Accord de traitement des données (DPA)

Le présent accord de sous-traitance (Data Processing Agreement, « DPA ») encadre les traitements de données personnelles que Plune réalise pour votre compte lorsque vous utilisez le service, conformément à l'article 28 du Règlement général sur la protection des données 2016/679 (RGPD). Cadre contractuel du 2 juillet 2026 ; précisions techniques du 3 octobre 2026.

1. Parties et rôles

Le présent DPA est conclu entre :

• Le sous-traitant : Inkspire, micro-entreprise exploitée par Edouard Hue EI, SIRET 890 422 603 00021, 2 rue Haute-Seille, 57000 Metz, France, éditeur du service Plune (ci-après « Plune »).
• Le responsable de traitement : le professionnel titulaire d'un compte Plune (ci-après « le Client »), pour les données personnelles de ses propres clients, prospects et contacts qu'il traite au moyen du service.

Précision importante : pour les données du compte du Client lui-même (identité, email, facturation de l'abonnement), Plune agit en qualité de responsable de traitement. Ces traitements sont décrits dans la politique de confidentialité. Le présent DPA couvre uniquement les données que le Client confie à Plune pour l'exécution du service.

2. Objet et acceptation

Le présent DPA fait partie intégrante des conditions générales d'utilisation et de vente. Il est accepté en même temps qu'elles, lors de la création du compte (case « J'accepte les Conditions générales d'utilisation »). En cas de contradiction entre le DPA et les CGU/CGV sur la protection des données personnelles, le DPA prévaut.

Chaque version du DPA est datée. Toute modification substantielle est publiée sur la présente page avant son entrée en vigueur (voir l'article 11 pour les sous-traitants ultérieurs).

3. Durée

Le DPA s'applique pendant toute la durée du contrat de service (abonnement payant, offre gratuite ou période d'essai). Les obligations relatives au sort des données (article 9) survivent à la fin du contrat.

4. Description du traitement

• Nature et finalités : hébergement, édition et gestion de devis et factures ; transcription vocale, traitement des commandes écrites et vocales en mode direct, structuration des dictées et analyse des documents importés ; signature électronique simple des devis ; envoi de documents, relances et suivi des paiements.
• Catégories de données : identité et coordonnées des clients du Client (nom, adresse, email, téléphone, SIRET le cas échéant) ; données de facturation (prestations, montants, conditions de paiement, historique des documents) ; texte et images des documents importés pour analyse, contexte du document en cours, coordonnées de clients, prestations du catalogue et formules transmis au prestataire IA pour interpréter les commandes ; enregistrements vocaux transmis au prestataire de transcription ou de mode vocal direct, sans persistance dans la base de données applicative de Plune ; dictées hors ligne stockées uniquement dans le navigateur du Client, expirant après 24 heures et supprimées à l'échéance lorsque le navigateur est actif, ou à la prochaine ouverture de l'éditeur si le navigateur était fermé ou suspendu ; données liées à la signature (empreinte SHA-256 du document, horodatage, adresse IP du signataire).
• Personnes concernées : clients, prospects et contacts professionnels du Client ; signataires des devis.

Le service ne requiert aucune donnée dite « sensible » au sens de l'article 9 du RGPD. Le Client s'engage à ne pas en dicter ni en saisir, sauf nécessité relevant de sa seule responsabilité.

5. Instructions documentées

Plune traite les données uniquement sur instruction documentée du Client. L'utilisation des fonctionnalités du service (création d'un devis, envoi d'une facture, demande de signature, déclenchement d'une relance) constitue cette instruction documentée. Plune informe le Client si une instruction lui paraît contraire au RGPD. Si le droit de l'Union européenne ou le droit français impose à Plune un traitement particulier, Plune en informe le Client avant le traitement, sauf interdiction légale.

