission ; https://www.cnil.fr/fr/clauses-contractuelles-types-entre-responsable-de-traitement-et-sous-traitant. Ce texte n’est ni une adoption automatique des clauses types ni une attestation de conformité.
Annexe fournisseurs rapprochée au 16 octobre 2026
| Fournisseur et rôle | Périmètre de données | Version documentaire et preuve | Lieux, transferts et limites |
|---|---|---|---|
| Oracle OCI, hébergement sous-traité | Base, dossiers, fichiers et sauvegardes | Compte Free Tier et souscription active rapprochés de la FAQ officielle qui renvoie au CSA Online v062223 US, désignant Oracle America, Inc. ; DPA standard courant du 14 août 2025 et annexe de transfert identifiés. La commande historique particulière n’a pas été consultée ; aucune signature distincte inventée | VM, base et bucket eu-marseille-1 ; assistance et accès internationaux possibles, encadrés selon CSA/DPA et annexe de transfert ; pas de garantie France-only |
| OpenAI API, sous-traitant du contexte IA | Contexte minimisé autorisé, questions et réponses | DPA français mis à jour le 1 décembre 2025, effectif le 1 janvier 2026 ; incorporation par l’usage au contrat de services. Compte effectivement utilisé rapproché par l’identification officielle /v1/me le 16 octobre 2026, sans clé publiée ni nouveau contrat accepté | OpenAI Ireland Ltd pour l’EI établie en France ; transferts par clauses types ou adéquation selon le DPA ; résidence UE et ZDR non démontrés |
| Brevo, relais transactionnel sous-traité | Destinataires, contenu transactionnel minimal et remise | Compte KREDIA identifié et écran contractuel consulté le 16 octobre 2026 : incorporation du DPA aux conditions par souscription ou usage confirmée ; conditions publiques françaises du 1 octobre 2025, annexe 3 DPA et annexe 4 sécurité | Sendinblue SAS ; annexe 3 §8 : clauses types et mesures complémentaires ou adéquation lorsque applicable ; pas de France-only promis |
| IONOS, messagerie de support sous-traitée | Échanges reçus et pièces nécessaires | Confirmation de contrat Email Basic 5 du 5 janvier 2026 et DPA joint version 1.2 (12/2023), retrouvés | IONOS SARL, 7 place de la Gare, BP 70109, 57201 Sarreguemines Cedex ; UE/EEE sauf transfert nécessaire encadré selon DPA ; suppression/restitution à la fin et conservation indépendante de la boîte |
| Stripe, rôles de sous-traitant et responsable indépendant à distinguer | Données de facturation et de paiement, sans données des analyses pour facturer | Compte LIVE KREDIA identifié, acceptation des conditions datée du 29 septembre 2026 dans l’API du compte ; DPA public du 28 septembre 2026 incorporé au SSA. La date d’acceptation ne prouve pas à elle seule toutes les versions successives applicables | Liste de sous-traitants et addendum de transfert ; conservation légale/fraude distincte, non limitée au délai de sortie KREDIA |
| Microsoft 365 / Graph, parcours optionnel autorisé | Classeur et données du tenant choisi | DPA et contrat de licence du tenant effectivement utilisé ; ne pas confondre tenant client et exploitation | Résidence et transferts propres au tenant ; le moteur natif ne dépend pas de Microsoft |
La liste publique Brevo distingue OVH (hébergement France), GCP (hébergement UE), Cloudflare (sécurité/CDN, USA/UE) et Zendesk (support, UE/USA), avec garanties de transfert selon le service. Elle ne signifie pas que chaque option Brevo est activée par KREDIA ; notamment les sous-traitants de SMS, publicité ou landing pages ne sont pas réputés utilisés par le seul relais SMTP. L’annexe 3 §4.3 laisse au client la gestion des durées de ses données téléchargées. Source : https://www.brevo.com/fr/legal/termsofuse/.
Netlify héberge uniquement la vitrine ; GitHub contient le code privé et de la QA fictive, sans dossiers financiers clients. Ils sont suivis dans le registre de l’exploitant, sans être présentés comme hébergeurs des dossiers par cette annexe. La présente annexe distingue les contrats incorporés et preuves de compte des éléments historiques non consultés. Leurs preuves sont conservées en accès administratif, pas publiées avec les données de compte.
Preuves d’incorporation contractuelle
La consultation du compte Brevo KREDIA confirme que son DPA est incorporé aux conditions applicables par souscription ou usage. Le compte Stripe LIVE KREDIA comporte une acceptation de conditions datée du 29 septembre 2026 ; son DPA fait partie de l’accord Stripe. Aucune nouvelle signature séparée de ces DPA n’est demandée pour la seule raison qu’ils sont incorporés. Ces preuves ne règlent pas les paramètres de rétention à vérifier et ne valent pas preuve de la commande Oracle particulière. Les dates, périmètres et preuves de compte sont conservés dans le registre administratif sans publier les accès ni les données privées.
Contact commun et version
Les versions applicables sont celles approuvées et mises à disposition dans KREDIA. Les projets accessibles dans l’administration ne valent pas acceptation. Contact : yanis@krediafinance.fr.