Version 2.0 « Filiane », 11 juin 2026. Annexé aux CGV Notaires et aux CGV Pompes funèbres, dont il fait partie intégrante.
Le présent accord encadre les traitements que Daffourd Invest (le « Sous-traitant »), SAS au capital de 16 000 euros, RCS Montpellier 810 176 818, réalise pour le compte du client professionnel (le « Responsable de traitement ») dans le cadre de la plateforme Filiane. Nature du traitement : hébergement, structuration, consultation, génération de documents, suivi de démarches. Finalités : constitution des coffres de transmission des clients du Responsable, préparation et conduite des dossiers de succession (identification des avoirs déclarés, courriers de réclamation et de résiliation, relances), assistance. Catégories de personnes : clients du Responsable, familles bénéficiaires, personnes de confiance, défunts et ayants droit. Catégories de données : identité et coordonnées, situation familiale et arbre, inventaire patrimonial déclaré, volontés et directives, pièces justificatives, courriers et réponses, journaux d’usage. Durée : celle du contrat principal.
Le Sous-traitant : ne traite les données que sur instruction documentée du Responsable (l’utilisation de la plateforme et le contrat valant instructions), y compris pour les transferts ; garantit la confidentialité des personnes autorisées ; met en œuvre les mesures de l’article 32 du RGPD décrites dans la PSSI annexée ; assiste le Responsable pour l’exercice des droits des personnes et, compte tenu de la nature du traitement, pour les obligations des articles 32 à 36 ; informe sans délai le Responsable si une instruction lui paraît contraire au RGPD.
Le Responsable autorise de manière générale le recours aux sous-traitants ultérieurs suivants : Vercel Inc. (hébergement des sites et fonctions, États-Unis, fonctions en région Paris), Supabase (base de données, AWS Francfort, UE), Resend (courriels transactionnels), Anthropic (tri des demandes d’assistance, lorsqu’il est activé, États-Unis), puis, à leur mise en production : un fournisseur de SMS, un prestataire d’envoi de lettres recommandées, un prestataire de services de paiement. Toute modification de cette liste est notifiée au Responsable au moins trente jours avant, celui-ci pouvant émettre des objections légitimes ; à défaut d’accord, le Responsable peut résilier le contrat sans pénalité. Le Sous-traitant impose à ses sous-traitants ultérieurs des obligations équivalentes au présent accord et demeure pleinement responsable de leur exécution.
Les mesures techniques et organisationnelles figurent dans la PSSI annexée (chiffrement en transit et au repos, hachage des secrets, second facteur, cloisonnement multi-tenant par RLS, journalisation, moindre privilège, validation humaine avant tout envoi). Le Sous-traitant peut les faire évoluer sans en réduire le niveau de protection.
Le Sous-traitant notifie au Responsable toute violation de données personnelles dans les meilleurs délais et au plus tard 48 heures après en avoir eu connaissance, avec les informations de l’article 33-3 du RGPD disponibles, complétées au fur et à mesure ; il documente la violation et les mesures prises.
Le Sous-traitant transmet sans délai au Responsable les demandes d’exercice de droits reçues directement, fournit les fonctionnalités permettant d’y répondre (consultation, rectification, export, suppression) et apporte une assistance raisonnable pour les analyses d’impact et les consultations préalables.
Les données applicatives sont hébergées dans l’UE. Les recours à Vercel Inc. et, le cas échéant, à Anthropic impliquent des transferts vers les États-Unis encadrés par des clauses contractuelles types et, lorsque applicable, par le cadre de protection des données UE-États-Unis. Le Sous-traitant tient à disposition la documentation de ces garanties.
Au terme du contrat, au choix du Responsable : restitution des données dans un format structuré et couramment utilisé (export applicatif, extraction complète sur demande sous trente jours, sans frais de sortie), puis suppression des données et des copies dans un délai de quatre-vingt-dix jours, sous réserve des obligations légales de conservation. Les familles bénéficiaires conservent la faculté d’exercer leurs droits sur leur coffre.
Le Sous-traitant met à disposition la documentation nécessaire à la démonstration de la conformité (présent accord, PSSI, liste des sous-traitants, synthèses d’audit disponibles). Le Responsable peut réaliser, à ses frais, un audit par an, sur préavis raisonnable d’au moins trente jours, pendant les heures ouvrées, sans accès aux données d’autres clients ; les parties privilégient la remise de documentations et de rapports de tiers.
Le Sous-traitant tient le registre des catégories d’activités de traitement effectuées pour le compte du Responsable (article 30-2 du RGPD) ; une fiche de registre pré-remplie décrivant les traitements de l’article 1 est fournie au Responsable pour son propre registre.
Chaque partie répond des dommages causés par son fait dans les conditions des articles 82 et suivants du RGPD ; entre les parties, la responsabilité du Sous-traitant est plafonnée dans les conditions des CGV métier, sauf faute lourde ou dolosive.
Le présent accord s’applique pendant toute la durée du contrat principal et tant que le Sous-traitant détient des données. En cas de contradiction avec le contrat principal sur la protection des données, le présent accord prévaut. Toute modification suit la procédure du contrat principal.
Signatures : pour le Responsable de traitement (nom, qualité, date) ; pour le Sous-traitant : Vincent Daffourd, président de Daffourd Invest.
← Tous les documents de l'informations légales