6. Confidentialité

Plune veille à ce que les personnes autorisées à traiter les données (exploitant et, le cas échéant, prestataires intervenant sous sa responsabilité) soient soumises à une obligation de confidentialité, contractuelle ou légale, et n'accèdent aux données que dans la mesure nécessaire au service et au support.

7. Sécurité (article 32 RGPD)

Plune met en œuvre les mesures techniques et organisationnelles décrites en Annexe 2, notamment : chiffrement des échanges en transit (TLS), chiffrement au repos des bases de données, connexion par email et mot de passe ou via Google et Facebook, limite de tentatives de connexion par mot de passe, séparation logique des organisations et journalisation des actions sensibles sur devis, factures et signatures. Ces mesures sont adaptées dans le temps en fonction de l'état de l'art et des risques.

8. Notification des violations de données

En cas de violation de données personnelles affectant les données traitées pour le compte du Client, Plune notifie le Client dans un délai maximal de 48 heures après en avoir pris connaissance, en précisant, dans la mesure des informations disponibles : la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises ou proposées. Le Client reste responsable, pour ses propres traitements, de la notification à la CNIL (72 heures, article 33 RGPD) et de l'information des personnes concernées (article 34) ; Plune lui apporte son assistance à cette fin.

9. Assistance, sort des données et réversibilité

• Droits des personnes : le service permet au Client de consulter, rectifier, exporter et supprimer lui-même les données de ses clients. Pour toute demande qui ne pourrait pas être traitée en libre-service, Plune assiste le Client dans un délai compatible avec le délai d'un mois de l'article 12 du RGPD.
• Analyses d'impact (AIPD) : Plune fournit au Client les informations raisonnablement nécessaires à la réalisation d'une analyse d'impact (article 35) et, le cas échéant, à la consultation préalable de la CNIL (article 36).
• Fin de contrat : le Client peut exporter l'intégralité de ses données à tout moment depuis son espace, sous deux formes : des exports CSV par liste et une archive complète au format JSON (Paramètres, puis Profil, puis « Exporter mes données »), ainsi que les PDF de ses pièces. La fin d'abonnement ne supprime rien : le compte repasse au plan Découverte et les données restent accessibles tant que le compte existe. La suppression intervient sur demande d'effacement ou à la suppression du compte, sous réserve des conservations imposées par la loi (notamment 10 ans pour les factures, articles L123-22 du Code de commerce et L102 B du Livre des procédures fiscales).

10. Audits

Plune met à la disposition du Client les informations nécessaires pour démontrer le respect du présent DPA : la présente page, la politique de confidentialité, la page sécurité et, sur demande, les garanties publiées par les sous-traitants ultérieurs. Le Client peut en outre demander un audit, par demande écrite adressée à contact@plune.app, au plus une fois par période de 12 mois, avec un préavis raisonnable de 30 jours. L'audit se déroule pendant les heures ouvrées, sans accès aux données des autres clients de Plune, et les frais sont partagés entre les parties.

11. Sous-traitants ultérieurs

Pour le raccordement optionnel à SUPER G (SUPER PDP), le Client peut donner une autorisation particulière depuis les paramètres de facturation électronique, par l’intermédiaire d’un propriétaire ou administrateur habilité. Cette autorisation porte uniquement sur l’entreprise vérifiée et sur les traitements décrits en Annexe 1 ; Plune en conserve la version, la date et l’auteur. Le choix de recevoir des factures via SUPER PDP est confirmé séparément. Sans cette autorisation particulière, le cadre général d’information et d’opposition ci-dessous reste applicable.

Le Client autorise de manière générale le recours aux sous-traitants ultérieurs listés en Annexe 1. Plune impose à chacun d'eux, par contrat, des obligations de protection des données équivalentes à celles du présent DPA et demeure pleinement responsable envers le Client de leur exécution.

Information préalable et droit d'objection : tout ajout ou remplacement d'un sous-traitant ultérieur est annoncé par la mise à jour de la présente page (version datée) avant sa prise d'effet. Le Client peut s'y opposer pour un motif légitime tenant à la protection des données, par écrit à contact@plune.app, dans un délai de 30 jours suivant la publication. À défaut de solution raisonnable, le Client peut résilier le service sans frais et exporter ses données dans les conditions de l'article 9.

