Conclusion
L’entreprise conclut cet accord dans l’application sous Paramètres → Contrats et confidentialité : par voie électronique, par une personne habilitée à signer pour elle, ou par écrit, avec un exemplaire imprimé et signé qu’elle y télécharge. La forme électronique suffit (art. 28, par. 9 RGPD). La sous-traitante a signé l’accord par voie électronique.
L’accord entre en vigueur à sa conclusion. Il s’applique tant que le contrat d’utilisation de Sollmaß selon les CGV existe, essai compris, et prend fin avec lui. Le sort des données ensuite est réglé à la section « Durée, suppression, preuve ».
Parties
Responsable : l’entreprise artisanale qui utilise Sollmaß, avec la raison sociale et l’adresse indiquées lors de la conclusion.
Sous-traitante : High5Manufaktur GmbH, Am Buchenhain 2, 76359 Marxzell, Allemagne — produit Sollmaß, domaine sollmass.de. Contact : [email protected], téléphone +49 7248 25592-70.
L’entreprise reste maîtresse des données. Sollmaß ne les traite que pour fournir l’application.
Ne relèvent pas de la sous-traitance, mais du traitement propre de l’exploitante : les demandes via ce site, les demandes d’essai et les factures des licences. La politique de confidentialité s’y applique.
Objet et finalités
Hébergement et exploitation du logiciel. Instruction : uniquement ce que l’entreprise saisit ou déclenche dans Sollmaß. Finalité : exécution du contrat, pas d’usage propre des données du mandant.
Système d’exploitation pour l’artisanat : données de base (entreprise, équipe, clients, objets), dossiers, pièces (devis à facture/relance), livre de paiements, temps, stock, audit, actions IA optionnelles, envoi des e-mails de l’app. Le CSV DATEV est un export vers l’entreprise, pas une transmission de notre part.
Données
Données du mandant et des clients finaux : contacts, objets, dossiers, pièces, paiements, temps et absences, stock, fichiers et photos de chantier, signatures, audit. S’y ajoutent les messages qui entrent dans l’app : e-mails de la boîte de l’entreprise avec leurs pièces jointes, messages WhatsApp et appels de dépannage avec les indications de l’appelant.
Comptes des utilisateurs, connexion par lien magique (stockée uniquement sous forme de hachage), sessions, journal.
Données de localisation des salariés uniquement si l’entreprise active le GPS à l’arrivée et au départ.
Les catégories particulières (art. 9 RGPD) ne sont pas la finalité du logiciel. Si l’entreprise saisit une absence comme « maladie », une donnée de santé naît malgré tout. L’entreprise décide si elle tient cette indication ; une absence peut aussi être saisie sans motif.
Instruction et lieu
Traitement uniquement dans le cadre de l’app et selon les instructions documentées de l’entreprise. Lieu du traitement : serveurs de Hetzner Online GmbH dans le centre de données de Falkenstein/Vogtland, Allemagne. Les données ne quittent l’UE que par les sous-traitants ultérieurs indiqués ci-dessous et par les services que l’entreprise configure elle-même.
Sous-traitants ultérieurs
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen : serveurs, base de données (Postgres), fichiers et sauvegardes de l’application, centre de données de Falkenstein/Vogtland.
- Cloudflare, Inc., San Francisco, États-Unis : DNS, réseau et protection contre les attaques pour app.sollmass.de, envoi de tous les e-mails de l’app ([email protected]) ainsi que, s’il est configuré, le stockage objet R2 pour les fichiers téléversés. Transfert vers les États-Unis sur la base de l’EU-US Data Privacy Framework, en complément les clauses contractuelles types de l’UE.
- IONOS SE, Elgendorfer Str. 57, 56410 Montabaur : fonctions IA via l’IONOS AI Model Hub dans un centre de données en Allemagne, uniquement si l’entreprise utilise les fonctions IA, pour la requête concernée — texte et photos. Si IONOS est configuré, le texte et les photos ne vont que là.
