Cet accord fait partie des conditions d’utilisation entre le client identifié dans le compte ou la commande (« Client ») et Self Software Systems SIA, numéro d’immatriculation 40203713044, Anniņmuižas bulvāris 19–38, Rīga, LV-1067, Lettonie (« SelfSIA »). Il s’applique lorsque SelfSIA traite des données personnelles pour le compte du Client afin de fournir le service convenu (« Données client »). Les termes du RGPD ont le sens du règlement (UE) 2016/679.

Le Client est le responsable, ou un sous-traitant agissant avec l’autorité de son responsable ; SelfSIA est respectivement sous-traitant ou sous-traitant ultérieur. Le Client détermine ses finalités, sa base juridique, les informations requises et les instructions autorisées. SelfSIA agit comme responsable distinct pour sa propre administration de compte, sa facturation, sa sécurité et sa conformité juridique décrites dans la politique de confidentialité. Les finalités réelles déterminent chaque rôle.

Cet accord prévaut sur des conditions générales contradictoires relatives au traitement des Données client. Les clauses de transfert applicables et la loi impérative prévalent sur lui. Les stipulations de responsabilité des conditions s’appliquent entre les parties seulement dans la mesure licite. Elles ne restreignent pas l’indemnisation légale ou les autres droits des personnes concernées, les pouvoirs des autorités, ni une responsabilité expressément préservée à l’article 13 des conditions.

L’objet est le service d’administration financière choisi par le Client. Le traitement dure pendant la relation de service et la période nécessaire de restitution ou de suppression, avec une conservation restreinte seulement lorsque la loi l’exige. Les opérations comprennent la collecte, le stockage, l’organisation, l’extraction, la classification, le calcul, la transmission, l’assistance, l’export et la suppression des pièces nécessaires aux fonctions activées.

Les personnes concernées peuvent comprendre les utilisateurs, salariés, dirigeants, bénéficiaires effectifs, prestataires, clients, fournisseurs et contreparties de paiement du Client. Les données peuvent comprendre noms et coordonnées, identifiants de société et d’identité, références de compte et de transaction, contenus de factures et de reçus, pièces de paie et fiscales, documents, invites, sorties et journaux d’activité. Le Client contrôle les pièces et intégrations fournies. Ne transmettez pas de données de catégories particulières ou relatives aux infractions pénales sauf accord séparé avec des garanties adaptées et une base licite.

Le contrat, les réglages activés, l’usage autorisé des fonctions et les instructions écrites d’assistance documentent les instructions du Client. SelfSIA ne traite que sur ces instructions, y compris pour les transferts, sauf si le droit de l’Union ou d’un État membre l’exige autrement ; nous informerons le Client de cette exigence au préalable sauf interdiction légale. Nous signalerons sans délai une instruction que nous estimons contraire au droit de la protection des données et pourrons la suspendre pendant que les parties la résolvent.

Les instructions de service du Client n’autorisent pas la vente des Données client, un usage publicitaire ou l’entraînement de modèles d’IA à usage général pour des finalités sans rapport. Toute nouvelle finalité exige sa propre base licite et un accord adapté ; elle ne peut pas être introduite par le seul changement d’un réglage interne ou la désignation d’un fournisseur.

SelfSIA limite l’accès aux personnes autorisées qui en ont besoin pour le service et sont tenues à la confidentialité. Nous appliquons des mesures adaptées à la nature du traitement et au risque pour les personnes et en examinons l’efficacité. Nos engagements comprennent :

• Accès authentifié, contrôles au niveau de l’espace et droits par rôle pour les écritures client.
• Stockage chiffré des identifiants d’intégration pris en charge et des champs d’authentification sensibles ; transport chiffré des connexions de service.
• Disponibilité de l’authentification à deux facteurs par application et de codes de récupération ; les Clients gèrent l’activation et l’accès des utilisateurs.
• Validation et contrôles d’accès sur les téléversements, aperçus de documents et demandes d’intégration pris en charge.
• Journalisation opérationnelle et enquête sur les incidents, l’accès aux journaux étant limité au personnel autorisé.
• Sauvegarde et restauration adaptées au service déployé, et examen et tests des mesures de sécurité et de reprise proportionnés au risque.

