FluxMicro
Annexe de sous-traitance (article 28 RGPD)
Identifiant: data-processing-addendum · Date d'effet: 02 juin 2026 · Version 2026.06.02
1. Objet et portée
La présente annexe complète les CGU / CGV de FluxMicro pour les traitements de données personnelles réalisés pour le compte du Client, lorsque FluxMicro agit en qualité de sous-traitant au sens de l'article 28 du RGPD.
Elle s'applique notamment aux données métier confiées par le Client via le Service: clients finaux, devis, factures, avoirs, encaissements, documents et journaux liés à l'usage du logiciel.
Elle ne décrit pas les traitements réalisés par FluxMicro pour ses propres besoins de gestion du site, de compte, d'abonnement, d'authentification, de sécurité ou de support, lesquels relèvent de la politique de confidentialité.
2. Parties et rôles
Le Client agit en qualité de responsable de traitement pour les données personnelles qu'il confie à FluxMicro dans le cadre de son activité professionnelle.
CIVXIIagit en qualité de sous-traitant pour les traitements nécessaires à la fourniture du Service, sans traiter ces données pour son propre compte, sauf lorsque la réglementation applicable ou l'exécution du contrat l'impose.
3. Nature, finalités, catégories de données et durée
- Nature des opérations:collecte, organisation, hébergement, consultation, transmission, restitution via connecteur MCP, export, suppression ou anonymisation à l'issue des délais contractuels.
- Finalités:exécution des fonctionnalités de devis, facturation, suivi d'encaissement, transmission de flux, export, assistance opérationnelle du Service et délégation d'actions via assistant IA lorsque le Client active volontairement un connecteur compatible.
- Catégories de données:données d'identification, coordonnées, données de facturation, documents et données transactionnelles liées à l'activité du Client, ainsi que les résultats d'outils, métadonnées d'audit et liens documentaires nécessaires aux actions MCP demandées.
- Personnes concernées: utilisateurs du Client, clients finaux, prospects, fournisseurs et autres tiers inclus dans les documents gérés par le Client.
- Durée:pendant la durée du contrat, puis pendant la période d'export et les délais de conservation légaux ou techniques strictement nécessaires.
4. Instructions documentées du Client
FluxMicro traite les données personnelles sur instruction documentée du Client, telle qu'elle résulte des présentes, des paramètres configurés dans le Service et des actions initiées par le Client ou ses utilisateurs autorisés.
Lorsqu'un utilisateur autorisé connecte FluxMicro à ChatGPT via l'app OpenAI ou à un autre client LLM tiers compatible MCP, les appels d'outils réalisés depuis ce client constituent des instructions documentées du Client dans la limite des autorisations et scopes accordés.
Si une instruction apparaît manifestement illicite ou incompatible avec le cadre réglementaire applicable, FluxMicro en informe le Client sans délai raisonnable.
5. Confidentialité et sécurité
FluxMicro s'assure que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité adaptée. Des mesures techniques et organisationnelles raisonnables sont mises en œuvre pour protéger les données contre l'accès non autorisé, la perte, l'altération ou la divulgation illicite.
Ces mesures comprennent notamment le chiffrement des flux, le contrôle d'accès par rôle, la journalisation des actions sensibles, la supervision technique et des mécanismes de sauvegarde opérationnels proportionnés à la nature du Service.
6. Sous-traitants ultérieurs
Le Client autorise FluxMicro à recourir aux sous-traitants ultérieurs nécessaires au fonctionnement du Service, sous réserve d'un encadrement contractuel approprié et d'un niveau de protection compatible avec le RGPD.
| Prestataire | Finalité | Localisation |
|---|---|---|
| Stripe, Inc. | Paiement des abonnements, facturation et gestion des moyens de paiement. Identité de facturation, coordonnées de paiement, historique des transactions. | Union européenne / États-Unis |
| OVH SAS | Hébergement de l'application, des bases de données et des fichiers. Données de compte, données organisationnelles, documents métier, journaux techniques. | France / Union européenne |
| OVH SAS | Envoi d'emails transactionnels et de notifications de service. Email, nom, contenu des notifications, traces d'envoi. | France / Union européenne |
| FluxMicro OAuth MCP | Authentification OAuth/OIDC du serveur MCP, emission de tokens d'acces, verification des sessions FluxMicro et journaux de securite associes. Email de compte, identifiants techniques d'authentification, scopes d'autorisation, traces de connexion et journaux de securite. | France / Union europeenne |
| OpenAI, L.L.C. | Utilisation de l'app ChatGPT FluxMicro et des outils MCP lorsque l'utilisateur connecte volontairement son compte FluxMicro a ChatGPT. Instructions de l'utilisateur, contexte de compte minimal, donnees d'organisation, clients, catalogue, documents commerciaux, recettes, achats, charges, liens documentaires et resultats d'outils strictement necessaires a la demande. | Etats-Unis / regions OpenAI disponibles selon configuration |
| Clients LLM tiers connectes par l'utilisateur | Acces aux outils MCP FluxMicro depuis des assistants ou agents LLM tiers choisis et connectes par l'utilisateur. Instructions de l'utilisateur, contexte de compte minimal, donnees metier strictement necessaires aux outils appeles, resultats d'outils et liens documentaires. | Selon le service LLM choisi par l'utilisateur |
| Super PDP | Transmission des factures électroniques, suivi des statuts de traitement et, le cas échéant, réception des flux de facturation entrants. Données d'identification de l'émetteur et du client, données de facture, pièces jointes associées et statuts de transmission. | France / Union européenne |
| INSEE - API SIRENE | Préremplissage des informations d'entreprise lors de l'onboarding. SIREN/SIRET saisi, données d'identification d'entreprise. | France |
7. Assistance au responsable de traitement
Dans une mesure raisonnable et proportionnée, FluxMicro assiste le Client pour répondre aux demandes d'exercice de droits, aux demandes d'information des autorités, aux analyses d'impact lorsque cela est requis et à la gestion d'un incident de sécurité affectant les données traitées pour le compte du Client.
8. Violations de données personnelles
En cas de violation de données personnelles affectant les traitements réalisés pour le compte du Client, FluxMicro informe le Client sans délai injustifié après en avoir eu connaissance, en lui communiquant les éléments utiles raisonnablement disponibles pour l'aider à apprécier ses obligations réglementaires.
9. Sort des données en fin de contrat
À l'issue du contrat, FluxMicro maintient les fonctions d'export prévues par le Service pendant la période contractuellement indiquée, puis procède à la suppression ou à l'anonymisation des données, sauf obligation légale de conservation, nécessité probatoire ou instruction écrite contraire du Client compatible avec les contraintes techniques du Service.
10. Droit d'information et audit raisonnable
Sur demande écrite raisonnable, FluxMicro met à disposition du Client les informations strictement nécessaires pour démontrer le respect des obligations substantielles lui incombant au titre de la présente annexe, sous réserve des exigences de confidentialité, de sécurité et des secrets d'affaires.
Toute demande d'audit approfondi doit être proportionnée, compatible avec le fonctionnement du Service et peut donner lieu à un encadrement spécifique.