FluxMicro
Annexe de sous-traitance (article 28 RGPD)
Identifiant: data-processing-addendum · Date d'effet: 15 octobre 2026 · Version 2026.10.15
1. Objet et portée
La présente annexe complète les CGU / CGV de FluxMicro pour les traitements de données personnelles réalisés pour le compte du Client, lorsque FluxMicro agit en qualité de sous-traitant au sens de l'article 28 du RGPD.
Elle s'applique notamment aux données métier confiées par le Client via le Service: clients finaux, devis, factures, avoirs, encaissements, documents et journaux liés à l'usage du logiciel.
Elle ne décrit pas les traitements réalisés par FluxMicro pour ses propres besoins de gestion du site, de compte, d'abonnement, d'authentification, de sécurité ou de support, lesquels relèvent de la politique de confidentialité.
2. Parties et rôles
Le Client agit en qualité de responsable de traitement pour les données personnelles qu'il confie à FluxMicro dans le cadre de son activité professionnelle.
CIVXII agit en qualité de sous-traitant pour les traitements nécessaires à la fourniture du Service, sans traiter ces données pour son propre compte, sauf lorsque la réglementation applicable ou l'exécution du contrat l'impose.
3. Nature, finalités, catégories de données et durée
- Nature des opérations: collecte, organisation, hébergement, consultation, transmission, restitution via connecteur MCP, export, suppression ou anonymisation à l'issue des délais contractuels.
- Finalités: exécution des fonctionnalités de devis, facturation, suivi d'encaissement, transmission de flux, export, assistance opérationnelle du Service et délégation d'actions via assistant IA lorsque le Client active volontairement un connecteur compatible.
- Catégories de données: données d'identification, coordonnées, données de facturation, documents et données transactionnelles liées à l'activité du Client, ainsi que les résultats d'outils, métadonnées d'audit et liens documentaires nécessaires aux actions MCP demandées.
- Personnes concernées: utilisateurs du Client, clients finaux, prospects, fournisseurs et autres tiers inclus dans les documents gérés par le Client.
- Durée: pendant la durée du contrat, puis pendant la période d'export et les délais de conservation légaux ou techniques strictement nécessaires.
4. Instructions documentées du Client
FluxMicro traite les données personnelles sur instruction documentée du Client, telle qu'elle résulte des présentes, des paramètres configurés dans le Service et des actions initiées par le Client ou ses utilisateurs autorisés.
Lorsqu'un utilisateur autorisé connecte FluxMicro à ChatGPT (OpenAI), à Claude (Anthropic) ou à un autre assistant IA compatible MCP, les appels d'outils réalisés depuis cet assistant constituent des instructions documentées du Client dans la limite des autorisations accordées. L'assistant est choisi par le Client et utilisé selon le contrat qui lie le Client à son éditeur : il n'est pas un sous-traitant ultérieur de FluxMicro, et les données qu'il reçoit lui sont transmises à la demande du Client.
Si une instruction apparaît manifestement illicite ou incompatible avec le cadre réglementaire applicable, FluxMicro en informe le Client sans délai raisonnable.
5. Confidentialité et sécurité
FluxMicro s'assure que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité adaptée. Des mesures techniques et organisationnelles raisonnables sont mises en œuvre pour protéger les données contre l'accès non autorisé, la perte, l'altération ou la divulgation illicite.
Ces mesures comprennent notamment le chiffrement des flux, le contrôle d'accès par rôle, la journalisation des actions sensibles, la supervision technique et des mécanismes de sauvegarde opérationnels proportionnés à la nature du Service.
6. Sous-traitants ultérieurs
Le Client autorise FluxMicro à recourir aux sous-traitants ultérieurs nécessaires au fonctionnement du Service, sous réserve d'un encadrement contractuel approprié et d'un niveau de protection compatible avec le RGPD.
FluxMicro informe le Client de tout ajout ou remplacement d'un sous-traitant ultérieur, par e-mail ou dans le Service, au moins trente (30) jours avant qu'il ne traite des données du Client. Le Client peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut de solution, il peut résilier son abonnement sans frais avant cette date. Un prestataire marqué « À venir » ne reçoit aucune donnée avant l'ouverture du service concerné, annoncée dans les mêmes conditions. FluxMicro reste responsable envers le Client du respect, par ses sous-traitants ultérieurs, des obligations prévues par la présente annexe.
| Prestataire | Finalité | Localisation |
|---|---|---|
OVH SAS | Hébergement de l'application, des bases de données et des fichiers. Données de compte, données organisationnelles, documents métier, journaux techniques. | France / Union européenne |
OVH SAS | Envoi d'emails transactionnels et de notifications de service. Email, nom, contenu des notifications, traces d'envoi. | France / Union européenne |
Super PDP | Transmission des factures électroniques, suivi des statuts de traitement et, le cas échéant, réception des flux de facturation entrants. Données d'identification de l'émetteur et du client, données de facture, pièces jointes associées et statuts de transmission. | France / Union européenne |
ASPOne À venir : actif à l'ouverture du service | Partenaire EDI de la DGFiP : transmission à l'administration fiscale, au nom du Client et sur son autorisation, des déclarations de TVA (EDI-TVA), de la déclaration de résultats n° 2035 (EDI-TDFC) et du paiement de la TVA (EDI-Paiement). En cours de contractualisation : aucune donnée ne lui est transmise avant l'ouverture du service. Identification de l'entreprise (raison sociale, SIREN, adresse), montants des déclarations, coordonnées du compte de paiement le cas échéant, accusés de réception et statuts de dépôt. | France |
7. Assistance au responsable de traitement
Dans une mesure raisonnable et proportionnée, FluxMicro assiste le Client pour répondre aux demandes d'exercice de droits, aux demandes d'information des autorités, aux analyses d'impact lorsque cela est requis et à la gestion d'un incident de sécurité affectant les données traitées pour le compte du Client.
8. Violations de données personnelles
En cas de violation de données personnelles affectant les traitements réalisés pour le compte du Client, FluxMicro informe le Client sans délai injustifié après en avoir eu connaissance, en lui communiquant les éléments utiles raisonnablement disponibles pour l'aider à apprécier ses obligations réglementaires.
9. Sort des données en fin de contrat
À l'issue du contrat, FluxMicro maintient les fonctions d'export prévues par le Service pendant la période contractuellement indiquée, puis procède à la suppression ou à l'anonymisation des données, sauf obligation légale de conservation, nécessité probatoire ou instruction écrite contraire du Client compatible avec les contraintes techniques du Service.
10. Droit d'information et audit raisonnable
Sur demande écrite raisonnable, FluxMicro met à disposition du Client les informations strictement nécessaires pour démontrer le respect des obligations substantielles lui incombant au titre de la présente annexe, sous réserve des exigences de confidentialité, de sécurité et des secrets d'affaires.
Toute demande d'audit approfondi doit être proportionnée, compatible avec le fonctionnement du Service et peut donner lieu à un encadrement spécifique.