- OpenAI, Google (Gemini) ou xAI : uniquement si l’entreprise utilise les fonctions IA, pour la requête concernée — texte et photos tant qu’IONOS n’est pas configuré, ainsi que les fichiers audio téléversés pour la transcription (OpenAI ou Google). Transfert vers les États-Unis sur la base de l’EU-US Data Privacy Framework lorsque le fournisseur est certifié, sinon des clauses contractuelles types de l’UE.
- Service de cartographie d’OpenStreetMap (staticmap.openstreetmap.de, openstreetmap.org) : uniquement lors de l’appel de la carte dans le planning, avec l’adresse IP de l’appareil et les coordonnées des interventions du jour.
Nous informons à l’avance de tout nouveau sous-traitant ultérieur ; l’entreprise peut s’y opposer pour un motif important.
Services de l’entreprise
Si l’entreprise enregistre ses propres accès, nous transmettons sur son instruction au fournisseur qu’elle a choisi. Ces fournisseurs ne sont pas nos sous-traitants ultérieurs ; l’entreprise conclut elle-même les contrats nécessaires.
- Sa boîte e-mail (IMAP), dans laquelle l’app récupère messages et pièces jointes.
- Meta (WhatsApp Business Cloud API) pour les messages entrants.
- Son service SMS pour l’alerte de dépannage vers l’astreinte. Le SMS contient le nom, le numéro de téléphone et l’adresse issus du dossier et ne part que vers l’astreinte de service, jamais vers l’appelant.
- Les autres interfaces qu’elle enregistre, par exemple comptabilité ou accès bancaire.
Les identifiants de ces services sont stockés chiffrés (AES-256-GCM) et ne sont plus affichés.
Obligations et TOM
Séparation des mandants dans chaque requête et dans la base de données, rôles avec périmètre de visibilité (titulaire, bureau, chantier, sous-traitant), traitement sur instruction, aide aux droits des personnes, notification des violations de données.
Accès par lien magique, jetons et sessions uniquement en hachage. Transport en TLS, de Cloudflare au serveur par un tunnel chiffré, HSTS. Identifiants de tiers chiffrés. Pièces émises bloquées sur le fond et dotées d’une somme de contrôle, livre de paiements sans modification a posteriori, journal de toutes les actions importantes.
Disons-le franchement : la base de données et les fichiers ne sont pas chiffrés sur le serveur ; le chiffrement du disque n’est pas en place. La sauvegarde quotidienne se trouve sur le même serveur. Nous mettrons en place une copie chiffrée hors site dès que le stockage nécessaire sera arrêté — il figurera alors à l’avance dans la liste des sous-traitants ultérieurs.
Durée, suppression, preuve
L’accord vaut tant que l’entreprise utilise Sollmaß. Après la fin du contrat, l’entreprise peut consulter et exporter ses données pendant 30 jours, après un essai sans commande pendant 90 jours à compter de la fin de l’essai. Ensuite, nous fermons l’entreprise : nous supprimons les données personnelles sans obligation légale de conservation ; les documents soumis à conservation restent verrouillés jusqu’à la fin du délai, puis sont supprimés (art. 28, par. 3, point g RGPD). Détails : CG, section 3. Preuve : journal des événements d’audit, hash des pièces, livre de paiements.
Avant la mise hors service, l’entreprise exporte ses données (export GoBD, DATEV, CSV). Ce qu’elle n’exporte pas et que nous n’avons pas à conserver — temps, commandes, livre de stock, journal de chantier — disparaît ensuite.
Restent conservés les documents exigés par le droit commercial et fiscal : pièces émises avec leur copie, livre de paiements, factures d’achat, journal. Délai : jusqu’au 31/12 de l’année de la mise hors service plus huit ans, après quoi nous les supprimons. Exemple : mise hors service en 2026, suppression à partir du 01/01/2035.
Autres délais : messages entrants sans dossier 2 ans, sauvegardes 14 jours (sauvegardes de disque 7 jours).
Droits des personnes : les contacts peuvent être anonymisés dans l’app ; les pièces émises conservent leur copie, parce que le droit fiscal l’exige (art. 17 al. 3 lit. b RGPD). Preuve : journal des événements d’audit, hash des pièces, livre de paiements.
Questions : [email protected].
Autres textes
Mentions légales · Confidentialité · CGV · Rétractation