Sur demande, nous fournirons des informations sur les mesures et les dispositions de reprise pertinentes pour le service du Client, sous réserve de la protection des informations de sécurité confidentielles. Les changements ne doivent pas réduire de façon importante le niveau global de protection convenu.

Le Client donne une autorisation écrite générale pour les sous-traitants ultérieurs divulgués et utilisés pour le service convenu, sous réserve de cet article. Les informations sur les prestataires identifient les fonctions. Avant qu’un sous-traitant ultérieur reçoive des Données client, SelfSIA divulguera son identité contractante, sa fonction, les lieux de traitement et les garanties de transfert applicables, et s’assurera de garanties suffisantes et d’un accord écrit imposant les obligations pertinentes. Le nom d’une bibliothèque ou d’une passerelle n’autorise pas à lui seul des fournisseurs aval non divulgués.

Nous informerons le contact du compte du Client d’un ajout ou d’un remplacement proposé au moins 30 jours avant qu’il reçoive des Données client, en donnant la possibilité de s’opposer pour des motifs raisonnables de protection des données. Nous chercherons à résoudre une opposition par des garanties ou une alternative adaptée. Si elle n’est pas résolue avant l’usage proposé, le traitement concerné ne sera pas transféré contre cette opposition ; chaque partie peut mettre fin au service concerné, et nous rembourserons les frais prépayés non utilisés. Un remplacement urgent exige une autorisation spécifique si le préavis ne peut pas être respecté.

SelfSIA reste responsable envers le Client de l’exécution par ses sous-traitants ultérieurs de leurs obligations de protection des données. Les services indépendants avec lesquels le Client contracte directement ne sont pas automatiquement nos sous-traitants ultérieurs ; leur rôle réel et le flux de données déterminent les obligations.

Compte tenu du traitement et des informations disponibles, nous aiderons le Client pour les demandes des personnes concernées, les obligations de sécurité, les notifications de violation, les analyses d’impact et la consultation préalable des autorités. Nous transmettrons sans délai une demande relative aux Données client et ne la trancherons pas à la place du Client, sauf instruction ou obligation légale.

Nous informerons le Client sans retard injustifié après avoir eu connaissance d’une violation affectant les Données client. L’avis initial donnera les informations disponibles sur l’incident, les pièces et personnes concernées, les conséquences probables, les mesures prises ou proposées, et un contact de suivi. Nous fournirons les informations ultérieures dès qu’elles sont disponibles, préserverons les preuves pertinentes et coopérerons au confinement et à la remédiation. Le Client décide de ses notifications de responsable ; cela ne retire pas nos obligations légales indépendantes.

Les transferts et accès distants exigeant des garanties au titre du chapitre V du RGPD n’auront lieu que sur instructions documentées et avec une décision d’adéquation, des garanties contractuelles appropriées telles que les clauses contractuelles types pertinentes de la Commission européenne, ou un autre mécanisme licite. Nous évaluerons et adopterons des mesures supplémentaires si nécessaire. Le Client peut demander le détail et une copie des garanties, les informations confidentielles étant protégées. Cet accord n’affirme pas lui-même qu’un déploiement ou un fournisseur particulier est limité à l’EEE.

À la fin du traitement, le Client peut choisir la restitution ou la suppression des Données client, sous réserve du stockage exigé par la loi. Les conditions prévoient 30 jours pour demander une restitution assistée après la fin, sans réduire les droits impératifs de récupération. Nous conserverons les données pour une demande de restitution faite à temps, puis supprimerons les copies restantes sauf instruction licite contraire du Client ou stockage légalement requis. Une instruction de suppression plus précoce sera traitée sans retard injustifié après vérification de l’autorité et des obligations de conservation.

Le périmètre de suppression comprend les enregistrements actifs, les documents stockés et la suppression instruite auprès des sous-traitants ultérieurs. Les demandes passent par l’assistance et peuvent exiger des étapes manuelles et une coordination avec des fournisseurs. Les copies de sauvegarde isolées seront protégées, exclues de l’usage ordinaire et retirées selon leur cycle ; si elles sont restaurées, les instructions de suppression en attente doivent être réappliquées. Nous expliquerons toute conservation légalement requise, sa base et sa durée ou ses critères, et limiterons le traitement à cette finalité. Sur demande, nous rendrons compte de l’étendue et de l’état réels, en distinguant la suppression achevée, les actions fournisseur en attente, les copies protégées en attente d’expiration et la conservation légale requise.

