Accord de traitement des données (DPA)

Version 1.1, en vigueur le 8 octobre 2026.

Cet accord de traitement des données (l’« Accord ») fait partie des conditions générales de vente et d’utilisation (les « CGV ») du service Kledg hébergé sur app.kledg.com (le « Service »). Il est conclu entre le Client et FAKGROUP (« Kledg »), et constitue le contrat prévu par l’article 28, paragraphe 3, du règlement (UE) 2016/679 (le « RGPD »). Il s’applique automatiquement à tout Client du Service, sans signature séparée. Les termes « données personnelles », « traitement », « responsable de traitement », « sous-traitant », « personne concernée » et « violation de données » ont le sens que leur donne l’article 4 du RGPD. Les autres termes en majuscule ont le sens des CGV.

Il ne concerne pas les installations auto-hébergées de Kledg, auxquelles Kledg n’a pas accès.

1. Rôles des parties

• Pour les Données du Client, c’est-à-dire le contenu des comptabilités tenues dans le Service, le Client est responsable de traitement et Kledg agit en qualité de sous-traitant, pour le compte et sur instruction du Client. Lorsque le Client agit lui-même pour le compte de tiers (un cabinet d’expertise comptable pour ses clients, par exemple), Kledg est sous-traitant ultérieur et le Client garantit disposer des autorisations nécessaires.
• Pour les données du Compte (identité et identifiants des Utilisateurs), de facturation et de relation commerciale, ainsi que pour les journaux de sécurité du Service, Kledg agit en qualité de responsable de traitement. Ces traitements sont décrits dans la politique de confidentialité et ne relèvent pas de l’Accord.

2. Description du traitement

• Objet et nature : hébergement, stockage, sauvegarde, consultation, calcul, import et export des Données du Client, et transmission aux Intégrations que le Client active.
• Finalité : fournir le Service décrit dans les CGV, c’est-à-dire permettre au Client de tenir sa comptabilité et de produire ses états et son fichier des écritures comptables (FEC), ainsi que le support et la sécurité qui s’y rattachent.
• Durée : la durée du contrat, puis la période de récupération et les délais de suppression prévus à l’article 14 des CGV et à l’article 10 de l’Accord.
• Personnes concernées : les Utilisateurs du Client, et les personnes physiques qui figurent dans ses comptes, notamment ses clients, fournisseurs et autres tiers, salariés, dirigeants, associés et actionnaires, ainsi que leurs représentants.
• Catégories de données : identité et coordonnées (nom, adresse, email, téléphone) ; données d’identification professionnelle (SIREN, numéro de TVA) ; données bancaires (IBAN, libellés et montants des transactions) ; données financières et comptables (écritures, factures, montants dus, rémunérations, apports, dividendes, comptes courants d’associés) ; pièces justificatives importées ; journal d’audit des actions faites dans le Service.
• Données sensibles : le Service n’est pas conçu pour traiter les catégories particulières de données de l’article 9 du RGPD, ni des données relatives aux condamnations pénales, ni le numéro d’inscription au répertoire (NIR). Le Client évite de les saisir dans les libellés et les pièces, sauf nécessité comptable dont il reste responsable.

3. Instructions du Client

Kledg ne traite les Données du Client que sur instruction documentée du Client. Les CGV, l’Accord, le paramétrage du Service et les actions du Client et de ses Utilisateurs dans le Service, y compris l’activation d’une Intégration, constituent ses instructions. Toute instruction supplémentaire est donnée par écrit et doit être compatible avec le Service.

Kledg informe immédiatement le Client si, selon lui, une instruction constitue une violation du RGPD ou d’une autre disposition du droit de l’Union ou du droit français relative à la protection des données. Si le droit de l’Union ou le droit français impose à Kledg un traitement, Kledg en informe le Client avant de l’effectuer, sauf si ce droit l’interdit pour des motifs importants d’intérêt public (article 28, paragraphe 3, a, du RGPD).

4. Confidentialité

Les personnes autorisées par Kledg à traiter les Données du Client sont soumises à une obligation de confidentialité. Elles n’y accèdent que dans la mesure nécessaire, pour assurer le support à la demande du Client, traiter un incident ou garantir la sécurité du Service. Kledg n’utilise pas les Données du Client à ses propres fins, ne les vend pas et ne les utilise pas pour entraîner des modèles d’intelligence artificielle.

