Accord de traitement des données (DPA)

Version du 14 octobre 2026. Cet accord complète les conditions générales de vente et encadre, conformément à l'article 28 du RGPD, les données personnelles que ELEVANTAGE (« Verya », sous-traitant) traite pour le compte de son client (« le client », responsable du traitement).

1. Objet, nature et finalité

Verya traite les données comptables que le client lui rend accessibles (connexion Pennylane) pour faire fonctionner les automatisations qu'il a choisies : contrôler les achats et signaler des anomalies, préparer la revue avant clôture, proposer des écritures et, sur validation explicite d'un utilisateur, les enregistrer dans Pennylane, établir les listes de pièces à demander et les rapports, et, sur demande d'un utilisateur, envoyer ces e-mails à ses propres clients. Aucune autre finalité : Verya ne traite ces données que sur instruction documentée du client, c'est-à-dire l'utilisation du service, ses réglages et les présentes conditions.

2. Données et personnes concernées

Données : écritures comptables des dossiers (dates, comptes, libellés, montants, lettrage), noms et coordonnées des fournisseurs et clients des dossiers, références et montants de factures, numéros de TVA et de SIREN/SIRET, et adresses e-mail des destinataires que le client renseigne (alertes, pièces à demander, rapports).
Personnes : fournisseurs et clients des dossiers du client, interlocuteurs de ces dossiers, et utilisateurs du service chez le client.
Verya ne demande aucune catégorie particulière de données (santé, opinions, etc.) et le client s'engage à ne pas en confier.

3. Durée

L'accord dure aussi longtemps que le client utilise Verya. La déconnexion de Pennylane supprime immédiatement les données des dossiers. À la fin du contrat, Verya supprime les données du client dans un délai maximal de 30 jours (effacement automatique, et immédiat en cas de remboursement au titre de la garantie), sauf obligation légale de conservation, et le confirme sur demande. Le client peut demander une restitution ou une suppression anticipée à contact@runverya.com.

4. Obligations de Verya

Traiter les données uniquement sur instruction documentée du client, et l'informer si une instruction lui paraît contraire au RGPD.
Garantir la confidentialité : les personnes autorisées à accéder aux données sont tenues à une obligation de confidentialité.
Mettre en œuvre des mesures de sécurité adaptées (chiffrement des échanges TLS, chiffrement au repos des jetons d'accès Pennylane, accès restreint, séparation des données par compte) ; voir la page Sécurité.
Aider le client à répondre aux demandes d'exercice des droits des personnes, et à respecter ses obligations de sécurité, d'analyse d'impact et de notification.
Notifier au client toute violation de données le concernant dans les meilleurs délais après en avoir eu connaissance, et au plus tard sous 72 heures.
Mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits raisonnables, sur préavis écrit, une fois par an, aux frais du client et sans perturber le service.

5. Sous-traitants ultérieurs

Le client autorise de manière générale Verya à recourir aux sous-traitants suivants, chacun limité à son rôle :

Vercel Inc. : hébergement et exécution du service, à Francfort (Union européenne).
Neon : base de données hébergée à Francfort, dans l'Union européenne (résumé des écritures d'achat sur 13 mois, anomalies, écritures en attente de validation, historique).
Clerk : authentification des utilisateurs.
Stripe : paiement des abonnements (données de facturation du client, pas les données comptables analysées).
Resend : envoi des e-mails (alertes, et, si le client l'active, pièces à demander et rapports).
Anthropic PBC (États-Unis) : rédaction de brouillons de courriers par IA, uniquement sur demande d'un utilisateur, à partir des éléments strictement nécessaires (par exemple nom du tiers, référence et montant d'une facture) ; assistant de support, qui reçoit les messages de l'utilisateur et un résumé du compte (sans écriture ni montant). Pas d'utilisation des données pour entraîner un modèle.
Pennylane : source des données, accessible par l'API avec l'autorisation du client.

Verya informe le client de tout ajout ou remplacement d'un sous-traitant au moins 30 jours à l'avance ; le client peut s'y opposer pour un motif légitime, et, à défaut d'accord, résilier. Verya impose à ses sous-traitants des obligations équivalentes à celles du présent accord.

6. Transferts hors Union européenne

Les données des dossiers sont stockées et traitées à Francfort (Union européenne). Certains sous-traitants sont toutefois des sociétés établies aux États-Unis. Les transferts éventuels s'appuient sur les mécanismes prévus par le RGPD (décision d'adéquation, notamment le Data Privacy Framework, ou clauses contractuelles types).

7. Responsabilité du client

Le client garantit avoir une base légale pour confier ces données à Verya et avoir informé les personnes concernées. Il reste responsable du traitement.

Contact

Toute question relative à cet accord : contact@runverya.com.