12. Transferts hors Union européenne

Certains sous-traitants ultérieurs sont situés aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types (SCC) 2021/914 de la Commission européenne, intégrées aux accords de traitement conclus avec chaque prestataire, complétées par le chiffrement des données en transit. Le détail figure en Annexe 1.

13. Responsabilité

Chaque partie répond des dommages causés par un traitement non conforme dans les conditions de l'article 82 du RGPD. Les stipulations des CGU/CGV relatives à la responsabilité s'appliquent pour le surplus, sans pouvoir limiter les droits que les personnes concernées tirent du RGPD.

Annexe 1 : sous-traitants ultérieurs

Liste des sous-traitants ultérieurs du cadre du 2 juillet 2026, actualisée le 14 octobre 2026. SUPER G concerne uniquement le raccordement PA optionnel choisi par le Client ; aucune entreprise n’est raccordée automatiquement. Sans autorisation particulière, les conditions d’information et d’opposition de l’article 11 s’appliquent avant l’ouverture de ce traitement à un Client.

Sur petit écran, faites défiler le tableau horizontalement pour lire toutes les colonnes.

Les prestataires utilisés par Plune pour ses propres traitements en qualité de responsable de traitement (supervision des erreurs, mesure d'audience soumise à consentement) sont listés dans la politique de confidentialité.

Annexe 2 : mesures techniques et organisationnelles

Mesures effectivement mises en œuvre, détaillées sur la page sécurité :

• Chiffrement TLS des échanges entre le navigateur et Plune (en transit).
• Chiffrement au repos des bases de données.
• Connexion par email et mot de passe, ou avec Google ou Facebook. Limite de tentatives de connexion par mot de passe ; vérification à l’inscription des mots de passe contre les fuites connues (Have I Been Pwned, procédé de k-anonymité).
• Séparation logique des organisations (cloisonnement des données entre comptes).
• Journalisation des actions sensibles sur devis, factures et signatures.
• Scellement des devis signés par empreinte SHA-256, avec piste d'audit (horodatage, adresse IP).
• Des copies chiffrées de la base et des fichiers ont été constituées par Plune hors de l'hébergement, et leur déchiffrement a été contrôlé. Une restauration complète reste à valider. Les mesures et leurs limites sont décrites sur la page sécurité.
• Absence de persistance des fichiers audio transmis dans la base de données applicative de Plune ; expiration après 24 heures des dictées hors ligne conservées dans le navigateur, avec suppression à l'échéance lorsque celui-ci est actif ou à la prochaine ouverture de l'éditeur après fermeture ou suspension.
• Minimisation des données et limitation des finalités dès la conception.
• Procédure de notification des violations : information du Client sous 48 heures (article 8 du présent DPA) et notification à la CNIL sous 72 heures pour les traitements dont Plune est responsable (articles 33 et 34 du RGPD).

Document fourni à titre de cadre contractuel standard. Pour des exigences sectorielles spécifiques (santé, juridique, marchés publics) ou une version PDF signée, contactez contact@plune.app.

Le 14 octobre 2026, l’article 11 précise l’autorisation particulière et tracée de SUPER G pour le raccordement PA optionnel. Le 10 octobre 2026, l’annexe 1 précisait WorkOS pour la connexion MCP par OAuth et SUPER G pour le pilote PA. Identité de l’éditeur actualisée le 8 octobre 2026. Cadre contractuel du 2 juillet 2026. Précisions techniques du 25 septembre 2026 : périmètre des traitements IA et région des fonctions Vercel. Le 30 septembre 2026, l'annexe 2 précise les copies chiffrées constituées par Plune et la restauration complète restant à valider. Ces précisions ne constituent pas une nouvelle acceptation du contrat par le Client.