5. Sécurité

Compte tenu de l’état des connaissances, des coûts de mise en œuvre et des risques, Kledg met en œuvre les mesures techniques et organisationnelles appropriées prévues par l’article 32 du RGPD, notamment :

• Chiffrement en transit : connexions HTTPS (TLS) entre les navigateurs et le Service, et connexions chiffrées entre le Service et la base de données.
• Chiffrement au repos : assuré par les prestataires d’hébergement et de base de données (AES-256, selon leur documentation, voir l’annexe).
• Isolation des clients : dans la base partagée, chaque ligne de données est rattachée à son Client et la politique de sécurité au niveau des lignes de Postgres (row level security) empêche une requête d’accéder aux données d’un autre Client. Sur option, le Client peut disposer d’une base de données dédiée.
• Identifiants des Intégrations : les identifiants bancaires (clés API, clés privées, jetons et secrets) sont chiffrés par l’application (AES-256-GCM) et ne sont jamais réaffichés.
• Contrôle d’accès : rôles par Société, vérification de la session et des droits à chaque requête, protection contre la falsification de requêtes, limites d’appel. Les accès des assistants d’intelligence artificielle sont limités aux portées, aux Sociétés et au mode d’exécution choisis par le Client, et révocables à tout moment.
• Traçabilité : journal d’audit en ajout seul des actions sensibles, y compris celles des assistants connectés.
• Sauvegardes : sauvegardes continues de la base de données avec restauration à un instant donné, conservées 7 jours au plus. Les fichiers des pièces justificatives sont conservés dans un stockage d’objets privé, sans sauvegarde ni version antérieure.
• Intégrité comptable : écritures validées définitives, exercices clôturés verrouillés, Sociétés avec écritures validées non supprimables.
• Gestion des vulnérabilités : code source public, mises à jour de sécurité, et politique de divulgation responsable avec un canal de signalement privé.
• Organisation : accès d’administration à l’infrastructure et à la base de données limités aux personnes qui en ont besoin.

Le Client reste responsable de la sécurité de ses propres accès : choix des Utilisateurs et de leurs rôles, confidentialité des mots de passe et des clés API, niveau d’accès accordé aux Intégrations.

6. Sous-traitants ultérieurs

Le Client donne à Kledg une autorisation générale de recourir aux sous-traitants ultérieurs listés en annexe et sur la page Sous-traitants (article 28, paragraphe 2, du RGPD).

• Kledg informe le Client par email, au moins trente jours à l’avance, de tout ajout ou remplacement d’un sous-traitant ultérieur, et met à jour la page Sous-traitants.
• Le Client peut s’y opposer pour un motif raisonnable lié à la protection des données, par écrit à contact@kledg.com, avant la date du changement. Les parties recherchent alors une solution de bonne foi. À défaut, le Client peut résilier le contrat sans frais avant cette date, et Kledg lui rembourse la part d’abonnement déjà payée qui correspond à la période restant à courir.
• Kledg impose à chaque sous-traitant ultérieur, par contrat, des obligations de protection des données équivalentes à celles de l’Accord, et reste pleinement responsable envers le Client de l’exécution de leurs obligations (article 28, paragraphe 4, du RGPD).

Les Intégrations que le Client active (banques, prestataires d’agrégation bancaire, assistants d’intelligence artificielle) ne sont pas des sous-traitants ultérieurs de Kledg. Elles sont choisies par le Client et utilisées dans le cadre de son propre contrat avec leur fournisseur. Leur activation vaut instruction de leur transmettre ou d’en recevoir les données nécessaires.

7. Transferts hors de l’Union européenne

Les Données du Client sont stockées dans l’Union européenne (base de données à Francfort, fonctions serveur à Francfort). Plusieurs sous-traitants ultérieurs sont des sociétés de droit américain ou appartiennent à des groupes américains, et certaines données peuvent être transférées ou rendues accessibles aux États-Unis, notamment pour l’administration de leurs services et les journaux d’envoi des emails.

Ces transferts reposent, pour chaque sous-traitant concerné, sur sa certification au Data Privacy Framework UE-États-Unis, qui bénéficie de la décision d’adéquation de la Commission européenne du 10 juillet 2023 (article 45 du RGPD), et sur les clauses contractuelles types adoptées par la Commission le 4 juin 2021 (article 46 du RGPD), qui s’appliquent notamment si cette décision cessait de produire effet. Les garanties propres à chaque sous-traitant figurent en annexe.

Si Kledg reçoit lui-même une demande d’accès d’une autorité publique portant sur les Données du Client, il n’y donne suite que si elle est juridiquement contraignante, en limite la portée à ce qui est strictement exigé, et en informe le Client, sauf interdiction légale.