Les propres preuves de facturation et de contrat de SelfSIA peuvent être conservées selon ses obligations de responsable et la politique de confidentialité. Le devoir d’un Client de conserver ses écritures comptables n’est pas automatiquement une obligation légale imposant à SelfSIA de conserver toutes les Données client après une instruction de suppression.

Nous fournirons les informations raisonnablement nécessaires pour démontrer le respect de cet accord et permettrons et contribuerons à des audits, y compris des inspections, par le Client ou un auditeur indépendant qu’il désigne. Les parties organiseront un préavis, un périmètre, une confidentialité et une protection des autres clients raisonnables ; ces arrangements ne doivent pas faire obstacle à un audit nécessaire après un incident, sur des indices raisonnables de non-conformité ou à la demande d’une autorité compétente. La documentation disponible peut être examinée d’abord lorsque c’est approprié.

Tout frais raisonnable pour une assistance supplémentaire doit être convenu à l’avance et ne doit pas faire obstacle aux droits légaux ni facturer au Client la réparation de notre propre manquement. Les parties tiendront les registres de traitement requis et coopéreront avec les autorités compétentes. Envoyez instructions, demandes d’audit, oppositions ou questions de confidentialité à [email protected].

Les services ci-dessous prennent en charge des fonctions de SelfSIA. Ceux qui reçoivent des données dépendent des fonctions et connexions utilisées. Les noms identifient le produit ou le fournisseur ; ils n’établissent pas une personne morale contractante, un lieu de traitement, un réglage de conservation ou un mécanisme de transfert. Les précisions doivent être établies pour le déploiement applicable selon l’accord de traitement.

Cette page n’autorise pas des fournisseurs d’IA aval non nommés et n’affirme pas que chaque service listé est un sous-traitant ultérieur. Un fournisseur peut traiter des données pour nos propres finalités de responsable, agir sur instructions du client, ou être un service indépendant que vous connectez. Écrivez à [email protected] pour les informations applicables à votre service.

Les requêtes d’IA peuvent être acheminées par la passerelle exploitée par SelfSIA vers un fournisseur de modèle. LiteLLM est un logiciel de passerelle ; son nom n’identifie pas le fournisseur de modèle destinataire. Tout fournisseur aval recevant des Données client doit être identifié et couvert par les exigences de sous-traitance et de transfert de l’accord avant ce traitement.

Des fonctions prises en charge peuvent se connecter à Stripe pour la facturation ou des comptes marchands ; à Catego ou Aiia pour les données bancaires ; à Google ou Microsoft pour la connexion ou des boîtes mail ; à Shopify pour des données de commerce ; et à Telegram, WhatsApp ou Slack pour la messagerie. Les connexions d’identité et d’autorité peuvent comprendre eParaksts, Smart-ID et le service letton des recettes de l’État (VID). Les données envoyées dépendent de l’autorisation et de l’opération. Les propres avis et conditions de ces fournisseurs peuvent s’appliquer lorsqu’ils agissent de façon indépendante.

Les analyses de site et fournisseurs de campagne facultatifs sont décrits dans la politique de cookies. Ce processus de consentement est distinct des instructions de traiter des écritures comptables.

Le traitement sur instruction exige la divulgation de l’entité contractante, de la fonction, des lieux et des garanties de transfert, ainsi que les termes écrits de traitement requis. L’inventaire des noms ci-dessus n’établit pas à lui seul que ces précisions contractuelles ou de déploiement ont été vérifiées. Les ajouts ou remplacements proposés de sous-traitants ultérieurs suivent la procédure d’avis et d’opposition de l’accord de traitement. Une mention ici n’est pas une certification, une garantie de traitement limité à l’EEE, ni une affirmation qu’un réglage d’entraînement ou de suppression d’un fournisseur a été vérifié.