8. Assistance au Client

• Droits des personnes : le Service permet au Client de consulter, rectifier, exporter et supprimer les données qu’il contient, dans le respect de ses obligations de conservation comptable. Si une personne concernée s’adresse à Kledg au sujet des Données du Client, Kledg transmet la demande au Client sans délai et n’y répond pas lui-même, sauf instruction du Client.
• Sécurité, analyses d’impact et consultation préalable : Kledg fournit au Client les informations dont il dispose pour l’aider à respecter les articles 32 à 36 du RGPD, compte tenu de la nature du traitement.
• Registre : Kledg tient le registre des activités de traitement qu’il effectue pour le compte de ses clients (article 30, paragraphe 2, du RGPD).

9. Violations de données

Kledg notifie au Client toute violation de données personnelles affectant les Données du Client dans les meilleurs délais, et au plus tard 48 heures après en avoir pris connaissance, par email à l’adresse du Compte. La notification comporte, dans la mesure du possible, les informations prévues par l’article 33, paragraphe 3, du RGPD : nature de la violation, catégories et nombre approximatif de personnes et de données concernées, conséquences probables, mesures prises ou envisagées, et un contact. Les informations non disponibles immédiatement sont transmises dès que possible.

Il appartient au Client, en tant que responsable de traitement, de notifier la violation à la CNIL et, le cas échéant, aux personnes concernées. Kledg l’assiste dans ces démarches.

10. Sort des données à la fin du contrat

Conformément à l’article 28, paragraphe 3, g, du RGPD, Kledg restitue puis supprime toutes les Données du Client à la fin des services. Le Client exerce son choix entre restitution et suppression de la façon suivante :

• Restitution : pendant la période de récupération de 30 jours qui suit la fin du contrat ou la demande de suppression du Compte (articles 14 et 15 des CGV), le Compte est en lecture seule et le Client télécharge lui-même, gratuitement, l’export complet de chaque Société : le fichier des écritures comptables (FEC) de chaque exercice, toutes les données de la Société au format JSON, et ses pièces justificatives dans leur format d’origine (images, PDF) avec un manifeste aux formats CSV et JSON qui relie chacune à ce qu’elle justifie et donne son empreinte SHA-256. Kledg lui rappelle par email, au début de cette période, la date à laquelle elle prend fin.
• Suppression : à l’issue de cette période, Kledg supprime toutes les Données du Client, pièces justificatives comprises, de la base de production et du stockage des fichiers dans un délai de trente jours, sans en garder de copie. Elles disparaissent des sauvegardes de la base de données au plus tard 7 jours après leur suppression ; le stockage des fichiers n’a ni sauvegarde ni version antérieure. Aucun texte du droit de l’Union ou du droit français n’impose à Kledg de conserver ces données.
• Attestation : sur demande écrite à contact@kledg.com, Kledg adresse au Client une attestation de suppression, établie à partir de son journal d’audit (date de la suppression, Sociétés et nombre de fichiers supprimés).

Kledg ne conserve pas les livres comptables ni les pièces justificatives du Client pour son compte : il appartient au Client d’exporter et d’archiver ses données pour respecter ses propres obligations de conservation, notamment celle de dix ans de l’article L123-22 du Code de commerce et celle de six ans de l’article L102 B du Livre des procédures fiscales.

11. Audits

Kledg met à la disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD : l’Accord, la description des mesures de sécurité, la liste des sous-traitants ultérieurs et leurs attestations publiques. Si ces informations ne suffisent pas, le Client peut faire réaliser un audit, à ses frais, par un auditeur indépendant tenu au secret professionnel et non concurrent de Kledg, au plus une fois par an sauf violation de données ou demande d’une autorité, avec un préavis de trente jours. L’audit porte sur les traitements de l’Accord, se déroule sans perturber le Service ni compromettre les données des autres clients, et ne donne pas accès aux installations des sous-traitants ultérieurs, dont les rapports d’audit tiennent lieu.

12. Responsabilité et durée

La responsabilité des parties au titre de l’Accord est régie par les CGV, sans préjudice des droits que les personnes concernées tiennent de l’article 82 du RGPD. L’Accord s’applique pendant toute la durée des traitements effectués pour le Client, y compris après la fin du contrat jusqu’à la suppression complète des Données du Client. Il est modifié selon la procédure de l’article 28 des CGV, ou sans délai si une modification du droit applicable l’impose.

Contact

Pour toute question sur l’Accord ou pour exercer une faculté qu’il prévoit : contact@kledg.com. Pour signaler une vulnérabilité : security@kledg.com.

Annexe : sous-traitants ultérieurs autorisés

Liste à jour au 8 octobre 2026, également publiée sur la page Sous-traitants, qui fait foi en cas de mise à jour. Les certifications citées sont celles que chaque prestataire publie pour son propre service ; Kledg ne détient pas lui-même de certification. Stripe, qui ne traite que les données de facturation dont Kledg est responsable, et GitHub, qui ne reçoit aucune donnée du Service, figurent seulement sur la page Sous-traitants.